ベトナムを往来した航空旅客と乗務員のパスポート情報や渡航情報など、2億2078万件超の記録が、クラウドデータベースの設定不備により外部に露出していたことが分かった。

TechRadarが8日（現地時間）に報じたところによると、セキュリティ企業Kinryū Labsは6月、ベトナム関連の航空旅客事前情報システム（APIS）データを保存していたElasticsearchクラスターを発見した。通常のインターネット経由のアクセスは遮断されていたが、別のクラウド経路経由でデフォルト認証情報を使うことで、内部データに到達できたという。データは29のインデックス、約107GBに及んだ。

含まれていたのは、2017年1月から2026年4月に作成された記録だ。氏名、生年月日、国籍、性別、パスポートや旅行書類の番号と有効期限、発行国のほか、航空会社名や便名、出発地・到着地・経由地の空港、座席情報、手荷物関連情報なども確認された。

29のインデックスのうち、最大の2件には旅客記録2億1031万8069件、乗務員記録1046万5631件が保存されており、合計は2億2078万3700件に上った。ただし、これは人数ではなく移動記録ベースの件数で、同一人物が複数回出入国していた場合は重複計上されている可能性がある。記録には韓国、カナダ、中国、ニュージーランドなど複数の国籍が含まれており、特定の航空会社1社に限られたデータでもなかった。

現時点でデータベースの運用主体は特定されていない。確認できたのは、サーバがハノイのViettelに割り当てられたIP帯域上にあったことのみだ。調査チームは6月3日、ベトナム当局やインシデント対応機関、関係する航空会社に問題を通知し、データベースは5日後の8日に遮断された。Singapore Airlinesのセキュリティチームも関係機関との対応に加わった。

現時点では、このデータがダークウェブで売買されたり、犯罪に悪用されたりした痕跡は確認されていない。ただ、アクセスログの監査やフォレンジック調査は実施されておらず、調査チームより前に第三者がアクセスしていたかどうかは不明としている。