Offene APIS-Datenbank enthüllt 220 Millionen Reiseaufzeichnungen von Passagieren und Besatzungsmitgliedern

Eine öffentlich zugängliche Datenbank eines Advance Passenger Information System enthielt mehr als 220 Millionen Datensätze zu Passagieren und Besatzungsmitgliedern. Darin waren Passdaten mit Flugrouten, Sitzplatzzuweisungen, Gepäckreferenzen sowie genauen Reisezeiten verknüpft.

Der Elasticsearch-Cluster wurde in einem Viettel zugewiesenen Adressbereich in Hanoi gehostet und scheint mit einer vietnamesischen Organisation verbunden zu sein. Welche Organisation für den Betrieb des Systems verantwortlich ist, konnte bislang nicht festgestellt werden.

Kinryū Labs entdeckte den Cluster am 3. Juni bei der Untersuchung offener Datenbanken im Rahmen von Recherchen zu Ransomware. Nach Benachrichtigungen vietnamesischer Behörden, von Fluggesellschaften und nationalen Incident-Response-Teams wurde der Zugriff am 8. Juni abgesichert.

Es gibt keine bestätigten Hinweise darauf, dass Angreifer die Informationen kopiert oder verkauft haben. Da jedoch keine Serverprotokolle vorliegen, können unbefugte Zugriffe und eine Datenexfiltration nicht ausgeschlossen werden.

Die Datenbank enthielt Reisedaten aus mehr als neun Jahren

Der offengelegte Elasticsearch-Cluster trug den Namen pax-info. Er enthielt 29 Indizes und rund 107 GB an Informationen.

Die beiden wichtigsten Indizes enthielten:

• 210.318.069 Passagierdatensätze
• 10.465.631 Datensätze zu Besatzungsmitgliedern
• 220.783.700 Reiseeinträge insgesamt

Diese Summe entspricht nicht 220 Millionen unterschiedlichen Betroffenen. APIS-Systeme erzeugen Datensätze zu einzelnen Reisen, sodass Vielreisende und Beschäftigte der Luftfahrtbranche mehrfach erscheinen können. Wie viele unterschiedliche Personen betroffen sind, ist nicht bekannt.

Die Datensätze bezogen sich auf Reisen zwischen Januar 2017 und April 2026. Aufgrund ihrer internationalen Reichweite beschränkt sich der betroffene Personenkreis nicht auf vietnamesische Staatsangehörige oder Einwohner Vietnams.

Die Forschenden validierten die Datenbank, indem sie Einträge mit eigenen Reisen nach Vietnam abglichen. Die untersuchten Stichproben enthielten Daten koreanischer, chinesischer, kanadischer und neuseeländischer Staatsangehöriger. Außerdem verwies der Datensatz auf Fluggesellschaften, die Strecken im asiatisch-pazifischen Raum, in Europa und im Nahen Osten bedienen.

Eine vollständige Aufschlüsselung nach Nationalität liegt nicht vor. Potenziell betroffen sind Passagiere und Besatzungsmitglieder, die im von der Datenbank abgedeckten Zeitraum nach Vietnam, aus Vietnam oder über Vietnam gereist sind.

Passdaten waren direkt mit detaillierten Reiserouten verknüpft

Advance Passenger Information Systems ermöglichen es Fluggesellschaften, Identitäts-, Dokumenten- und Fluginformationen an staatliche Stellen zu übermitteln, bevor Passagiere oder Besatzungsmitglieder in ein Land einreisen oder es verlassen.

Zu den offengelegten Feldern gehörten:

• Namen von Passagieren und Besatzungsmitgliedern
• Geburtsdaten und Geschlecht
• Nationalitäten
• Pass- oder andere Reisedokumentnummern
• Ablaufdaten der Dokumente und Ausstellungsstaaten
• Namen der Fluggesellschaften und Flugnummern
• Reisedaten
• Abflug-, Ziel- und Transitflughäfen
• Sitzplatzzuweisungen
• Gepäckreferenzen
• Planmäßige, voraussichtliche und tatsächliche Flugzeiten

Das Risiko ergibt sich aus der Kombination der Daten und nicht aus einem einzelnen Feld. Wer über einen Namen und eine Passnummer verfügt, erhält deutlich mehr Kontext, wenn diese Angaben mit früheren Bewegungen, Fluggesellschaften, Sitzplätzen, Transitpunkten und Gepäckdaten verknüpft sind.

Solche Datensätze könnten überzeugende Identitätsmissbrauchsversuche ermöglichen. Eine Phishing-Nachricht, die sich auf einen tatsächlichen Flug, ein reales Ziel, einen konkreten Sitzplatz oder ein echtes Reisedatum bezieht, wirkt glaubwürdiger und könnte Empfänger eher dazu bringen, einen schädlichen Anhang zu öffnen, Zugangsdaten preiszugeben oder eine betrügerische Supportnummer anzurufen.

Der Datensatz könnte außerdem Profiling und Überwachung ermöglichen. Amtsträger, Unternehmensführungen, Beschäftigte von Fluggesellschaften, Journalisten, Aktivisten und andere besonders gefährdete Reisende könnten einem erhöhten Risiko ausgesetzt sein, wenn sich ihre Bewegungen über mehrere Reisen hinweg nachvollziehen lassen.

Die Informationen zu Besatzungsmitgliedern bergen ein zusätzliches operationelles Risiko. Wiederkehrende Datensätze könnten Arbeitsmuster, häufig genutzte Strecken und Flughäfen sowie Zeiträume offenlegen, in denen bestimmte Personen unterwegs waren.

Ein blockierter Endpunkt verbarg einen alternativen Zugang mit Standardzugangsdaten

Die Offenlegung war auf zwei zusammenwirkende Konfigurationsfehler zurückzuführen.

Direkte Zugriffsversuche auf den Dienst über das Internet führten zu einer HTTP-Antwort 401 Unauthorized. Dadurch erschien der Endpunkt gegen nicht authentifizierte Anfragen geschützt.

Ein separater cloudbasierter Zugangsweg bot jedoch weiterhin eine Route zum Elasticsearch-Cluster. Sobald die Forschenden ihn über diesen Weg erreichten, akzeptierte der Dienst die Standardzugangsdaten.

Diese Unterscheidung ist für die Abwehr wichtig. Wer nur einen primären öffentlichen Endpunkt testet, kann sich in falscher Sicherheit wiegen, wenn derselbe Dienst über Cloud-Netzwerke, Proxys, alternative Hostnamen, Managementschnittstellen oder übersehene Zugangswege weiterhin erreichbar ist.

Die genaue Elasticsearch-Version wurde nicht offengelegt. Außerdem ist kein mit dem Vorfall verbundenes CVE bekannt. Die Ursache lag nach den bisherigen Erkenntnissen in offengelegter Infrastruktur, einem alternativen Zugangsweg und unveränderten Standardzugangsdaten – nicht in einer gemeldeten Software-Schwachstelle.

Der Internet-Intelligence-Dienst FOFA beobachtete Host und Port erstmals im Oktober 2022. Im Juli 2023 stufte er den Dienst als Datenbank ein. Diese Beobachtungen zeigen, dass der Host von außen sichtbar war. Sie belegen jedoch nicht, ab wann der alternative Zugangsweg Passagierdaten offenlegte.

Die Datensätze selbst reichen mehr als neun Jahre zurück. Das bedeutet jedoch nicht, dass die Datenbank während des gesamten Zeitraums zugänglich war. Wie lange die Daten tatsächlich offenlagen, ist unbekannt.

Fluggesellschaften in den Datensätzen sind nicht zwangsläufig Opfer eines Angriffs

Dass Passagiere oder Flüge einer Fluggesellschaft in einer APIS-Datenbank auftauchen, bedeutet nicht, dass diese Fluggesellschaft den Cluster betrieben hat oder ihr Unternehmensnetzwerk kompromittiert wurde.

APIS-Daten werden im Rahmen der internationalen Reiseabwicklung zwischen Fluggesellschaften und staatlichen oder grenzschutzbezogenen Systemen übertragen. Daher können Datensätze vieler Fluggesellschaften in einer Infrastruktur zusammengeführt werden, die von einer anderen Organisation kontrolliert wird.

Das Sicherheitsteam von Singapore Airlines unterstützte die Koordinierung der Reaktion. Es teilte Kinryū Labs mit, dass die relevanten Stellen eingebunden und bis zum 8. Juni Eindämmungsmaßnahmen umgesetzt worden seien. Eine weitergehende Stellungnahme gab das Unternehmen jedoch nicht ab.

Changi Airport Group untersuchte den Vorfall, lehnte eine Stellungnahme jedoch ab. Vietnamesische Behörden hatten bis zur Veröffentlichung nicht reagiert.

Bislang gibt es keine Hinweise darauf, wer für die Datenverarbeitung verantwortlich ist, wer die Datenbank administrierte oder welche Organisation den offengelegten Elasticsearch-Dienst bereitgestellt hat. Diese Lücke erschwert die Benachrichtigung Betroffener, die forensische Untersuchung und die Klärung der Verantwortung für den Schutz der betroffenen Reisenden.

Unklar ist auch weiterhin, ob der alternative Zugangsweg direkt zum Betreiber, zu einem Dienstleister, einer Cloud-Provider-Konfiguration oder einem anderen Vermittler gehörte.

Kein Erpresserschreiben und kein öffentlicher Verkauf entdeckt – Datendiebstahl bleibt dennoch möglich

Kinryū Labs fand weder ein Erpresserschreiben noch unbekannte Indizes, die darauf hindeuten würden, dass eine Ransomware-Gruppe den Cluster verändert hatte. Die Forschenden fanden außerdem keine Hinweise darauf, dass der Datensatz online zum Verkauf angeboten wurde.

Diese Ergebnisse verringern die sichtbaren Anzeichen für eine kriminelle Ausnutzung, beweisen jedoch nicht, dass die Daten unangetastet geblieben sind.

Ein Angreifer könnte Informationen abgefragt oder exportiert haben, ohne Indizes anzulegen, eine Nachricht zu hinterlassen oder die Daten öffentlich anzubieten. Daten könnten außerdem privat für Spionage, gezielten Betrug, Identitätsmissbrauch oder einen späteren Weiterverkauf aufbewahrt werden.

Den Forschenden standen nicht die Serverprotokolle zur Verfügung, die erforderlich wären, um festzustellen, wer auf den Cluster zugegriffen hat oder ob umfangreiche Downloads stattfanden. Daher muss der Vorfall als Datenoffenlegung mit ungeklärtem Exfiltrationsrisiko und nicht als bestätigter Datendiebstahl eingestuft werden.

Nützliche forensische Belege wären Elasticsearch-Audit-Logs, Cloud-Zugriffsprotokolle, Proxy-Logs, Authentifizierungsereignisse, Netzwerkflussdaten und ungewöhnlich große ausgehende Datenübertragungen. Die Ermittler müssten außerdem Zugriffe mit den Standardzugangsdaten und Anfragen über den alternativen Cloud-Zugangsweg identifizieren.

Es wurden keine öffentlichen Indikatoren veröffentlicht, anhand derer Einzelpersonen feststellen könnten, ob ihre eigenen Datensätze enthalten waren.

Betreiber und Reisende haben unterschiedliche Prioritäten bei der Risikominderung

Das unmittelbare technische Problem wurde am 8. Juni behoben. Die Schließung des öffentlichen Zugangs beseitigt jedoch weder die forensischen Folgen noch die datenschutzrechtlichen Auswirkungen.

Der verantwortliche Betreiber sollte verfügbare Beweise sichern, bevor Systeme neu aufgesetzt oder Zugangsdaten geändert werden. Anschließend sollte er jeden Internet- und Cloud-Zugangsweg zum Cluster überprüfen, Standardzugangsdaten ersetzen, zugehörige Tokens widerrufen und den Elasticsearch-Zugriff durch Netzwerk-Allowlists und Segmentierung einschränken.

Zu den Abwehrmaßnahmen sollten gehören:

• Cloud-Gateways, Proxys, Tunnel und alternative Endpunkte prüfen
• Starke Authentifizierung und Elasticsearch-Audit-Logging aktivieren
• Telemetriedaten auf umfangreiche Abfragen oder Exporte untersuchen
• Ausgehende Datenmengen auf nicht erklärte Übertragungen prüfen
• Zugangsdaten rotieren, die mit verbundenen Systemen geteilt wurden
• Den für die Datenverarbeitung verantwortlichen Rechtsträger ermitteln
• Benachrichtigungspflichten in den betroffenen Rechtsordnungen klären
• Prüfen, ob offengelegte Passkennungen weitere Maßnahmen erfordern

Reisende können das betroffene System nicht selbst patchen. Sie sollten stattdessen bei Nachrichten besonders aufmerksam sein, die echte Fluginformationen verwenden und behaupten, eine Buchung, ein Gepäckstück, ein Pass, ein Visum oder eine Rückerstattung erfordere dringendes Handeln.

Links und Telefonnummern in solchen Nachrichten sollten über die offizielle Website oder Anwendung der Fluggesellschaft überprüft werden. Wer einen versuchten Missbrauch von Passdaten feststellt, sollte sich an die zuständige Passbehörde wenden und deren Anweisungen befolgen.

Derzeit gibt es weder eine verlässliche Zahl der eindeutig betroffenen Personen noch eine vollständige Verteilung nach Nationalität. Auch ist nicht bestätigt, dass die Datensätze heruntergeladen wurden. Die Datenbank ist geschlossen, doch die zentrale Frage – wer vor der Behebung auf sie zugegriffen haben könnte – bleibt unbeantwortet.