El equipo de investigadores de Kinryū Labs ha hecho un descubrimiento alarmante: un clúster de Elasticsearch que contenía más de 220 millones de registros de pasajeros y tripulaciones de vuelos internacionales quedó accesible en línea durante un período indeterminado.
La base de datos, denominada ‘pax-info’, albergaba información crítica del sistema APIS (Advance Passenger Information System), utilizado globalmente para recopilar datos de identidad y viaje antes de la llegada o salida de los pasajeros.
Lo más preocupante es que este tesoro de información sensible, que incluye nombres completos, números de pasaporte, fechas de nacimiento, nacionalidades, detalles de vuelos y asignaciones de asientos, estuvo expuesto a través de una cadena de configuraciones erróneas que sortearon las medidas de autenticación aparentes.
¿Qué datos quedaron expuestos?
El clúster, alojado en el espacio de direcciones IP de Viettel en Hanói, contenía 29 índices y aproximadamente 107 GB de datos.
Los dos índices principales albergaban:
- 210.318.069 registros de pasajeros.
- 10.465.631 registros de tripulación.
En total, 220.783.700 entradas individuales.
La información expuesta incluía:
- Nombres completos, fechas de nacimiento, sexo y nacionalidad.
- Números de pasaporte o documento de viaje, fechas de caducidad y país de emisión.
- Números de vuelo y fechas, aerolíneas, aeropuertos de salida, destino y tránsito.
- Asignaciones de asientos, referencias de equipaje y horarios programados, estimados y reales de los vuelos.
Los investigadores pudieron verificar la legitimidad de los datos cotejando los registros con sus propios viajes a Vietnam, confirmando que la información era auténtica y no simulada.
La cadena de errores que permitió el acceso
El acceso a la base de datos no fue directo. Desde Internet, el endpoint devolvía un error HTTP 401 “No autorizado”, lo que podría haber dado una falsa sensación de seguridad.
Aunque los investigadores descubrieron una ruta alternativa a través de la nube que permitía llegar al clúster. Una vez allí, el sistema aceptaba credenciales por defecto, lo que abría la puerta a cualquier persona con el conocimiento técnico suficiente.
La plataforma de inteligencia FOFA registró el host y el puerto por primera vez en octubre de 2022, identificando el servicio como una base de datos en julio de 2023. Sin embargo, se desconoce desde cuándo los datos eran accesibles a través de esta ruta secundaria.
Esto significa que, aunque los registros abarcan nueve años, el período real de exposición sigue siendo una incógnita.
¿Quiénes fueron afectados?
Dado que la base de datos cubre múltiples aerolíneas internacionales de Asia-Pacífico, Europa y Oriente Medio, los registros expuestos podrían pertenecer a viajeros de prácticamente cualquier nacionalidad que haya visitado o hecho escala en Vietnam en los últimos nueve años.
Las muestras revisadas incluían pasajeros de nacionalidades coreana, china, canadiense y neozelandesa, entre otras. Es importante destacar que, las cifras representan registros de viaje, no individuos únicos. Por lo tanto, los pasajeros y tripulantes que viajaron múltiples veces pueden aparecer repetidamente en la base de datos.
Respuesta y coordinación
Kinryū Labs informó del hallazgo a las autoridades vietnamitas, a las aerolíneas representadas y a los equipos de respuesta a emergencias informáticas (CERT) nacionales a partir del 3 de junio. El acceso a la base de datos fue remediado el 8 de junio, según los investigadores.
El equipo de seguridad de Singapore Airlines fue clave en la coordinación de la respuesta, confirmando que había “tomado medidas para contener el problema”. Sin embargo, no hay indicios de que las aerolíneas operaran el sistema expuesto o de que sus propias redes se vieran comprometidas.
El Changi Airport Group, que gestiona el aeropuerto de Singapur, declinó hacer comentarios, y las autoridades vietnamitas no respondieron a las consultas de BleepingComputer.
¿Se llegaron a filtrar los datos?
Hasta el momento, no se ha podido determinar si la base de datos fue descargada, vendida, rescatada o explotada por actores maliciosos antes de ser asegurada. Kinryū Labs no encontró notas de rescate ni índices desconocidos en el clúster, y no identificó el conjunto de datos a la venta en línea.
Sin embargo, los investigadores advierten que, sin acceso a los registros del servidor, no pueden concluir de manera definitiva si alguien copió los datos. La incógnita permanece abierta, y el riesgo de que esta ingente cantidad de información sensible esté circulando en los circuitos subterráneos de la ciberdelincuencia es una posibilidad real y preocupante.
Conclusión
Este incidente pone de manifiesto una vez más la fragilidad de los sistemas de información críticos y la importancia de una configuración de seguridad rigurosa, especialmente cuando se manejan datos personales de millones de personas.
La cadena de errores de configuración que permitió el acceso a la base de datos es un recordatorio de que la seguridad no puede ser un conjunto de medidas aisladas, sino un proceso integral y continuo.
La exposición de datos como pasaportes, fechas de nacimiento y detalles de viaje abre la puerta a graves riesgos de suplantación de identidad, fraude y amenazas a la seguridad personal.
La rapidez con la que se contuvo el acceso es loable, pero la incertidumbre sobre la posible filtración de los datos deja una sombra de preocupación sobre los millones de viajeros que podrían verse afectados.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
