Une base de données APIS exposée révèle 220 millions de dossiers de voyage de passagers et de membres d’équipage

Une base de données publique du système Advance Passenger Information System a exposé plus de 220 millions de dossiers de passagers et de membres d’équipage, associant des informations de passeport à des itinéraires de vol, des attributions de sièges, des références de bagages et des horaires de voyage précis.

Le cluster Elasticsearch était hébergé dans un espace d’adresses attribué à Viettel, à Hanoï, et semble lié à une organisation vietnamienne. L’organisation responsable de l’exploitation du système n’a pas été identifiée.

Kinryū Labs a découvert le cluster le 3 juin, dans le cadre de recherches sur les bases de données exposées liées aux rançongiciels. L’accès a été rétabli le 8 juin après la notification des autorités vietnamiennes, des compagnies aériennes et des équipes nationales de réponse aux incidents.

Aucun élément ne confirme que des attaquants ont copié ou vendu les informations. Toutefois, l’absence de journaux serveur empêche d’exclure tout accès non autorisé ou toute exfiltration de données.

La base contenait plus de neuf ans de données de voyage

Le cluster Elasticsearch exposé s’appelait pax-info. Il contenait 29 index et environ 107 Go d’informations.

Ses deux principaux index contenaient :

• 210 318 069 dossiers de passagers
• 10 465 631 dossiers de membres d’équipage
• 220 783 700 entrées de voyage au total

Ce total ne correspond pas à 220 millions de victimes distinctes. Les systèmes APIS génèrent des dossiers pour chaque trajet : les voyageurs fréquents et le personnel aérien peuvent donc apparaître à de nombreuses reprises. Le nombre de personnes uniques reste inconnu.

Les dossiers couvraient des voyages effectués entre janvier 2017 et avril 2026. Leur portée internationale signifie que la population concernée ne se limite pas aux citoyens ou aux résidents vietnamiens.

Les chercheurs ont validé la base en comparant certaines entrées avec leurs propres voyages au Vietnam. Les échantillons examinés comprenaient des ressortissants coréens, chinois, canadiens et néo-zélandais, tandis que le jeu de données faisait référence à des compagnies desservant des liaisons en Asie-Pacifique, en Europe et au Moyen-Orient.

La répartition complète par nationalité n’a pas été établie. Les personnes potentiellement concernées comprennent les passagers et les membres d’équipage ayant voyagé à destination ou au départ du Vietnam, ou ayant transité par le pays pendant la période couverte par la base.

Les données de passeport étaient directement associées à des itinéraires détaillés

Les systèmes Advance Passenger Information permettent aux compagnies aériennes de transmettre aux autorités gouvernementales des informations sur l’identité, les documents et les vols avant l’arrivée ou le départ des passagers et des membres d’équipage.

Les champs exposés comprenaient :

• Noms des passagers et des membres d’équipage
• Dates de naissance et sexe
• Nationalités
• Numéros de passeport ou d’autres documents de voyage
• Dates d’expiration des documents et pays émetteurs
• Noms des compagnies aériennes et numéros de vol
• Dates de voyage
• Aéroports de départ, de destination et de transit
• Attributions de sièges
• Références de bagages
• Horaires de vol prévus, estimés et réels

Le risque vient de la combinaison de ces informations plutôt que d’un champ pris isolément. Un criminel disposant d’un nom et d’un numéro de passeport obtient un contexte bien plus riche lorsque ces identifiants sont associés à l’historique des déplacements, aux compagnies aériennes, aux sièges, aux points de transit et aux données de bagages.

De tels dossiers pourraient faciliter des tentatives d’usurpation convaincantes. Un message d’hameçonnage mentionnant un vol, une destination, un siège ou une date de voyage réelle a davantage de chances d’inciter son destinataire à ouvrir une pièce jointe malveillante, à divulguer ses identifiants ou à appeler un faux numéro d’assistance.

Le jeu de données pourrait également permettre l’établissement de profils et la surveillance. Les responsables publics, dirigeants d’entreprise, employés de compagnies aériennes, journalistes, militants et autres voyageurs exposés pourraient courir des risques accrus si leurs déplacements peuvent être reconstitués au fil de plusieurs voyages.

Les informations concernant les membres d’équipage soulèvent un problème opérationnel supplémentaire. La répétition des dossiers peut révéler des habitudes professionnelles, des itinéraires fréquemment empruntés, des aéroports utilisés et les périodes durant lesquelles certains membres du personnel voyageaient.

Un point d’accès bloqué dissimulait une autre voie utilisant des identifiants par défaut

L’exposition résultait de deux failles de configuration qui se renforçaient mutuellement.

Les tentatives d’accès direct au service depuis Internet renvoyaient une réponse HTTP 401 Unauthorized. Ce comportement donnait l’impression que le point d’accès était protégé contre les requêtes non authentifiées.

Un autre chemin d’accès basé sur le cloud permettait néanmoins d’atteindre le cluster Elasticsearch. Une fois connectés par cette voie, les chercheurs ont constaté que le service acceptait les identifiants par défaut.

Cette distinction est importante pour les défenseurs. Tester uniquement un point d’accès public principal peut créer un faux sentiment de sécurité lorsque le même service reste accessible par le réseau cloud, des proxys, d’autres noms d’hôte, des interfaces d’administration ou des chemins d’accès négligés.

La version exacte d’Elasticsearch n’a pas été communiquée. Aucun CVE n’a non plus été associé à l’incident. La défaillance connue concernait une infrastructure exposée, un autre chemin d’accès et une authentification par défaut inchangée, plutôt qu’une vulnérabilité logicielle signalée.

Le service de renseignement sur Internet FOFA a observé pour la première fois l’hôte et le port en octobre 2022. Il a classé le service comme une base de données en juillet 2023. Ces observations montrent que l’hôte était visible depuis l’extérieur, mais elles ne permettent pas de déterminer quand l’autre voie a commencé à exposer les informations sur les passagers.

Les dossiers remontent à plus de neuf ans, mais cela ne signifie pas que la base était accessible pendant toute cette période. La durée réelle de l’exposition reste inconnue.

Les compagnies aériennes citées dans les dossiers ne sont pas nécessairement victimes d’une compromission

La présence de passagers ou de vols d’une compagnie aérienne dans une base APIS ne signifie pas que cette compagnie exploitait le cluster ou que son réseau d’entreprise a été compromis.

Les données APIS circulent entre les compagnies aériennes et les systèmes gouvernementaux ou de contrôle aux frontières dans le cadre du traitement des voyages internationaux. Des dossiers provenant de nombreux transporteurs peuvent donc être regroupés dans une infrastructure contrôlée par une autre organisation.

L’équipe de sécurité de Singapore Airlines a contribué à coordonner la réponse. Elle a informé Kinryū Labs que les parties concernées avaient été mobilisées et que des mesures de confinement avaient été prises au 8 juin, mais n’a pas fourni d’autre déclaration.

Changi Airport Group a enquêté sur le problème, mais a refusé de s’exprimer. Les autorités vietnamiennes n’avaient pas répondu avant la publication.

Aucun élément n’identifie actuellement le responsable du traitement des données, l’administrateur de la base ou l’organisation ayant provisionné le service Elasticsearch exposé. Cette lacune complique les notifications, l’enquête forensique et la détermination des responsabilités en matière de protection des voyageurs concernés.

On ignore également si l’autre voie d’accès appartenait directement à l’opérateur, à un prestataire, à une configuration du fournisseur cloud ou à un autre intermédiaire.

Aucun message de rançon ni aucune vente publique n’ont été détectés, mais un vol reste possible

Kinryū Labs n’a trouvé aucun message de rançon ni aucun index inhabituel laissant penser qu’un groupe de rançongiciel avait modifié le cluster. Les chercheurs n’ont pas non plus trouvé le jeu de données proposé à la vente en ligne.

Ces résultats réduisent les signes visibles d’une exploitation criminelle, mais ils ne prouvent pas que les données sont restées intactes.

Un attaquant aurait pu interroger ou exporter des informations sans ajouter d’index, laisser de message ou les proposer publiquement à la vente. Les données peuvent également être conservées à titre privé à des fins d’espionnage, de fraude ciblée, d’usurpation d’identité ou de revente ultérieure.

Les chercheurs ne disposaient pas des journaux serveur nécessaires pour déterminer qui avait accédé au cluster ni pour établir si des téléchargements massifs avaient eu lieu. L’incident doit donc être considéré comme une exposition présentant un risque d’exfiltration non résolu, et non comme un vol confirmé.

Les éléments forensiques utiles comprendraient les journaux d’audit Elasticsearch, les enregistrements d’accès au cloud, les journaux de proxy, les événements d’authentification, les données de flux réseau et les transferts sortants inhabituellement volumineux. Les enquêteurs devraient également identifier les accès effectués à l’aide des identifiants par défaut et les requêtes envoyées via l’autre voie cloud.

Aucun indicateur public n’a été communiqué pour permettre aux personnes concernées de déterminer si leurs propres dossiers figuraient dans la base.

Les opérateurs et les voyageurs ont des priorités de protection différentes

Le problème technique immédiat a été corrigé le 8 juin, mais la fermeture de l’accès public ne résout ni les conséquences forensiques ni les enjeux liés à la vie privée.

L’opérateur responsable devrait préserver les éléments disponibles avant de renouveler les identifiants ou de reconstruire les systèmes. Il devrait ensuite examiner toutes les voies d’accès Internet et cloud menant au cluster, remplacer les identifiants par défaut, révoquer les jetons associés et restreindre l’accès à Elasticsearch au moyen de listes d’autorisation réseau et d’une segmentation.

Les mesures de protection devraient comprendre :

• Auditer les passerelles cloud, les proxys, les tunnels et les autres points d’accès
• Activer une authentification robuste et les journaux d’audit Elasticsearch
• Rechercher dans la télémétrie les requêtes ou exportations massives
• Examiner les volumes de données sortants à la recherche de transferts inexpliqués
• Renouveler les identifiants partagés avec les systèmes connectés
• Identifier le responsable légal du traitement des données
• Déterminer les obligations de notification dans les différentes juridictions concernées
• Évaluer si les identifiants de passeport exposés nécessitent des mesures supplémentaires

Les voyageurs ne peuvent pas corriger eux-mêmes le système concerné. Ils doivent plutôt se méfier des messages utilisant de véritables informations de vol pour prétendre qu’une réservation, un bagage, un passeport, un visa ou un remboursement nécessite une intervention urgente.

Les liens et numéros de téléphone figurant dans ces messages doivent être vérifiés sur le site officiel ou l’application de la compagnie aérienne. Toute personne qui détecte une tentative d’utilisation abusive de ses informations de passeport doit contacter l’autorité ayant délivré le passeport concerné et suivre ses recommandations.

Le nombre exact de personnes distinctes concernées, la répartition complète par nationalité et la confirmation d’un téléchargement des dossiers restent inconnus. La base a été fermée, mais la question centrale — qui a pu y accéder avant la correction du problème — demeure sans réponse.