Vietnam-tilknyttet datalæk eksponerede 220,8 mio. flyrejseoplysninger

En eksponeret rejsedatabase kan være alvorlig, selv når den ikke indeholder adgangskoder. Sikkerhedsfirmaet Kinryū Labs fandt ifølge omtalen 3. juni 2026 en Vietnam-tilknyttet Elasticsearch-klynge kaldet pax-info, som indeholdt 220,8 millioner registreringer fra Advance Passenger Information System (APIS). Klyngen kunne angiveligt nås via en alternativ cloud-baseret adgangsvej og accepterede standardadgangskoder. 259

Hvad er der sket?

Databasen indeholdt ifølge rapporterne 220.783.700 registreringer i 29 indeks på samlet cirka 107 GB: 210.318.069 passagerregistreringer og 10.465.631 besætningsregistreringer. Det er registreringer – ikke nødvendigvis unikke personer. Hyppigt rejsende og kabine- eller cockpitpersonale kan derfor optræde flere gange. Dataene dækkede perioden fra januar 2017 til april 2026. 9

APIS er et system, hvor flyselskaber sender identitets- og flyoplysninger om passagerer og besætning til grænsemyndigheder før international rejse. De berørte oplysninger knyttede sig angiveligt til personer, der rejste til, fra eller via Vietnam. Eksponeringen var dermed ikke begrænset til vietnamesiske statsborgere. 212

Disse oplysninger var angiveligt eksponeret

De rapporterede felter omfattede blandt andet:

• Fulde navne, fødselsdatoer, køn og nationalitet
• Pas- eller rejsedokumentnumre, udstedelsesland og udløbsdato
• Flynumre og datoer, flyselskabsoplysninger samt afgangs-, destinations- og transitlufthavne
• Sædenumre, status som passager eller besætningsmedlem, bagagereferencer samt planlagte, estimerede og faktiske rejsetidspunkter 617

Kombinationen er mere følsom end et almindeligt læk af kontaktoplysninger. Et pasnummer sammen med fødselsdato kan bruges til at udgive sig for et flyselskab eller en rejsemyndighed. Reelle oplysninger om rute, fly, sæde og tidspunkt kan gøre en svindelhenvendelse usædvanligt overbevisende.

Hvordan blev databasen eksponeret?

Beskrivelserne af fundet peger på en kæde af sikkerhedsfejl – ikke et indbrud på den enkelte rejsendes konto. Elasticsearch-klyngen var angiveligt ikke direkte tilgængelig fra det åbne internet, men kunne nås gennem en alternativ cloud-baseret vej. Herfra fandt forskerne, at standardadgangskoder gav adgang. 5

Kinryū Labs stødte ifølge omtalen på klyngen under en kortlægning af eksponerede databaser i forbindelse med research om ransomware. Databasen blev senere omtalt som sikret eller ikke længere tilgængelig. 25

Den offentlige rapportering identificerer dog ikke endeligt hverken databaseoperatøren, den konkrete cloududbyder, den dataansvarlige eller de systemer, som leverede oplysningerne. At en server havde en Vietnam-relateret netværksplacering, er ikke dokumentation for, at et bestemt vietnamesisk flyselskab, en lufthavn, en grænsemyndighed eller en offentlig institution ejede databasen. 46

Hvem kan være berørt?

Rapporteringen understøtter en bred, men afgrænset konklusion: Dataene ser ud til at omfatte internationale passagerer og besætningsmedlemmer, som rejste til, fra eller via Vietnam i den niårige periode. 212

Det er derimod ikke dokumenteret:

• En fuldstændig opdeling efter nationalitet eller land
• En bekræftet liste over berørte flyselskaber
• Et endeligt antal unikke personer
• Hvilke organisationer der leverede, kontrollerede eller behandlede oplysningerne

Det vil derfor være forhastet at pege på et konkret flyselskab eller en konkret myndighed som ansvarlig, alene fordi et flynummer eller en flyselskabskode kan have indgået i materialet.

Er data stjålet eller misbrugt?

Eksponeringen betyder, at uvedkommende potentielt kan have set eller kopieret oplysningerne, mens klyngen var tilgængelig. Det er i sig selv et alvorligt brud på fortroligheden.

De offentlige rapporter, der er citeret her, fremlægger imidlertid ikke dokumentation for en bekræftet ondsindet download, salg på kriminelle fora, ransomware-hændelse eller passvindel, der specifikt kan knyttes til denne database. 5 Der findes heller ikke en offentligt tilgængelig og uafhængigt efterprøvbar redegørelse for, hvor længe databasen var eksponeret, om adgangslogs kan identificere besøgende, eller om alle registreringer var aktuelle og autentiske.

Den forsigtige konklusion er derfor: Der er ikke rapporteret bevis for tyveri, men der er heller ikke bevis for, at data aldrig blev kopieret.

Hvorfor er der risiko for svindel uden adgangskoder?

Der blev ikke rapporteret adgangskoder blandt de eksponerede felter. Det reducerer den umiddelbare risiko for direkte nulstilling af adgangskoder eller klassiske credential-stuffing-angreb. Men datasættet er stadig meget værdifuldt til social manipulation.

En kriminel med navn, pasoplysninger, flynummer, rute, sæde, bagagereference og rejsetidspunkt kan troværdigt sende en falsk:

• Besked om flyændring eller aflysning
• Opkrævning af bagagegebyr eller tilbud om kompensation
• Anmodning om “verificering” af visum eller immigrationsoplysninger
• Advarsel om en flyselskabs- eller bonuskonto
• Anmodning om at bekræfte pasoplysninger før afrejse

Rejsetidspunkterne giver også et privatlivsproblem. De kan afsløre, hvornår en person forventedes at være undervejs eller væk hjemmefra. Det kan være særligt følsomt for besætningsmedlemmer, hyppigt rejsende og personer med forhøjet personlig sikkerhedsrisiko.

Det kan du gøre som rejsende

Har du rejst til, fra eller via Vietnam mellem januar 2017 og april 2026, bør du være ekstra kritisk over for uopfordrede rejserelaterede henvendelser.

1. Undlad at bruge links i uventede beskeder om fly, bagage, visum eller immigration. Åbn i stedet flyselskabets officielle app eller indtast den kendte webadresse selv.
2. Kontrollér flyændringer uafhængigt. Se din booking i flyselskabets officielle kanaler, før du betaler et gebyr eller deler pasoplysninger.
3. Beskyt bonuskonti hos flyselskaber. Brug en unik adgangskode og aktivér tofaktorgodkendelse, hvor den findes.
4. Vær skeptisk over for anmodninger om pasbilleder eller bekræftelse af dokumentoplysninger. Kontakt flyselskabet, rejsebureauet eller myndigheden via en verificeret kontaktkanal.
5. Hold øje med tegn på misbrug af rejsedokumenter. Ved mistanke om identitetssvindel eller misbrug af pas bør du kontakte den relevante pasmyndighed eller lokale myndigheder.

Mulige regler afhænger af ejerskab og jurisdiktion

Det er ikke muligt at placere det juridiske ansvar på baggrund af den tilgængelige rapportering, fordi operatøren og de relevante roller i databehandlingen ikke er bekræftet.

Efter Vietnams dekret 13/2023/ND-CP skal en dataansvarlig eller en dataansvarlig-databehandler, der opdager en overtrædelse af reglerne om beskyttelse af persondata, underrette cybersikkerhedsmyndigheden under Ministeriet for Offentlig Sikkerhed inden for 72 timer. Forsinket underretning skal begrundes. Om og hvordan det gælder i denne sag, afhænger af ansvarlig enhed og forhold, som ikke er offentligt kendt. 2933

GDPR-forpligtelser kan også blive relevante, hvis en involveret dataansvarlig eller databehandler falder inden for forordningens geografiske anvendelsesområde. Artikel 33 kræver som udgangspunkt, at den dataansvarlige underretter den kompetente tilsynsmyndighed uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med et brud på persondatasikkerheden – medmindre bruddet sandsynligvis ikke indebærer risiko for fysiske personers rettigheder og frihedsrettigheder. 43

De centrale forhold står foreløbig klart: Et meget stort lager af pasrelaterede rejseoplysninger blev angiveligt eksponeret som følge af sikkerhedsfejl, der kunne være undgået. Spørgsmålene om, hvem der drev databasen, hvem der tilgik den, og om oplysningerne blev kopieret, er mindst lige så vigtige som det høje antal registreringer.