Una base de datos expuso 220,8 millones de registros de pasajeros y tripulantes

Una exposición de datos de viaje puede ser muy grave aunque no incluya contraseñas. Según las informaciones publicadas, Kinryū Labs halló el 3 de junio de 2026 un clúster de Elasticsearch vinculado a Vietnam y llamado pax-info, con 220,8 millones de registros del Sistema de Información Anticipada sobre Pasajeros (APIS, por sus siglas en inglés). Al parecer, era accesible mediante una ruta alternativa basada en la nube y aceptaba credenciales predeterminadas. 259

Qué se expuso

La base contenía 220.783.700 registros repartidos en 29 índices, con un volumen aproximado de 107 GB: 210.318.069 entradas de pasajeros y 10.465.631 de tripulantes. Son registros de viajes, no necesariamente personas únicas: un viajero frecuente o un miembro de tripulación puede figurar más de una vez. La información abarcaba de enero de 2017 a abril de 2026. 9

APIS es el sistema mediante el cual las aerolíneas transmiten antes del viaje datos de identidad y del vuelo de pasajeros y tripulantes a las autoridades fronterizas. Los datos expuestos estarían relacionados con personas que viajaron a Vietnam, desde Vietnam o en tránsito por Vietnam; por tanto, el alcance no se limita a ciudadanos vietnamitas. 212

Entre los campos reportados figuraban:

• Nombre completo, fecha de nacimiento, sexo y nacionalidad.
• Número de pasaporte o documento de viaje, país emisor y fecha de caducidad.
• Número y fecha de vuelo, aerolínea, aeropuertos de salida, destino y tránsito.
• Número de asiento, condición de pasajero o tripulante, referencias de equipaje y horarios programados, estimados y reales. 617

La combinación es más delicada que una filtración básica de datos de contacto. Un número de pasaporte junto con la fecha de nacimiento puede facilitar la suplantación de una aerolínea o de una autoridad de viaje. Y conocer rutas, vuelos, asientos y horarios reales puede hacer que una estafa parezca especialmente creíble.

Cómo quedó accesible la base

Los relatos sobre el hallazgo apuntan a una cadena de fallos de configuración, no a la intrusión en la cuenta de un viajero. El clúster de Elasticsearch no habría estado disponible directamente desde internet abierto, pero una vía alternativa en la nube permitía llegar a él. Una vez en esa ruta, los investigadores comprobaron que aceptaba credenciales predeterminadas. 5

Kinryū Labs habría encontrado el sistema mientras examinaba bases de datos expuestas en una investigación sobre actividad vinculada al ransomware. Posteriormente, se informó de que el archivo fue bloqueado o dejó de ser accesible. 25

Aun así, la información pública no identifica de forma concluyente al operador de la base, el proveedor concreto de nube, el responsable del tratamiento de datos ni los sistemas de origen de los registros. Que un servidor tuviera una ubicación de red asociada con Vietnam no demuestra que perteneciera a una aerolínea vietnamita, un aeropuerto, una autoridad fronteriza o un organismo público determinado. 46

Quién podría estar afectado

La conclusión que permiten los informes disponibles es amplia, pero tiene límites: los datos parecen cubrir a pasajeros internacionales y tripulantes que viajaron hacia Vietnam, desde el país o en tránsito por él durante ese periodo de nueve años. 212

No se ha establecido públicamente:

• Un desglose completo por nacionalidades o países.
• Una lista verificada de aerolíneas afectadas.
• Una cifra definitiva de personas únicas afectadas.
• Qué organizaciones aportaron, controlaban o procesaban los datos.

Por eso, no sería riguroso atribuir responsabilidad a una aerolínea o autoridad concreta solo porque en los registros pudiera aparecer un código de vuelo o una ruta operada por ella.

¿Se robaron o utilizaron los datos?

La exposición implica que terceros no autorizados pudieron haber consultado o copiado los registros mientras el sistema estuvo accesible. Eso, por sí mismo, supone un fallo grave de confidencialidad.

Sin embargo, los informes citados no aportan pruebas de una descarga maliciosa confirmada, una venta en foros criminales, un ataque de ransomware o fraude con pasaportes vinculado específicamente a esta base. 5 Tampoco hay un informe público e independiente que detalle cuánto tiempo estuvo expuesto el clúster, si los registros de acceso permitirían saber quién entró o si todos los datos eran actuales y auténticos.

La conclusión prudente es clara: no hay pruebas publicadas de robo, pero tampoco pruebas de que nadie copiara la información.

Por qué hay riesgo de fraude aunque no hubiera contraseñas

No se informó de contraseñas entre los campos expuestos, lo que reduce el riesgo inmediato de restablecimientos de contraseña o ataques de reutilización de claves. Pero la base sigue siendo muy valiosa para la ingeniería social.

Quien disponga del nombre de una persona, datos del pasaporte, número de vuelo, ruta, asiento, referencia de equipaje y horario podría enviar mensajes falsos sobre:

• Cambios o cancelaciones de vuelos.
• Tasas de equipaje o solicitudes de compensación.
• «Verificaciones» de visado o inmigración.
• Alertas sobre cuentas de programas de fidelización.
• Peticiones para volver a confirmar datos del pasaporte antes de viajar.

Los horarios también plantean un problema de privacidad: pueden revelar cuándo alguien debía estar en tránsito o fuera de casa. El riesgo puede ser mayor para tripulantes, viajeros frecuentes y personas con necesidades reforzadas de seguridad personal.

Qué pueden hacer los viajeros

Si viajó a Vietnam, desde Vietnam o hizo escala en el país entre enero de 2017 y abril de 2026, conviene extremar la cautela ante mensajes no solicitados relacionados con viajes.

1. No abra enlaces de mensajes inesperados sobre vuelos, equipaje, visados o inmigración. Use la aplicación oficial de la aerolínea o escriba usted mismo la dirección web conocida.
2. Compruebe cualquier cambio de horario por canales oficiales. Revise la reserva con la aerolínea antes de pagar una tasa o compartir datos del pasaporte.
3. Proteja las cuentas de fidelización. Use una contraseña única y active la autenticación multifactor cuando esté disponible.
4. Desconfíe de peticiones de copias del pasaporte o de «confirmación» de datos documentales. Contacte con la aerolínea, agencia de viajes o autoridad correspondiente por una vía verificada.
5. Vigile anomalías relacionadas con sus documentos de viaje. Si sospecha de una suplantación o uso indebido del pasaporte, contacte con la autoridad emisora o con las autoridades locales competentes.

Las posibles consecuencias regulatorias dependen de quién fuera responsable

Con la información disponible no se puede asignar responsabilidad, porque no se ha verificado quién operaba la infraestructura ni qué papel desempeñaba cada entidad en el tratamiento de los datos.

El Decreto 13/2023/ND-CP de Vietnam establece que un responsable del tratamiento o una entidad que actúe conjuntamente como responsable y encargada, al detectar una infracción de las normas de protección de datos personales, debe notificarla a la autoridad de ciberseguridad del Ministerio de Seguridad Pública en un plazo de 72 horas. Si la notificación es tardía, debe explicar el motivo. Que esta norma sea aplicable al caso y de qué manera dependería de hechos que aún no son públicos y de la entidad responsable. 2933

También podrían surgir obligaciones bajo el Reglamento General de Protección de Datos (RGPD) de la Unión Europea si un responsable o encargado relevante estuviera dentro de su ámbito territorial. Su artículo 33 exige, por regla general, informar a la autoridad de control competente sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a tener conocimiento de una brecha, salvo que sea improbable que esta entrañe un riesgo para los derechos y libertades de las personas. 43

Por ahora, el núcleo del caso está claro: un gran repositorio de registros de viaje vinculados a pasaportes habría quedado expuesto por fallos de control de acceso que parecían evitables. Las preguntas sin respuesta —quién lo operaba, quién pudo acceder y si alguien copió los datos— son tan relevantes como el volumen de registros afectado.