ベトナム関連「pax-info」露出、航空旅客・乗務員2億2080万件の記録が閲覧可能に

パスワードが含まれていないからといって、安全とは言えない。報道によると、セキュリティ企業Kinryū Labsは2026年6月3日、ベトナムに関連するElasticsearchクラスタ「pax-info」を発見した。このクラスタはクラウド経由の別経路から到達でき、デフォルト認証情報が受け入れられたとされる。中には航空旅客・乗務員のAPIS（Advance Passenger Information System、事前旅客情報システム）記録2億2080万件超が保存されていたという。259

何が起きたのか

報じられたデータベースの規模は、29のインデックスで約107GB。内訳は旅客記録が2億1031万8069件、乗務員記録が1046万5631件で、合計2億2078万3700件だった。9

ただし、これは個人の実人数ではなく「記録数」である。同じ人が複数回搭乗した場合や、乗務員として繰り返し運航に関わった場合は、複数の記録として含まれ得る。対象期間は2017年1月から2026年4月までとされる。9

APISは、国際線の出入国前に、航空会社が旅客・乗務員の本人確認情報や便の情報を当局へ送るために使う仕組みだ。今回の記録は、ベトナムへ渡航した人、ベトナムから出国した人、またはベトナムで乗り継いだ人に関連すると報じられている。そのため、ベトナム国籍者だけに限った問題ではない。212

含まれていたとされる情報

報道で挙げられた主な項目は次の通り。

• 氏名、生年月日、性別、国籍
• 旅券または渡航書類の番号、発行国、有効期限
• 便名、搭乗日、航空会社、出発・到着・乗り継ぎ空港
• 座席番号、旅客・乗務員の区分、手荷物参照情報、予定・推定・実際の移動時刻 617

単なる連絡先リストとは性質が異なる。氏名と生年月日、旅券番号に加え、実際の便・座席・移動日時がそろえば、攻撃者は航空会社や入国管理当局を装ったもっともらしい連絡を作りやすくなる。

露出の経緯：侵入よりもアクセス制御の失敗

今回報じられたのは、利用者アカウントへの侵入ではなく、複数の設定・認証上の不備によるデータベースの露出だ。クラスタは通常の公開インターネットから直接アクセスできる状態ではなかったものの、クラウドベースの別経路を通じてアクセス可能だったとされる。その後、研究者はデフォルト認証情報で接続できたという。5

Kinryū Labsは、ランサムウェア関連の調査で露出したデータベースを調べている際に、このクラスタを発見したと報じられている。のちにアーカイブはロックダウンされ、アクセス不能になったとされる。25

一方で、公表済みの報道だけでは、データベースの運営者、正確なクラウド事業者、データ管理者、記録を提供した元システムは特定されていない。ベトナム関連のネットワーク上にあったことは、特定のベトナム航空会社、空港、出入国当局、政府機関が保有・運用していた証拠にはならない。46

誰が影響を受けた可能性があるか

現時点で裏付けられる範囲では、2017年1月から2026年4月にかけて、ベトナムへの入国・出国または乗り継ぎを伴う国際線を利用した旅客・乗務員が対象に含まれる可能性がある。212

ただし、以下は確認されていない。

• 国籍別・国別の完全な内訳
• 影響を受けた航空会社の確定リスト
• 重複を除いた個人の人数
• どの組織がデータを提供、管理、処理していたか

記録内に便名や航空会社コードがあった可能性だけで、特定の航空会社や当局を責任主体と断定するのは早計だ。

データは盗まれたのか、悪用されたのか

クラスタに到達できた期間中、第三者が記録を閲覧またはコピーできた可能性はある。それだけでも重大な機密性の侵害である。

ただし、ここで参照する公表報道には、このデータベースに紐づく悪意あるダウンロード、犯罪フォーラムでの売買、ランサムウェア被害、旅券詐欺が確認されたという証拠は示されていない。5 また、露出期間、アクセスログから訪問者を特定できるか、全記録が最新かつ正確かについても、独立して検証できる説明は公表されていない。

結論としては慎重であるべきだ。盗まれたという公表済みの証拠はないが、一度もコピーされなかったと証明されてもいない。

パスワードがなくても詐欺に悪用される理由

報告された項目にパスワードは含まれておらず、直接的なパスワード再設定や、流出したID・パスワードを試す「クレデンシャルスタッフィング」の危険性は相対的に低い。

それでも、氏名、旅券情報、便名、経路、座席、手荷物情報、移動時刻を持つ犯罪者は、たとえば次のような偽メッセージを信じさせやすい。

• 欠航・時刻変更の通知
• 手荷物料金や補償金の請求
• ビザ・入国審査に関する「本人確認」
• 航空会社のマイレージアカウント警告
• 搭乗前に旅券情報を再確認するよう求める連絡

さらに旅程や時刻の情報は、本人が空港にいる時期や自宅を離れている時期を推測させ得る。乗務員、出張や渡航の多い人、個人の安全上の配慮が必要な人にとっては、特に慎重な対応が必要になる。

旅行者が今できること

2017年1月から2026年4月の間にベトナムへ渡航、ベトナムから出国、またはベトナムで乗り継いだ人は、旅行に関する突然の連絡をいつも以上に疑って確認したい。

1. 航空会社、手荷物、ビザ、入国審査を名乗る予期しないメッセージのリンクは開かない。 公式アプリを使うか、既知の公式サイトのURLを自分で入力する。
2. 時刻変更や追加料金は公式経路で照合する。 支払いや旅券情報の送信前に、航空会社の公式サイト・窓口で予約内容を確認する。
3. 航空会社のマイレージアカウントを保護する。 他サービスと使い回さないパスワードを設定し、利用可能なら多要素認証を有効にする。
4. 旅券の写しや番号の「再確認」を求められても、すぐ送らない。 航空会社、旅行代理店、当局に、公式に確認済みの連絡先から問い合わせる。
5. 旅券・本人情報の不自然な利用に注意する。 悪用やなりすましが疑われる場合は、旅券発給機関や居住地の関係当局へ相談する。

規制上の責任は、運営主体と適用法の確認が前提

公開情報だけでは、誰がデータを管理・運用していたかが確認できないため、法的責任を特定の組織に帰すことはできない。

ベトナムの政令13/2023/ND-CPでは、個人データ保護規則への違反を発見した個人データ管理者、または管理・処理者は、原則として72時間以内に公安省のサイバーセキュリティ当局へ通知し、遅延する場合は理由を示す必要がある。この事案にどう適用されるかは、責任主体と未公表の事実関係による。2933

EU一般データ保護規則（GDPR）についても、関係する管理者または処理者が域外適用を含む適用範囲に入る場合、義務が生じ得る。GDPR第33条は、個人の権利・自由へのリスクが生じにくい場合を除き、管理者が侵害を認知してから不当な遅滞なく、可能な限り72時間以内に所管監督当局へ通知することを原則としている。43

現時点で明確なのは、旅券情報と結び付いた大規模な渡航記録の保管庫が、避けられた可能性のあるアクセス制御上の不備により露出したと報じられていることだ。誰が運用していたのか、誰がアクセスしたのか、データがコピーされたのかという未解明の点は、記録件数そのものと同じほど重要である。