Одна из самых чувствительных авиационных баз оказалась защищена хуже обычного веб-сервиса. Kinryū Labs обнаружила 3 июня в связанном с Вьетнамом Elasticsearch-кластере 220 783 700 записей о пассажирах и экипажах. В массиве лежали паспортные данные, маршруты, места в самолёте и ссылки на зарегистрированный багаж. База продолжала получать свежие сведения.
Кластер pax-info содержал 29 индексов и около 107 ГБ данных. На пассажиров приходилось 210 318 069 записей, на экипажи ещё 10 465 631. Число 220,8 млн не равно количеству пострадавших людей, поскольку один путешественник мог встречаться в базе много раз. Записи охватывали период с 7 января 2017 года по 30 апреля 2026-го и затрагивали 1008 авиакомпаний.
Каждая запись связывала имя, дату рождения, пол, гражданство, номер и срок действия паспорта с конкретным перелётом, включая аэропорты вылета, транзита и назначения, номер рейса, место и багажную метку. Система охватывала и транзитных пассажиров.
Прямой запрос к серверу возвращал HTTP 401, однако из облачной среды открывался другой путь к кластеру. По версии Kinryū Labs, после такого обхода система принимала неизменённые учётные данные по умолчанию, а интерфейс позволял выгружать записи в JSON одним действием. Похожая проблема с открытыми базами в сети уже приводила к массовым атакам на MongoDB.
Есть техническая оговорка. Kinryū Labs называет реквизиты заводскими, но не раскрывает их. Elastic указывает, что в Elasticsearch 8.x при обычном первом запуске пароль суперпользователя генерируется автоматически. Поэтому по открытым данным нельзя установить, были ли реквизиты штатным значением Elasticsearch или частью конкретной конфигурации оператора.
Хост находился в адресном пространстве Viettel в Ханое, но владельца базы установить не удалось. В данных преобладали VietJet Air и Vietnam Airlines, однако присутствовали сотни зарубежных перевозчиков, включая «Аэрофлот» и Belavia. Контекст перекликается с делом «Сирена-Трэвел», где российский суд разбирает возможное получение данных авиапассажиров через похищенные реквизиты.
