Esposti 220,8 milioni di record APIS: passaporti e itinerari nel database «pax-info»

Un database di dati di viaggio può essere estremamente pericoloso anche senza password. Secondo le ricostruzioni pubblicate, Kinryū Labs ha scoperto il 3 giugno 2026 un cluster Elasticsearch denominato pax-info, collegato al Vietnam, con 220,8 milioni di record del sistema APIS (Advance Passenger Information System). Il sistema sarebbe stato raggiungibile attraverso un percorso cloud alternativo e accettava credenziali predefinite. 259

Che cos’è successo

Il cluster conteneva 220.783.700 record in 29 indici, per circa 107 GB: 210.318.069 record di passeggeri e 10.465.631 di membri dell’equipaggio. Non equivale necessariamente a 220 milioni di persone: chi ha volato più volte, così come il personale di bordo, può comparire in più record. I dati coprivano il periodo da gennaio 2017 ad aprile 2026. 9

APIS è il sistema con cui le compagnie aeree trasmettono alle autorità di frontiera dati identificativi e informazioni sul volo di passeggeri ed equipaggi prima di un viaggio internazionale. L’archivio riguardava persone che avevano viaggiato da, verso o in transito per il Vietnam: non solo cittadini vietnamiti. 212

Quali dati risultano esposti

Tra i campi riportati figurano:

• nome e cognome, data di nascita, sesso e nazionalità;
• numero di passaporto o altro documento di viaggio, Paese di rilascio e data di scadenza;
• numero e data del volo, compagnia aerea, aeroporti di partenza, destinazione e transito;
• posto assegnato, qualifica di passeggero o membro dell’equipaggio, riferimenti del bagaglio e orari programmati, stimati o effettivi. 617

L’unione di dati del passaporto e informazioni reali sull’itinerario rende possibile un raggiro molto credibile: un truffatore potrebbe, per esempio, fingersi la compagnia aerea, il servizio bagagli o un’autorità di immigrazione e citare dettagli autentici del viaggio.

Come è stato possibile l’accesso

Le fonti descrivono una sequenza di configurazioni errate, non l’accesso a un account di un viaggiatore. Il cluster non sarebbe stato direttamente raggiungibile dal web aperto, ma un percorso cloud alternativo ne avrebbe consentito l’accesso; una volta raggiunto, accettava credenziali di default. 5

Kinryū Labs avrebbe intercettato il database durante un’attività di ricerca su database esposti connessa allo studio dei ransomware. In seguito il sistema è stato segnalato come bloccato o non più accessibile. 25

Resta però un punto essenziale: i resoconti pubblici non identificano in modo definitivo il gestore del database, il provider cloud, il titolare del trattamento o i sistemi che alimentavano i record. Il collegamento di rete con il Vietnam non dimostra che il database appartenesse a una specifica compagnia vietnamita, a un aeroporto, a una polizia di frontiera o a un ente governativo. 46

Chi potrebbe essere coinvolto

Le informazioni disponibili consentono una conclusione circoscritta: i record sembrano riguardare passeggeri internazionali e membri d’equipaggio che hanno viaggiato da, verso o attraverso il Vietnam nell’arco dei nove anni indicati. 212

Non risultano invece pubblicati:

• una ripartizione verificata per nazionalità o Paese;
• un elenco confermato delle compagnie coinvolte;
• il numero di persone uniche interessate;
• l’identità dei soggetti che hanno raccolto, controllato o trattato i dati.

Per questo non è corretto attribuire responsabilità a un vettore o a un’autorità solo perché un suo codice di volo poteva figurare nei record.

I dati sono stati rubati o usati?

L’esposizione implica che soggetti non autorizzati avrebbero potuto visualizzare o copiare i record mentre il cluster era accessibile. È già di per sé una grave violazione della riservatezza.

Tuttavia, le fonti qui considerate non riportano prove di un download malevolo confermato, di vendita nei forum criminali, di ransomware o di frodi con passaporti attribuite specificamente a questo archivio. 5 Non è noto neppure per quanto tempo il database sia rimasto esposto, se esistano log capaci di identificare gli accessi o se tutti i record fossero aggiornati e autentici.

La conclusione più prudente è quindi questa: non ci sono prove pubbliche di furto, ma non ci sono neppure prove che nessuno abbia copiato i dati.

Perché il rischio di frode rimane alto anche senza password

L’assenza di password riduce il rischio immediato di reset degli account o di attacchi di credential stuffing. Ma nome, dati del passaporto, numero di volo, rotta, posto, bagaglio e orari costituiscono materiale molto utile per il phishing mirato.

Possibili messaggi fraudolenti potrebbero riguardare:

• una finta modifica o cancellazione del volo;
• richieste di pagamento per bagagli o presunti rimborsi;
• una falsa verifica per visto o immigrazione;
• avvisi su programmi fedeltà della compagnia;
• richieste di riconferma dei dati del passaporto prima della partenza.

Gli orari di viaggio possono inoltre indicare quando una persona è in transito o lontana da casa: un’informazione delicata soprattutto per equipaggi, viaggiatori frequenti e persone con esigenze di sicurezza personale.

Cosa fare se si è viaggiato via Vietnam

Chi ha volato da, verso o attraverso il Vietnam fra gennaio 2017 e aprile 2026 dovrebbe prestare maggiore attenzione ai contatti inattesi relativi a viaggi e documenti.

1. Non aprire link ricevuti in messaggi imprevisti su voli, bagagli, visti o immigrazione. Usare l’app ufficiale o digitare direttamente l’indirizzo noto del sito.
2. Verificare in autonomia le variazioni del volo. Prima di pagare o inviare documenti, controllare la prenotazione tramite i canali ufficiali della compagnia.
3. Proteggere gli account fedeltà. Usare una password unica e attivare l’autenticazione a più fattori, se disponibile.
4. Diffidare delle richieste di scansioni del passaporto o di “conferma” dei dati. Contattare compagnia, agenzia di viaggio o autorità tramite recapiti verificati.
5. Controllare eventuali anomalie legate ai documenti di viaggio. In caso di sospetto uso improprio del passaporto o furto d’identità, rivolgersi all’autorità che lo ha rilasciato o alle forze dell’ordine competenti.

Possibili conseguenze normative

La responsabilità giuridica non può essere attribuita sulla base delle informazioni pubbliche disponibili, perché il gestore e i ruoli nel trattamento restano non verificati.

In base al Decreto vietnamita n. 13/2023/ND-CP, il titolare del trattamento o il soggetto che agisce come titolare-responsabile e rileva una violazione delle norme sulla protezione dei dati personali deve informare l’autorità di cybersicurezza del Ministero della Pubblica Sicurezza entro 72 ore; in caso di ritardo deve indicarne le ragioni. L’applicazione concreta al caso dipende però da soggetti e fatti non ancora accertati. 2933

Potrebbero inoltre entrare in gioco gli obblighi del GDPR se un titolare o responsabile rientra nell’ambito territoriale del regolamento. L’articolo 33 prevede, in generale, la notifica all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo che questa sia improbabile comporti rischi per diritti e libertà delle persone. 43

Il dato fondamentale, per ora, è che un enorme archivio di dati di passaporto e viaggio sarebbe stato esposto per carenze di controllo degli accessi potenzialmente evitabili. Chi lo gestiva, chi vi abbia avuto accesso e se i dati siano stati copiati sono interrogativi importanti quanto il numero dei record.