与越南相关的大型 APIS 数据库暴露护照和航班数据

一个与越南相关的暴露 APIS 数据库包含 2.208 亿条乘客和机组人员记录，包括护照和航班数据。

研究人员发现了一个暴露的预先乘客信息系统 (APIS) 数据库，包含自 2017 年 1 月至 2026 年 4 月的 2.208 亿条乘客和机组人员记录。

这些数据包括护照号码、身份和航班信息等敏感细节，可能影响许多国籍的、曾飞往、飞离或途经越南的旅客。Kinryū Labs 在搜索暴露的数据库时发现了这个名为 "pax-info" 的 Elasticsearch 集群。

它包含 29 个索引和约 107 GB 的数据。研究人员将该服务器关联到分配给河内 Viettel 的 IP 空间，但无法确认是哪个越南组织在运营它。

研究人员发现了一个与越南相关、包含 2017 年至 2026 年超过 2.2 亿条乘客和机组人员记录的暴露 APIS 数据库。数据包括护照号码、身份和航班详情。该 Elasticsearch 数据库由 Kinryū Labs 发现，在 29 个索引中保存了约 107 GB 的数据。它托管在分配给河内 Viettel 的 IP 地址上，尽管研究人员无法确认哪个越南组织运营该系统。

据 BleepingComputer 报道，该暴露的数据库包含姓名、出生日期、性别、国籍、护照或旅行证件号码、到期日期和签发国。

它还包括航班号和日期、航空公司、出发和目的地机场、中转机场、座位号、行李参考号，以及计划、预计和实际的航班时间。该数据库涵盖亚太、欧洲和中东的众多航空公司，因此可能影响 2017 年至 2026 年间前往或途经越南的世界各地人士。

Kinryū Labs 通过将记录与其研究人员自身的越南行程进行匹配，确认了数据的真实性。总数统计的是旅行记录而非唯一人员，因此频繁出行者可能会多次出现。

虽然研究人员无法提供按国籍的完整细分，但数据涵盖了亚太、欧洲和中东的众多国际航空公司。因此，被暴露的记录可能与这九年期间到访或过境越南的任何地方的人有关。

Kinryū Labs 通过将数据库中的记录与其研究人员自身的越南旅行进行匹配，验证了信息的合法性。

这些数字代表的是旅行记录而非唯一个人。因此，多次飞行的乘客和机组人员可能会在数据库中重复出现。

Kinryū Labs 通过结合两个安全配置错误访问了该暴露的数据库。直接互联网访问返回 401 错误，但另一条基于云的路径暴露了该集群并接受了默认凭据。

FOFA 于 2022 年首次检测到该主机，并于 2023 年将其识别为数据库，但研究人员无法确定乘客数据何时变得可访问。这些记录涵盖九年多的时间，但实际暴露期仍不明确。

Kinryū Labs 于 6 月 3 日向越南当局、受影响的航空公司和国家级 CERT 报告了该问题。该数据库于 6 月 8 日前得到保护，新加坡航空协助协调了响应工作。

研究人员未发现所列航空公司运营该系统或遭受网络入侵的证据。他们也未发现勒索信息或攻击者篡改数据库的迹象。

然而，由于没有服务器日志，他们无法确定在该系统得到保护之前是否有人复制或窃取了数据。