Lộ 220,8 triệu bản ghi bay gắn hộ chiếu: Điều gì đã biết về cơ sở dữ liệu “pax-info”?

Một hệ thống dữ liệu du lịch bị phơi lộ vẫn có thể rất nguy hiểm dù không chứa mật khẩu. Theo các báo cáo, Kinryū Labs phát hiện ngày 3/6/2026 một cụm Elasticsearch mang tên pax-info, có liên hệ hạ tầng với Việt Nam, chứa 220,8 triệu bản ghi thuộc Hệ thống Thông tin Hành khách Trước chuyến bay (APIS). Cụm này được cho là có thể truy cập qua một đường dẫn dựa trên đám mây và chấp nhận thông tin đăng nhập mặc định. 259

Sự việc là gì?

Cơ sở dữ liệu được báo cáo có 220.783.700 bản ghi trong 29 chỉ mục, tổng dung lượng khoảng 107 GB. Trong đó có 210.318.069 bản ghi hành khách và 10.465.631 bản ghi thành viên tổ bay. Đây là số bản ghi, không đồng nghĩa số cá nhân duy nhất: người bay thường xuyên hoặc tổ bay có thể xuất hiện nhiều lần. Dữ liệu trải từ tháng 1/2017 đến tháng 4/2026. 9

APIS là hệ thống dùng để chuyển dữ liệu nhận dạng của hành khách, tổ bay cùng thông tin chuyến bay cho cơ quan chức năng trước các chuyến đi quốc tế. Các bản ghi được cho là liên quan đến người bay đến Việt Nam, rời Việt Nam hoặc quá cảnh qua Việt Nam, nên phạm vi không chỉ giới hạn ở công dân Việt Nam. 212

Những loại dữ liệu nào bị lộ?

Các trường dữ liệu được báo cáo gồm:

• Họ tên, ngày sinh, giới tính và quốc tịch;
• Số hộ chiếu hoặc giấy tờ đi lại, nước cấp và ngày hết hạn;
• Số hiệu, ngày bay, thông tin hãng bay, sân bay khởi hành, điểm đến và quá cảnh;
• Số ghế, trạng thái hành khách hoặc tổ bay, mã tham chiếu hành lý, cùng giờ bay theo lịch, giờ dự kiến và giờ thực tế. 617

Tổ hợp này nhạy cảm hơn nhiều so với rò rỉ dữ liệu liên hệ thông thường. Số hộ chiếu đi cùng ngày sinh có thể giúp kẻ xấu giả mạo hãng hàng không hoặc cơ quan quản lý xuất nhập cảnh; thông tin tuyến bay, số hiệu chuyến, ghế ngồi và thời gian thật có thể khiến một tin nhắn lừa đảo trở nên rất thuyết phục.

Cụm dữ liệu đã bị phơi lộ như thế nào?

Các tường thuật về vụ phát hiện mô tả chuỗi sai sót về bảo mật, không phải việc tin tặc đột nhập vào tài khoản của hành khách. Cụm Elasticsearch được cho là không thể truy cập trực tiếp từ Internet công khai, nhưng lại có một tuyến truy cập khác qua môi trường đám mây. Khi tiếp cận theo tuyến này, các nhà nghiên cứu phát hiện hệ thống chấp nhận thông tin đăng nhập mặc định. 5

Kinryū Labs được cho là tình cờ phát hiện cụm này khi khảo sát các cơ sở dữ liệu phơi lộ phục vụ nghiên cứu liên quan ransomware. Dữ liệu sau đó được báo cáo là đã bị khóa hoặc không còn truy cập được. 25

Tuy nhiên, các thông tin công khai chưa xác định dứt khoát đơn vị vận hành cơ sở dữ liệu, nhà cung cấp đám mây cụ thể, bên kiểm soát dữ liệu hay các hệ thống nguồn đã cung cấp bản ghi. Việc máy chủ có liên hệ mạng với Việt Nam không phải bằng chứng cho thấy một hãng bay, sân bay, cơ quan biên phòng hoặc cơ quan nhà nước cụ thể của Việt Nam sở hữu cơ sở dữ liệu này. 46

Ai có thể bị ảnh hưởng?

Những gì báo cáo hiện có cho phép kết luận ở mức thận trọng: dữ liệu dường như bao gồm hành khách quốc tế và tổ bay đã đi đến, rời hoặc quá cảnh qua Việt Nam trong giai đoạn chín năm nêu trên. 212

Nhưng hiện chưa xác lập được:

• Danh sách quốc tịch hoặc phân bố theo từng quốc gia;
• Danh sách hãng hàng không bị ảnh hưởng đã được xác minh;
• Số lượng cá nhân duy nhất có trong dữ liệu;
• Những tổ chức nào cung cấp, kiểm soát hoặc xử lý dữ liệu.

Vì vậy, không nên quy trách nhiệm cho một hãng bay hay cơ quan cụ thể chỉ vì mã hãng hoặc chuyến bay của họ có thể xuất hiện trong các bản ghi.

Dữ liệu có bị đánh cắp hoặc bị lạm dụng không?

Việc hệ thống bị phơi lộ đồng nghĩa bên không được phép có thể đã xem hoặc sao chép dữ liệu trong thời gian nó còn truy cập được. Chỉ riêng khả năng này đã là một sự cố nghiêm trọng về tính bảo mật.

Tuy vậy, các báo cáo công khai được dẫn tại đây chưa đưa ra bằng chứng về việc tải xuống có chủ đích, rao bán trên diễn đàn tội phạm, ransomware hay gian lận hộ chiếu được xác nhận là gắn với chính cơ sở dữ liệu này. 5 Cũng không có bản tường trình công khai, độc lập có thể kiểm chứng về thời gian hệ thống bị phơi lộ, khả năng nhật ký truy cập xác định người đã vào hệ thống, hoặc việc mọi bản ghi đều còn hiệu lực và chính xác.

Kết luận phù hợp lúc này là: chưa có bằng chứng được báo cáo về hành vi đánh cắp, nhưng cũng không có bằng chứng rằng dữ liệu chắc chắn chưa từng bị sao chép.

Vì sao vẫn có nguy cơ lừa đảo dù không lộ mật khẩu?

Không có mật khẩu nào được nêu trong các trường dữ liệu bị lộ, nên nguy cơ trực tiếp như đặt lại mật khẩu hoặc nhồi thông tin đăng nhập thấp hơn. Tuy nhiên, bộ dữ liệu này vẫn đặc biệt có giá trị cho các thủ đoạn lừa đảo khai thác thông tin cá nhân.

Kẻ gian có tên, chi tiết hộ chiếu, số hiệu và lộ trình chuyến bay, số ghế, mã hành lý cùng thời điểm di chuyển của một người có thể gửi các thông báo giả mạo như:

• Thông báo đổi hoặc hủy chuyến;
• Yêu cầu nộp phí hành lý hoặc nhận bồi thường;
• Tin nhắn “xác minh” visa hay xuất nhập cảnh;
• Cảnh báo về tài khoản hội viên/khách hàng thân thiết của hãng bay;
• Yêu cầu xác nhận lại thông tin hộ chiếu trước chuyến đi.

Dữ liệu về thời điểm di chuyển còn có thể tiết lộ khi nào một người đang quá cảnh hoặc vắng nhà. Điều này đặc biệt đáng lo với tổ bay, khách bay thường xuyên và những người có rủi ro an ninh cá nhân cao.

Người từng bay qua Việt Nam nên làm gì?

Nếu bạn từng bay đến, rời hoặc quá cảnh qua Việt Nam từ tháng 1/2017 đến tháng 4/2026, hãy cảnh giác hơn với mọi liên hệ không mong đợi liên quan đến chuyến đi.

1. Không bấm vào liên kết trong email hoặc tin nhắn lạ tự xưng là hãng bay, đơn vị hành lý, cơ quan cấp visa hay xuất nhập cảnh. Hãy tự mở ứng dụng chính thức hoặc tự gõ địa chỉ website quen thuộc.
2. Tự kiểm tra thay đổi chuyến bay. Vào kênh chính thức của hãng để kiểm tra mã đặt chỗ trước khi trả phí hay cung cấp thông tin hộ chiếu.
3. Bảo vệ tài khoản hội viên của hãng bay. Dùng mật khẩu riêng, mạnh và bật xác thực đa yếu tố nếu dịch vụ hỗ trợ.
4. Cẩn trọng với yêu cầu gửi ảnh hộ chiếu hoặc “xác nhận” thông tin giấy tờ. Hãy liên hệ hãng bay, đại lý hoặc cơ quan có thẩm quyền qua kênh liên lạc đã xác minh.
5. Theo dõi dấu hiệu bất thường liên quan giấy tờ du lịch. Nếu nghi hộ chiếu bị lạm dụng hoặc bị giả mạo danh tính, liên hệ cơ quan cấp hộ chiếu hoặc cơ quan chức năng phù hợp.

Nghĩa vụ pháp lý còn phụ thuộc vào đơn vị chịu trách nhiệm

Chưa thể phân định trách nhiệm từ các thông tin công khai, vì đơn vị vận hành cũng như vai trò xử lý dữ liệu liên quan vẫn chưa được xác minh.

Theo Nghị định 13/2023/NĐ-CP của Việt Nam, bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân khi phát hiện vi phạm quy định bảo vệ dữ liệu cá nhân phải thông báo cho cơ quan chuyên trách về an ninh mạng thuộc Bộ Công an trong vòng 72 giờ; nếu thông báo muộn phải nêu lý do. Việc quy định này có áp dụng cho sự việc hay không, và áp dụng thế nào, phụ thuộc vào chủ thể chịu trách nhiệm cùng các tình tiết chưa được công bố. 2933

Nghĩa vụ theo GDPR của Liên minh châu Âu cũng có thể phát sinh nếu một bên kiểm soát hoặc xử lý dữ liệu liên quan thuộc phạm vi áp dụng theo lãnh thổ của quy định này. Điều 33 GDPR nhìn chung yêu cầu bên kiểm soát dữ liệu thông báo cho cơ quan giám sát có thẩm quyền không chậm trễ và, nếu khả thi, trong vòng 72 giờ kể từ khi biết về vi phạm dữ liệu cá nhân — trừ khi vi phạm đó khó có khả năng gây rủi ro cho quyền và tự do của cá nhân. 43

Hiện tại, điểm cốt lõi đã rõ: một kho dữ liệu quy mô lớn, gắn với hộ chiếu và hành trình bay, được cho là đã bị phơi lộ do các lỗi kiểm soát truy cập có thể phòng tránh. Những câu hỏi chưa có lời đáp — ai vận hành, ai đã truy cập và dữ liệu có bị sao chép hay không — cũng quan trọng không kém quy mô 220,8 triệu bản ghi.