Manchester Airports, Carhartt e Hasbro: 3 data breach colpiscono milioni di utenti e dipendenti

🛡️ Executive Summary

• Manchester Airports Group conferma il furto di dati relativi a parcheggi, lounge, Fast Track e Wi-Fi negli aeroporti di Manchester, Stansted ed East Midlands.
• Il leak Carhartt contiene circa 12,9 milioni di indirizzi email reali dopo la rimozione di milioni di record sintetici presenti nel dataset Databricks.
• Hasbro notifica un breach dei dati dei dipendenti con informazioni personali e finanziarie, dopo l’attacco di marzo costato circa 25 milioni di dollari di ricavi.

Tre nuovi data breach colpiscono settori completamente differenti ma mostrano la stessa fragilità dei grandi archivi aziendali. Manchester Airports Group ha confermato il furto di dati dei viaggiatori utilizzati per parcheggi, lounge, Fast Track e Wi-Fi; Carhartt affronta la pubblicazione di un dataset collegato a circa 12,9 milioni di account; Hasbro ha invece notificato l’esposizione di informazioni personali e finanziarie appartenenti ai dipendenti. Nessuno dei tre casi indica al momento compromissioni dei sistemi di pagamento dei clienti, ma i dati sottratti possono essere utilizzati per phishing, impersonificazione e frodi mirate.

Manchester Airports Group perde i dati di clienti di tre aeroporti britannici

Manchester Airports Group, MAG, il maggiore operatore aeroportuale britannico, ha confermato un accesso non autorizzato che ha interessato dati relativi agli aeroporti di Manchester, London Stansted ed East Midlands. Nella comunicazione ufficiale pubblicata dal gruppo MAG spiega che gli attaccanti hanno ottenuto informazioni collegate alle prenotazioni di parcheggi, lounge e Fast Track, oltre ai dati utilizzati per registrarsi ai servizi Wi-Fi negli aeroporti. Tra le informazioni esposte figurano indirizzi email, numeri telefonici, targhe dei veicoli e codici postali, mentre il gruppo esclude l’accesso a dati bancari e carte di pagamento. L’incidente non ha interessato i sistemi operativi aeroportuali, non ha provocato cancellazioni o ritardi e non ha compromesso la sicurezza dell’aviazione. Come misura precauzionale MAG ha temporaneamente sospeso la funzione online “Manage My Booking” e ha contattato direttamente i clienti interessati. Il settore aeroportuale resta particolarmente esposto perché concentra dati di viaggio e servizi digitali: nel 2025 un ransomware contro un fornitore aveva già paralizzato i sistemi di check-in di diversi aeroporti europei, mentre Air France e KLM avevano comunicato un breach su una piattaforma esterna di customer service.

Leggi anche: Qantas colpita da un attacco cyber con dati dei clienti compromessi

Carhartt, il leak ShinyHunters contiene 12,9 milioni di account reali

Il caso Carhartt è più complesso perché il dataset pubblicato da ShinyHunters conteneva inizialmente oltre 24 milioni di indirizzi, ma una parte consistente era costituita da dati sintetici e record di test. L’analisi di Troy Hunt sul dataset Carhartt ha ricondotto il materiale alla piattaforma Databricks utilizzata dall’azienda e ha separato progressivamente i record reali dai dati TPC-DS generati artificialmente per benchmark e test. Dopo la rimozione di account sintetici, alias duplicati, indirizzi disattivati e domini interni di performance testing, il numero è sceso a circa 12,93 milioni di indirizzi email unici, ora caricati su Have I Been Pwned.

I dati reali comprendono nomi, indirizzi email, numeri telefonici e indirizzi fisici; nel dataset compaiono anche oltre 15.000 indirizzi @carhartt.com, coerenti con account appartenenti a dipendenti. ShinyHunters aveva rivendicato l’attacco il 13 agosto, sostenendo di aver sottratto oltre 50 GB di dati e chiesto un riscatto di 3,3 milioni di dollari, successivamente non pagato. Il caso si inserisce nella lunga offensiva della gang contro piattaforme cloud aziendali: ShinyHunters ha già sfruttato SaaS e ambienti enterprise per colpire grandi organizzazioni, mentre i breach nel retail continuano a dimostrare quanto gli archivi clienti siano diventati un obiettivo diretto delle campagne estorsive.

Hasbro espone informazioni finanziarie e documenti dei dipendenti

Hasbro ha invece notificato alle autorità statunitensi un incidente che ha coinvolto dati personali appartenenti ai dipendenti. Nella lettera depositata presso l’Attorney General del Massachusetts la società spiega che un account di un dipendente è stato compromesso e utilizzato per ottenere accesso non autorizzato a informazioni aziendali. I dati variavano da persona a persona e potevano comprendere nome, email, indirizzo, numero telefonico, identificativo nazionale e informazioni finanziarie. Per i 436 dipendenti del Massachusetts risultano coinvolti anche Social Security number, dati di conti finanziari, numeri di carte di credito o debito e informazioni della patente. Hasbro afferma di aver disabilitato l’account compromesso, terminato l’accesso non autorizzato e introdotto ulteriori misure di sicurezza. L’azienda non ha chiarito se questo data breach sia direttamente collegato all’attacco rilevato il 28 marzo 2026, quando aveva dovuto mettere offline diversi sistemi. Quell’incidente aveva già provocato un impatto significativo: nei risultati del secondo trimestre Hasbro ha stimato circa 25 milioni di dollari di mancati ricavi e 11 milioni di costi diretti collegati alla risposta e al ripristino. La società aveva però precisato che Hasbro Pulse, D&D Beyond e Magic: The Gathering Arena non erano stati compromessi. Il caso segue una lunga serie di breach che hanno esposto dati dei dipendenti: GlobalLogic aveva comunicato l’esposizione di circa 10.000 lavoratori, mentre EY, Abbott e Coca-Cola hanno recentemente affrontato incidenti con informazioni personali e aziendali esfiltrate.

Continua con:

• Accenture conferma 35 GB di dati rubati e KDDI supera 12 milioni di utenti coinvolti
• Cyberattacchi colpiscono supply chain, sanità, porti e retail

I dati rubati valgono anche senza password e carte di credito

I tre incidenti mostrano perché un data breach non deve essere valutato soltanto in base alla presenza di password o numeri di carta. Manchester Airports Group espone informazioni che permettono di sapere quale aeroporto usa un cliente, quali servizi acquista e quale veicolo possiede; Carhartt consegna agli attaccanti milioni di identità collegate a recapiti reali; Hasbro aggiunge informazioni finanziarie e identificative dei dipendenti. Sono dataset differenti, ma tutti possono essere utilizzati per costruire phishing estremamente credibile. Nel caso MAG, un messaggio fraudolento può imitare una modifica alla prenotazione del parcheggio o del Fast Track; nel caso Carhartt può sfruttare ordini e identità dei clienti; nel caso Hasbro il rischio arriva fino a furto d’identità e frode finanziaria. È questa la fase successiva dei grandi breach del 2026: non necessariamente cifrare infrastrutture o bloccare servizi, ma accumulare dati autentici sufficienti a monetizzare la vittima anche molto tempo dopo la compromissione iniziale.