Una base de datos del Sistema Anticipado de Información de Pasajeros (APIS, por sus siglas en inglés), que contenía más de 220 millones de registros de pasajeros y tripulación, incluyendo números de pasaporte y detalles de vuelo, fue accesible en línea durante años a través de una serie de fallos de seguridad. Según los investigadores que la descubrieron, el sistema parece estar vinculado a una organización vietnamita.
El hallazgo lo hizo Kinryū Labs el pasado 3 de junio, mientras rastreaba bases de datos expuestas como parte de una investigación sobre actividad de ransomware. El clúster —bautizado internamente como “pax-info”—, almacenaba unos 107 GB de información distribuidos en 29 índices, con un total combinado de 220.783.700 registros, de los cuales 210.318.069 correspondientes a pasajeros y 10.465.631 a tripulación.
Los registros abarcaban un período de nueve años, desde enero de 2017 hasta abril de 2026, e incluían nombres, fechas de nacimiento, género, nacionalidad, números de pasaporte o documento de viaje y sus fechas de vencimiento, junto con datos asociados a cada vuelo como aerolínea, aeropuertos de salida, destino y tránsito, número de asiento, referencias de equipaje y horarios programados, estimados y reales.
Entre los registros de muestra a los que algunos medios especializados, como BleepingComputer, pudieron acceder y chequear, figuraban viajeros de nacionalidad surcoreana, china, canadiense y neozelandesa, aunque los investigadores no lograron establecer un desglose completo por país. Sí confirmaron que la base cubría aerolíneas de Asia-Pacífico, Europa y Medio Oriente, lo que sugiere que las personas afectadas podrían proceder de prácticamente cualquier parte del mundo.
El acceso fue posible al encadenar dos configuraciones erróneas: desde internet abierto, el sistema devolvía un error de autenticación que impedía el ingreso directo, pero una segunda vía de acceso basada en la nube sí permitía llegar al clúster, el cual además aceptaba credenciales por defecto.
El medio Bleeping Computer sostienen que la plataforma de inteligencia de Internet FOFA había detectado ese servidor desde octubre de 2022, aunque los investigadores no pudieron determinar con precisión desde cuándo los datos de los pasajeros eran realmente accesibles.
Kinryū Labs vinculó el servidor a un rango de direcciones IP asignado a la empresa vietnamita Viettel en Hanói, sin poder confirmar qué organización lo administraba, y verificó la autenticidad de la información comparando algunos registros con los propios viajes de su equipo a Vietnam.
Los investigadores reportaron el hallazgo a las autoridades de Vietnam, a las aerolíneas involucradas y a los equipos nacionales de respuesta a emergencias informáticas a partir del 3 de junio. El acceso quedó remediado cinco días después, el 8 de junio. El equipo de seguridad de Singapore Airlines colaboró en la coordinación de la respuesta, señalando que había “involucrado a las partes relevantes” y “tomado medidas para contener el problema”.
Diferentes medios indicaron que Changi Airport Group, operador del aeropuerto de Changi en Singapur, confirmó haber investigado el caso, pero declinó hacer comentarios adicionales. Las autoridades vietnamitas, contactadas con anticipación a la publicación, no respondieron.
Por el momento no existe evidencia de que la información haya sido descargada, robada o comercializada antes de que la base de datos fuera asegurada, aunque Kinryū Labs precisó que, sin acceso a los registros del servidor, no puede descartar con certeza ese tipo de acciones.
