Database aperto in Vietnam: passaporti e voli di 220 milioni di viaggiatori

Un database di controllo delle frontiere con 220 milioni di record di viaggiatori è rimasto raggiungibile su internet, e la fuga di dati dell'APIS del Vietnam riguardava proprio la parte di un viaggio che nessuno condivide volentieri: numeri di passaporto, date di nascita, cittadinanze e l'intera storia dei voli collegata. Kinryū Labs ha trovato il cluster il 3 giugno 2026, l'operatore lo ha chiuso cinque giorni dopo. Quello che nessuno può dire è per quanto tempo la porta sia rimasta aperta prima, e chi altro sia entrato.

Che cosa c'era nel database APIS vietnamita

Il cluster occupava 29 indici e circa 107 GB su indirizzi IP assegnati a Viettel ad Hanoi. Due indici reggevano quasi tutto il peso: uno per i passeggeri, uno per gli equipaggi. Ogni record lega un'identità a un itinerario. Sul lato identità ci sono nome, data di nascita, sesso, cittadinanza, numero di passaporto o documento di viaggio, scadenza e paese di rilascio. Sul lato viaggio numero e data del volo, compagnia aerea, aeroporti di partenza, destinazione e transito, posto assegnato, riferimenti dei bagagli e orari previsti, stimati ed effettivi.

È questo abbinamento a distinguere il caso da una comune fuga di dati clienti. Un database di marketing dice a un aggressore chi siete. Questo dice chi siete, con quale documento viaggiate, quando scade, dove siete andati, accanto a chi eravate probabilmente seduti e con quale frequenza rifate la tratta. Kinryū Labs afferma di aver verificato l'autenticità dei record trovando nel cluster i viaggi in Vietnam dei propri ricercatori.

Come è rimasta aperta la porta

Qui non è successo nulla di esotico. Colpire il cluster direttamente da internet restituiva un HTTP 401, esattamente ciò che un amministratore controlla e poi considera chiuso. Una seconda via, un percorso cloud verso lo stesso cluster, non è mai stata irrobustita e accettava credenziali predefinite. Due errori di configurazione ordinari, messi in fila, trasformano una porta d'ingresso chiusa in un ingresso di servizio aperto, mentre la porta principale continua a segnalare che va tutto bene.

L'host non era nuovo. La piattaforma di scansione FOFA lo ha registrato nell'ottobre 2022 e nel luglio 2023 lo ha identificato come database. Questo non prova quattro anni di esposizione, perché credenziali e percorso cloud possono essere cambiati nel frattempo. Significa però che la macchina è stata visibile a chiunque scansioni la rete molto più a lungo dei cinque giorni passati tra la scoperta e la chiusura.

Perché uno Stato tiene questi dati

L'informazione anticipata sui passeggeri non è un'invenzione vietnamita. Nel quadro internazionale costruito attorno all'Allegato 9 dell'ICAO, le compagnie aeree trasmettono alle autorità di frontiera del paese di destinazione l'identità del passeggero e i dati del suo documento di viaggio prima che l'aereo atterri, in un formato di messaggio standardizzato. Quasi ogni paese in cui volate riceve un file del genere su di voi. Il passeggero non può rifiutare: l'alternativa alla consegna dei dati è non volare.

Qui sta la parte scomoda della storia. Le persone finite in quel cluster non si sono iscritte a un servizio, non hanno accettato condizioni e non hanno chiuso un banner sui cookie. Hanno comprato un biglietto. Il sistema che ha raccolto i loro documenti è obbligatorio, il database conservava nove anni di storia, e la sicurezza dell'intera costruzione dipendeva dal fatto che un cluster ad Hanoi avesse credenziali predefinite su una via secondaria.

Cronologia

1. Ottobre 2022: la piattaforma di scansione FOFA registra l'host per la prima volta; nel luglio 2023 lo identifica come database.
2. 3 giugno 2026: Kinryū Labs trova il cluster pax-info mentre passa in rassegna database esposti per una ricerca sul ransomware, e avvisa le autorità vietnamite, le compagnie coinvolte e i CERT nazionali.
3. Giugno 2026: il team di sicurezza di Singapore Airlines aiuta a coordinare la risposta, Changi Airport Group rifiuta di commentare, le autorità vietnamite non rispondono.
4. 8 giugno 2026: l'accesso viene chiuso.
5. 8 settembre 2026: i risultati vengono pubblicati.

Che cosa può fare davvero un viaggiatore

Poco, ed è meglio dirlo apertamente. Un numero di passaporto non si cambia come una password, i dati risalgono a nove anni fa e nessuno strumento di consumo arriva dentro un sistema di controllo delle frontiere. Quel che resta possibile è trattare la fuga come un cambiamento duraturo del proprio modello di rischio, non come un titolo di giornata.

• Aspettatevi phishing convincente. Un messaggio che cita il vostro numero di volo reale, il posto e le date del viaggio è molto più credibile di una truffa generica. I messaggi a nome di compagnie aeree o uffici immigrazione che chiedono di confermare i dati del documento non meritano alcuna fiducia, per quanto sappiano di voi.
• Sorvegliate il documento, non la carta. Numero di passaporto e data di nascita servono per verifiche d'identità e domande di visto, non per addebiti sulla carta. Se il vostro paese consente di controllare l'uso improprio di un documento di viaggio, è lì che vale la pena guardare.
• Guardate la scadenza. Un passaporto rinnovato mette un numero nuovo tra voi e questo insieme di dati. Per la maggior parte non è urgente, ma è l'unica parte del record che potete cambiare.

E una cosa che qui non aiuta: una VPN. Protegge il traffico tra voi e un server, e non ha nulla a che vedere con un database che la vostra compagnia aerea era obbligata per legge a compilare al posto vostro. Fughe come questa le ripara uno Stato, non un abbonato. Vale la pena ricordarlo la prossima volta che una notizia di data breach arriva con un codice sconto, ed era lo stesso schema quando ShinyHunters hanno portato via i dati dei passaporti di sei milioni di crocieristi.