Un database APIS esposto rivela 220 milioni di registrazioni di viaggio di passeggeri ed equipaggi

Un database accessibile pubblicamente dell’Advance Passenger Information System esponeva più di 220 milioni di registrazioni relative a passeggeri e membri dell’equipaggio, combinando dati del passaporto con itinerari di volo, assegnazioni dei posti, riferimenti ai bagagli e orari precisi di viaggio.

Il cluster Elasticsearch era ospitato in uno spazio di indirizzi assegnato a Viettel ad Hanoi e sembra essere collegato a un’organizzazione vietnamita. Non è stata identificata l’organizzazione responsabile della gestione del sistema.

Kinryū Labs ha scoperto il cluster il 3 giugno, durante un’indagine sui database esposti condotta nell’ambito di una ricerca sul ransomware. L’accesso è stato messo in sicurezza l’8 giugno, dopo le segnalazioni alle autorità vietnamite, alle compagnie aeree e ai team nazionali di risposta agli incidenti.

Non ci sono prove confermate che gli attaccanti abbiano copiato o venduto le informazioni. Tuttavia, l’assenza dei log del server impedisce di escludere accessi non autorizzati ed esfiltrazione dei dati.

Il database conteneva dati di viaggio relativi a più di nove anni

Il cluster Elasticsearch esposto si chiamava pax-info. Conteneva 29 indici e circa 107 GB di informazioni.

I suoi due indici principali contenevano:

• 210.318.069 registrazioni di passeggeri
• 10.465.631 registrazioni di membri dell’equipaggio
• 220.783.700 registrazioni di viaggio complessive

Questo totale non corrisponde a 220 milioni di vittime distinte. I sistemi APIS generano registrazioni relative ai viaggi, quindi i passeggeri abituali e il personale dell’aviazione possono comparire più volte. Il numero di persone uniche resta sconosciuto.

Le registrazioni riguardavano viaggi compiuti tra gennaio 2017 e aprile 2026. La loro portata internazionale significa che la popolazione interessata non è limitata ai cittadini o ai residenti vietnamiti.

I ricercatori hanno convalidato il database confrontando alcune registrazioni con i propri viaggi in Vietnam. I campioni esaminati includevano cittadini coreani, cinesi, canadesi e neozelandesi, mentre il dataset faceva riferimento a compagnie aeree che servono rotte nell’area Asia-Pacifico, in Europa e in Medio Oriente.

Non è stata ancora ricostruita una suddivisione completa per nazionalità. Tra le persone potenzialmente interessate figurano passeggeri e membri dell’equipaggio che hanno volato da, verso o attraverso il Vietnam nel periodo rappresentato nel database.

I dati dei passaporti erano collegati direttamente a itinerari dettagliati

Gli Advance Passenger Information System consentono alle compagnie aeree di trasmettere alle autorità governative informazioni sull’identità, sui documenti e sui voli prima dell’arrivo o della partenza di passeggeri e membri dell’equipaggio.

I campi esposti includevano:

• Nomi di passeggeri e membri dell’equipaggio
• Date di nascita e sesso
• Nazionalità
• Numeri di passaporto o di altri documenti di viaggio
• Date di scadenza dei documenti e Paesi di emissione
• Nomi delle compagnie aeree e numeri dei voli
• Date dei viaggi
• Aeroporti di partenza, destinazione e transito
• Assegnazioni dei posti
• Riferimenti ai bagagli
• Orari di volo programmati, stimati ed effettivi

Il rischio deriva dalla combinazione dei dati, non da un singolo campo. Un criminale in possesso di un nome e di un numero di passaporto ottiene un quadro molto più ampio quando questi identificativi sono collegati a spostamenti storici, compagnie aeree, posti, punti di transito e dati sui bagagli.

Queste registrazioni potrebbero favorire tentativi di impersonificazione molto convincenti. Un messaggio di phishing che cita un volo, una destinazione, un posto o una data di viaggio reali ha maggiori probabilità di persuadere il destinatario ad aprire un allegato dannoso, divulgare le proprie credenziali o chiamare un numero di assistenza fraudolento.

Il dataset potrebbe inoltre consentire attività di profilazione e sorveglianza. Funzionari pubblici, dirigenti aziendali, personale delle compagnie aeree, giornalisti, attivisti e altri viaggiatori esposti potrebbero correre rischi maggiori quando i loro spostamenti possono essere ricostruiti attraverso più viaggi.

Le informazioni sull’equipaggio presentano un ulteriore rischio operativo. Le registrazioni ripetute possono rivelare abitudini di lavoro, rotte utilizzate di frequente, aeroporti e periodi in cui determinate persone erano in viaggio.

Un endpoint bloccato nascondeva un percorso alternativo che usava credenziali predefinite

L’esposizione è stata causata dalla combinazione di due debolezze di configurazione.

I tentativi di accedere direttamente al servizio tramite Internet restituivano una risposta HTTP 401 Unauthorized. Questo comportamento faceva apparire l’endpoint protetto dalle richieste non autenticate.

Tuttavia, un percorso di accesso separato basato sul cloud forniva una via per raggiungere il cluster Elasticsearch. Una volta raggiunto il servizio attraverso quel percorso, i ricercatori hanno constatato che accettava credenziali predefinite.

Questa distinzione è importante per i difensori. Testare soltanto il principale endpoint pubblico può creare un falso senso di sicurezza quando lo stesso servizio resta raggiungibile tramite reti cloud, proxy, nomi host alternativi, interfacce di gestione o percorsi di accesso trascurati.

La versione esatta di Elasticsearch non è stata resa nota. Inoltre, non è stato identificato alcun CVE associato all’incidente. Il problema noto riguardava un’infrastruttura esposta, un percorso di accesso alternativo e credenziali di autenticazione predefinite non modificate, non una vulnerabilità software già segnalata.

Il servizio di intelligence su Internet FOFA ha osservato per la prima volta l’host e la porta nell’ottobre 2022. Nel luglio 2023 ha classificato il servizio come database. Queste osservazioni dimostrano che l’host era visibile dall’esterno, ma non stabiliscono quando il percorso alternativo abbia iniziato a esporre le informazioni sui passeggeri.

Le registrazioni risalgono a più di nove anni fa, ma questo non significa che il database sia stato accessibile per tutto lo stesso periodo. La durata effettiva dell’esposizione resta sconosciuta.

Le compagnie aeree presenti nelle registrazioni non sono necessariamente vittime di una violazione

La presenza dei passeggeri o dei voli di una compagnia aerea in un database APIS non significa che quella compagnia gestisse il cluster o che la propria rete aziendale sia stata compromessa.

I dati APIS passano tra le compagnie aeree e i sistemi governativi o di controllo delle frontiere nell’ambito delle procedure per i viaggi internazionali. Di conseguenza, le registrazioni di numerosi vettori possono essere consolidate in un’infrastruttura controllata da un’altra organizzazione.

Il team di sicurezza di Singapore Airlines ha contribuito a coordinare la risposta. Ha informato Kinryū Labs che le parti interessate erano state coinvolte e che entro l’8 giugno erano state adottate misure di contenimento, ma non ha rilasciato ulteriori dichiarazioni.

Changi Airport Group ha indagato sulla questione, ma ha rifiutato di commentare. Prima della pubblicazione, le autorità vietnamite non avevano ancora risposto.

Attualmente non ci sono prove che identifichino il titolare del trattamento, l’amministratore del database o l’organizzazione che ha predisposto il servizio Elasticsearch esposto. Questa lacuna complica le notifiche, le indagini forensi e le decisioni relative alla responsabilità di proteggere i viaggiatori interessati.

Resta inoltre ignoto se il percorso di accesso alternativo appartenesse direttamente al gestore, a un fornitore, a una configurazione del cloud provider o a un altro intermediario.

Non sono state trovate richieste di riscatto né vendite pubbliche, ma il furto resta possibile

Kinryū Labs non ha trovato alcuna richiesta di riscatto né indici insoliti che suggerissero che un gruppo ransomware avesse modificato il cluster. I ricercatori non hanno inoltre trovato il dataset pubblicizzato per la vendita online.

Questi elementi riducono le prove visibili di uno sfruttamento criminale, ma non dimostrano che i dati siano rimasti intatti.

Un attaccante avrebbe potuto interrogare o esportare le informazioni senza aggiungere indici, lasciare messaggi o pubblicizzare i dati. Le informazioni potrebbero inoltre essere conservate privatamente per attività di spionaggio, frodi mirate, abuso dell’identità o una successiva rivendita.

I ricercatori non disponevano dei log del server necessari per stabilire chi avesse effettuato l’accesso al cluster o se fossero stati eseguiti download massivi. Di conseguenza, l’incidente deve essere considerato un’esposizione con un rischio irrisolto di esfiltrazione, non un furto confermato.

Le prove forensi utili includerebbero i log di audit di Elasticsearch, i registri degli accessi al cloud, i log dei proxy, gli eventi di autenticazione, i dati sui flussi di rete e i trasferimenti in uscita insolitamente consistenti. Gli investigatori dovrebbero inoltre identificare gli accessi effettuati con le credenziali predefinite e le richieste provenienti dal percorso cloud alternativo.

Non sono stati divulgati indicatori pubblici che consentano alle persone di verificare se le proprie registrazioni fossero presenti.

Gestori e viaggiatori devono adottare misure di mitigazione diverse

Il problema tecnico immediato è stato risolto l’8 giugno, ma chiudere l’accesso pubblico non elimina le conseguenze forensi e relative alla privacy.

Il gestore responsabile dovrebbe conservare le prove disponibili prima di modificare o ricostruire i sistemi. Dovrebbe quindi esaminare ogni percorso Internet e cloud che conduce al cluster, sostituire le credenziali predefinite, revocare i token associati e limitare l’accesso a Elasticsearch tramite elenchi di autorizzazione di rete e segmentazione.

Le attività di difesa dovrebbero includere:

• Verificare gateway cloud, proxy, tunnel ed endpoint alternativi
• Abilitare un’autenticazione robusta e i log di audit di Elasticsearch
• Cercare nella telemetria query o esportazioni massive
• Esaminare i volumi di dati in uscita alla ricerca di trasferimenti inspiegabili
• Modificare le credenziali condivise con i sistemi connessi
• Identificare il titolare legale del trattamento
• Determinare gli obblighi di notifica nelle giurisdizioni interessate
• Valutare se gli identificativi dei passaporti esposti richiedano ulteriori interventi

I viaggiatori non possono correggere direttamente il sistema interessato. Dovrebbero invece prestare attenzione ai messaggi che utilizzano informazioni reali sui voli per sostenere che una prenotazione, un bagaglio, un passaporto, un visto o un rimborso richieda un’azione urgente.

I link e i numeri di telefono contenuti in questi messaggi dovrebbero essere verificati tramite il sito web o l’applicazione ufficiale della compagnia aerea. Chiunque rilevi un tentativo di uso illecito dei propri dati del passaporto dovrebbe contattare l’autorità che lo ha emesso e seguire le indicazioni ricevute.

Attualmente non esiste un conteggio accertato delle persone coinvolte, non è disponibile una distribuzione completa per nazionalità e non vi è conferma che le registrazioni siano state scaricate. Il database è stato chiuso, ma la domanda centrale — chi potrebbe avervi avuto accesso prima della messa in sicurezza — resta senza risposta.