In questo articolo Indice dei contenuti 2 sezioni
Oltre 220 milioni di record di viaggiatori sono rimasti raggiungibili online a causa di una catena di configurazioni sbagliate su un database APIS, il sistema che raccoglie i dati di passeggeri ed equipaggi prima di ogni volo. Dentro c’era di tutto: nomi, numeri di passaporto, date di nascita, dettagli dei voli. Il sistema, stando ai ricercatori che lo hanno individuato, risulta collegato a un’organizzazione vietnamita, anche se non è stato possibile stabilire con certezza chi lo gestisse.
Gli Advance Passenger Information System vengono usati praticamente ovunque nel mondo. Le compagnie aeree li alimentano con identità, estremi del documento e informazioni di volo, e le autorità di frontiera li consultano per sapere chi sta arrivando o partendo. Un archivio del genere, per definizione, contiene dati sensibili di persone di ogni nazionalità. In questo caso i record coprono un arco temporale che va da gennaio 2017 ad aprile 2026, quindi chiunque abbia volato verso, da o attraverso il Vietnam in quei nove anni potrebbe comparire nell’archivio.
Nove anni di dati su passeggeri ed equipaggi
La scoperta è arrivata il 3 giugno, quando Kinryū Labs stava passando in rassegna database esposti nell’ambito di una ricerca sulle attività ransomware. Il cluster Elasticsearch, chiamato “pax info”, conteneva 29 indici e circa 107 GB di dati. I due indici principali custodivano 210.318.069 record di passeggeri e 10.465.631 record di membri dell’equipaggio, per un totale di 220.783.700 voci.
Il cluster risultava ospitato su indirizzi IP assegnati a Viettel, ad Hanoi. Tra le informazioni esposte figuravano nomi e cognomi, date di nascita, sesso, nazionalità, numeri di passaporto o di altri documenti di viaggio, date di scadenza e Paesi di rilascio. Accanto a questi, i dati di viaggio veri e propri: numeri e date dei voli, compagnie aeree, aeroporti di partenza, destinazione e transito, assegnazione dei posti, riferimenti dei bagagli e orari programmati, stimati ed effettivi.
Nei campioni esaminati comparivano viaggiatori di nazionalità coreana, cinese, canadese e neozelandese, tra le altre. I ricercatori non hanno potuto fornire una ripartizione completa per Paese, ma i dati riguardavano numerose compagnie aeree internazionali di area Asia Pacifico, Europa e Medio Oriente. Kinryū Labs ha verificato l’autenticità dell’archivio confrontando i record con i viaggi in Vietnam effettuati dai propri ricercatori. Un dettaglio importante: le cifre indicano record di viaggio, non persone diverse. Chi ha volato più volte compare più volte.
Due errori di configurazione in fila
Il modo in cui il database è diventato accessibile racconta parecchio. Dalla rete aperta l’endpoint restituiva un errore HTTP 401, quindi nessun accesso diretto. Ma esisteva un percorso alternativo, di tipo cloud, che permetteva di raggiungere il cluster, e a quel punto il sistema accettava credenziali di default. Due configurazioni sbagliate messe in fila, e la porta si apriva.
La piattaforma di intelligence FOFA aveva registrato host e porta per la prima volta a ottobre 2022, identificando il servizio come database a luglio 2023. Non è stato però possibile stabilire da quando i dati dei passeggeri fossero effettivamente recuperabili tramite la seconda via d’accesso. Quindi, mentre i record coprono più di nove anni, la durata reale dell’esposizione resta sconosciuta. Kinryū Labs ha segnalato il problema alle autorità vietnamite, alle compagnie aeree presenti nel database e ai CERT nazionali a partire dal 3 giugno. L’accesso è stato chiuso il giorno 8. Un’email verificata mostra che il team di sicurezza di Singapore Airlines ha contribuito a coordinare la risposta, comunicando l’8 giugno di aver coinvolto le parti interessate e adottato misure per contenere la situazione. La compagnia non ha aggiunto altri commenti.
Nei risultati condivisi compaiono diverse grandi compagnie aeree, ma nulla indica che gestissero il sistema esposto o che le loro reti siano state violate. Changi Airport Group, che gestisce l’aeroporto di Singapore, ha dichiarato di aver svolto accertamenti senza però rilasciare dichiarazioni. Le autorità vietnamite, contattate, non hanno risposto. Resta senza risposta la domanda più scomoda, cioè se qualcuno abbia scaricato, venduto o sfruttato l’archivio prima della chiusura. I ricercatori non hanno trovato note di riscatto né indici estranei sul cluster e non hanno individuato il dataset in vendita online, ma senza i log del server non possono escludere che i dati siano stati copiati. Ulteriori dettagli tecnici verranno pubblicati sul blog di Kinryū Labs nei prossimi giorni.
