Vietnamkopplad dataläcka exponerade 220,8 miljoner flygresor

En exponerad resedatabas kan vara mycket farlig även utan lösenord. Kinryū Labs uppges den 3 juni 2026 ha hittat ett Vietnamkopplat Elasticsearch-kluster med namnet pax-info. Det innehöll 220,8 miljoner poster från systemet Advance Passenger Information System, APIS, och ska ha kunnat nås via en alternativ molnbaserad åtkomstväg med standardinloggning. 259

220,8 miljoner poster – inte nödvändigtvis lika många personer

Databasen innehöll enligt rapporteringen 220 783 700 poster i 29 index, på omkring 107 GB. Av dem gällde 210 318 069 passagerare och 10 465 631 besättningsmedlemmar. En post motsvarar inte alltid en unik person: den som flyger ofta, liksom flygpersonal, kan förekomma flera gånger. Uppgifterna sträckte sig från januari 2017 till april 2026. 9

APIS används för att flygbolag ska kunna skicka identitets- och flyguppgifter om passagerare och besättning till gränsmyndigheter före internationella resor. Materialet ska ha omfattat personer som reste till, från eller via Vietnam. Det innebär att exponeringen inte bara berör vietnamesiska medborgare. 212

Uppgifter som ska ha funnits i databasen

De exponerade fälten ska bland annat ha omfattat:

• fullständigt namn, födelsedatum, kön och nationalitet
• pass- eller resehandlingsnummer, utfärdandeland och sista giltighetsdag
• flygnummer, resedatum, flygbolagsuppgifter samt avrese-, destinations- och transitflygplatser
• sittplats, status som passagerare eller besättningsmedlem, bagagereferenser samt planerade, beräknade och faktiska restider. 617

Detta är mer känsligt än en vanlig läcka av kontaktuppgifter. Ett passnummer tillsammans med födelsedatum och exakta reseuppgifter kan göra det enklare att utge sig för att vara ett flygbolag, en immigrationsmyndighet eller en reseaktör.

Så kunde systemet nås

Rapporterna beskriver en kedja av säkerhetsbrister, inte ett intrång i en resenärs konto. Klustret ska inte ha varit direkt tillgängligt från det öppna internet, men en alternativ molnbaserad väg gav åtkomst. Via den vägen accepterade systemet enligt uppgift standarduppgifter för inloggning. 5

Kinryū Labs ska ha stött på databasen under kartläggning av exponerade databaser i samband med forskning om ransomware. Den uppges senare ha låsts ned eller inte längre vara tillgänglig. 25

Däremot har offentlig rapportering inte fastslagit vem som drev databasen, vilken molnleverantör som användes, vem som var personuppgiftsansvarig eller vilka källsystem uppgifterna kom från. Att infrastrukturen har kopplats till Vietnam är inte bevis för att ett visst vietnamesiskt flygbolag, en flygplats, en gränsmyndighet eller en myndighet ägde databasen. 46

Vilka kan ha drabbats?

Det som stöds av rapporteringen är att materialet tycks omfatta internationella passagerare och besättningsmedlemmar som reste till, från eller via Vietnam under den aktuella nioårsperioden. 212

Det saknas fortfarande offentlig bekräftelse på:

• en uppdelning efter nationalitet eller land
• en verifierad lista över berörda flygbolag
• antalet unika individer
• vilka organisationer som lämnat, kontrollerat eller behandlat uppgifterna.

Det vore därför förhastat att peka ut ett namngivet flygbolag eller en myndighet som ansvarig enbart för att en flygkod eller resa kan ha funnits i materialet.

Finns det bevis för stöld eller missbruk?

Exponeringen innebar att obehöriga potentiellt kunde ha sett eller kopierat posterna medan klustret var åtkomligt. Det är i sig ett allvarligt sekretessbrott.

Men de offentliga uppgifter som citeras här innehåller inga bekräftade bevis på en skadlig nedladdning, försäljning på kriminella forum, ransomware-angrepp eller passbedrägerier som specifikt kan knytas till denna databas. 5 Det finns heller ingen offentligt granskbar redogörelse för hur länge systemet var exponerat, om åtkomstloggar kan visa vilka som besökte det eller om samtliga poster var aktuella och korrekta.

Den försiktiga slutsatsen är: det finns inget rapporterat bevis för stöld, men inte heller något bevis för att kopiering aldrig skedde.

Varför risken är stor även utan lösenord

Inga lösenord uppges ha ingått i de exponerade fälten. Det minskar risken för direkta lösenordsåterställningar och klassiska credential-stuffing-attacker. Men materialet är fortfarande värdefullt för riktade bedrägerier.

En bedragare som känner till namn, passuppgifter, flygnummer, resrutt, sittplats, bagagereferens och restid kan skapa mycket trovärdiga falska meddelanden om exempelvis:

• ändrad eller inställd flygning
• bagageavgift eller ersättning
• ”verifiering” för visum eller inresa
• varning om ett bonus- eller lojalitetskonto
• krav på att bekräfta passuppgifter inför en resa.

Resans tidpunkter kan också avslöja när någon väntades vara på resa eller borta från hemmet. Det kan vara särskilt känsligt för besättningsmedlemmar, frekventa resenärer och personer med förhöjd personlig säkerhetsrisk.

Så minskar du risken

Har du rest till, från eller via Vietnam mellan januari 2017 och april 2026 finns det skäl att vara extra skeptisk till oväntade resemeddelanden.

1. Klicka inte på länkar i oväntade meddelanden om flyg, bagage, visum eller inresa. Öppna flygbolagets officiella app eller skriv själv in den kända webbadressen.
2. Kontrollera ändringar i bokningen via officiella kanaler. Betala inte en avgift och lämna inte ut passuppgifter innan du har verifierat informationen direkt med flygbolaget.
3. Skydda bonus- och lojalitetskonton. Använd ett unikt lösenord och aktivera flerfaktorsautentisering där det finns.
4. Var försiktig med krav på passkopior eller ”bekräftelse” av passuppgifter. Kontakta flygbolag, resebyrå eller berörd myndighet genom en verifierad kontaktväg.
5. Var uppmärksam på tecken på missbruk av resehandlingar eller identitet. Kontakta passutfärdaren eller relevant myndighet om du misstänker bedrägeri.

Reglerna beror på vem som faktiskt ansvarade

Det går ännu inte att slå fast juridiskt ansvar eftersom operatören och rollerna i personuppgiftsbehandlingen inte är verifierade.

Enligt Vietnams dekret 13/2023/ND-CP ska en personuppgiftsansvarig eller en aktör som både ansvarar för och behandlar uppgifterna, när en överträdelse av reglerna om personuppgiftsskydd upptäcks, anmäla den till cybersäkerhetsmyndigheten under ministeriet för allmän säkerhet inom 72 timmar. En försenad anmälan ska motiveras. Om och hur regeln träffar det här fallet beror på omständigheter som ännu inte är offentliga. 2933

Även GDPR kan bli relevant om en berörd personuppgiftsansvarig eller ett personuppgiftsbiträde omfattas av förordningens territoriella tillämpning. Enligt artikel 33 ska den personuppgiftsansvarige normalt underrätta behörig tillsynsmyndighet utan onödigt dröjsmål och, när det är möjligt, inom 72 timmar från det att överträdelsen blev känd – såvida den sannolikt inte medför risk för fysiska personers rättigheter och friheter. 43

Det centrala är redan tydligt: ett mycket stort register med passkopplade reseuppgifter ska ha exponerats genom brister i åtkomstkontrollen. Frågorna om vem som drev systemet, vem som kan ha fått åtkomst och om informationen kopierades är minst lika viktiga som den stora siffran på antalet poster.