与越南相关的航空旅客及机组人员数据近日被曝存在大规模暴露风险。由于云数据库配置错误，包含护照信息和行程信息在内的约2.21亿条记录可被外部访问。
据TechRadar当地时间9月8日报道，安全公司Kinryū Labs今年6月发现，一个存放越南相关航空旅客预先信息系统（APIS）数据的Elasticsearch集群存在安全隐患。该集群虽未直接向公网开放，但研究人员仍可通过另一云端入口，并使用默认凭证访问内部数据。相关归档共包含29个索引，数据规模约107GB。
暴露的数据时间范围横跨2017年1月至2026年4月，内容包括姓名、出生日期、国籍、性别、护照及其他旅行证件号码、证件到期日、签发国家等信息；同时还包含航空公司、航班信息、出发、到达及经停机场、座位信息以及行李相关信息等更为细化的行程数据。
其中，两大索引分别包含210,318,069条旅客记录和10,465,631条机组记录，合计220,783,700条。不过，这些数据统计的是出入境及行程记录，而非实际人数，因此同一人员多次出入境可能被重复计算。数据涉及韩国、加拿大、中国、新西兰等多个国家人员，且并非来自单一航空公司。
目前，数据库的实际运营方尚未确认，已知信息仅显示服务器位于河内Viettel分配的IP地址段。研究人员表示，已于6月3日将问题通报越南主管部门、网络事件响应机构及相关航空公司，相关访问入口于5天后的6月8日被关闭。Singapore Airlines安全团队随后也与有关方面展开应对。
截至目前，尚未发现相关数据在暗网出售或被用于犯罪活动的证据。不过，由于尚未开展访问日志审计和取证调查，研究人员无法确认在其发现问题之前，是否已有第三方进入数据库并获取相关数据。
记者信息
Jae-won Choi
ittt_0801@d-today.co.kr