Una base de datos con más de 220 millones de registros de pasajeros y miembros de tripulación ha quedado expuesta en internet por varios errores de configuración. La información incluye algunos de los datos más sensibles asociados a un viaje, como son los nombres, fechas de nacimiento, nacionalidades, números de pasaporte y detalles de los vuelos.
Así ha sido detectado por Kinryū Labs y publicado por BleepingComputer, que ha podido analizar muestras de la información. El sistema estaría relacionado con una organización de Vietnam y almacenaba registros correspondientes a viajeros y tripulantes entre enero de 2017 y abril de 2026.
La dimensión del incidente es especialmente relevante porque los registros no se limitaban a viajeros vietnamitas. La base contenía información asociada a vuelos de numerosas aerolíneas de Asia-Pacífico, Europa y Oriente Medio, por lo que podría afectar a personas de múltiples nacionalidades que viajaron a Vietnam, desde Vietnam o hicieron escala en el país.
Eso sí, no han podido determinar si alguien llegó a descargar o extraer la información antes de que se cerrara el acceso.
Información de pasajeros
El origen del problema está en un sistema APIS (Advance Passenger Information System), una infraestructura utilizada internacionalmente para recopilar información de pasajeros y tripulación antes de su llegada o salida de un país. Según Kinryū Labs, el servidor analizado contenía 29 índices y unos 107 GB de información. Dos de los principales concentraban:
- 210.318.069 registros de pasajeros.
- 10.465.631 registros de tripulación.
- 220.783.700 registros en total.
- Información recopilada entre 2017 y 2026.
Entre los datos expuestos aparecían nombres completos, fechas de nacimiento, sexo, nacionalidad y números de pasaporte o documentos de viaje. También figuraban las fechas de caducidad de los documentos y los países que los habían expedido.
La información relacionada con los desplazamientos era todavía más detallada. La base incluía números de vuelo, fechas, aerolíneas, aeropuertos de origen, destino y tránsito, asientos asignados y referencias de equipaje, además de horarios programados, estimados y reales.
Los investigadores pudieron comprobar que los datos eran auténticos al compararlos con sus propios viajes a Vietnam. BleepingComputer también revisó muestras que correspondían a viajeros de nacionalidades como la coreana, china, canadiense y neozelandesa.
Ahora bien, la cifra de 220,7 millones corresponde a registros de viajes, pero no necesariamente a individuos únicos. Una misma persona que haya viajado varias veces puede aparecer en múltiples registros. Por tanto, no se puede afirmar que 220 millones de personas hayan quedado expuestas.
Tampoco se ha identificado públicamente a la organización responsable del sistema ni hay indicios de que las aerolíneas cuyos datos aparecen en la base hayan sido directamente hackeadas. Los investigadores localizaron el servidor dentro de un espacio de direcciones IP asignado a Viettel en Hanói, pero no pudieron determinar qué organismo gestionaba exactamente la infraestructura.
Dos errores de configuración
La parte técnica del incidente es especialmente llamativa. Según Kinryū Labs, el servidor no estaba simplemente abierto sin ninguna protección, sino que fue posible llegar hasta él mediante una cadena de dos configuraciones de seguridad incorrectas.
El acceso directo desde internet devolvía inicialmente un error HTTP 401, lo que impedía entrar en la base de datos. Sin embargo, los investigadores encontraron una ruta a través de servicios en la nube que permitía la entrada. Una vez allí, el sistema aceptaba credenciales predeterminadas.
Kinryū Labs comunicó el problema el 3 de junio a las autoridades vietnamitas, aerolíneas cuyos datos aparecían en el sistema y diferentes equipos nacionales de respuesta ante incidentes. El acceso fue solucionado el 8 de junio, según los investigadores.
De este modo, lo importante es que no se sabe si alguien copió los datos antes de que se cerrara el acceso. Los investigadores no encontraron notas de rescate ni indicios claros de que la información estuviera siendo vendida, pero tampoco pudieron descartarlo porque no tuvieron acceso a los registros del servidor.