99 % des identifiants de salariés exposés dans le parc web public de l'aviation britannique se trouvent chez les fournisseurs, pas dans les aéroports

Pourquoi deux moitiés

Le 27 août 2026, Manchester Airports Group a révélé qu'environ 8,7 millions d'enregistrements de passagers avaient été dérobés dans ses systèmes de parkings, de salons, de Fast Track et de wi-fi. Il s'agissait du parc web commercial, pas du parc côté piste.

Onze mois plus tôt, un rançongiciel visant le logiciel d'enregistrement MUSE de Collins Aerospace avait perturbé Heathrow, Bruxelles, Berlin et Dublin. Aucun aéroport n'a été piraté. Un fournisseur partagé l'a été.

Ce sont deux parcs différents. Cette étude a mesuré les deux, le même jour, selon la même procédure.

Ce que nous avons relevé

Exploitants d'aéroports (43 sites web, 54 aéroports) : moyenne 66,6, médiane 66. Dix identifiants de salariés chez quatre exploitants. Aucune mention sur un site de fuite de rançongiciel et aucun port à risque sur une adresse qui leur soit propre.

Fournisseurs (48 sur 51 notés) : moyenne 65,9, médiane 67. 1 161 identifiants de salariés. Trois mentions sur des sites de fuite. Les trois ports à risque sont tous sur une adresse propre à l'organisation, dont un serveur de base de données identifié. La sûreté et l'assistance, ainsi que les opérations au sol, sont les catégories les plus faibles. 92 % de l'exposition des identifiants de salariés se concentre dans trois catégories de fournisseurs côté piste, et trois organisations détiennent 820 des enregistrements des fournisseurs.

Quatre autres cas de ports (deux exploitants, deux fournisseurs) se trouvent sur des adresses d'hébergement partagées où aucun service propre à l'organisation n'a été identifié. Ils sont présentés séparément, car seul le fournisseur peut les confirmer ou les fermer.

Le seul critère sur lequel les aéroports font moins bien est l'authentification des e-mails. Quarante pour cent ne peuvent pas demander aux systèmes destinataires de rejeter les messages falsifiés en leur nom. C'est le constat le moins coûteux à corriger dans les deux moitiés, et le nom d'un aéroport est le plus tentant à usurper.

Une moyenne combinée de 66,2 masque cet écart. Ne l'utilisez pas comme titre.

21 des 91 scores (12 exploitants, 9 fournisseurs) sont des planchers, pas des mesures. Ces pages d'accueil ont répondu à notre outil d'analyse par une page de protection anti-robots : leurs en-têtes de sécurité n'ont pas pu être lus, et le score réel ne peut être qu'identique ou supérieur. Refuser un visiteur automatisé inconnu est un contrôle de sécurité, pas une défaillance. Trois sites web de fournisseurs, tous des salons, ont été analysés sans obtenir de score et sont exclus de tous les chiffres.

Ce que ce n'est pas

Ce n'est pas une affirmation selon laquelle un système aéroportuaire aurait été compromis. Nous ne pouvions pas voir à l'intérieur et n'avons pas essayé. Ce n'est pas un classement. Aucune organisation n'est nommée. Rien ici n'est un verdict.

Par où commencer

1. Établir quels aéroports font appel aux trois fournisseurs cités sur des sites de rançongiciels, et quels accès ils détiennent.
2. Demander aux fournisseurs d'assistance en escale, de traitement des passagers et de technologies aéroportuaires quelle hygiène des identifiants ils appliquent.
3. Publier une politique de messagerie contraignante — un seul enregistrement DNS, rien côté piste.