Витік «pax-info»: під загрозою опинилися 220,8 млн записів про авіаподорожі

Витік даних про поїздки небезпечний навіть тоді, коли в ньому немає паролів. За даними медіа, компанія Kinryū Labs 3 червня 2026 року виявила пов’язаний із Вʼєтнамом кластер Elasticsearch під назвою pax-info. Він містив 220,8 млн записів системи Advance Passenger Information System (APIS) — системи попередньої інформації про пасажирів. До бази можна було дістатися альтернативним хмарним шляхом, а для входу приймалися стандартні облікові дані. 259

Що саме сталося

У базі налічувалося 220 783 700 записів у 29 індексах загальним обсягом близько 107 ГБ: 210 318 069 записів про пасажирів і 10 465 631 — про членів екіпажу. Це не означає стільки ж унікальних людей: пасажир, який часто літав, або працівник екіпажу міг фігурувати в базі багато разів. Дані охоплювали період від січня 2017 року до квітня 2026 року. 9

APIS — це дані, які авіакомпанії передають прикордонним органам до міжнародної подорожі пасажира чи члена екіпажу. Повідомляється, що записи стосувалися осіб, які летіли до Вʼєтнаму, з Вʼєтнаму або транзитом через нього. Отже, йдеться не лише про громадян Вʼєтнаму. 212

Які дані були відкритими

За повідомленнями, записи могли містити:

• повні імена, дати народження, стать і громадянство;
• номери паспортів або інших проїзних документів, країни видачі та дати завершення їхньої дії;
• номери й дати рейсів, дані авіакомпаній, аеропорти вильоту, призначення та транзиту;
• номери місць, статус пасажира або члена екіпажу, багажні посилання, а також запланований, очікуваний і фактичний час подорожі. 617

Такий набір значно чутливіший за витік звичайних контактів. Поєднання номера паспорта, дати народження та реальних деталей маршруту може допомогти шахраям видати себе за авіакомпанію, прикордонну службу чи візовий центр.

Як база стала доступною

Опис інциденту вказує не на злам облікового запису мандрівника, а на ланцюжок помилок у налаштуваннях. Кластер Elasticsearch, за наявними даними, не був прямо доступний із відкритого інтернету, але альтернативний хмарний маршрут давав змогу до нього потрапити. Після цього дослідники з’ясували, що система приймає стандартні облікові дані. 5

Kinryū Labs, за повідомленнями, натрапила на кластер під час дослідження відкритих баз даних, пов’язаного з активністю програм-вимагачів. Пізніше базу нібито закрили або вона перестала бути доступною. 25

Водночас публічні повідомлення не встановлюють остаточно, хто був оператором бази, який саме хмарний провайдер її обслуговував, хто був контролером даних і з яких систем надходили записи. Те, що сервер був пов’язаний із вʼєтнамською мережевою інфраструктурою, не доводить належність бази конкретній авіакомпанії, аеропорту, прикордонному органу чи державній установі Вʼєтнаму. 46

Кого це могло стосуватися

З доступних повідомлень можна зробити обережний висновок: імовірно, база охоплювала міжнародних пасажирів і членів екіпажів, які подорожували до Вʼєтнаму, з нього або транзитом через країну впродовж дев’ятирічного періоду. 212

Однак наразі немає публічно підтверджених даних про:

• повний розподіл за громадянством чи країнами;
• верифікований список залучених авіакомпаній;
• остаточну кількість унікальних людей;
• організації, які передавали, контролювали або обробляли ці дані.

Тому не варто називати конкретного перевізника чи державний орган відповідальним лише тому, що в записах міг траплятися код авіакомпанії або певний рейс.

Чи викрали дані та чи є ознаки зловживань

Поки база була доступною, сторонні особи потенційно могли переглядати або копіювати записи. Уже сам цей факт є серйозним порушенням конфіденційності.

Втім, джерела не наводять доказів підтвердженого зловмисного завантаження, продажу даних на кримінальних форумах, атаки програм-вимагачів чи паспортного шахрайства, безпосередньо пов’язаних саме з цією базою. 5 Також немає незалежно перевірюваної публічної інформації про тривалість доступності кластера, наявність журналів доступу або актуальність і достовірність кожного запису.

Найточніший висновок такий: немає повідомлень про підтверджену крадіжку даних, але й немає доказу, що копіювання ніколи не відбувалося.

Чому ризик шахрайства існує без паролів

У відкритих полях не повідомлялося про паролі, що знижує ризик прямого скидання паролів або credential stuffing — масового підбору вже викрадених пар «логін—пароль». Проте такий набір даних є дуже цінним для соціальної інженерії.

Зловмисник, який знає ім’я людини, паспортні дані, номер рейсу, маршрут, місце, багажне посилання й час поїздки, може надіслати переконливе фальшиве повідомлення про:

• зміну або скасування рейсу;
• оплату багажу чи отримання компенсації;
• «перевірку» даних для візи або перетину кордону;
• проблеми з бонусним акаунтом авіакомпанії;
• необхідність повторно підтвердити паспортні дані перед вильотом.

Часові дані також можуть показувати, коли людина мала бути в дорозі чи поза домом. Це створює додаткові ризики для членів екіпажу, частих мандрівників та осіб, для яких важлива особиста безпека.

Що варто зробити мандрівникам

Якщо ви подорожували до Вʼєтнаму, з Вʼєтнаму або транзитом через країну від січня 2017 року до квітня 2026 року, варто особливо обережно ставитися до неочікуваних повідомлень на тему подорожей.

1. Не переходьте за посиланнями в несподіваних листах чи месенджерах нібито від авіакомпанії, багажної служби, візового центру або прикордонного органу. Відкривайте офіційний застосунок або самостійно вводьте відому адресу сайту.
2. Перевіряйте зміни в бронюванні самостійно. Перш ніж платити збір чи надавати паспортні дані, звірте інформацію через офіційні канали авіакомпанії.
3. Захистіть програми лояльності авіакомпаній. Використовуйте унікальний пароль і багатофакторну автентифікацію, якщо вона доступна.
4. Обережно ставтеся до прохань надіслати скан паспорта або «підтвердити» його реквізити. Зверніться до авіакомпанії, турагента чи державного органу за перевіреним контактом.
5. Стежте за можливими ознаками зловживання документами. Якщо підозрюєте використання паспорта або викрадення особистості, зверніться до органу, який видав паспорт, або до компетентних місцевих органів.

Регуляторні наслідки залежать від того, хто відповідав за базу

На підставі доступних повідомлень неможливо визначити юридичну відповідальність, адже оператор і ролі учасників обробки даних не підтверджені.

Згідно з вʼєтнамським Декретом № 13/2023/ND-CP, контролер персональних даних або контролер-обробник, який виявив порушення правил захисту персональних даних, має повідомити орган кібербезпеки Міністерства громадської безпеки протягом 72 годин; у разі запізнення необхідно пояснити його причину. Чи застосовується це до цього випадку і яким чином — залежить від відповідальної особи та фактів, які публічно не встановлені. 2933

Зобов’язання за GDPR також можуть виникнути, якщо відповідний контролер або обробник підпадає під територіальну дію регламенту. Стаття 33 GDPR загалом вимагає від контролера повідомити компетентний наглядовий орган без невиправданої затримки й, якщо це можливо, не пізніше ніж через 72 години після того, як йому стало відомо про порушення, якщо воно не створює малоймовірного ризику для прав і свобод людей. 43

Ключові обставини вже зрозумілі: велике сховище даних про поїздки, пов’язаних із паспортами, імовірно стало доступним через відвернені помилки контролю доступу. Проте питання про те, хто керував базою, хто міг отримати до неї доступ і чи були дані скопійовані, залишаються не менш важливими за сам масштаб витоку.