Утечка данных авиапассажиров: 220 миллионов записей оказались открыты из-за ошибок в облачной базе

В интернете обнаружили архив с данными примерно 220 миллионов пассажиров и членов экипажей, летавших во Вьетнам, из Вьетнама или через эту страну. Информация охватывает период с января 2017 года по апрель 2026-го. Причиной утечки, по предварительным данным, стала не сложная хакерская атака, а цепочка ошибок при настройке облачной инфраструктуры.

В начале июня 2026 года исследователи безопасности из Kinryū Labs нашли кластер Elasticsearch. Из обычного открытого интернета он напрямую не просматривался, однако к нему можно было подключиться через альтернативный облачный маршрут. После получения доступа специалисты обнаружили, что система принимала стандартные учётные данные. Это открыло путь к архиву из 29 индексов общим объёмом около 107 ГБ.

Судя по структуре, архив сформировала система Advance Passenger Information System, или APIS. Такие системы авиакомпании используют, чтобы заранее передавать властям сведения о пассажирах и экипажах. Обычно речь идёт об имени, дате рождения, гражданстве, номере паспорта или другого проездного документа, а также о данных рейса. Эти сведения применяют для пограничного контроля и иммиграционных процедур.

В найденной базе набор данных оказался шире. Там присутствовали пол, сроки действия документов, страны их выдачи, авиакомпании, аэропорты вылета, назначения и пересадки, места в салоне, багажные номера и другие сведения. Кто именно управлял APIS и кому принадлежала база, установить не удалось. Исследователи выяснили лишь, что сервер размещался в IP-пространстве, выделенном Viettel в Ханое, столице Вьетнама.

Из 29 индексов два были особенно крупными. Один содержал 210 318 069 записей о пассажирах, другой — 10 465 631 запись о членах экипажей. Всего получилось около 220 миллионов записей. Это не означает, что пострадали 220 миллионов разных людей: каждый повторный перелёт мог создавать новую запись о том же человеке.

Среди затронутых данных упоминались сведения о гражданах Канады, Китая, Южной Кореи и Новой Зеландии. Архив также не относился к одной авиакомпании: в нём фигурировали перевозчики из Азиатско-Тихоокеанского региона, Европы и Ближнего Востока.

3 июня исследователи сообщили о находке властям Вьетнама, авиакомпаниям, названия которых встречались в архиве, и национальной команде компьютерного реагирования CERT. 8 июня доступ к базе закрыли. По данным BleepingComputer, координацией устранения проблемы занималась служба безопасности Singapore Airlines. Компания заявила, что связалась с ответственными сторонами и приняла меры для локализации инцидента.

Пока нельзя сказать, успел ли кто-то воспользоваться базой до её обнаружения. Для ответа нужны анализ журналов доступа и полноценное расследование. Теоретически такие сведения могли применяться для кражи личности, банковского мошенничества и других схем. При этом признаков публикации архива в даркнете не нашли: хакерские группировки не заявляли о краже, а сам массив данных не выставляли на продажу.

Неправильно настроенные базы остаются одной из главных причин крупных утечек. Организации хранят в облаке данные сотрудников, партнёров и клиентов, но не всегда понимают принцип разделённой ответственности: провайдер защищает инфраструктуру, а клиент обязан корректно настроить доступ к собственным данным.

Cassius Edison, операционный директор Closed Door Security, отметил, что компании часто не видят всю используемую ИТ-инфраструктуру и не проводят регулярные проверки. Особенно трудно контролировать безопасность в крупных организациях, где разные команды самостоятельно работают с разными системами. В качестве решения он рекомендует независимые тесты на проникновение и аудит безопасности.

Крупнейшие утечки нередко происходят без взлома защищённого периметра — достаточно оставить дверь открытой. Только в 2026 году компания Infutor раскрыла более 670 миллионов идентификационных записей, а неправильно настроенная база MongoDB, связанная с сервисом проверки личности IDMerit, стала причиной раскрытия более трёх миллиардов записей.