Filtración de datos de pasajeros aéreos: 220 millones de registros quedaron expuestos por errores en una base de datos en la nube
En internet se encontró un archivo con datos de unos 220 millones de pasajeros y miembros de tripulaciones que volaron a Vietnam, desde Vietnam o hicieron escala en el país. La información abarca el periodo comprendido entre enero de 2017 y abril de 2026. Según los primeros datos, la filtración no se debió a un sofisticado ciberataque, sino a una cadena de errores al configurar la infraestructura en la nube.
A principios de junio de 2026, investigadores de seguridad de Kinryū Labs encontraron un clúster de Elasticsearch. No era directamente visible desde la internet pública habitual, pero se podía acceder a él a través de una ruta alternativa de la nube. Una vez dentro, los especialistas descubrieron que el sistema aceptaba credenciales predeterminadas. Así pudieron acceder a un archivo de 29 índices que ocupaba unos 107 GB.
Por su estructura, parece que el archivo lo generó un sistema Advance Passenger Information System, o APIS. Las aerolíneas utilizan estos sistemas para transmitir con antelación a las autoridades datos sobre pasajeros y tripulaciones. Por lo general, incluyen el nombre, la fecha de nacimiento, la nacionalidad, el número de pasaporte u otro documento de viaje, así como los datos del vuelo. Esta información se emplea en los controles fronterizos y los trámites de inmigración.
La base encontrada contenía más datos. Había información sobre el sexo, la fecha de caducidad de los documentos, los países emisores, las aerolíneas, los aeropuertos de salida, destino y conexión, los asientos, los números de equipaje y otros detalles. No fue posible averiguar quién gestionaba APIS ni a quién pertenecía la base de datos. Los investigadores solo determinaron que el servidor estaba alojado en un espacio de direcciones IP asignado a Viettel en Hanói, la capital de Vietnam.
Dos de los 29 índices eran especialmente grandes. Uno contenía 210.318.069 registros de pasajeros y otro, 10.465.631 registros de miembros de tripulaciones. En total, unos 220 millones de registros. Eso no significa que se vieran afectados 220 millones de personas distintas: cada vuelo repetido podía generar un nuevo registro de la misma persona.
Entre los datos afectados se mencionaba información sobre ciudadanos de Canadá, China, Corea del Sur y Nueva Zelanda. El archivo tampoco correspondía a una sola aerolínea: incluía compañías de Asia-Pacífico, Europa y Oriente Próximo.
El 3 de junio, los investigadores comunicaron el hallazgo a las autoridades vietnamitas, a las aerolíneas cuyos nombres aparecían en el archivo y al equipo nacional de respuesta a incidentes informáticos, CERT. El 8 de junio se cerró el acceso a la base. Según BleepingComputer, el equipo de seguridad de Singapore Airlines coordinó la respuesta. La compañía dijo que se había puesto en contacto con las partes responsables y que había tomado medidas para contener el incidente.
Por ahora no se sabe si alguien llegó a utilizar la base antes de que la descubrieran. Para averiguarlo hacen falta un análisis de los registros de acceso y una investigación exhaustiva. En teoría, esos datos podrían servir para cometer suplantaciones de identidad, fraudes bancarios y otros delitos. Sin embargo, no se encontraron indicios de que el archivo se hubiera publicado en la dark web: ningún grupo de hackers afirmó haberlo robado y el conjunto de datos no se puso a la venta.
Las bases de datos mal configuradas siguen siendo una de las principales causas de las grandes filtraciones. Las organizaciones almacenan en la nube datos de empleados, socios y clientes, pero no siempre entienden el principio de responsabilidad compartida: el proveedor protege la infraestructura y el cliente debe configurar correctamente el acceso a sus propios datos.
Cassius Edison, director de operaciones de Closed Door Security, señaló que a menudo las empresas no tienen una visión completa de la infraestructura informática que utilizan y no realizan revisiones periódicas. Controlar la seguridad resulta especialmente difícil en las grandes organizaciones, donde distintos equipos trabajan por separado con diferentes sistemas. Como solución, recomienda pruebas de intrusión independientes y auditorías de seguridad.
Muchas de las mayores filtraciones se producen sin que nadie perfore un perímetro protegido: basta con dejar la puerta abierta. Solo en 2026, Infutor expuso más de 670 millones de registros de identidad, y una base de MongoDB mal configurada, vinculada al servicio de verificación de identidad IDMerit, provocó la exposición de más de 3.000 millones de registros.
PEREC.RU
El incidente muestra lo peligrosos que pueden ser los errores corrientes al configurar sistemas en la nube. Los investigadores de Kinryū Labs encontraron un clúster de Elasticsearch que no estaba directamente expuesto a internet, pero seguía siendo accesible a través de una ruta alternativa de la nube. El uso de credenciales predeterminadas añadió otra vulnerabilidad: tras conectarse, los especialistas pudieron acceder a un archivo de 29 índices que ocupaba unos 107 GB.
Al parecer, el archivo lo generó un sistema Advance Passenger Information System (APIS). Estas plataformas recopilan y transmiten a las autoridades datos de pasajeros y tripulaciones antes de que el avión despegue o aterrice. El conjunto encontrado incluía nombres, fechas de nacimiento, nacionalidad, números de pasaporte y de otros documentos, datos de vuelos, sexo, fechas de caducidad de documentos, países emisores, aerolíneas, aeropuertos de salida, destino y tránsito, asientos, números de equipaje y otros detalles.
En el archivo se contabilizaron unos 220 millones de registros correspondientes al periodo de enero de 2017 a abril de 2026. Los índices más grandes contenían 210.318.069 registros de pasajeros y 10.465.631 de miembros de tripulaciones. La cifra no equivale al número de personas distintas: un viajero podía aparecer varias veces tras realizar diferentes viajes.
Los datos correspondían a personas que viajaron a Vietnam, desde Vietnam o hicieron escala en el país. Entre los ciudadanos afectados se mencionaba a los de Canadá, China, Corea del Sur y Nueva Zelanda. El archivo abarcaba varias aerolíneas de Asia-Pacífico, Europa y Oriente Próximo, no una sola compañía.
No fue posible averiguar a quién pertenecía APIS ni quién gestionaba la base. Los investigadores solo determinaron que el servidor estaba alojado en un espacio de direcciones IP asignado a Viettel en Hanói. El 3 de junio informaron del problema a las autoridades vietnamitas, al equipo nacional CERT y a las aerolíneas que aparecían en el archivo. El 8 de junio se cerró el acceso a la base. Según BleepingComputer, Singapore Airlines coordinó parte de los trabajos para resolver el problema y dijo que había contactado con las partes responsables.
Por ahora se desconoce si los atacantes accedieron a los datos antes que los investigadores. Para averiguarlo hace falta auditar los registros de acceso y llevar a cabo una investigación forense exhaustiva. Entre los riesgos potenciales figuran la suplantación de identidad, el fraude bancario y otros engaños. No obstante, los investigadores no encontraron indicios de que el archivo se hubiera puesto a la venta en la dark web ni declaraciones de grupos de hackers que afirmaran haberlo robado.
Cassius Edison, director de operaciones de Closed Door Security, relacionó el incidente con la falta de visibilidad sobre la infraestructura informática corporativa y la ausencia de revisiones periódicas. Señaló que resulta especialmente difícil controlar las grandes empresas, donde distintos equipos gestionan sistemas por separado. Como medidas de protección, recomienda pruebas de intrusión independientes y auditorías de seguridad.
El caso forma parte de una tendencia más amplia. Las bases mal configuradas siguen siendo una de las principales causas de filtraciones, porque las organizaciones guardan grandes volúmenes de datos en la nube sin entender siempre el principio de responsabilidad compartida. En 2026, Infutor ya expuso más de 670 millones de registros de identidad, y una configuración errónea de MongoDB vinculada al servicio de verificación de identidad IDMerit provocó la exposición de más de 3.000 millones de registros. La conclusión es sencilla: para que se produzca una filtración masiva, a veces basta con dejar la configuración predeterminada y olvidarse de vigilarla.
