V databázi spojené s Vietnamem uniklo 220 milionů záznamů o cestujících

Špatně nakonfigurovaná databáze Elasticsearch ponechala více než 220 milionů záznamů o cestujících a posádkách leteckých společností – včetně čísel pasů, státní příslušnosti a podrobných itinerářů letů – přístupných na otevřeném internetu po neznámou dobu, než byla v červnu zabezpečena, uvedli tento týden bezpečnostní výzkumníci.

Laboratoř Kinryū Labs objevila exponovaný cluster s názvem „pax-info“ 3. června při průzkumu databází v rámci výzkumu ransomwaru, uvádí exkluzivní zpráva serveru BleepingComputer. Databáze obsahovala 29 indexů a zhruba 107 GB dat pokrývajících období od ledna 2017 do dubna 2026, čerpaných ze systému Advance Passenger Information System (APIS) – standardizovaného datového toku, který letecké společnosti před odletem předávají pohraničním orgánům.securityaffairs+1

Co bylo vystaveno

Dva hlavní indexy obsahovaly 210 318 069 záznamů o cestujících a 10 465 631 záznamů o posádce, celkem tedy 220 783 700 záznamů. Mezi vystavené údaje patřila jména, data narození, pohlaví, státní příslušnost, čísla pasů nebo cestovních dokladů s daty expirace, čísla a data letů, názvy leteckých společností, odletová a tranzitní letiště, přidělená sedadla, údaje o zavazadlech a plánované, odhadované a skutečné časy letů.thecyberexpress+1

Ukázkové záznamy, které BleepingComputer prověřil, zahrnovaly cestující korejské, čínské, kanadské a novozélandské národnosti a další, a pokrývaly letecké společnosti v Asii a Tichomoří, Evropě a na Blízkém východě. Čísla představují záznamy o cestách, nikoliv unikátní jednotlivce, takže častí cestující se mohou v databázi objevit vícekrát.bleepingcomputer+1

Řetězec chybných konfigurací

Databáze byla hostována v IP prostoru přiděleném vietnamskému telekomunikačnímu operátorovi Viettel v Hanoji, ačkoliv výzkumníci nemohli potvrdit, která organizace ji provozovala. Přímý přístup vracel chybu autentizace 401, což vyvolávalo dojem zabezpečeného systému, ale cesta přes cloud vedla ke stejnému clusteru a přijala výchozí přihlašovací údaje.thecyberexpress+2

Internetová zpravodajská platforma FOFA poprvé zaznamenala hostitele v říjnu 2022 a identifikovala jej jako databázi v červenci 2023, ačkoliv skutečné období vystavení zůstává neznámé. Kinryū Labs nahlásily problém vietnamským úřadům, dotčeným leteckým společnostem a národním týmům CERT 3. června; databáze byla zabezpečena do 8. června. Singapore Airlines pomohly koordinovat reakci a informovaly výzkumníky, že „zapojily příslušné strany“ a „podnikly kroky k omezení problému“, uvádí ověřený e-mail, který BleepingComputer prověřil.bleepingcomputer

Neodpovězené otázky

Výzkumníci nenašli žádné výkupné ani známky toho, že by byla data pozměněna, ale bez přístupu k protokolům serveru nemohli určit, zda někdo záznamy během let, kdy byl systém dostupný, zkopíroval. Tento rozdíl má právní váhu: Vietnamský zákon o ochraně osobních údajů, který vstoupil v platnost 1. ledna 2026, vyžaduje oznámení do 72 hodin od zjištění porušení a ukládá pokuty až do výše 5 procent příjmů z předchozího roku za porušení při přeshraničním přenosu. Protože záznamy pokrývají mezinárodní lety, jsou v nich téměř jistě zastoupeni obyvatelé EU a Spojeného království, což by mohlo znamenat i dopad nařízení GDPR.securityaffairs+2