‘pax-info’-lek legde 220,8 miljoen reisgegevens van vliegtuigpassagiers bloot

Een blootgestelde reisdatabase is ook zonder wachtwoorden een ernstig privacy- en veiligheidsrisico. Volgens berichtgeving ontdekte Kinryū Labs op 3 juni 2026 een Vietnam-gerelateerd Elasticsearch-cluster met de naam pax-info. Via een alternatieve cloudroute zou de database bereikbaar zijn geweest en standaardinloggegevens hebben geaccepteerd. Het systeem bevatte 220,8 miljoen records uit het Advance Passenger Information System (APIS). 259

Wat is er blootgesteld?

De database zou 220.783.700 records in 29 indexen hebben bevat, samen goed voor ongeveer 107 GB. Daarvan waren 210.318.069 records van passagiers en 10.465.631 van bemanningsleden. Het gaat om records, niet per se om evenveel unieke personen: frequente reizigers en cabine- of cockpitpersoneel kunnen meerdere keren voorkomen. De gegevens besloegen de periode van januari 2017 tot en met april 2026. 9

APIS is een systeem waarmee luchtvaartmaatschappijen vóór internationale reizen identiteits- en vluchtgegevens van passagiers en bemanning aan grensautoriteiten doorgeven. De aangetroffen gegevens hadden betrekking op mensen die naar, vanuit of via Vietnam reisden. Het lek beperkt zich dus niet tot Vietnamese staatsburgers. 212

Volgens de berichtgeving stonden onder meer deze gegevens in de records:

• volledige naam, geboortedatum, geslacht en nationaliteit;
• paspoort- of reisdocumentnummer, land van afgifte en vervaldatum;
• vluchtnummer en -datum, luchtvaartmaatschappij, vertrek-, bestemming- en transitluchthaven;
• stoelnummer, status als passagier of bemanningslid, bagagereferenties en geplande, geschatte en werkelijke reismomenten. 617

Juist de combinatie maakt de gegevens gevoelig. Met een paspoortnummer en geboortedatum kunnen oplichters zich geloofwaardig voordoen als een luchtvaartmaatschappij of reisautoriteit. Echte gegevens over route, stoel en vertrektijd maken zo'n bericht extra overtuigend.

Hoe kon dit gebeuren?

De beschikbare beschrijvingen wijzen niet op een inbraak in accounts van reizigers, maar op een reeks gebreken in de toegangsbeveiliging. Het cluster was naar verluidt niet rechtstreeks vanaf het open internet bereikbaar, maar kon wel worden benaderd via een alternatieve, cloudgebaseerde route. Via die route accepteerde het systeem standaardinloggegevens. 5

Kinryū Labs zou de database hebben aangetroffen tijdens onderzoek naar blootgestelde databases in verband met ransomware. Later werd gemeld dat de gegevens niet langer bereikbaar waren of waren afgeschermd. 25

Belangrijke vragen zijn echter nog onbeantwoord. Openbare berichtgeving wijst niet definitief een beheerder, cloudprovider, verwerkingsverantwoordelijke of bronsysteem aan. Dat een server een netwerkverbinding met Vietnam had, bewijst niet dat een bepaalde Vietnamese luchtvaartmaatschappij, luchthaven, grensautoriteit of overheidsdienst eigenaar was van de database. 46

Wie kunnen zijn getroffen?

Wat de berichtgeving wel ondersteunt, is een brede maar afgebakende conclusie: het gaat vermoedelijk om internationale passagiers en bemanningsleden die tussen januari 2017 en april 2026 naar, vanuit of via Vietnam reisden. 212

Niet vastgesteld zijn onder meer:

• een uitsplitsing naar nationaliteit of land;
• een geverifieerde lijst van betrokken luchtvaartmaatschappijen;
• het aantal unieke personen;
• welke organisaties de gegevens aanleverden, beheerden of verwerkten.

Daarom is het te vroeg om een specifieke maatschappij of autoriteit verantwoordelijk te noemen, alleen omdat een vlucht of airlinecode in de database kan hebben gestaan.

Is er bewijs dat gegevens zijn gestolen of misbruikt?

Doordat de database bereikbaar was, konden onbevoegden de gegevens mogelijk inzien of kopiëren. Dat is op zichzelf al een ernstige schending van de vertrouwelijkheid.

De openbare berichtgeving noemt echter geen bevestigd bewijs van een kwaadwillende download, verkoop op criminele fora, ransomware-aanval of paspoortfraude die specifiek aan deze database is gekoppeld. 5 Ook is niet onafhankelijk te controleren hoe lang het cluster openstond, of toegangslogs bezoekers konden identificeren en of alle records actueel en authentiek waren.

De zorgvuldige conclusie luidt dus: er is geen gemeld bewijs van diefstal, maar ook geen bewijs dat kopiëren niet heeft plaatsgevonden.

Waarom dit fraude mogelijk maakt, ook zonder wachtwoorden

Er zouden geen wachtwoorden in de blootgestelde velden hebben gestaan. Dat verkleint het directe risico op wachtwoordresets of credential stuffing. Maar voor gerichte phishing zijn deze gegevens nog steeds zeer waardevol.

Iemand met naam, paspoortdetails, vlucht, route, stoel, bagagereferentie en reistijd kan bijvoorbeeld een geloofwaardig vals bericht sturen over:

• een vluchtwijziging of annulering;
• bagagekosten of compensatie;
• een ‘controle’ voor visum of immigratie;
• een waarschuwing over een loyaliteitsaccount van een luchtvaartmaatschappij;
• een verzoek om paspoortgegevens vóór vertrek opnieuw te bevestigen.

Reistijden kunnen bovendien onthullen wanneer iemand onderweg is of van huis verwacht wordt te zijn. Dat vergroot de privacy- en veiligheidsrisico's, vooral voor bemanningsleden, frequente reizigers en mensen met een verhoogd persoonlijk veiligheidsrisico.

Wat kun je als reiziger doen?

Heb je tussen januari 2017 en april 2026 naar, vanuit of via Vietnam gevlogen? Wees dan extra kritisch op ongevraagde reisberichten.

1. Klik niet op links in onverwachte berichten over vluchten, bagage, visa of immigratie. Open zelf de officiële app van de maatschappij of typ het bekende webadres in.
2. Controleer vluchtwijzigingen zelfstandig. Kijk via de officiële kanalen van de maatschappij of in je boeking voordat je betaalt of paspoortgegevens deelt.
3. Beveilig je frequentflyeraccount. Kies een uniek wachtwoord en schakel tweestapsverificatie in als die beschikbaar is.
4. Wees terughoudend met paspoortscans en verzoeken om gegevens te ‘bevestigen’. Neem zelf contact op met de luchtvaartmaatschappij, reisorganisatie of overheidsinstantie via een geverifieerd kanaal.
5. Let op signalen van misbruik van reisdocumenten. Bij een vermoeden van identiteitsfraude of paspoortmisbruik kun je contact opnemen met de instantie die je paspoort heeft afgegeven of met de lokale autoriteiten.

Mogelijke juridische gevolgen hangen af van wie verantwoordelijk was

Wie juridisch verantwoordelijk is, kan op basis van de huidige berichtgeving niet worden vastgesteld: de beheerder en de relevante rollen bij de gegevensverwerking zijn niet geverifieerd.

Op grond van het Vietnamese Decree 13/2023/ND-CP moet een verwerkingsverantwoordelijke, of een partij die zowel verantwoordelijke als verwerker is, een geconstateerde schending van de regels voor persoonsgegevens binnen 72 uur melden bij de cyberbeveiligingsautoriteit van het ministerie van Openbare Veiligheid. Bij een late melding moet een reden worden opgegeven. Of en hoe dat hier geldt, hangt af van feiten die nog niet openbaar zijn. 2933

Ook de AVG kan van toepassing zijn als een betrokken verwerkingsverantwoordelijke of verwerker binnen het territoriale bereik van die Europese privacywet valt. Artikel 33 schrijft in beginsel voor dat de verwerkingsverantwoordelijke de bevoegde toezichthouder zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na ontdekking van een datalek informeert — tenzij het lek waarschijnlijk geen risico oplevert voor de rechten en vrijheden van personen. 43

De kern staat vooralsnog vast: een zeer grote verzameling reisrecords met paspoortgegevens was volgens de berichtgeving blootgesteld door vermijdbare fouten in de toegangsbeveiliging. Wie het systeem beheerde, wie er toegang toe had en of gegevens zijn gekopieerd, zijn vragen die net zo belangrijk blijven als het enorme aantal records zelf.