- Kinryū Labsがベトナムで設定不備のAPISデータベースを発見、乗客・乗員2億2000万件の記録が流出
- データには2017年から2026年までの個人情報、旅行詳細、座席割り当て、手荷物参照番号が含まれる
- アーカイブは現在ロック済み、ダークウェブでの販売は今のところ確認されていない
クラウドデータベースで発見された「一連の設定不備」により、数百万人の旅行者の機密情報がインターネット上に流出していたことが、専門家の調査で明らかになりました。
2026年6月初旬、Kinryū Labsのセキュリティ研究者らは、あるElasticsearchクラスターを発見しました。このクラスターはオープンインターネットから直接アクセスすることはできないものの、クラウド経由の別ルートからアクセス可能な状態になっていました。研究者らがこの経路からアクセスしたところ、クラスターがデフォルトの認証情報を受け付ける状態になっており、29のインデックス、容量にして約107GBのアーカイブへのアクセスが可能でした。
このアーカイブは、事前旅客情報システム(Advance Passenger Information System、APIS)によって生成されたとみられます。APISとは、航空会社がフライトの到着・出発前に乗客・乗員情報を収集し、各国の当局へ送信するために使用するシステムです。通常このシステムは、氏名、生年月日、国籍、パスポート・渡航文書番号、フライト詳細を収集し、国境管理や入国審査などに利用します。しかし今回のケースでは、これに加えて性別、渡航文書の有効期限、発行国、利用航空会社、出発・到着・乗り継ぎ空港、座席割り当て、手荷物参照番号なども含まれていました。
このAPISを誰が運用していたのか、またデータベースの所有者や管理者が誰なのかは判明していません。研究者らが突き止められたのは、ベトナムの首都ハノイにあるViettel割り当てのIPアドレス空間でホストされていたという事実のみです。
被害を受けたのは誰か
発見された29のインデックスのうち、2つが特に大規模でした。一方には210,318,069件の乗客記録が、もう一方には10,465,631件の乗員記録が含まれていました。合計で2億2000万件の記録が、2017年1月から2026年4月にかけてベトナムへ、ベトナムから、あるいはベトナムを経由して旅行した人々のものとして作成されていました。
ただし、これらの記録は個人単位で対応しているわけではありません。同じ人物が複数回旅行していれば、アーカイブ内に複数回登場することになります。流出した情報の対象にはカナダ、中国、韓国、ニュージーランドの国籍を持つ人々が含まれています。データベースは特定の航空会社に限定されたものでもなく、研究者の報告書には、アジア太平洋、欧州、中東地域の複数の航空会社が言及されていました。
研究者らはこのデータベースを特定の組織に紐付けることができなかったため、6月3日にベトナム当局、アーカイブに記載されていた各航空会社、そして同国のCERT(コンピュータ緊急対応チーム)へ報告しました。アーカイブは1週間後の6月8日にロックされました。BleepingComputerによると、対応の主導的役割を担ったのはシンガポール航空のセキュリティチームで、同チームは研究者に対し「関係各所と連携し」、「問題を封じ込めるための対策を講じた」と述べたということです。
ログの適切な監査と本格的なフォレンジック調査を行わない限り、研究者より前に脅威アクターがこのデータベースにアクセスしていたかどうか、またデータを窃取して個人情報の盗用や電信詐欺、その他の詐欺行為に利用していたかどうかを判断することはできません。ただ(多少の)安心材料として、現時点でダークウェブ上でそうした活動の痕跡は確認されておらず、ハッキング集団による関与の主張もありません。アーカイブをダークウェブで販売している者もいません。
データ流出の最大の原因
設定不備のデータベースは、依然としてデータ漏洩の主要な原因の一つです。ほとんどの企業は、従業員、取引先、クライアント、顧客に関する何らかのデータを生成しており、それを容易にアクセスでき有用な知見を得られるよう、クラウド上に保存しています。しかし一部の企業は、クラウドセキュリティにおける責任共有モデルを理解していなかったり、単に自社のクラウド保存データの保護に無頓着で杜撰だったりします。また、Closed Door Security社のCOOであるCassius Edison氏によれば、自社のIT資産の可視性そのものに問題を抱える企業も存在するといいます。
「世界中の企業が現在利用・管理している技術の範囲が拡大したことで、設定不備はますます根深い問題になっています」とEdison氏は説明します。「多くの組織は自社のIT資産全体を十分に可視化できておらず、システムの適切な監査も実施できていません。これが必然的にセキュリティと監視の見落としにつながっているのです」
Edison氏によれば、設定不備への対処を社内だけで行うのは難しく、「特に、複数のシステムにまたがってチームが独立して業務を行う大企業では」その傾向が顕著だといいます。同氏は、組織に対し独立系のペネトレーションテスターやセキュリティ監査人を招き入れることを推奨しています。
世界最大級のデータ漏洩事件の中には、ハッカーがロックダウンされたシステムに侵入したことによるものではなく、企業側が意図せず顧客情報を流出させたことによるものも少なくありません。
2026年だけを見ても、データドリブンな消費者ID管理企業であるInfutorから6億7000万件を超えるID記録が流出したほか、グローバルなID検証サービスを提供するIDMeritが管理する設定不備のMongoDBデータベースから30億件を超える記録が流出しています。
