דליפת "pax-info" חשפה 220.8 מיליון רשומות נסיעה עם פרטי דרכון

חשיפת מאגר נתוני נסיעות עלולה להיות מסוכנת גם בלי סיסמאות. לפי דיווחים, חברת מחקרי האבטחה Kinryū Labs מצאה ב-3 ביוני 2026 אשכול Elasticsearch מקושר לווייטנאם בשם pax-info. המאגר כלל לכאורה 220.8 מיליון רשומות ממערכת APIS — מערכת שבה חברות תעופה מעבירות מראש לרשויות גבול נתוני זיהוי ונסיעה של נוסעים ואנשי צוות. הגישה התאפשרה, לפי הדיווחים, דרך נתיב ענן חלופי והמערכת קיבלה פרטי התחברות ברירת מחדל. 259

מה נחשף בפועל

לפי הדיווחים, במאגר היו 220,783,700 רשומות ב-29 אינדקסים, בהיקף של כ-107 ג״ב: 210,318,069 רשומות נוסעים ו-10,465,631 רשומות אנשי צוות. חשוב להבחין: אלה רשומות נסיעה, ולא בהכרח מספר האנשים הייחודיים. נוסעים תכופים ואנשי צוות עשויים להופיע יותר מפעם אחת. טווח הנתונים היה מינואר 2017 עד אפריל 2026. 9

השדות שדווח כי נכללו במאגר כללו:

• שם מלא, תאריך לידה, מין ולאום
• מספר דרכון או מסמך נסיעה, מדינה מנפיקה ותאריך תפוגה
• מספר ותאריך טיסה, פרטי חברת התעופה, ושדות התעופה של המוצא, היעד והמעבר
• מספר מושב, סטטוס נוסע או איש צוות, הפניות לכבודה, ומועדי נסיעה מתוכננים, משוערים ובפועל 617

השילוב הזה רגיש הרבה יותר מדליפת פרטי קשר בסיסיים. מספר דרכון ותאריך לידה יכולים לשמש מתחזה שיציג את עצמו כנציג חברת תעופה או רשות נסיעות; פרטי מסלול, טיסה, מושב וזמנים אמיתיים עשויים להפוך הודעת הונאה למשכנעת במיוחד.

מי עשוי להיות מושפע — ומה עדיין אי אפשר לדעת

הדיווחים תומכים במסקנה מוגבלת אך רחבה: המאגר עסק כנראה בנוסעים ובאנשי צוות בטיסות אל וייטנאם, ממנה או דרך וייטנאם, ולא רק באזרחי וייטנאם. לכן ייתכן שהוא כלל אנשים ממדינות רבות. 212

עם זאת, אין בפרסום הפומבי:

• פילוח מלא לפי לאום או מדינה
• רשימה מאומתת של חברות תעופה שנפגעו
• מספר סופי של בני אדם ייחודיים
• זיהוי ודאי של הגופים שהזינו, שלטו או עיבדו את הנתונים

לכן, הכינוי "מקושר לווייטנאם" אינו ראיה לכך שחברת תעופה וייטנאמית מסוימת, נמל תעופה, רשות גבולות או גוף ממשלתי הם בעלי המאגר או אחראים לו. גם מיקום רשת המקושר לווייטנאם אינו מוכיח בעלות כזו. 46

כיצד התאפשרה החשיפה

הדיווחים מתארים רצף של כשלים בהגדרת האבטחה, ולא פריצה לחשבון של נוסע. האשכול לא היה נגיש לפי הטענה ישירות מהאינטרנט הפתוח, אך נתיב חלופי מבוסס ענן אפשר גישה אליו. דרך הנתיב הזה התקבלו פרטי התחברות ברירת מחדל. 5

Kinryū Labs נתקלה לכאורה במאגר בעת סריקה של מסדי נתונים חשופים במסגרת מחקר הקשור לתוכנות כופר. בהמשך דווח שהגישה למאגר נחסמה או שהוא אינו זמין עוד. 25

אך שאלות מהותיות נותרו פתוחות: זהות מפעיל המאגר, ספק הענן המדויק, בעל השליטה במידע ומערכות המקור שהזינו אותו לא זוהו באופן פומבי ומכריע. 46

האם המידע נגנב או נוצל?

עצם החשיפה פירושה שגורמים לא מורשים יכלו, לפחות תיאורטית, לצפות ברשומות או להעתיק אותן בזמן שהמאגר היה נגיש. מדובר בכשל חמור בסודיות המידע.

מנגד, הדיווחים הציבוריים המצוטטים כאן אינם מציגים ראיה להורדה זדונית מאומתת, למכירה בפורומים עברייניים, לאירוע כופר או להונאת דרכונים שנקשרה ספציפית למאגר זה. 5 גם לא פורסם תיעוד עצמאי ובר-ביקורת של משך החשיפה, של יומני גישה שיכולים לזהות מבקרים, או של מידת העדכניות והאותנטיות של כל הרשומות.

המסקנה הזהירה היא: אין הוכחה שפורסמה לגניבה, אך גם אין הוכחה שהמידע לא הועתק.

למה יש סיכון להונאות גם ללא סיסמאות

לא דווח על סיסמאות במאגר, ולכן הסיכון המיידי לאיפוסי סיסמה או למתקפות של ניסוי סיסמאות דולפות נמוך יותר. אבל המידע עדיין בעל ערך רב להנדסה חברתית.

עבריין שמחזיק בשם, פרטי דרכון, מספר טיסה, מסלול, מושב, הפניית כבודה ושעת נסיעה יכול לשלוח הודעה מזויפת שנראית אמינה, למשל:

• הודעה על שינוי או ביטול טיסה
• דרישה לתשלום על כבודה או הצעת פיצוי
• הודעת "אימות" ויזה או הגירה
• התראה על חשבון מועדון לקוחות של חברת תעופה
• בקשה לאשר מחדש פרטי דרכון לפני הטיסה

נתוני תזמון הנסיעה מעוררים גם חשש לפרטיות ולביטחון אישי: הם יכולים לרמוז מתי אדם אמור להיות בנסיעה או מחוץ לבית. הסיכון בולט במיוחד אצל אנשי צוות, נוסעים תכופים ואנשים המצויים בסיכון אישי מוגבר.

מה כדאי לעשות אם טסתם במסלול רלוונטי

מי שטסו אל וייטנאם, ממנה או דרכה בין ינואר 2017 לאפריל 2026 צריכים לנהוג בזהירות מוגברת מול הודעות נסיעה לא צפויות.

1. אל תלחצו על קישורים בהודעות לא צפויות מחברת תעופה, חברת כבודה, רשות ויזה או הגירה. היכנסו לאפליקציה הרשמית או הקלידו בעצמכם את כתובת האתר המוכרת.
2. אמתו שינויי טיסה באופן עצמאי. בדקו את ההזמנה בערוצים הרשמיים של חברת התעופה לפני תשלום או מסירת פרטי דרכון.
3. הגנו על חשבון הנוסע המתמיד. השתמשו בסיסמה ייחודית והפעילו אימות רב-שלבי, אם השירות מציע זאת.
4. חשדו בבקשה לסריקת דרכון או ל"אישור" פרטי מסמך. צרו קשר עם חברת התעופה, סוכנות הנסיעות או הרשות הממשלתית דרך פרטי קשר מאומתים.
5. שימו לב לחריגות הקשורות למסמכי נסיעה. אם עולה חשד לשימוש לרעה בדרכון או לגניבת זהות, פנו לגוף שהנפיק את הדרכון או לרשות המקומית המתאימה.

ההשלכות הרגולטוריות תלויות בזהות האחראי ובסמכות השיפוט

לא ניתן לקבוע אחריות משפטית על בסיס הדיווחים הקיימים, משום שזהות המפעיל ותפקידי העיבוד הרלוונטיים טרם אומתו.

לפי צו 13/2023/ND-CP בווייטנאם, בעל שליטה במידע אישי או גוף המשלב שליטה ועיבוד שמזהה הפרה של כללי הגנת המידע האישי חייב להודיע לרשות אבטחת הסייבר של משרד הבטחון הציבורי בתוך 72 שעות; במקרה של דיווח מאוחר נדרש נימוק. השאלה אם וכיצד הוראה זו חלה כאן תלויה בזהות הגורם האחראי ובעובדות שטרם פורסמו. 2933

גם חובות לפי ה-GDPR האירופי עשויות לחול אם בעל שליטה או מעבד רלוונטי נכנסים לתחולת התקנה. סעיף 33 מחייב בדרך כלל בעל שליטה להודיע לרשות הפיקוח המוסמכת ללא דיחוי בלתי מוצדק, וככל האפשר בתוך 72 שעות ממועד שנודע לו על הפרת מידע אישי — אלא אם ההפרה אינה צפויה ליצור סיכון לזכויותיהם ולחירויותיהם של אנשים. 43

לעת עתה, העובדה המרכזית ברורה: מאגר גדול של נתוני נסיעה המקושרים לדרכונים נחשף לכאורה בשל כשלים שניתן היה למנוע בבקרת הגישה. השאלות שנותרו — מי הפעיל אותו, מי ניגש אליו והאם הנתונים הועתקו — חשובות לא פחות ממספר הרשומות.