“pax-info”数据库暴露2.208亿条航空出行记录：途经越南的旅客该注意什么？

这并非已证实的“账户密码泄露”，但其风险仍然很高。报道称，网络安全研究机构 Kinryū Labs 于2026年6月3日发现一个与越南关联、名为 pax-info 的 Elasticsearch 集群。该集群可通过一条替代性的云端访问路径进入，并接受默认登录凭据；其中存有约2.208亿条航空旅客和机组人员的预先旅客信息系统（APIS）记录。259

暴露了多少数据？

该数据库据报共有 220,783,700 条记录，分布在29个索引中，容量约107GB。其中包括210,318,069条乘客记录和10,465,631条机组人员记录，时间跨度为2017年1月至2026年4月。9

需要注意的是，这一数字是“记录数”，并不等于2.208亿名不同的人。经常乘机的旅客以及机组成员，可能在库中多次出现。

APIS 是航空公司在国际旅行前，向边境管理相关部门传送乘客及机组身份与航班信息的系统。现有报道显示，相关数据涉及前往越南、从越南出发或经越南转机的人士，因此潜在受影响者并不限于越南公民。212

涉及哪些个人和旅行信息？

报道所列字段包括：

• 姓名、出生日期、性别、国籍；
• 护照或旅行证件号码、签发国家及有效期；
• 航班号、航班日期、航空公司信息、出发地、目的地和中转机场；
• 座位号、乘客或机组身份、行李参考编号，以及计划、预计和实际出行时间。617

这类数据的敏感性远高于普通联系方式泄露。若有人同时掌握姓名、出生日期、护照信息和真实行程，就能伪装成航空公司、机场服务人员、签证机构或移民部门，发送更具迷惑性的钓鱼信息。

数据库为何会暴露？

现有说法指向一连串配置与访问控制失误，而非有人入侵了旅客个人账户。该 Elasticsearch 集群据称无法直接从公开互联网访问，但存在一条替代性的云端访问路径；研究人员进入后发现，系统仍接受默认凭据。5

Kinryū Labs 据报是在开展与勒索软件活动有关的暴露数据库排查时发现该集群。此后，数据库被报告为已锁定或不再可访问。25

不过，以下关键事实仍未获公开、确凿确认：

• 数据库的实际运营方；
• 使用的具体云服务商；
• 数据控制者及数据来源系统；
• 哪些机构提供、处理或管理了这些记录。

因此，服务器网络位置与越南存在关联，并不能证明某家越南航空公司、机场、边检机构或政府部门就是该数据库的所有者或运营者。46

哪些人可能受影响？

依据现有报道，能作出的谨慎判断是：2017年1月至2026年4月期间，乘机前往、离开或经停越南的国际旅客及机组人员，均可能在数据覆盖范围内。212

但报道并未证实：

• 按国籍或国家划分的完整受影响范围；
• 经核实的受影响航空公司名单；
• 受影响独立个人的确切人数；
• 哪些组织负责提供、控制或处理相关数据。

因此，不能仅因记录中出现某航司代码或航班信息，就断定该航司应对事件负责。

数据是否已被盗走或滥用？

在数据库可被访问期间，未经授权者理论上可能查看或复制这些记录；仅这一点，就已构成严重的保密性风险。

但目前公开报道没有提供证据，证明该数据库发生了恶意批量下载、暗网出售、勒索软件攻击，或与其直接相关的护照欺诈事件。5 同样也没有可独立审计的公开说明，交代数据库暴露了多久、访问日志能否识别访问者，以及库内每一条记录是否都仍然有效或真实。

较准确的结论应是：目前没有已公开的盗取证据，但也不能据此证明数据从未被复制。

没有密码，为什么仍有诈骗风险？

报道中未提及密码字段，这降低了直接重置账户密码或撞库的风险；但这批数据对社会工程攻击仍很有价值。

掌握姓名、护照资料、真实航班、路线、座位、行李编号和出行时间的人，可能制作看似可信的：

• 航班改签或取消通知；
• 行李费、退费或赔偿申请；
• 签证或入境“身份核验”信息；
• 航司会员账户异常提醒；
• 要求在出行前重新确认护照资料的通知。

行程时间还可能暴露一个人预计在机场、转机途中或不在家的时段。对于机组人员、高频出行者以及本身面临较高人身安全风险的人，这类隐私暴露尤其值得警惕。

如果曾途经越南，旅客可以怎么做？

若你在2017年1月至2026年4月间曾前往越南、从越南出发或在当地转机，可提高对未经请求的旅行相关消息的警惕：

1. 不要直接点击陌生或意外收到的航司、行李、签证或入境消息链接。 应自行打开航空公司官方 App，或手动输入已知官方网址。
2. 独立核实行程变动。 在付款、提供护照资料前，通过航空公司官方渠道查询订单。
3. 保护航空公司会员账户。 使用独立且高强度的密码，并在可用时开启多因素认证。
4. 警惕索取护照扫描件或要求“确认”证件信息的请求。 应通过已核实的联系方式直接联系航司、旅行社或主管机构。
5. 留意旅行证件异常。 如怀疑护照被冒用或发生身份欺诈，应联系护照签发机构或当地有关部门。

监管责任仍取决于运营方与适用法域

在运营方、数据控制角色及具体事实均未确认前，不能据现有报道将法律责任归于特定机构。

根据越南《第13/2023/ND-CP号法令》，个人数据控制者或控制兼处理者发现违反个人数据保护规定的情形后，应在72小时内通知越南公安部网络安全主管机构；如逾期通知，须说明原因。该规定是否以及如何适用于本案，仍取决于责任主体和未公开的事实。2933

若相关控制者或处理者落入《通用数据保护条例》（GDPR）的属地适用范围，GDPR 义务也可能产生。GDPR第33条一般要求控制者在获悉个人数据泄露后，不得无故拖延，并在可行情况下于72小时内通知主管监管机构；但若泄露不太可能对个人权利和自由造成风险，则可例外。43

目前最明确的事实是：一个存有护照关联旅行记录的大型数据库，据报因本可避免的访问控制问题而暴露。谁在运营它、谁曾访问它、数据是否被复制，仍是与记录数量同样重要的未解问题。