Base ouverte au Vietnam : passeports et vols de 220 millions de voyageurs

Une base de contrôle aux frontières contenant 220 millions de dossiers de voyageurs est restée accessible sur internet, et la fuite APIS du Vietnam portait précisément sur la partie d'un voyage que personne ne partage volontiers : numéros de passeport, dates de naissance, nationalités et l'historique complet des vols. Kinryū Labs a découvert le cluster le 3 juin 2026, l'exploitant l'a fermé cinq jours plus tard. Ce que personne ne peut dire, c'est combien de temps la porte est restée ouverte avant cela, ni qui d'autre est entré.

Ce que contenait la base APIS vietnamienne

Le cluster comptait 29 index et environ 107 Go, sur des adresses IP attribuées à Viettel à Hanoï. Deux index portaient l'essentiel : un pour les passagers, un pour les équipages. Chaque enregistrement associe une identité à un itinéraire. Côté identité : nom, date de naissance, sexe, nationalité, numéro de passeport ou de document de voyage, date d'expiration et pays émetteur. Côté voyage : numéro et date de vol, compagnie, aéroports de départ, d'arrivée et de transit, place attribuée, références de bagages, ainsi que les heures prévues, estimées et réelles.

C'est cette association qui distingue l'affaire d'une fuite client ordinaire. Une base marketing indique à un attaquant qui vous êtes. Celle-ci indique qui vous êtes, avec quel document vous voyagez, quand il expire, où vous êtes allé, à côté de qui vous étiez probablement assis et à quelle fréquence vous refaites le trajet. Kinryū Labs indique avoir vérifié l'authenticité des enregistrements en retrouvant dans le cluster les voyages au Vietnam de ses propres chercheurs.

Comment la porte est restée ouverte

Rien d'exotique ici. Attaquer le cluster directement depuis internet renvoyait un HTTP 401, exactement ce qu'un administrateur vérifie avant de considérer l'affaire réglée. Une seconde route, un chemin cloud vers le même cluster, n'a jamais été durcie et acceptait des identifiants par défaut. Deux erreurs de configuration banales, enchaînées, transforment une porte d'entrée verrouillée en entrée de service ouverte, pendant que la porte principale continue d'annoncer que tout va bien.

L'hôte lui-même n'était pas récent. La plateforme de scan FOFA l'a enregistré en octobre 2022 et l'a identifié comme base de données en juillet 2023. Cela ne prouve pas quatre ans d'exposition, car les identifiants et le chemin cloud ont pu changer entre-temps. Cela signifie en revanche que la machine était visible pour quiconque scanne le réseau bien plus longtemps que les cinq jours écoulés entre la découverte et la fermeture.

Pourquoi un État détient ces données

Le renseignement préalable sur les passagers n'est pas une invention vietnamienne. Dans le cadre international bâti autour de l'Annexe 9 de l'OACI, les compagnies transmettent aux autorités frontalières du pays de destination l'identité du passager et les données de son document de voyage avant l'atterrissage, dans un format de message standardisé. Presque chaque pays où vous vous rendez reçoit un fichier de ce type à votre sujet. Le passager ne peut pas refuser : l'alternative à la transmission, c'est de ne pas voler.

C'est la part inconfortable de cette histoire. Les personnes présentes dans ce cluster ne se sont inscrites à aucun service, n'ont accepté aucune condition et n'ont cliqué sur aucune bannière de cookies. Elles ont acheté un billet. Le système qui a collecté leurs documents est obligatoire, la base conservait neuf ans d'historique, et la sécurité de l'ensemble tenait à la présence d'identifiants par défaut sur une voie secondaire vers un cluster à Hanoï.

Chronologie

1. Octobre 2022 : la plateforme de scan FOFA enregistre l'hôte pour la première fois ; en juillet 2023, elle l'identifie comme une base de données.
2. 3 juin 2026 : Kinryū Labs découvre le cluster pax-info en recensant des bases exposées pour une recherche sur les rançongiciels, et prévient les autorités vietnamiennes, les compagnies concernées et les CERT nationaux.
3. Juin 2026 : l'équipe sécurité de Singapore Airlines aide à coordonner la réponse, Changi Airport Group refuse de commenter, les autorités vietnamiennes ne répondent pas.
4. 8 juin 2026 : l'accès est fermé.
5. 8 septembre 2026 : les conclusions sont publiées.

Ce qu'un voyageur peut vraiment faire

Peu de choses, et mieux vaut le dire franchement. Un numéro de passeport ne se change pas comme un mot de passe, les données remontent à neuf ans, et aucun outil grand public n'atteint l'intérieur d'un système de contrôle aux frontières. Ce qui reste possible : traiter cette fuite comme un changement durable de votre modèle de menace, pas comme un titre d'un jour.

• Attendez-vous à du hameçonnage convaincant. Un message citant votre vrai numéro de vol, votre siège et vos dates de voyage est bien plus crédible qu'une arnaque générique. Les messages au nom d'une compagnie ou d'un service d'immigration qui demandent de confirmer des données de document ne méritent aucune confiance, quoi qu'ils sachent de vous.
• Surveillez le document, pas la carte bancaire. Un numéro de passeport et une date de naissance servent aux vérifications d'identité et aux demandes de visa, pas aux débits de carte. Si votre pays permet de vérifier l'usage abusif d'un document de voyage, c'est là qu'il faut regarder.
• Regardez la date d'expiration. Un passeport renouvelé glisse un nouveau numéro entre vous et ce jeu de données. Ce n'est pas urgent pour tout le monde, mais c'est la seule partie de l'enregistrement que vous pouvez changer.

Et une chose qui n'aide pas ici : un VPN. Il protège le trafic entre vous et un serveur, ce qui n'a rien à voir avec une base que votre compagnie aérienne était légalement tenue de remplir à votre place. Ce genre de fuite se répare au niveau d'un État, pas d'un abonné. Cela vaut d'être rappelé la prochaine fois qu'une histoire de fuite arrive avec un code promo, et c'était déjà le même schéma quand ShinyHunters sont repartis avec les données de passeport de six millions de croisiéristes.