220 millioner flypassasjeropplysninger på avveie i Vietnam-relatert datalekkasje

En feilkonfigurert Elasticsearch-database lot over 220 millioner flypassasjer- og mannskapsopplysninger, inkludert passnumre, nasjonalitet og detaljerte reiseruter, ligge åpent på internett i en ukjent periode før den ble sikret i juni, opplyste sikkerhetsforskere denne uken.

Kinryū Labs oppdaget den eksponerte klyngen, kalt "pax-info", den 3. juni under kartlegging av databaser i forbindelse med løsepengevirusforskning, ifølge en eksklusiv rapport fra BleepingComputer. Databasen inneholdt 29 indekser og omtrent 107 GB med data fra januar 2017 til april 2026, hentet fra et Advance Passenger Information System, som er standardiserte data flyselskaper sender til grensemyndigheter før avgang.securityaffairs+1

Hva ble eksponert

De to hovedindeksene inneholdt 210 318 069 passasjeroppføringer og 10 465 631 mannskapsoppføringer, totalt 220 783 700 oppføringer. Eksponerte felt inkluderte navn, fødselsdato, kjønn, nasjonalitet, pass- eller reisedokumentnumre med utløpsdato, flynummer og datoer, flyselskapsnavn, avgangs- og transittflyplasser, setevalg, bagasjereferanser samt planlagte, estimerte og faktiske flytider.thecyberexpress+1

Eksempler på oppføringer som BleepingComputer har gjennomgått, inkluderte reisende med koreansk, kinesisk, canadisk og newzealandsk nasjonalitet, og dekket flyselskaper i Asia-Stillehavsregionen, Europa og Midtøsten. Tallene representerer reiseoppføringer, ikke unike individer, så hyppige reisende kan forekomme flere ganger.bleepingcomputer+1

Kjedede feilkonfigurasjoner

Databasen var vertet på IP-områder tildelt den vietnamesiske teleoperatøren Viettel i Hanoi, selv om forskere ikke kunne bekrefte hvilken organisasjon som driftet den. Direkte tilgang ga en 401-autentiseringsfeil, noe som ga inntrykk av et lukket system, men en skybasert vei nådde den samme klyngen og godtok standardpålogging.thecyberexpress+2

Internett-etterretningsplattformen FOFA registrerte verten første gang i oktober 2022 og identifiserte den som en database i juli 2023, selv om det faktiske tidsvinduet for eksponeringen forblir ukjent. Kinryū Labs rapporterte problemet til vietnamesiske myndigheter, berørte flyselskaper og nasjonale CERT-er den 3. juni; databasen ble sikret innen 8. juni. Singapore Airlines bidro til å koordinere responsen og informerte forskerne om at de hadde "engasjert de relevante partene" og "tatt skritt for å begrense problemet", ifølge en bekreftet e-post gjennomgått av BleepingComputer.bleepingcomputer

Ubesvarte spørsmål

Forskere fant ingen løsepengekrav eller tegn til at dataene var endret, men uten tilgang til serverlogger kunne de ikke avgjøre om noen hadde kopiert opplysningene i løpet av årene systemet var tilgjengelig. Dette skillet har juridisk betydning: Vietnams lov om beskyttelse av personopplysninger, som trådte i kraft 1. januar 2026, krever varsling innen 72 timer etter oppdagelse av et brudd og ilegger bøter på opptil 5 prosent av fjorårets omsetning for brudd på grenseoverskridende overføringer. Siden opplysningene dekker internasjonale flyvninger, er EU- og britiske innbyggere nesten garantert representert, noe som potensielt bringer GDPR inn i bildet også.securityaffairs+2