Во Вьетнаме обнаружили базу с 220,8 млн записей пассажиров и экипажей

Речь идёт не о взломе аккаунтов с паролями, а о серьёзном раскрытии паспортных и маршрутных данных. По сообщениям СМИ, исследователи Kinryū Labs 3 июня 2026 года обнаружили связанный со Вьетнамом кластер Elasticsearch с названием pax-info. Он содержал 220,8 млн записей системы APIS и был доступен через альтернативный облачный маршрут; для входа принимались стандартные учётные данные. 259

Что именно обнаружили

В кластере находились 220 783 700 записей в 29 индексах общим объёмом около 107 ГБ. Из них 210 318 069 относились к пассажирам, ещё 10 465 631 — к членам экипажа. Это число записей, а не обязательно число уникальных людей: один и тот же часто летающий пассажир или сотрудник экипажа мог фигурировать в базе многократно. Данные охватывали период с января 2017 года по апрель 2026 года. 9

APIS — Advance Passenger Information System, система предварительной информации о пассажирах. Авиакомпании передают через неё идентификационные и полётные сведения о пассажирах и экипаже государственным органам до международной поездки. Судя по публикациям, база включала данные людей, направлявшихся во Вьетнам, из Вьетнама или следовавших через него транзитом. Поэтому потенциальный круг затронутых лиц не ограничивается гражданами Вьетнама. 212

Какие данные могли быть раскрыты

В опубликованных описаниях упоминаются следующие поля:

• полные имена, даты рождения, пол и гражданство;
• номера паспортов или иных проездных документов, страны выдачи и сроки действия;
• номера и даты рейсов, сведения об авиакомпаниях, аэропортах вылета, назначения и транзита;
• места в самолёте, статус пассажира или члена экипажа, ссылки на багаж, а также плановое, ожидаемое и фактическое время поездки. 617

Такой набор существенно опаснее обычной утечки контактных данных. Комбинация паспортного номера, даты рождения и точной информации о перелёте способна сделать мошенническое сообщение крайне убедительным.

Как база оказалась доступна

Согласно сообщениям о находке, проблема была вызвана цепочкой ошибок настройки, а не компрометацией личного кабинета путешественника. Кластер Elasticsearch якобы не открывался напрямую из публичного интернета, но к нему существовал альтернативный доступ через облачный путь. При подключении этим способом исследователи обнаружили, что система принимает стандартные учётные данные. 5

Kinryū Labs, как сообщается, нашла кластер во время исследования открытых баз данных в рамках работы, связанной с активностью программ-вымогателей. Позднее база была закрыта либо перестала быть доступной. 25

При этом публичные материалы не устанавливают окончательно, кому принадлежала система, какой облачный провайдер использовался, кто был оператором и контролёром данных и из каких исходных систем в неё поступали записи. Сетевая привязка сервера ко Вьетнаму сама по себе не доказывает, что базой владела конкретная вьетнамская авиакомпания, аэропорт, пограничная служба или государственный орган. 46

Кто мог пострадать

Доступная информация позволяет сделать ограниченный вывод: потенциально затронуты международные пассажиры и члены экипажей, которые с января 2017 года по апрель 2026 года летели во Вьетнам, из него или пересаживались там. 212

Однако из публикаций нельзя установить:

• полный перечень национальностей и распределение по странам;
• подтверждённый список затронутых авиакомпаний;
• точное число уникальных людей;
• организации, которые передавали, обрабатывали или контролировали эти данные.

Поэтому называть ответственным конкретного перевозчика или ведомство только потому, что в записях могли встречаться его рейсы или коды, было бы преждевременно.

Есть ли доказательства кражи или злоупотребления данными

Пока кластер был доступен, посторонние лица могли просматривать или копировать записи. Уже сам факт такой возможности означает серьёзное нарушение конфиденциальности.

В то же время в доступных публикациях нет подтверждения злонамеренной выгрузки базы, продажи на криминальных площадках, атаки вымогателей или случаев паспортного мошенничества, напрямую связанных именно с этой системой. 5 Также нет независимо проверяемой публичной информации о сроке доступности кластера, наличии и содержании журналов доступа либо достоверности и актуальности каждой записи.

Корректная формулировка такова: доказательств кражи пока не опубликовано, но и доказательств того, что никто не успел скопировать данные, тоже нет.

Почему риск мошенничества высок даже без паролей

Пароли среди раскрытых полей не упоминались. Это снижает риск прямого сброса паролей и атак с подбором уже украденных учётных данных. Но база всё равно представляет большую ценность для социальной инженерии.

Злоумышленник, знающий имя человека, паспортные данные, номер рейса, маршрут, место, сведения о багаже и время поездки, может правдоподобно разослать поддельное:

• уведомление о переносе или отмене рейса;
• требование оплатить багаж либо обещание компенсации;
• сообщение о «проверке» визы или миграционных документов;
• предупреждение от программы лояльности авиакомпании;
• просьбу повторно подтвердить паспортные данные перед вылетом.

Сведения о времени поездок создают и дополнительный риск для частной безопасности: они могут показывать, когда человек находится в пути или отсутствует дома. Это особенно чувствительно для членов экипажей, часто летающих пассажиров и людей, которым требуется повышенная личная защита.

Что делать путешественникам

Если вы летали во Вьетнам, из него или транзитом через страну в период с января 2017 года по апрель 2026 года, стоит внимательнее относиться к неожиданным сообщениям на тему поездок.

1. Не переходите по ссылкам из неожиданных писем и сообщений якобы от авиакомпании, службы багажа, визового центра или миграционных органов. Откройте официальное приложение либо самостоятельно введите известный адрес сайта.
2. Проверяйте переносы рейсов самостоятельно. Прежде чем платить сбор или отправлять документы, проверьте бронирование через официальный канал перевозчика.
3. Защитите аккаунты программ лояльности. Используйте уникальный пароль и включите двухфакторную аутентификацию, если она доступна.
4. С осторожностью относитесь к просьбам прислать скан паспорта или подтвердить его реквизиты. Свяжитесь с авиакомпанией, агентством или ведомством по проверенным контактам.
5. Следите за признаками злоупотребления документом. При подозрении на использование паспорта третьими лицами обратитесь в орган, выдавший документ, или в компетентные местные службы.

Возможные правовые последствия зависят от того, кому принадлежала база

По имеющимся данным нельзя распределить юридическую ответственность: оператор базы и его роль в обработке данных не подтверждены.

Согласно вьетнамскому декрету № 13/2023/ND-CP, контролёр персональных данных либо организация, совмещающая функции контролёра и обработчика, при выявлении нарушения правил защиты персональных данных должна уведомить подразделение кибербезопасности Министерства общественной безопасности в течение 72 часов. При позднем уведомлении требуется указать причины. Применимость этого правила к данному случаю зависит от личности ответственной организации и обстоятельств, которые пока не раскрыты. 2933

Обязательства по GDPR также могут возникнуть, если соответствующий контролёр или обработчик подпадает под территориальную сферу действия регламента. Статья 33 GDPR в общем случае требует уведомить компетентный надзорный орган без неоправданной задержки и, если это возможно, не позднее 72 часов после того, как контролёру стало известно об утечке, если она не выглядит маловероятной с точки зрения риска для прав и свобод людей. 43

На данный момент главное ясно: большой массив связанных с паспортами данных о поездках, по сообщениям СМИ, оказался доступен из-за предотвратимых ошибок контроля доступа. Вопросы о том, кто управлял системой, кто успел получить доступ и были ли данные скопированы, остаются не менее важными, чем сам масштаб базы.