Hơn 220 triệu bản ghi hộ chiếu và thông tin hành trình của hành khách, tiếp viên trên các chuyến bay ra vào Việt Nam đã bị lộ do lỗi cấu hình cơ sở dữ liệu đám mây.

Ngày 8/9 (giờ địa phương), TechRadar dẫn thông tin từ công ty an ninh mạng Kinryū Labs cho biết Kinryū Labs đã phát hiện từ tháng 6 một cụm máy chủ Elasticsearch lưu trữ dữ liệu của hệ thống thông tin hành khách trước chuyến bay (APIS) liên quan đến Việt Nam. Hệ thống này không mở công khai trên Internet, nhưng dữ liệu nội bộ vẫn có thể bị truy cập thông qua một đầu mối truy cập riêng trên nền tảng đám mây cùng thông tin đăng nhập mặc định. Kho dữ liệu gồm 29 chỉ mục, với tổng dung lượng khoảng 107 GB.

Các bản ghi được tạo trong giai đoạn từ tháng 1/2017 đến tháng 4/2026, bao gồm họ tên, ngày sinh, quốc tịch, giới tính, số hộ chiếu và giấy tờ đi lại, ngày hết hạn cũng như quốc gia cấp giấy tờ. Dữ liệu cũng có thông tin chi tiết về hành trình như hãng bay, số hiệu chuyến bay, sân bay khởi hành, điểm đến, điểm quá cảnh, số ghế và mã tham chiếu hành lý.

Theo Kinryū Labs, hai chỉ mục lớn nhất chứa 210.318.069 bản ghi hành khách và 10.465.631 bản ghi tiếp viên, nâng tổng số lên 220.783.700 bản ghi. Con số này phản ánh số bản ghi di chuyển, không phải số lượng cá nhân thực tế, do một người có thể xuất hiện nhiều lần nếu nhập cảnh hoặc xuất cảnh nhiều chuyến. Dữ liệu bao gồm nhiều quốc tịch như Hàn Quốc, Canada, Trung Quốc và New Zealand, đồng thời không gắn với riêng một hãng hàng không nào.

Đến nay, đơn vị vận hành cơ sở dữ liệu vẫn chưa được xác định. Nhóm nghiên cứu chỉ ghi nhận máy chủ nằm trong dải IP do Viettel phân bổ tại Hà Nội. Kinryū Labs cho biết đã thông báo vụ việc cho cơ quan chức năng Việt Nam, các đầu mối ứng cứu sự cố và những hãng hàng không liên quan vào ngày 3/6. Cơ sở dữ liệu sau đó đã được chặn truy cập vào ngày 8/6, tức sau 5 ngày. Đội ngũ an ninh của Singapore Airlines cũng đã phối hợp với các bên liên quan để xử lý vụ việc.

Hiện chưa có bằng chứng cho thấy dữ liệu bị rao bán trên dark web hoặc bị sử dụng cho mục đích phạm pháp. Tuy nhiên, do chưa có hoạt động kiểm toán nhật ký truy cập và điều tra pháp y, nhóm nghiên cứu cho biết chưa thể xác định liệu bên thứ ba có truy cập vào hệ thống trước họ hay không.