Una filtración de APIS vinculada a Vietnam expuso 220 millones de registros de viajeros

Una base de datos de Advance Passenger Information System (APIS) expuso en internet 220 millones de registros de pasajeros y tripulantes. Los registros abarcan de enero de 2017 a abril de 2026 e incluyen nombres, fechas de nacimiento, nacionalidades, números de pasaporte o documento de viaje y datos de vuelos.

Kinryū Labs descubrió el clúster de Elasticsearch el 3 de junio mientras investigaba bases de datos expuestas. El clúster, llamado “pax-info”, contenía 29 índices y aproximadamente 107 GB de datos. Sus dos índices principales incluían 210.318.069 registros de pasajeros y 10.465.631 de tripulantes, con un total de 220.783.700 entradas.

Según Kinryū Labs, el clúster estaba alojado en un espacio de direcciones IP asignado a Viettel en Hanói. BleepingComputer no pudo confirmar qué organización vietnamita operaba el sistema. Los datos también incluían aerolíneas, números y fechas de vuelo, aeropuertos, asignaciones de asiento, referencias de equipaje y horarios programados, estimados y reales.

Los investigadores afirmaron que accedieron a la base de datos encadenando dos configuraciones incorrectas. El punto de acceso público devolvía HTTP 401 “Unauthorized”, pero una ruta basada en la nube permitía llegar al clúster, que aceptaba credenciales predeterminadas. Los registros representan viajes y no personas únicas, por lo que los viajeros frecuentes pueden aparecer varias veces.

Kinryū Labs informó del problema a las autoridades vietnamitas, las aerolíneas y los equipos nacionales de respuesta ante emergencias informáticas a partir del 3 de junio. Los investigadores dijeron que el acceso fue corregido el 8 de junio. No pudieron determinar si alguien copió o explotó los datos antes de que fueran protegidos.