デフォルトの認証情報を変更するのは常識のはずですが、研究者たちはそれでもなお、2億2000万件を超える乗客・乗員記録を保持するデータベースに、デフォルトのログイン情報を使って侵入できてしまう経路を発見しました。
Kinryū Labsの研究者らは、ハノイのViettel割り当てIPアドレス空間上でホストされているAPISデータベース内に、2億2078万3700件の乗客・乗員記録を発見しました。この情報は9年以上にわたる機密記録をカバーしており、特定の乗客を、搭乗した便や日付、空港、その他の旅程の詳細に結びつけることが可能でした。
BleepingComputerへの声明で、研究者らはこのアクセスが一連の設定および認証の不備によって可能になったと述べており、現在は既に修正済みです。とはいえ、この事例が示すように、単純な技術的な抜け道が重大なセキュリティインシデントへとつながりかねません。
セキュリティチームにとってこの事例は、たった一つの見落とされたエンドポイントが、本来は制限されているはずのデータベース周辺の防御を無力化し、大規模な個人情報・旅行データの流出を招きうることを示しています。
研究者がデータベースへの第二の侵入経路を発見した経緯
この発見は6月3日にさかのぼります。Kinryū Labsの研究者らが、ベトナムに関連するElasticsearchクラスター内にpax-infoという名前のデータベースを発見しました。BleepingComputerによれば、その直接のエンドポイントにアクセスするには認証が必要であり、実際にアクセスするとHTTP 401エラーが返されたということです。
さらに調査を進めたところ、同じクラスターに至る別のクラウド経由の経路が見つかりました。BleepingComputerによれば、その経路はデフォルトの認証情報を受け付けてしまい、研究者らはそこから記録へのアクセスを得たとのことです。
そこに保存されていた記録は、Advance Passenger Information System(APIS、事前旅客情報システム)から取得されたものとみられます。これは航空会社がフライトの到着・出発前に、乗客・乗員情報を当局に送信するために用いるシステムです。
この用途こそが、今回の流出をより深刻なものにしています。単なる個人情報の断片が孤立して保存されていたわけではなく、このデータベースは記録を旅行者の身元、所持するパスポート、搭乗する便の行き先、搭乗日時などと結びつけることができたのです。
データベースには何が含まれていたのか
Kinryū Labsは、2017年1月から2026年4月までの間に保存された2億1031万8069件の乗客記録と、1046万5631件の乗員記録を発見しました。これは29個のElasticsearchインデックスにわたり、合計107GBに上ります。
BleepingComputerによると、流出した情報には氏名、生年月日、性別、国籍、パスポートまたは渡航文書番号、文書の有効期限、発行国が含まれていました。
また記録には、便名と搭乗日、航空会社、出発・目的地・経由の空港、座席情報、手荷物の参照番号、予定・推定・実際のフライト時刻も含まれていました。
重要なのは、個々の項目そのものよりも、それらの組み合わせです。パスポート番号が漏洩するだけでも十分に深刻ですが、そこに生年月日、国籍、実際の旅程までが紐づくとなれば、はるかに詳細な身元情報と行動プロファイルが出来上がってしまいます。
流出した記録はベトナム人旅行者に限りませんでした。BleepingComputerが確認したサンプルには、韓国、中国、カナダ、ニュージーランドなど、さまざまな国籍を持つとされる旅行者が含まれていました。なお、この流出していたアクセス経路は、情報開示と関係組織との調整を経て、6月8日に閉鎖されたとのことです。
とはいえ、大きな疑問が一つ未解決のまま残っています。データベースが保護される前に、他の誰かがアクセスしたりコピーしたりしていなかったかという点です。研究者らは身代金要求の痕跡や不審なインデックス、データが売買されていた証拠は発見していませんが、サーバーのログがない以上、不正アクセスがなかったと断定することはできません。
今後どう対応すべきか
2億2080万という件数は、個人の数ではなく旅行記録の件数を表しています。複数回旅行した乗客や乗員は記録上に繰り返し登場する可能性があるため、実際に影響を受けた人数はこれより少ないとみられますが、それでも数百万人規模に上る可能性があります。
影響を受けた旅行者に対して連絡や本人確認保護支援が提供されるかどうかは、現時点で確認されていません。この対象期間中にベトナムへ、あるいはベトナムを経由して旅行した人は、追加の対策を講じておいたほうがよいでしょう。
まず、一見正確に見える情報が含まれていたとしても、身に覚えのない旅行関連のメッセージは疑ってかかるべきです。これには、フライトが変更になった、予約の確認が必要、パスポートが失効している、支払いが失敗した、入国書類の更新が必要といった内容のメッセージや電話も含まれます。
こうしたメッセージに記載されたリンクや電話番号、添付ファイルを使って真偽を確認してはいけません。代わりに、航空会社や旅行代理店、関連する政府サービスの公式サイトやアプリから直接アクセスするようにしてください。
この事態を注視している企業にとっては、取るべき対応が異なります。
最も目につきやすいアクセス経路が保護されたからといって、すべてが安全だと思い込んではいけません。ITチームはまず、自組織内のすべての資産を把握することから始めるべきです。こうしたシステムを監査し、デフォルトの認証情報を排除し、脆弱または使い回されているパスワードをローテーションし、すべてのエンドポイントが同一のアクセス制御を確実に適用しているか検証してください。
そのうえで、攻撃者の視点でそれらの制御をテストし、不要な露出があれば直ちに遮断してください。目的は、一つ目の扉に鍵をかけた後に、機密データへの二つ目の抜け道が残っていないことを確認することです。
関連記事: 研究者らは、有効な認証情報が流出した状態のGitリポジトリを28,000件発見しました。この事例は、見落とされがちなアクセス経路が機密システムやデータをいかに危険にさらしうるかを示しています。
