Pasaporte, asiento y equipaje: 220 millones de registros de viajeros protegidos por una contraseña de fábrica.

Una de las bases de datos aeronáuticas más sensibles resultó estar protegida peor que un servicio web común. Kinryū Labs encontró el 3 de junio en un clúster de Elasticsearch relacionado con Vietnam 220 783 700 registros sobre pasajeros y tripulaciones. En el conjunto había datos de pasaportes, itinerarios, asientos en el avión y enlaces al equipaje facturado. La base seguía recibiendo información actualizada.

El clúster pax-info contenía 29 índices y alrededor de 107 GB de datos. Correspondían a pasajeros 210 318 069 registros, y a tripulaciones otros 10 465 631. La cifra de 220,8 millones no equivale al número de personas afectadas, ya que un viajero podía aparecer en la base muchas veces. Los registros cubrían el periodo desde el 7 de enero de 2017 hasta el 30 de abril de 2026 y afectaban a 1008 aerolíneas.

Cada registro vinculaba el nombre, la fecha de nacimiento, el sexo, la nacionalidad, el número y la vigencia del pasaporte con un vuelo concreto, incluidos los aeropuertos de salida, tránsito y destino, el número de vuelo, el asiento y la etiqueta del equipaje. El sistema también incluía a los pasajeros en tránsito.

Una consulta directa al servidor devolvía HTTP 401, pero desde el entorno en la nube se abría otro acceso al clúster. Según Kinryū Labs, después de esa omisión el sistema aceptaba las credenciales predeterminadas sin cambios, y la interfaz permitía exportar los registros a JSON con una sola acción. Un problema parecido con bases abiertas en la red ya había provocado ataques masivos contra MongoDB.

Hay una aclaración técnica. Kinryū Labs califica las credenciales de fábrica, pero no las revela. Elastic indica que en Elasticsearch 8.x, en un inicio habitual, la contraseña del superusuario se genera automáticamente. Por eso, según los datos públicos no se puede determinar si las credenciales eran el valor predeterminado de Elasticsearch o parte de la configuración concreta del operador.

El host se ubicaba en el espacio de direcciones de Viettel en Hanói, pero no se pudo identificar al propietario de la base. En los datos predominaban VietJet Air y Vietnam Airlines, aunque figuraban cientos de transportistas extranjeros, incluyendo Aeroflot y Belavia. El contexto remite al caso Sirena-Travel, en el que un tribunal ruso investiga la posible obtención de datos de pasajeros aéreos mediante credenciales robadas.