パスポート番号やフライト情報を含む2億2000万件超の乗客・乗員記録を保持するAPIS(Advance Passenger Information System、事前旅客情報システム)データベースが、複数のセキュリティ設定不備の連鎖によりインターネット上からアクセス可能な状態になっていました。発見した研究者によると、このシステムはベトナムの組織と関連しているとみられます。
APISは、航空会社が乗客・乗員の入出国前に身元情報、パスポート情報、フライト情報を収集するために世界各国で使用されているシステムです。
今回露出した記録は2017年1月から2026年4月までの期間に及び、その間にベトナムへ、ベトナムから、またはベトナムを経由して渡航した多様な国籍の旅行者が対象となっている可能性があります。
9年分にわたる乗客・乗員データ
Kinryū Labsは、ランサムウェア活動に関する調査の一環として露出データベースを調べていた際、6月3日にこのElasticsearchクラスターを発見しました。
「pax-info」という名前が付けられたこのクラスターには29個のインデックスが含まれ、データ量は約107GBに上りました。主要な2つのインデックスには210,318,069件の乗客記録と10,465,631件の乗員記録が保存されており、合計220,783,700件のエントリが含まれていました。
Kinryū Labsによると、このクラスターはハノイのViettel割り当てIPアドレス空間でホストされていました。BleepingComputerでは、このシステムを運用していたベトナムの組織を特定することはできませんでした。
露出した情報には、乗客・乗員の氏名、生年月日、性別、国籍、パスポート番号または渡航文書番号、文書の有効期限、発行国が含まれていました。
関連する渡航データには、フライト番号と日付、航空会社、出発・到着・経由空港、座席番号、手荷物参照情報、予定・推定・実際のフライト時刻など、APISおよび関連する航空会社システムが通常取り扱う情報が含まれていました。
BleepingComputerが確認したサンプル記録には、韓国、中国、カナダ、ニュージーランドなど、さまざまな国籍の旅行者が含まれていました。
研究者は国籍別の完全な内訳を提供することはできませんでしたが、データにはアジア太平洋、欧州、中東の多数の国際航空会社が含まれていました。そのため、露出した記録は9年間という期間中にベトナムを訪問または経由した、実質的に世界中のあらゆる地域の人々に関連している可能性があります。
Kinryū Labsは、自社の研究者自身のベトナムへの渡航記録をデータベース内の記録と照合することで、情報が本物であることを確認しました。
この件数は個人単位ではなく、渡航記録の件数を示すものです。したがって、複数回渡航した乗客や乗員は、データベース内に重複して出現している可能性があります。
連鎖する設定不備によりアクセス可能に
Kinryū LabsはBleepingComputerに対し、2つの設定不備を連鎖させることでこのデータベースに到達したと説明しています。
オープンインターネットからこのエンドポイントにアクセスすると、HTTP 401「Unauthorized」というレスポンスが返され、データベースへの直接アクセスは防がれていました。しかし、クラウド経由の別の経路を使うことで研究者はこのクラスターに到達でき、その経路ではデフォルトの認証情報が受け入れられる状態になっていました。
インターネット情報プラットフォームのFOFAは、2022年10月にこのホストとポートを初めて記録し、2023年7月にはこのサービスをデータベースとして識別していました。しかし、Kinryū Labsは、この第2の経路を通じて乗客データが実際に取得可能になった時期を特定することはできませんでした。
そのため、記録自体は9年以上にわたるものの、実際に情報が露出していた期間の長さは不明です。
Kinryū Labsによると、同社は6月3日以降、ベトナム当局、データベースに含まれる航空会社各社、そして各国のコンピュータ緊急対応チーム(CERT)にこの問題を報告しました。研究者によると、データベースへのアクセスは6月8日に是正されたとのことです。
BleepingComputerが確認した認証済みのメールによると、シンガポール航空のセキュリティチームが対応の調整に協力しており、6月8日にKinryū Labsに対し、「関係各所に連絡を取り」、「問題を封じ込めるための措置を講じた」と伝えていました。シンガポール航空はBleepingComputerに追加のコメントを提供しませんでした。
BleepingComputerと共有された調査結果では、データベース内に乗客記録が含まれていた主要航空会社が複数特定されています。ただし、これらの航空会社が露出していたシステムを運用していた、あるいは各社自身のネットワークが侵害されていたことを示す証拠はありません。
シンガポールのチャンギ空港を管理・運営するチャンギ・エアポート・グループは、BleepingComputerに対しこの件について調査したことを認めましたが、コメントは控えました。
BleepingComputerは公開に十分先立ってベトナム当局にも連絡を取りましたが、回答はありませんでした。
データベースが保護される前に、悪意ある行為者によってダウンロードされたり、売買されたり、身代金要求の対象になったり、その他の形で悪用されたりしたかどうかは依然として不明です。Kinryū Labsによると、クラスター上に身代金要求メッセージや見覚えのないインデックスは見つからず、オンラインで販売提供されているデータセットも特定できなかったとのことです。
ただし、サーバーログにアクセスできなかったため、研究者はデータが誰かにコピーされていたかどうかを確定的に判断することはできませんでした。
Kinryū Labsは、今週中に追加の技術的な調査結果を自社のブログで公開する予定だとしています。
