Esposizione di 220 milioni di record di viaggiatori: un allerta sulla sicurezza dei dati

Un grave incidente di sicurezza ha portato all’esposizione di circa 220 milioni di record di viaggiatori e membri dell’equipaggio, a causa di misconfigurazioni in un archivio cloud. I dati, creati tra gennaio 2017 e aprile 2026, sono stati scoperti da ricercatori che hanno identificato un cluster Elasticsearch accessibile attraverso un percorso cloud alternativo che accettava credenziali di default.

L’archivio, che comprendeva 29 indici per un totale di circa 107 GB di dati, sembra essere stato generato da un Advance Passenger Information System (APIS). Tra le informazioni esposte ci sono dati personali identificativi, come nomi, date di nascita, nazionalità, numeri di passaporto e dettagli sui documenti di viaggio. Inoltre, sono state incluse informazioni su sesso, date di scadenza dei documenti, paesi di emissione, compagnie aeree, aeroporti di partenza, destinazione e transito, assegnazioni di posto e riferimenti bagaglio.

Non è stato possibile identificare con certezza l’operatore del sistema, ma l’infrastruttura risultava ospitata in blocchi IP assegnati a Viettel e localizzata ad Hanoi. I due indici principali contenevano rispettivamente 210.318.069 record di passeggeri e 10.465.631 record di equipaggio, con voci relative a persone che hanno viaggiato da, verso o tramite il Vietnam, inclusi cittadini canadesi, cinesi, coreani e neozelandesi. L’archivio non era limitato a una singola compagnia aerea, ma includeva vettori provenienti da Asia-Pacifico, Europa e Medio Oriente.

La scoperta della vulnerabilità è stata segnalata il 3 giugno alle autorità vietnamite, a diverse compagnie aeree coinvolte e al CERT nazionale. L’archivio è stato reso inaccessibile solo il 8 giugno. Il team di sicurezza di Singapore Airlines ha coordinato le attività di contenimento, comunicando di aver coinvolto le parti interessate.

Nonostante l’incidente, non ci sono evidenze che attori malevoli abbiano avuto accesso o esfiltrato i dati. Attualmente non risultano segnalazioni di vendita dell’archivio sul dark web né rivendicazioni pubbliche da parte di gruppi di hacking. Tuttavia, le misconfigurazioni di database e la scarsa visibilità sull’infrastruttura cloud sono state indicate come cause ricorrenti di fughe di dati.

Cassius Edison, COO di Closed Door Security, ha evidenziato che la complessità delle tecnologie gestite e la mancanza di audit facilitano errori di configurazione. Raccomanda l’impiego di penetration test e verifiche di sicurezza indipendenti per prevenire simili incidenti in futuro.

Nel 2026, altri gravi incidenti di esposizione di dati sono stati segnalati, tra cui centinaia di milioni di record da un fornitore di identità e oltre tre miliardi di record derivanti da un database MongoDB mal configurato. Questo episodio sottolinea l’urgenza di migliorare la sicurezza dei dati e la gestione delle informazioni nel settore aereo e oltre.