Cyberattaque MAG : la faille cachée hors du CRM client

Ce qui s'est passé

Une cyberattaque visant Manchester Airports Group (MAG) a mis en lumière une faille de gouvernance des données clients logée en dehors du CRM principal, au niveau de services annexes comme le stationnement, le Wi-Fi et les files Fast Track. Selon CX Today, l'incident a révélé que ces points de contact périphériques, souvent gérés par des systèmes distincts ou des prestataires tiers, échappent fréquemment à la supervision et aux contrôles de sécurité appliqués aux plateformes de relation client centrales.

L'attaque n'a pas seulement interrogé la résilience technique de MAG : elle a surtout exposé la manière dont les données collectées via des services auxiliaires — réservation de parking, connexion Wi-Fi, accès prioritaire — peuvent constituer des angles morts dans l'architecture globale de protection des données, même lorsque le CRM principal est correctement sécurisé.

Pourquoi cela compte

Pour les dirigeants en charge de l'expérience client et de la transformation digitale, cet épisode rappelle que la cartographie des risques ne peut plus se limiter aux systèmes dits "critiques". Chaque service additionnel — aussi accessoire semble-t-il — génère des données personnelles et des points d'entrée potentiels dans l'écosystème numérique d'une organisation.

Cette affaire illustre un décalage fréquent entre la stratégie de sécurité, souvent pensée autour du CRM et des canaux principaux, et la réalité opérationnelle des parcours clients, qui transitent aussi par des outils tiers, des sous-traitants ou des modules ajoutés au fil du temps sans gouvernance unifiée.

Le regard de Renascence

Ce type d'incident ne relève pas uniquement de la cybersécurité : il révèle une faiblesse structurelle dans la façon dont les organisations pensent leurs parcours clients de bout en bout.

La plupart des organisations sécurisent ce qu'elles considèrent comme le cœur de leur relation client, mais négligent les services périphériques qui, cumulés, forment une surface d'exposition bien plus large. Le principe comportemental sous-jacent est simple : la confiance se construit au point de contact le plus faible, pas au plus fort. Un opérateur réellement centré sur le client devrait auditer l'ensemble de ses points de collecte de données — y compris ceux gérés par des partenaires ou perçus comme secondaires — et appliquer les mêmes standards de gouvernance partout, sans exception.