تسريب «pax-info» المرتبط بفيتنام يكشف 220.8 مليون سجل سفر جوي

لا تحتاج قاعدة بيانات سفر إلى كلمات مرور كي تكون خطرة. إذ أفادت تقارير بأن شركة Kinryū Labs عثرت في 3 يونيو 2026 على عنقود Elasticsearch باسم pax-info مرتبط بفيتنام، احتوى على 220.8 مليون سجل من نظام معلومات المسافرين المسبقة (APIS). وكان الوصول إليه ممكناً، بحسب التقارير، عبر مسار سحابي بديل، مع قبول بيانات اعتماد افتراضية. 259

ما الذي كُشف؟

بلغ عدد السجلات المبلّغ عنها 220,783,700 سجل ضمن 29 فهرساً بحجم يقارب 107 غيغابايت: 210,318,069 سجلاً للركاب و10,465,631 سجلاً لأفراد الطواقم. وهذه أعداد سجلات وليست بالضرورة أعداد أشخاص منفردين، إذ قد يظهر المسافرون الدائمون وأفراد الطواقم أكثر من مرة. وتمتد البيانات من يناير 2017 إلى أبريل 2026. 9

ونظام APIS هو نظام تُرسل عبره شركات الطيران بيانات هوية الركاب وأفراد الطاقم وتفاصيل الرحلات إلى سلطات الحدود قبل السفر الدولي. وتفيد التقارير بأن السجلات تخص أشخاصاً سافروا إلى فيتنام أو منها أو عبرها ترانزيت؛ أي إن نطاقها لا يقتصر على المواطنين الفيتناميين. 212

وشملت الحقول التي قيل إنها كانت ظاهرة:

• الأسماء الكاملة وتواريخ الميلاد والجنس والجنسية.
• أرقام جوازات السفر أو وثائق السفر، وبلد الإصدار وتاريخ الانتهاء.
• أرقام الرحلات وتواريخها وشركات الطيران ومطارات المغادرة والوصول والعبور.
• أرقام المقاعد، وصفة الراكب أو فرد الطاقم، ومراجع الأمتعة، وأوقات السفر المجدولة والتقديرية والفعلية. 617

اجتماع رقم جواز السفر وتاريخ الميلاد مع خط السير الفعلي وتوقيت الرحلة ورقم المقعد يجعل انتحال صفة شركة طيران أو جهة سفر أكثر إقناعاً بكثير من رسائل التصيد المعتادة.

كيف أصبح العنقود مكشوفاً؟

تشير الروايات المتاحة إلى سلسلة من إخفاقات الإعداد الأمني، لا إلى اختراق حسابات المسافرين. فلم يكن عنقود Elasticsearch متاحاً مباشرة من الإنترنت العام، لكن مساراً بديلاً عبر بيئة سحابية أتاح الوصول إليه. وبعد الوصول عبر هذا المسار، وجد الباحثون أن بيانات الاعتماد الافتراضية مقبولة. 5

وعثرت Kinryū Labs على العنقود أثناء فحص قواعد بيانات مكشوفة ضمن أبحاث مرتبطة ببرامج الفدية، ثم أفادت تقارير لاحقة بأن الأرشيف أُغلق أو لم يعد متاحاً. 25

لكن التقارير العلنية لا تحسم هوية مشغّل القاعدة، أو مزود السحابة، أو المتحكم بالبيانات، أو الأنظمة التي زوّدتها بهذه السجلات. كما أن وجود الخادم في نطاق شبكي مرتبط بفيتنام لا يثبت ملكية شركة طيران فيتنامية محددة أو مطار أو جهة حدودية أو مؤسسة حكومية له. 46

من الذي قد يكون تأثر؟

الاستنتاج المدعوم بالتقارير واسع لكنه محدود: يبدو أن البيانات تشمل ركاباً وأفراد طواقم في رحلات دولية إلى فيتنام أو منها أو عبرها خلال فترة السنوات التسع المذكورة. 212

ولا تثبت المعلومات المتاحة:

• توزيعاً كاملاً بحسب الجنسية أو البلد.
• قائمة موثقة بشركات الطيران المتأثرة.
• عدداً نهائياً للأشخاص الفريدين.
• الجهات التي زوّدت بالبيانات أو تحكمت بها أو عالجتها.

لذلك، لا يصح تحميل ناقل جوي أو سلطة بعينها المسؤولية لمجرد احتمال ظهور رمز شركة طيران أو رحلة تابعة لها ضمن السجلات.

هل سُرقت البيانات أو استُخدمت فعلاً؟

إتاحة قاعدة البيانات تعني أن أطرافاً غير مصرح لها كان يمكنها نظرياً الاطلاع على السجلات أو نسخها أثناء بقائها قابلة للوصول، وهو إخفاق خطير في السرية بحد ذاته.

لكن التقارير العامة المتاحة لا تقدم دليلاً على تنزيل خبيث مؤكد، أو بيع في منتديات الجريمة الإلكترونية، أو هجوم فدية، أو احتيال بجوازات سفر مرتبط تحديداً بهذه القاعدة. 5 ولا توجد أيضاً رواية علنية قابلة للتدقيق المستقل حول مدة الانكشاف، أو ما إذا كانت سجلات الوصول قادرة على تحديد الزوار، أو ما إذا كانت جميع السجلات حديثة وأصلية.

الخلاصة الدقيقة هي: لا يوجد دليل مُبلّغ عنه على سرقة البيانات، لكن لا يوجد أيضاً ما يثبت أن النسخ لم يحدث.

لماذا يبقى خطر الاحتيال قائماً رغم غياب كلمات المرور؟

لم يُبلّغ عن وجود كلمات مرور ضمن الحقول المكشوفة، ما يقلل خطر إعادة تعيين كلمات المرور مباشرة أو هجمات حشو بيانات الاعتماد. لكن هذه المعلومات تظل ثمينة جداً في الهندسة الاجتماعية.

فمن يملك الاسم وتفاصيل الجواز ورقم الرحلة والمسار والمقعد ومرجع الأمتعة وتوقيت السفر قد يرسل رسالة مزيفة تبدو واقعية، مثل:

• إشعار بتغيير موعد رحلة أو إلغائها.
• طلب دفع رسوم أمتعة أو استرداد تعويض.
• رسالة «تحقق» من التأشيرة أو الهجرة.
• تنبيه عن حساب برنامج ولاء لشركة طيران.
• طلب تأكيد بيانات جواز السفر قبل السفر.

كما يمكن لتوقيت الرحلات أن يكشف متى كان الشخص متوقعاً أن يكون في المطار أو خارج منزله، وهو ما يثير مخاوف خصوصية وسلامة خاصة لأفراد الطواقم والمسافرين المتكررين ومن لديهم اعتبارات أمنية شخصية.

خطوات عملية للمسافرين

إذا سافرت إلى فيتنام أو منها أو عبرها بين يناير 2017 وأبريل 2026، تعامل بحذر إضافي مع الرسائل غير المتوقعة المتعلقة بالسفر:

1. لا تضغط روابط الرسائل المفاجئة التي تدّعي أنها من شركة طيران أو جهة أمتعة أو تأشيرات أو هجرة. استخدم التطبيق الرسمي أو اكتب عنوان الموقع المعروف بنفسك.
2. تحقق من أي تعديل للرحلة عبر القنوات الرسمية. راجع الحجز لدى شركة الطيران قبل دفع رسوم أو مشاركة بيانات جواز السفر.
3. أمّن حسابات برامج الولاء. استخدم كلمة مرور فريدة، وفعّل المصادقة متعددة العوامل حيثما كانت متاحة.
4. ارفض طلبات إرسال نسخة جواز السفر أو «تأكيد» بيانات الوثيقة عبر رسالة غير متوقعة. تواصل مع شركة الطيران أو وكالة السفر أو السلطة الرسمية عبر وسيلة اتصال موثقة.
5. راقب أي مؤشرات غير معتادة مرتبطة بوثيقة السفر. وعند الاشتباه بإساءة استخدام جواز السفر أو سرقة الهوية، تواصل مع الجهة التي أصدرت الجواز أو السلطة المحلية المختصة.

التبعات القانونية تتوقف على تحديد المسؤول والاختصاص

لا يمكن إسناد المسؤولية قانونياً من التقارير المتاحة، لأن هوية المشغّل وأدوار معالجة البيانات ذات الصلة لم تُتحقق علناً.

وبموجب المرسوم الفيتنامي رقم 13/2023/ND-CP، يتعين على المتحكم بالبيانات الشخصية أو المتحكم-المعالج الذي يكتشف مخالفة لقواعد حماية البيانات الشخصية إخطار سلطة الأمن السيبراني التابعة لوزارة الأمن العام خلال 72 ساعة، مع بيان أسباب التأخير إن تأخر الإخطار. أما انطباق ذلك على هذه الواقعة وكيفيته، فيعتمدان على الجهة المسؤولة ووقائع لم تُكشف بعد. 2933

وقد تنشأ التزامات بموجب اللائحة العامة لحماية البيانات الأوروبية (GDPR) إذا كان متحكم أو معالج معني يقع ضمن نطاقها الإقليمي. وتنص المادة 33 عموماً على إخطار السلطة الرقابية المختصة دون تأخير غير مبرر، وحيثما أمكن خلال 72 ساعة من العلم بخرق البيانات الشخصية، ما لم يكن الخرق غير مرجح أن ينطوي على خطر على حقوق الأفراد وحرياتهم. 43

في الوقت الحالي، الثابت هو أن مستودعاً ضخماً لسجلات سفر مرتبطة بجوازات سفر كان مكشوفاً، وفق التقارير، بسبب إخفاقات يمكن تفاديها في ضوابط الوصول. أما الأسئلة غير المحسومة — من شغّله، ومن وصل إليه، وهل نُسخت البيانات — فلا تقل أهمية عن حجم السجلات نفسه.