Base aberta no Vietname: passaportes e voos de 220 milhões de viajantes

Uma base de dados de controlo fronteiriço com 220 milhões de registos de viajantes esteve acessível na internet, e a fuga do APIS do Vietname continha exatamente a parte de uma viagem que ninguém partilha de livre vontade: números de passaporte, datas de nascimento, nacionalidades e todo o historial de voos associado. A Kinryū Labs encontrou o cluster a 3 de junho de 2026 e o operador fechou-o cinco dias depois. O que ninguém consegue dizer é quanto tempo a porta esteve aberta antes disso, nem quem mais entrou.

O que estava na base APIS vietnamita

O cluster ocupava 29 índices e cerca de 107 GB em endereços IP atribuídos à Viettel em Hanói. Dois índices carregavam quase todo o peso: um de passageiros, outro de tripulações. Cada registo liga uma identidade a um itinerário. Do lado da identidade estão nome, data de nascimento, sexo, nacionalidade, número do passaporte ou documento de viagem, validade e país emissor. Do lado da viagem, número e data do voo, companhia aérea, aeroportos de partida, destino e trânsito, lugar atribuído, referências de bagagem e horas previstas, estimadas e reais.

É esta combinação que distingue o caso de uma fuga de clientes vulgar. Uma base de marketing diz a um atacante quem o leitor é. Esta diz quem é, com que documento viaja, quando ele caduca, onde esteve, ao lado de quem se sentou provavelmente e com que frequência repete o percurso. A Kinryū Labs diz ter confirmado a autenticidade dos registos ao encontrar no cluster as viagens ao Vietname dos seus próprios investigadores.

Como a porta ficou aberta

Nada de exótico aconteceu aqui. Chegar ao cluster diretamente pela internet devolvia um HTTP 401, precisamente aquilo que um administrador verifica e depois dá por arrumado. Uma segunda via, um caminho na nuvem para o mesmo cluster, nunca foi endurecida e aceitava credenciais por omissão. Duas más configurações banais, encadeadas, transformam uma porta principal trancada numa entrada de serviço aberta, enquanto a porta principal continua a garantir que está tudo bem.

O próprio servidor não era novo. A plataforma de varrimento FOFA registou-o em outubro de 2022 e identificou-o como base de dados em julho de 2023. Isso não prova quatro anos de exposição, porque as credenciais e o caminho na nuvem podem ter mudado pelo meio. Significa, sim, que a máquina esteve visível para quem varre a rede muito mais tempo do que os cinco dias entre a descoberta e o fecho.

Porque é que um Estado guarda estes dados

A informação antecipada sobre passageiros não é uma invenção vietnamita. No quadro internacional construído à volta do Anexo 9 da OACI, as companhias aéreas transmitem às autoridades de fronteira do país de destino a identidade do passageiro e os dados do seu documento de viagem antes de o avião aterrar, num formato de mensagem normalizado. Quase todos os países para onde voa recebem um ficheiro destes sobre si. O passageiro não pode recusar: a alternativa a entregar os dados é não voar.

É essa a parte incómoda desta história. As pessoas que estavam naquele cluster não se inscreveram em nenhum serviço, não aceitaram condições nem fecharam um aviso de cookies. Compraram um bilhete. O sistema que recolheu os documentos é obrigatório, a base guardava nove anos de historial, e a segurança de toda a construção dependia de um cluster em Hanói ter credenciais por omissão numa via secundária.

Cronologia

1. Outubro de 2022: a plataforma de varrimento FOFA regista o servidor pela primeira vez; em julho de 2023 identifica-o como base de dados.
2. 3 de junho de 2026: a Kinryū Labs encontra o cluster pax-info enquanto levanta bases expostas para uma investigação sobre ransomware, e avisa as autoridades vietnamitas, as companhias afetadas e os CERT nacionais.
3. Junho de 2026: a equipa de segurança da Singapore Airlines ajuda a coordenar a resposta, a Changi Airport Group recusa comentar e as autoridades vietnamitas não respondem.
4. 8 de junho de 2026: o acesso é fechado.
5. 8 de setembro de 2026: os resultados são publicados.

O que um viajante pode mesmo fazer

Pouco, e mais vale dizê-lo com clareza. Um número de passaporte não se troca como uma palavra-passe, os dados recuam nove anos e nenhuma ferramenta de consumo chega ao interior de um sistema de controlo fronteiriço. O que resta é tratar a fuga como uma mudança duradoura do próprio modelo de ameaças, e não como um título de um dia.

• Conte com phishing convincente. Uma mensagem que cita o seu número de voo real, o lugar e as datas da viagem é muito mais credível do que uma burla genérica. Mensagens em nome de companhias aéreas ou serviços de imigração a pedir confirmação de dados do documento não merecem confiança nenhuma, por muito que saibam sobre si.
• Vigie o documento, não o cartão. Número de passaporte com data de nascimento serve para verificações de identidade e pedidos de visto, não para débitos no cartão. Se o seu país permitir verificar o uso indevido de um documento de viagem, é aí que faz sentido olhar.
• Repare na validade. Um passaporte renovado coloca um número novo entre si e este conjunto de dados. Para a maioria não é urgente, mas é a única parte do registo que pode mudar.

E uma coisa que aqui não ajuda: uma VPN. Protege o tráfego entre si e um servidor, o que nada tem a ver com uma base que a sua companhia aérea era obrigada por lei a preencher em seu nome. Fugas destas resolvem-se ao nível do Estado, não do assinante. Vale a pena lembrá-lo da próxima vez que uma notícia de fuga chegar com um código de desconto, e foi o mesmo padrão quando os ShinyHunters levaram os dados de passaporte de seis milhões de passageiros de cruzeiros.