Un incidente que comenzó lejos del sistema financiero
El Manchester Airports Group, grupo que opera los aeropuertos de Manchester, Stansted y East Midlands, confirmó públicamente un incidente cibernético en el cual un tercero no autorizado accedió a datos de clientes. Cerca de 8,7 millones de personas fueron impactadas, y la información estaría vinculada a reservas y a registros del Wi-Fi de los aeropuertos, según un reportaje de The Record.
De acuerdo con el propio grupo, en la gran mayoría de los casos el dato accedido habría sido solamente la dirección de correo electrónico, sin detalle del período cubierto, y el caso sigue bajo investigación con el acompañamiento de autoridades de protección de datos, conforme a Infosecurity Magazine. Nadie de afuera conoce lo que ocurrió dentro de aquella operación, y es justamente por eso que el episodio vale más como espejo de formato que como estudio técnico.
El detalle que llama la atención de socios y C-levels está en el origen de la información: registro de Wi-Fi y base de reservas, dos activos que casi nunca aparecen en la lista de sistemas críticos de una empresa. Si un formulario simple de visitantes se convirtiera en titular en su operación, ¿cuántas personas entrarían en la lista de notificación?
Por qué los sistemas periféricos concentran tanto riesgo
Toda empresa, de 5 a 5000 empleados, tiene su equivalente al registro de Wi-Fi: el formulario de agendamiento en el sitio web, la base de contactos en el CRM (Customer Relationship Management, sistema de gestión de relaciones con clientes), la planilla de inscritos del último evento, la plataforma de newsletter contratada con la tarjeta corporativa. Esos activos nacen para resolver un problema puntual de marketing o de atención, pasan a guardar datos de personas reales y raramente entran en el mismo ciclo de revisión del ERP o del servidor de archivos.
Existe además el factor terceros, que crece en silencio. La participación de terceros apareció en 30% de las violaciones analizadas en 2025, el doble del año anterior, conforme al Data Breach Investigations Report de Verizon. Integraciones, plugins y paneles de proveedores tocan la base de clientes con la misma naturalidad de un usuario interno, casi siempre sin el mismo nivel de control.
Dos frentes prácticos para proteger la base de clientes
La buena noticia es que ese tipo de riesgo responde muy bien a la organización, y el primer frente cuesta más disciplina que presupuesto: mapear dónde están realmente los datos de clientes. Un inventario simple, con sistema, responsable, tipo de dato y lista de quién tiene acceso, ya revela duplicidades y cuentas olvidadas. A continuación viene la segmentación de red, que separa el Wi-Fi de visitantes de los sistemas corporativos, de modo que un registro de marketing no funcione como un pasillo hasta el servidor financiero.
El segundo frente es la identidad. MFA (Multi-Factor Authentication, autenticación multifactor) en paneles administrativos, en el correo corporativo y en las integraciones de terceros bloquea la mayor parte de los accesos indebidos que comienzan con una contraseña reutilizada. Sume a eso el principio del menor privilegio, revisiones periódicas de cuentas y la eliminación inmediata de accesos de quien salió de la empresa o finalizó su contrato, prácticas que sustentan cualquier proyecto serio de ciberseguridad gestionada.
¿Su empresa sabe exactamente dónde están los datos de sus clientes?
Si la respuesta demora más de algunos minutos, ese es el mejor destino para la próxima hora de reunión. Comience listando los diez sistemas que tocan datos de clientes y marque, en cada línea, cuál tiene MFA activo, cuál tuvo backup verificado en el último trimestre y cuál tiene un responsable con nombre y apellido. El ejercicio suele revelar dos o tres sorpresas que es mucho mejor encontrar internamente.
A partir de ahí, el camino es incremental y previsible: segmentar la red de visitantes, estandarizar identidad y accesos, activar EDR con monitoreo continuo, mantener la gestión de parches en ciclo, probar el backup con hora marcada y capacitar al equipo algunas veces al año. Las empresas apoyadas por una retaguardia de TI gestionada ganan exactamente eso, cadencia y registro, con cada ítem saliendo del campo de la buena intención y entrando en el campo del proceso documentado. Ningún ambiente queda inmune, y aun así la distancia entre un susto administrable y una crisis suele caber en esas elecciones simples, hechas con calma y antes del incidente.
Referencias
- The Record , Cyberattack on Manchester Airports Group exposes millions of customers' info
- Infosecurity Magazine , Manchester Airports Group data breach
- IBM , Cost of a Data Breach Report
- Verizon , Data Breach Investigations Report
Preguntas frecuentes
¿Qué son los sistemas periféricos y por qué importan en la protección de datos?
Los sistemas periféricos son las herramientas que guardan datos sin ser consideradas críticas por la empresa, como el Wi-Fi de visitantes, formularios de agendamiento, planillas de eventos y plataformas de newsletter. Suelen quedar fuera del ciclo de revisión de seguridad, aunque almacenen información de clientes reales. Tratarlos en el mismo inventario de los sistemas centrales es el primer paso para reducir ese riesgo.
¿Una filtración de solamente direcciones de correo electrónico es realmente grave?
Sí, porque una base amplia de correos asociada a un contexto conocido alimenta campañas de phishing mucho más convincentes contra clientes, proveedores y colaboradores. Además del riesgo técnico, existe el costo de notificación de los titulares y la exposición ante reguladores en mercados regidos por GDPR o LGPD. El impacto de reputación ante quien confió sus datos también pesa en la cuenta.
¿Por dónde comenzar si mi empresa nunca mapeó dónde están los datos de clientes?
Comience por un inventario simple que registre cada sistema con datos de clientes, el responsable por él, el tipo de información almacenada y la lista de quién tiene acceso. En seguida, aplique autenticación multifactor en los paneles administrativos, separe la red de visitantes de la red corporativa y confirme que existe un backup probado. Ese conjunto inicial ya eleva bastante el nivel de protección sin exigir grandes inversiones.
Para transformar ese mapa en un plan, Zamak ofrece un Diagnóstico Estratégico de TI, Sin Compromiso.