Um banco de dados de um Sistema de Informações Antecipadas de Passageiros (APIS), contendo mais de 220 milhões de registros de passageiros e tripulantes, incluindo números de passaporte e detalhes de voos, ficou acessível na internet devido a uma cadeia de configurações de segurança incorretas. Segundo os pesquisadores que identificaram o caso, o sistema parece estar ligado a uma organização vietnamita.
Os Sistemas de Informações Antecipadas de Passageiros são utilizados em diversos países para coletar dados de identidade, passaporte e informações de voos junto às companhias aéreas antes da chegada ou saída de passageiros e tripulantes.
Os registros expostos abrangem o período de janeiro de 2017 a abril de 2026 e podem envolver viajantes de diversas nacionalidades que voaram para, a partir de ou em trânsito pelo Vietnã durante esse intervalo.
A Kinryū Labs identificou o cluster Elasticsearch em 3 de junho, durante um levantamento de bancos de dados expostos realizado como parte de uma pesquisa sobre atividade de ransomware.
O cluster, denominado “pax-info”, continha 29 índices e aproximadamente 107 GB de dados. Seus dois principais índices reuniam 210.318.069 registros de passageiros e 10.465.631 registros de tripulantes, totalizando 220.783.700 entradas.
Segundo a Kinryū Labs, o cluster estava hospedado em um espaço de endereçamento IP atribuído à Viettel, em Hanói. No entanto, não foi possível confirmar qual organização vietnamita operava o sistema.
As informações expostas incluíam nomes de passageiros e tripulantes, datas de nascimento, sexo, nacionalidade, números de passaporte ou de documentos de viagem, datas de validade dos documentos e países emissores.
Os dados de viagem associados incluíam números e datas de voos, companhias aéreas, aeroportos de partida, destino e trânsito, assentos atribuídos, referências de bagagem e horários programados, estimados e reais dos voos — informações normalmente presentes em sistemas APIS e plataformas relacionadas utilizadas pelas companhias aéreas.
Entre os registros de amostra analisados pelos pesquisadores havia viajantes de nacionalidade sul-coreana, chinesa, canadense e neozelandesa, entre outras.
Embora não tenha sido possível determinar uma distribuição completa por nacionalidade, os dados abrangiam diversas companhias aéreas internacionais da região Ásia-Pacífico, da Europa e do Oriente Médio. Dessa forma, os registros expostos podem estar relacionados a pessoas de praticamente qualquer lugar que tenham visitado o Vietnã ou passado pelo país em trânsito ao longo desses nove anos.
A Kinryū Labs verificou a legitimidade das informações comparando registros presentes no banco de dados com as próprias viagens realizadas por seus pesquisadores ao Vietnã.
Os números representam registros de viagens, e não indivíduos únicos. Portanto, passageiros e tripulantes que viajaram várias vezes podem aparecer repetidamente no banco de dados.
De acordo com a Kinryū Labs, o acesso ao banco de dados foi possível mediante a combinação de duas falhas de configuração.
Quando acessado diretamente pela internet, o endpoint retornava uma resposta HTTP 401, indicando que a requisição não estava autorizada e impedindo o acesso direto ao banco de dados. Entretanto, um caminho alternativo baseado em infraestrutura de nuvem permitiu que os pesquisadores alcançassem o cluster, que posteriormente aceitou credenciais padrão.
A plataforma de inteligência de internet FOFA registrou pela primeira vez o host e a porta em outubro de 2022 e identificou o serviço como um banco de dados em julho de 2023. Ainda assim, a Kinryū Labs não conseguiu determinar quando os dados de passageiros passaram a ser recuperáveis por meio desse segundo caminho de acesso.
Como consequência, embora os registros armazenados cubram mais de nove anos, o período durante o qual os dados permaneceram efetivamente expostos permanece desconhecido.
A Kinryū Labs informou que comunicou o problema às autoridades vietnamitas, às companhias aéreas representadas no banco de dados e a equipes nacionais de resposta a incidentes de segurança cibernética a partir de 3 de junho. Segundo os pesquisadores, o acesso ao banco de dados foi corrigido em 8 de junho.
Um e-mail autenticado analisado durante a investigação mostra que a equipe de segurança da Singapore Airlines ajudou a coordenar a resposta e informou à Kinryū Labs, em 8 de junho, que havia envolvido as partes relevantes e tomado medidas para conter o problema.
As informações compartilhadas pelos pesquisadores identificam várias grandes companhias aéreas cujos registros de passageiros apareceram no banco de dados. No entanto, não há indicação de que essas empresas operassem o sistema exposto ou de que suas próprias redes tenham sido comprometidas.
O Changi Airport Group, responsável pela administração e operação do Aeroporto de Changi, em Singapura, também investigou o caso, mas não divulgou detalhes adicionais.
As autoridades vietnamitas foram procuradas antes da divulgação do incidente, mas não houve resposta.
Ainda não está claro se o banco de dados foi baixado, vendido, alvo de ransomware ou de alguma outra forma explorado por agentes maliciosos antes de ser protegido. A Kinryū Labs informou que não encontrou notas de resgate, índices desconhecidos ou evidências de um conjunto de dados sendo oferecido à venda na internet.
No entanto, sem acesso aos logs dos servidores, os pesquisadores não puderam determinar com segurança se terceiros copiaram ou exfiltraram os dados durante o período de exposição.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...