概要
セキュリティ研究チームKinryū Labsは、ベトナムに関連する乗客事前情報システム(APIS)の一部とみられる「pax-info」という名称のElasticsearchクラスタが、インターネット上で誰でも閲覧可能な状態になっていたことを発見した。露出していたのは約107GB、29個のインデックスに及ぶデータで、2017年1月から2026年4月までの9年間にわたる乗客2億1030万件、乗員1050万件、合計2億2080万件超の記録が含まれていた。対象はベトナムへの渡航者や経由者に限らず、世界各地からの旅行者が広く含まれるとみられる。
技術的な原因と発見の経緯
Kinryū Labsは2022年にFOFAを用いたスキャンでこのホストを最初に検出していたが、これが問題のデータベースであると特定できたのは2023年になってからだった。クラスタはハノイのViettelに割り当てられたIPアドレス空間でホストされており、インターネットから直接アクセスするとHTTP 401「Unauthorized」を返す設定になっていたものの、別のクラウド経由の経路からはアクセス制限が機能せず、しかもデフォルト認証情報をそのまま受け付ける状態だった。この2つの設定ミスが連鎖したことで、認証を回避してクラスタ内部のデータに到達できてしまったという。研究チームは2026年6月3日にベトナム当局、関係航空会社、各国のCERTへ通報し、6月8日には問題のアクセス経路が閉じられ、修正が完了した。
流出したデータの内容と影響範囲
データベースには氏名、生年月日、性別、国籍、パスポート番号または渡航文書番号、有効期限、発行国といった個人識別情報に加え、便名、日付、航空会社、出発地・目的地・経由地空港、座席番号、荷物参照番号、予定・実績のスケジュール情報まで含まれていた。関連する航空会社はアジア太平洋、ヨーロッパ、中東の広い範囲に及び、報道への協力にはシンガポール航空も加わったとされる。一方で、該当航空会社のネットワーク自体が侵害された形跡や、データベースが改ざんされた痕跡、身代金要求のメモなどは確認されていない。
今後の課題
最大の懸念は、悪意ある第三者がこのデータベースにアクセスし、実際に情報を抜き取っていたかどうかが不明な点にある。サーバーログが保存されていなかったため、露出していた期間中に不正アクセスや大量ダウンロードが発生していたかを事後的に検証する手段がない。パスポート番号や渡航文書情報は本人確認や国境管理に直結する機微情報であり、仮に流出していれば旅行詐欺や不正な渡航文書作成に悪用されるリスクがある。今回の事案は、政府系・航空業界系のシステムであっても基本的なアクセス制御とデフォルト認証情報の変更が徹底されていなければ、大規模な個人情報流出につながりかねないことを改めて示した。