Διαρροή δεδομένων 220 εκατομμυρίων επιβατών αεροπορικών εταιρειών σε βάση δεδομένων που συνδέεται με το Βιετνάμ

Μια λανθασμένα ρυθμισμένη βάση δεδομένων Elasticsearch άφησε εκτεθειμένα στο διαδίκτυο για άγνωστο χρονικό διάστημα περισσότερα από 220 εκατομμύρια αρχεία επιβατών και πληρωμάτων αεροπορικών εταιρειών, συμπεριλαμβανομένων αριθμών διαβατηρίων, εθνικοτήτων και λεπτομερών δρομολογίων πτήσεων, πριν ασφαλιστεί τον Ιούνιο, όπως αποκάλυψαν αυτή την εβδομάδα ερευνητές ασφαλείας.

Η Kinryū Labs ανακάλυψε το εκτεθειμένο σύμπλεγμα, με την ονομασία "pax-info", στις 3 Ιουνίου κατά τη διάρκεια ελέγχου βάσεων δεδομένων στο πλαίσιο έρευνας για ransomware, σύμφωνα με αποκλειστικό ρεπορτάζ του BleepingComputer. Η βάση δεδομένων περιείχε 29 ευρετήρια και περίπου 107 GB δεδομένων που κάλυπταν την περίοδο από τον Ιανουάριο του 2017 έως τον Απρίλιο του 2026, αντλώντας στοιχεία από το Σύστημα Προηγμένων Πληροφοριών Επιβατών (APIS), το τυποποιημένο σύστημα δεδομένων που διαβιβάζουν οι αεροπορικές εταιρείες στις συνοριακές αρχές πριν από την αναχώρηση.securityaffairs+1

Τι εκτέθηκε

Τα δύο κύρια ευρετήρια περιείχαν 210.318.069 αρχεία επιβατών και 10.465.631 αρχεία πληρωμάτων, συνολικά 220.783.700 εγγραφές. Τα εκτεθειμένα πεδία περιλάμβαναν ονόματα, ημερομηνίες γέννησης, φύλο, εθνικότητες, αριθμούς διαβατηρίων ή ταξιδιωτικών εγγράφων με ημερομηνίες λήξης, αριθμούς και ημερομηνίες πτήσεων, ονόματα αεροπορικών εταιρειών, αεροδρόμια αναχώρησης και διέλευσης, θέσεις, στοιχεία αποσκευών, καθώς και προγραμματισμένους, εκτιμώμενους και πραγματικούς χρόνους πτήσεων.thecyberexpress+1

Δείγματα εγγραφών που εξετάστηκαν από το BleepingComputer περιλάμβαναν ταξιδιώτες κορεατικής, κινεζικής, καναδικής και νεοζηλανδικής υπηκοότητας, μεταξύ άλλων, και κάλυπταν αεροπορικές εταιρείες από την περιοχή Ασίας-Ειρηνικού, την Ευρώπη και τη Μέση Ανατολή. Τα στοιχεία αντιπροσωπεύουν ταξιδιωτικά αρχεία και όχι μοναδικά άτομα, επομένως οι συχνοί ταξιδιώτες ενδέχεται να εμφανίζονται πολλές φορές.bleepingcomputer+1

Αλυσιδωτές λανθασμένες ρυθμίσεις

Η βάση δεδομένων φιλοξενούνταν σε χώρο IP που είχε εκχωρηθεί στη βιετναμέζικη εταιρεία τηλεπικοινωνιών Viettel στο Ανόι, αν και οι ερευνητές δεν μπόρεσαν να επιβεβαιώσουν ποιος οργανισμός τη διαχειριζόταν. Η άμεση πρόσβαση επέστρεφε σφάλμα ελέγχου ταυτότητας 401, δίνοντας την εντύπωση ενός κλειδωμένου συστήματος, αλλά μια διαδρομή μέσω cloud οδηγούσε στο ίδιο σύμπλεγμα και δεχόταν προεπιλεγμένα διαπιστευτήρια.thecyberexpress+2

Η πλατφόρμα πληροφοριών διαδικτύου FOFA κατέγραψε για πρώτη φορά τον διακομιστή τον Οκτώβριο του 2022 και τον ταυτοποίησε ως βάση δεδομένων τον Ιούλιο του 2023, αν και το πραγματικό παράθυρο έκθεσης παραμένει άγνωστο. Η Kinryū Labs ανέφερε το ζήτημα στις βιετναμέζικες αρχές, τις επηρεαζόμενες αεροπορικές εταιρείες και τα εθνικά CERT στις 3 Ιουνίου. Η βάση δεδομένων ασφαλίστηκε έως τις 8 Ιουνίου. Η Singapore Airlines βοήθησε στον συντονισμό της απόκρισης, ενημερώνοντας τους ερευνητές ότι είχε "εμπλέξει τα αρμόδια μέρη" και "λάβει μέτρα για τον περιορισμό του ζητήματος", σύμφωνα με επαληθευμένο email που εξέτασε το BleepingComputer.bleepingcomputer

Αναπάντητα ερωτήματα

Οι ερευνητές δεν βρήκαν σημειώματα λύτρων ή ενδείξεις ότι τα δεδομένα είχαν αλλοιωθεί, αλλά χωρίς πρόσβαση στα αρχεία καταγραφής του διακομιστή δεν μπόρεσαν να προσδιορίσουν αν κάποιος αντέγραψε τα αρχεία κατά τα έτη που το σύστημα ήταν προσβάσιμο. Αυτή η διάκριση έχει νομική βαρύτητα: ο Νόμος για την Προστασία Προσωπικών Δεδομένων του Βιετνάμ, ο οποίος τέθηκε σε ισχύ την 1η Ιανουαρίου 2026, απαιτεί ειδοποίηση εντός 72 ωρών από τον εντοπισμό παραβίασης και επιβάλλει πρόστιμα έως και 5 τοις εκατό των εσόδων του προηγούμενου έτους για παραβιάσεις διασυνοριακής μεταφοράς. Επειδή τα αρχεία καλύπτουν διεθνείς πτήσεις, κάτοικοι της ΕΕ και του Ηνωμένου Βασιλείου σχεδόν σίγουρα περιλαμβάνονται, γεγονός που ενδεχομένως φέρνει το ζήτημα και στο πεδίο εφαρμογής του GDPR.securityaffairs+2