Um incidente que começou longe do sistema financeiro
O Manchester Airports Group, grupo que opera os aeroportos de Manchester, Stansted e East Midlands, confirmou publicamente um incidente cibernético no qual um terceiro não autorizado acessou dados de clientes. Cerca de 8,7 milhões de pessoas foram impactadas, e as informações estariam ligadas a reservas e a cadastros do Wi-Fi dos aeroportos, segundo reportagem do The Record.
De acordo com o próprio grupo, na grande maioria dos casos o dado acessado teria sido apenas o endereço de e-mail, sem detalhamento do período coberto, e o caso segue em apuração com acompanhamento de autoridades de proteção de dados, conforme a Infosecurity Magazine. Ninguém de fora conhece o que ocorreu dentro daquela operação, e é justamente por isso que o episódio vale mais como espelho de formato do que como estudo técnico.
O detalhe que chama a atenção de sócios e C-levels está na origem da informação: cadastro de Wi-Fi e base de reservas, dois ativos que quase nunca aparecem na lista de sistemas críticos de uma empresa. Se um formulário simples de visitantes virasse manchete na sua operação, quantas pessoas entrariam na lista de notificação?
Por que os sistemas periféricos concentram tanto risco
Toda empresa, de 5 a 5000 funcionários, tem o seu equivalente ao cadastro de Wi-Fi: o formulário de agendamento no site, a base de contatos no CRM (Customer Relationship Management, sistema de gestão de relacionamento com clientes), a planilha de inscritos do último evento, a plataforma de newsletter contratada no cartão corporativo. Esses ativos nascem para resolver um problema pontual de marketing ou de atendimento, passam a guardar dados de pessoas reais e raramente entram no mesmo ciclo de revisão do ERP ou do servidor de arquivos.
Existe ainda o fator terceiros, que cresce em silêncio. O envolvimento de terceiros apareceu em 30% das violações analisadas em 2025, o dobro do ano anterior, conforme o Data Breach Investigations Report da Verizon. Integrações, plugins e painéis de fornecedores tocam a base de clientes com a mesma naturalidade de um usuário interno, quase sempre sem o mesmo nível de controle.
Duas frentes práticas para proteger a base de clientes
A boa notícia é que esse tipo de risco responde muito bem a organização, e a primeira frente custa mais disciplina do que orçamento: mapear onde os dados de clientes realmente estão. Um inventário simples, com sistema, responsável, tipo de dado e lista de quem tem acesso, já revela duplicidades e contas esquecidas. Na sequência vem a segmentação de rede, que separa o Wi-Fi de visitantes dos sistemas corporativos, de modo que um cadastro de marketing não funcione como corredor até o servidor financeiro.
A segunda frente é identidade. MFA (Multi-Factor Authentication, autenticação multifator) em painéis administrativos, no e-mail corporativo e nas integrações de terceiros bloqueia a maior parte dos acessos indevidos que começam com uma senha reaproveitada. Junte a isso o princípio do menor privilégio, revisões periódicas de contas e a remoção imediata de acessos de quem saiu da empresa ou encerrou contrato, práticas que sustentam qualquer projeto sério de cibersegurança gerenciada.
Sua empresa sabe exatamente onde estão os dados dos seus clientes?
Se a resposta demora mais do que alguns minutos, esse é o melhor destino para a próxima hora de reunião. Comece listando os dez sistemas que tocam dados de clientes e marque, em cada linha, qual tem MFA ativo, qual teve backup verificado no último trimestre e qual tem um responsável com nome e sobrenome. O exercício costuma revelar duas ou três surpresas que é muito melhor encontrar internamente.
A partir daí, o caminho é incremental e previsível: segmentar a rede de visitantes, padronizar identidade e acessos, ativar EDR com monitoramento contínuo, manter a gestão de patches em ciclo, testar o backup com hora marcada e treinar o time algumas vezes por ano. Empresas apoiadas por uma retaguarda de TI gerenciada ganham exatamente isso, cadência e registro, com cada item saindo do campo da boa intenção e entrando no campo do processo documentado. Nenhum ambiente fica imune, e ainda assim a distância entre um susto administrável e uma crise costuma caber nessas escolhas simples, feitas com calma e antes do incidente.
Referências
- The Record , Cyberattack on Manchester Airports Group exposes millions of customers' info
- Infosecurity Magazine , Manchester Airports Group data breach
- IBM , Cost of a Data Breach Report
- Verizon , Data Breach Investigations Report
Perguntas frequentes
O que são sistemas periféricos e por que eles importam na proteção de dados?
Sistemas periféricos são as ferramentas que guardam dados sem serem consideradas críticas pela empresa, como o Wi-Fi de visitantes, formulários de agendamento, planilhas de eventos e plataformas de newsletter. Eles costumam ficar fora do ciclo de revisão de segurança, ainda que armazenem informações de clientes reais. Tratá-los no mesmo inventário dos sistemas centrais é o primeiro passo para reduzir esse risco.
Um vazamento de apenas endereços de e-mail é realmente grave?
Sim, porque uma base ampla de e-mails associada a um contexto conhecido alimenta campanhas de phishing muito mais convincentes contra clientes, fornecedores e colaboradores. Além do risco técnico, existe o custo de notificação de titulares e a exposição perante reguladores em mercados regidos por GDPR ou LGPD. O impacto de reputação junto a quem confiou os dados também pesa na conta.
Por onde começar se minha empresa nunca mapeou onde estão os dados de clientes?
Comece por um inventário simples que registre cada sistema com dados de clientes, o responsável por ele, o tipo de informação armazenada e a lista de quem tem acesso. Em seguida, aplique autenticação multifator nos painéis administrativos, separe a rede de visitantes da rede corporativa e confirme que existe backup testado. Esse conjunto inicial já eleva bastante o nível de proteção sem exigir grandes investimentos.
Para transformar esse mapa em plano, a Zamak oferece um Diagnóstico Estratégico de TI, Sem Compromisso.