Vietnam bağlantılı APIS sızıntısı 220 milyon yolcu kaydını açığa çıkardı

Bir Advance Passenger Information System (APIS) veritabanı, 220 milyon yolcu ve mürettebat kaydını internette açığa çıkardı. Kayıtlar Ocak 2017 ile Nisan 2026 arasındaki dönemi kapsıyor ve adlar, doğum tarihleri, uyruklar, pasaport veya seyahat belgesi numaraları ile uçuş bilgilerini içeriyor.

Kinryū Labs, açık veritabanları üzerine araştırma yaparken Elasticsearch kümesini 3 Haziran'da keşfetti. “pax-info” adlı kümede 29 indeks ve yaklaşık 107 GB veri bulunuyordu. İki ana indeks, 210.318.069 yolcu kaydı ve 10.465.631 mürettebat kaydı içeriyordu; toplam sayı 220.783.700 girdiydi.

Kinryū Labs'a göre küme, Hanoi'de Viettel'e tahsis edilmiş IP alanında barındırılıyordu. BleepingComputer, sistemi hangi Vietnam kuruluşunun işlettiğini doğrulayamadı. Verilerde ayrıca havayolları, uçuş numaraları ve tarihleri, havalimanları, koltuk atamaları, bagaj referansları ile planlanan, tahmini ve gerçek uçuş saatleri yer alıyordu.

Araştırmacılar veritabanına iki yanlış yapılandırmayı birbirine bağlayarak ulaştıklarını söyledi. Herkese açık uç nokta HTTP 401 “Unauthorized” yanıtı veriyordu; ancak bulut tabanlı bir yol kümeye erişim sağlıyor ve küme varsayılan kimlik bilgilerini kabul ediyordu. Kayıtlar benzersiz kişilerden çok seyahatleri temsil ediyor; bu nedenle tekrar seyahat edenler birden fazla kez görünebilir.

Kinryū Labs, sorunu 3 Haziran'dan itibaren Vietnam makamlarına, havayollarına ve ulusal bilgisayar acil durum müdahale ekiplerine bildirdi. Araştırmacılar erişimin 8 Haziran'da düzeltildiğini söyledi. Veriler güvenlik altına alınmadan önce birilerinin onları kopyalayıp kopyalamadığını veya başka şekilde kullanıp kullanmadığını belirleyemediler.