Vietnam bağlantılı veritabanı sızıntısında 220 milyon havayolu yolcusunun bilgileri açığa çıktı

Güvenlik araştırmacılarının bu hafta açıkladığına göre, yanlış yapılandırılmış bir Elasticsearch veritabanı, pasaport numaraları, uyruklar ve ayrıntılı uçuş güzergahları dahil olmak üzere 220 milyondan fazla havayolu yolcusu ve mürettebat kaydını, Haziran ayında güvenli hale getirilmeden önce bilinmeyen bir süre boyunca açık internette erişilebilir bıraktı.

BleepingComputer'ın özel haberine göre, Kinryū Labs, fidye yazılımı araştırması kapsamında veritabanlarını incelerken 3 Haziran'da "pax-info" adlı açık kümeyi keşfetti. Veritabanı, havayollarının kalkıştan önce sınır makamlarına ilettiği standartlaştırılmış bir veri akışı olan Yolcu Ön Bilgi Sistemi'nden (APIS) alınan, Ocak 2017'den Nisan 2026'ya kadar olan 29 dizin ve yaklaşık 107 GB veri içeriyordu.securityaffairs+1

Neler Açığa Çıktı

İki ana dizin, toplam 220.783.700 giriş olmak üzere 210.318.069 yolcu kaydı ve 10.465.631 mürettebat kaydı tutuyordu. Açığa çıkan alanlar arasında isimler, doğum tarihleri, cinsiyet, uyruk, son kullanma tarihleriyle birlikte pasaport veya seyahat belgesi numaraları, uçuş numaraları ve tarihleri, havayolu isimleri, kalkış ve transit havalimanları, koltuk atamaları, bagaj referansları ve planlanan, tahmini ve gerçekleşen uçuş saatleri yer alıyordu.thecyberexpress+1

BleepingComputer tarafından incelenen örnek kayıtlar, diğerlerinin yanı sıra Kore, Çin, Kanada ve Yeni Zelanda uyruklu yolcuları içeriyordu ve Asya-Pasifik, Avrupa ve Orta Doğu'daki havayollarını kapsıyordu. Bu rakamlar benzersiz bireyleri değil seyahat kayıtlarını temsil ettiğinden, sık uçan yolcular birden fazla kez görünebilir.bleepingcomputer+1

Zincirleme Yapılandırma Hataları

Veritabanı, Hanoi'deki Vietnamlı telekomünikasyon operatörü Viettel'e atanan IP alanında barındırılıyordu, ancak araştırmacılar hangi kuruluşun onu işlettiğini doğrulayamadı. Doğrudan erişim 401 kimlik doğrulama hatası döndürerek kilitli bir sistem izlenimi veriyordu, ancak bulut tabanlı bir yol aynı kümeye ulaştı ve varsayılan kimlik bilgilerini kabul etti.thecyberexpress+2

İnternet istihbarat platformu FOFA, ana bilgisayarı ilk olarak Ekim 2022'de kaydetti ve Temmuz 2023'te veritabanı olarak tanımladı, ancak gerçek maruz kalma süresi bilinmiyor. Kinryū Labs, sorunu 3 Haziran'da Vietnamlı yetkililere, etkilenen havayollarına ve ulusal CERT'lere bildirdi; veritabanı 8 Haziran'a kadar güvenli hale getirildi. Singapore Airlines, BleepingComputer tarafından incelenen doğrulanmış bir e-postaya göre, "ilgili tarafları devreye soktuğunu" ve "sorunu kontrol altına almak için adımlar attığını" belirterek araştırmacılara yanıtın koordine edilmesine yardımcı oldu.bleepingcomputer

Cevaplanmamış Sorular

Araştırmacılar herhangi bir fidye notu veya verilerin değiştirildiğine dair bir işaret bulamadı, ancak sunucu günlüklerine erişim olmadan sistemin erişilebilir olduğu yıllar boyunca birinin kayıtları kopyalayıp kopyalamadığını belirleyemediler. Bu ayrım yasal bir ağırlık taşır: Vietnam'ın 1 Ocak 2026'da yürürlüğe giren Kişisel Verilerin Korunması Kanunu, bir ihlalin tespit edilmesinden itibaren 72 saat içinde bildirim yapılmasını gerektirir ve sınır ötesi transfer ihlalleri için önceki yıl gelirinin yüzde 5'ine kadar para cezası öngörür. Kayıtlar uluslararası uçuşları kapsadığından, AB ve Birleşik Krallık sakinleri neredeyse kesinlikle temsil edilmektedir, bu da potansiyel olarak GDPR'yi de kapsama alanına almaktadır.securityaffairs+2