Fuite « pax-info » : 220,8 millions de dossiers de voyages aériens exposés

Une base de données de voyage exposée peut être très dangereuse même sans mots de passe. Selon les informations publiées, Kinryū Labs a découvert le 3 juin 2026 un cluster Elasticsearch lié au Vietnam, baptisé pax-info, qui contenait 220,8 millions d’enregistrements issus d’un système APIS (Advance Passenger Information System). Le cluster aurait été accessible par un chemin alternatif reposant sur le cloud et acceptait des identifiants par défaut. 259

Ce qui a été exposé

La base comptait 220 783 700 enregistrements répartis dans 29 index, pour un volume d’environ 107 Go : 210 318 069 entrées de passagers et 10 465 631 entrées de membres d’équipage. Il s’agit d’enregistrements, et non forcément d’autant de personnes distinctes : les voyageurs fréquents et les équipages peuvent apparaître à plusieurs reprises. Les données couvraient la période de janvier 2017 à avril 2026. 9

L’APIS est un dispositif par lequel les compagnies aériennes transmettent, avant un voyage international, des données d’identité et de vol des passagers et des équipages aux autorités compétentes. Les dossiers concerneraient des personnes ayant voyagé vers le Vietnam, depuis le Vietnam ou en transit via le Vietnam ; l’exposition ne se limiterait donc pas aux ressortissants vietnamiens. 212

Les champs signalés dans la base comprenaient notamment :

• nom complet, date de naissance, sexe et nationalité ;
• numéro de passeport ou de document de voyage, pays émetteur et date d’expiration ;
• numéro et date du vol, compagnie aérienne, aéroports de départ, de destination et de transit ;
• numéro de siège, statut passager ou équipage, références de bagages, ainsi que les heures prévues, estimées et réelles du trajet. 617

Cette association de données est bien plus sensible qu’une simple fuite de coordonnées. Un numéro de passeport associé à une date de naissance peut faciliter l’usurpation d’identité auprès d’une compagnie ou d’une autorité. Un itinéraire réel, un siège, une référence de bagage et des horaires rendent aussi une tentative d’escroquerie particulièrement crédible.

Une chaîne de mauvaises configurations, pas le piratage d’un compte voyageur

Les récits de la découverte décrivent une succession de défaillances de sécurité. Le cluster Elasticsearch n’aurait pas été directement accessible depuis Internet, mais un itinéraire alternatif via le cloud aurait permis d’y accéder. Les chercheurs auraient ensuite constaté que les identifiants par défaut fonctionnaient. 5

Kinryū Labs aurait trouvé ce système en inspectant des bases exposées dans le cadre de recherches liées aux ransomwares. La base a ensuite été signalée comme verrouillée ou devenue inaccessible. 25

En revanche, les informations publiques ne permettent pas d’identifier de façon concluante l’opérateur de la base, le fournisseur cloud précis, le responsable du traitement des données ou les systèmes qui alimentaient ces enregistrements. Le fait qu’un serveur soit associé à une infrastructure réseau au Vietnam ne prouve pas qu’une compagnie vietnamienne, un aéroport, une autorité frontalière ou un organisme public en était propriétaire. 46

Qui est potentiellement concerné ?

La conclusion étayée par les informations disponibles est large, mais limitée : les dossiers semblent concerner des passagers internationaux et des équipages ayant voyagé vers, depuis ou via le Vietnam entre janvier 2017 et avril 2026. 212

Les publications disponibles ne permettent pas d’établir :

• une ventilation complète par nationalité ou par pays ;
• une liste vérifiée des compagnies aériennes concernées ;
• un nombre définitif de personnes uniques ;
• l’identité des organisations ayant fourni, contrôlé ou traité les données.

Il serait donc prématuré d’attribuer la responsabilité à un transporteur ou à une autorité précise uniquement parce qu’un code aérien ou un vol apparaît dans les dossiers.

Les données ont-elles été volées ou utilisées ?

L’exposition signifie qu’une personne non autorisée aurait potentiellement pu consulter ou copier les données tant que le cluster était accessible. C’est déjà une atteinte grave à la confidentialité.

Toutefois, les informations publiques citées ici ne fournissent pas de preuve d’un téléchargement malveillant confirmé, d’une revente sur des forums criminels, d’un ransomware ou d’une fraude au passeport liée spécifiquement à cette base. 5 On ignore également depuis combien de temps le système était exposé, si les journaux d’accès permettraient d’identifier d’éventuels visiteurs et si tous les enregistrements étaient à jour et authentiques.

La conclusion doit donc rester prudente : aucun vol n’est publiquement prouvé, mais rien ne permet d’affirmer qu’aucune copie n’a eu lieu.

Pourquoi le risque d’arnaque demeure élevé sans mot de passe

Aucun mot de passe ne figure parmi les données signalées, ce qui réduit le risque immédiat de réinitialisation de compte ou de « credential stuffing ». Mais le jeu de données reste très utile pour l’ingénierie sociale.

Une personne malveillante disposant d’un nom, de données de passeport, d’un numéro de vol, d’un trajet, d’un siège, d’une référence de bagage et d’un horaire peut envoyer un faux message très convaincant, par exemple :

• une notification de changement ou d’annulation de vol ;
• une demande de frais de bagage ou de compensation ;
• une prétendue vérification de visa ou d’immigration ;
• une alerte relative à un programme de fidélité aérien ;
• une demande de confirmation des informations de passeport avant un départ.

Les données temporelles posent aussi un problème de vie privée : elles peuvent indiquer qu’une personne devait être en transit ou absente de son domicile. Le risque est particulièrement sensible pour les équipages, les grands voyageurs et les personnes exposées à des menaces personnelles.

Les réflexes à adopter pour les voyageurs

Si vous avez voyagé vers le Vietnam, depuis le Vietnam ou en transit par le pays entre janvier 2017 et avril 2026, redoublez de vigilance face aux messages liés à un déplacement.

1. N’ouvrez pas les liens reçus dans un message inattendu concernant un vol, un bagage, un visa ou l’immigration. Utilisez l’application officielle de la compagnie ou saisissez vous-même son adresse web connue.
2. Vérifiez indépendamment toute modification de vol. Consultez votre réservation par les canaux officiels avant de payer des frais ou de communiquer vos informations de passeport.
3. Sécurisez vos comptes de fidélité. Utilisez un mot de passe unique et activez l’authentification multifacteur lorsqu’elle est proposée.
4. Méfiez-vous des demandes de scan de passeport ou de « confirmation » de données documentaires. Contactez la compagnie, l’agence de voyage ou l’autorité concernée à l’aide d’un moyen de contact vérifié.
5. Surveillez les anomalies liées à vos documents de voyage. En cas de soupçon d’usage frauduleux du passeport ou d’usurpation d’identité, prévenez l’autorité qui l’a délivré ou les autorités locales compétentes.

Des obligations réglementaires qui dépendent encore de l’identité du responsable

À ce stade, il est impossible d’attribuer une responsabilité juridique : l’opérateur du système et les rôles de traitement pertinents ne sont pas établis publiquement.

Au Vietnam, le décret n° 13/2023/ND-CP prévoit qu’un responsable du traitement ou un responsable conjoint du traitement ayant connaissance d’une violation des règles de protection des données personnelles doit notifier l’autorité de cybersécurité du ministère de la Sécurité publique dans un délai de 72 heures ; un retard doit être justifié. Son application au cas présent dépendrait de l’entité responsable et de faits qui ne sont pas publics. 2933

Le RGPD peut également s’appliquer si un responsable du traitement ou un sous-traitant concerné entre dans son champ territorial. Son article 33 impose en principe une notification à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures suivant la prise de connaissance de la violation, sauf si celle-ci est peu susceptible d’engendrer un risque pour les droits et libertés des personnes. 43

Le fait central demeure : un vaste répertoire de données de voyage liées à des passeports aurait été exposé à la suite de défaillances évitables de contrôle des accès. Les questions non résolues — qui l’exploitait, qui y a accédé et si les données ont été copiées — comptent autant que le nombre d’enregistrements.