Database “pax-info” Terkait Vietnam Ekspos 220,8 Juta Catatan Perjalanan Maskapai

Kebocoran sistem data perjalanan tetap berisiko tinggi meski tidak memuat kata sandi. Kinryū Labs dilaporkan menemukan klaster Elasticsearch terkait Vietnam bernama pax-info pada 3 Juni 2026. Database itu berisi 220,8 juta catatan Advance Passenger Information System (APIS), sistem yang dipakai maskapai untuk mengirim data identitas dan penerbangan penumpang maupun awak kepada otoritas perbatasan sebelum perjalanan internasional. 259

Angka besar ini adalah catatan perjalanan, bukan pasti jumlah orang

Database tersebut dilaporkan memiliki 220.783.700 catatan dalam 29 indeks, dengan total ukuran sekitar 107 GB. Rinciannya terdiri dari 210.318.069 entri penumpang dan 10.465.631 entri awak pesawat. Data mencakup periode Januari 2017 sampai April 2026. 9

Jumlah itu tidak otomatis berarti ada 220,8 juta orang berbeda. Seseorang yang sering bepergian, atau awak pesawat yang berulang kali bertugas, dapat muncul dalam lebih dari satu catatan.

Cakupannya disebut berkaitan dengan penumpang dan kru yang bepergian ke, dari, atau transit melalui Vietnam. Artinya, potensi dampaknya tidak terbatas pada warga negara Vietnam. 212

Data apa saja yang dilaporkan terekspos?

Kolom data yang dilaporkan terlihat mencakup:

• Nama lengkap, tanggal lahir, jenis kelamin, dan kewarganegaraan
• Nomor paspor atau dokumen perjalanan, negara penerbit, serta tanggal kedaluwarsa
• Nomor dan tanggal penerbangan, informasi maskapai, serta bandara keberangkatan, tujuan, dan transit
• Nomor kursi, status penumpang atau awak, referensi bagasi, serta jadwal dan waktu perjalanan yang diperkirakan maupun aktual 617

Kombinasi ini jauh lebih sensitif daripada kebocoran data kontak biasa. Nama, nomor paspor, tanggal lahir, dan detail penerbangan aktual dapat dipakai pelaku untuk membuat pesan penipuan yang sangat meyakinkan.

Bagaimana database itu bisa diakses?

Laporan mengenai penemuan tersebut menggambarkan masalahnya sebagai rangkaian kegagalan konfigurasi, bukan pembobolan akun milik penumpang. Klaster Elasticsearch itu disebut tidak dapat diakses langsung dari internet terbuka, tetapi terdapat jalur alternatif berbasis cloud yang memungkinkan akses. Setelah masuk melalui jalur tersebut, peneliti mendapati kredensial bawaan (default credentials) masih diterima. 5

Kinryū Labs dilaporkan menemukan sistem itu ketika menelusuri database terekspos untuk riset terkait ransomware. Database tersebut kemudian dilaporkan telah dikunci atau tidak lagi bisa diakses. 25

Namun, sejumlah pertanyaan penting masih belum terjawab secara publik. Pelaporan yang tersedia belum mengidentifikasi secara konklusif operator database, penyedia cloud, pengendali data, maupun sistem sumber yang memasok data tersebut. Lokasi jaringan yang terkait Vietnam tidak membuktikan bahwa database itu dimiliki maskapai, bandara, otoritas perbatasan, atau lembaga pemerintah Vietnam tertentu. 46

Siapa yang mungkin terdampak?

Kesimpulan yang didukung laporan saat ini bersifat luas, tetapi terbatas: data tampaknya mencakup penumpang internasional dan awak pesawat yang bepergian ke, dari, atau transit melalui Vietnam pada periode sembilan tahun tersebut. 212

Yang belum dipastikan antara lain:

• Rincian kewarganegaraan atau negara asal yang lengkap
• Daftar maskapai terdampak yang telah diverifikasi
• Jumlah orang unik dalam database
• Organisasi mana yang memasok, mengendalikan, atau memproses data

Karena itu, tidak tepat menyebut maskapai atau otoritas tertentu sebagai pihak yang bertanggung jawab hanya berdasarkan kemungkinan kode penerbangan atau data maskapai muncul di dalam catatan.

Apakah data sudah dicuri atau disalahgunakan?

Selama database dapat diakses, pihak tak berwenang berpotensi melihat atau menyalin catatan tersebut. Itu sendiri merupakan kegagalan kerahasiaan data yang serius.

Namun, laporan publik yang tersedia tidak menunjukkan bukti terkonfirmasi bahwa data ini telah diunduh secara jahat, dijual di forum kriminal, terkait serangan ransomware, atau digunakan untuk penipuan paspor tertentu. 5 Belum ada pula keterangan publik yang dapat diaudit secara independen tentang berapa lama database terekspos, apakah log akses dapat mengidentifikasi pengunjung, atau apakah seluruh catatan masih aktual dan autentik.

Kesimpulannya harus hati-hati: belum ada bukti yang dilaporkan bahwa data dicuri, tetapi juga tidak ada bukti bahwa penyalinan tidak pernah terjadi.

Mengapa tetap berbahaya meski tanpa kata sandi?

Tidak ada kata sandi yang dilaporkan ikut terekspos. Hal itu memang mengurangi risiko langsung seperti pengaturan ulang kata sandi atau serangan credential stuffing. Namun, dataset semacam ini tetap sangat bernilai untuk rekayasa sosial dan phishing bertarget.

Pelaku yang mengetahui nama, detail paspor, nomor penerbangan, rute, kursi, referensi bagasi, serta waktu perjalanan seseorang dapat mengirim pesan palsu yang tampak sah, misalnya:

• Pemberitahuan perubahan jadwal atau pembatalan penerbangan
• Tagihan biaya bagasi atau tawaran kompensasi
• Pesan “verifikasi” visa atau imigrasi
• Peringatan akun program loyalitas maskapai
• Permintaan untuk mengonfirmasi kembali data paspor sebelum terbang

Data waktu perjalanan juga dapat mengungkap kapan seseorang diperkirakan sedang transit atau tidak berada di rumah. Risikonya lebih besar bagi awak pesawat, pelancong rutin, dan orang yang memiliki kebutuhan keamanan pribadi tinggi.

Langkah praktis bagi pelancong

Jika Anda bepergian ke, dari, atau transit melalui Vietnam antara Januari 2017 dan April 2026, waspadai pesan perjalanan yang tidak diminta.

1. Jangan klik tautan dalam pesan tak terduga yang mengatasnamakan maskapai, bagasi, visa, atau imigrasi. Buka aplikasi resmi atau ketik sendiri alamat situs yang sudah Anda kenal.
2. Verifikasi perubahan jadwal secara mandiri. Cek pemesanan lewat kanal resmi maskapai sebelum membayar biaya atau memberikan data paspor.
3. Amankan akun program loyalitas maskapai. Gunakan kata sandi unik dan aktifkan autentikasi multifaktor jika tersedia.
4. Jangan langsung mengirim pindaian paspor. Bila ada permintaan “konfirmasi” data dokumen, hubungi maskapai, agen perjalanan, atau otoritas terkait melalui kontak resmi yang terverifikasi.
5. Perhatikan indikasi penyalahgunaan identitas atau dokumen perjalanan. Jika mencurigai penyalahgunaan paspor, segera hubungi instansi penerbit paspor atau otoritas setempat.

Implikasi hukum bergantung pada siapa pengelolanya

Tanggung jawab hukum belum dapat ditetapkan dari informasi publik yang tersedia karena operator dan peran pemrosesan datanya belum diverifikasi.

Berdasarkan Dekret Vietnam No. 13/2023/ND-CP, pengendali data pribadi atau pengendali-pemroses yang mengetahui pelanggaran aturan perlindungan data pribadi wajib memberi tahu otoritas keamanan siber di bawah Kementerian Keamanan Publik dalam waktu 72 jam. Keterlambatan perlu disertai alasan. Penerapannya pada insiden ini bergantung pada pihak yang bertanggung jawab dan fakta yang belum dipublikasikan. 2933

Kewajiban GDPR Uni Eropa juga dapat muncul bila pengendali atau pemroses yang terkait berada dalam cakupan teritorial aturan tersebut. Pasal 33 GDPR pada umumnya mengharuskan pengendali memberitahukan pelanggaran data pribadi kepada otoritas pengawas yang berwenang tanpa penundaan yang tidak semestinya dan, jika memungkinkan, dalam 72 jam setelah mengetahui insiden—kecuali pelanggaran itu kecil kemungkinannya menimbulkan risiko bagi hak dan kebebasan individu. 43

Fakta utama yang sudah dilaporkan adalah adanya repositori besar berisi data perjalanan yang terhubung dengan paspor dan diduga terekspos akibat kegagalan kontrol akses yang sebenarnya dapat dicegah. Pertanyaan mengenai siapa pengelolanya, siapa yang sempat mengaksesnya, dan apakah data disalin sama pentingnya dengan besarnya jumlah catatan.