曼彻斯特机场集团拒付赎金后数据遭公开：HIBP确认878万邮箱与电话，前端JavaScript暴露API密钥成突破口

事件随拒付赎金迅速升级。勒索组织FulcrumSec公开约550GB数据，远超最初声称的86GB。Have I Been Pwned核验确认约878万个邮箱地址与电话号码外泄，样本还包含姓名、车辆登记号、邮编、购买与预订明细、短信内容、浏览器代理信息以及住宅IP地址。英国媒体此前报道的受影响人数约为870万。

BleepingComputer查看到的样本显示，其中一份曼彻斯特客户导出文件约21.5GB，包含整合后的用户画像，将身份标识、预订历史与营销分类合并在一起。FulcrumSec称掌握了近20万条涉及2026年剩余时间行程的记录，含日期、时间与关联的个人身份信息，并表示因存在“现实世界伤害”风险，正考虑对这些记录作脱敏或暂不公开处理。

攻击路径值得所有运营方警惕。FulcrumSec声称是通过机场前端客户端JavaScript中暴露的Iterable API凭据取得访问权，相关数据存放于第三方托管数据库中。将管理员或API密钥嵌入浏览器可见的前端代码，是反复出现、却完全可以预防的根因：凭据应全部移至服务端并纳入密钥库管理，同时进行前端密钥泄漏扫描与异常批量导出监测。

FulcrumSec自2025年起活跃，此前曾宣称攻击LexisNexis、诺和诺德、Global Schools Group与安富利。大规模个人信息在拒付赎金后被公开倾倒，会把本已受控的事件转化为对所有犯罪分子开放的情报源——车牌与预订历史更可被用于线下跟踪与社会工程。MAG表示已完成事件遏制，聘请外部专家并通报相关监管部门，同时提醒客户警惕钓鱼与短信诈骗。