Nom, date de naissance, nationalité, numéro de passeport, siège, bagage, heure de départ et d’arrivée. Pour des millions de voyageurs passés par le Vietnam entre 2017 et 2026, toutes ces informations se trouvaient réunies dans une même base. Des chercheurs ont découvert qu’elle pouvait être atteinte depuis le cloud, puis ouverte avec des identifiants par défaut.
Neuf ans de données de voyage dans une seule base
Le 3 juin, les chercheurs de Kinryū Labs inspectent des bases de données exposées dans le cadre de travaux sur les ransomwares. Ils tombent sur un cluster Elasticsearch baptisé « pax-info ». Selon BleepingComputer, celui-ci contenait près de 107 Go de données réparties dans 29 index. Deux d’entre eux regroupaient à eux seuls 210,3 millions d’enregistrements de passagers et 10,4 millions de membres d’équipage, soit 220,8 millions d’entrées au total. Ces chiffres ne correspondent pas à autant de personnes uniques : un même voyageur peut apparaître plusieurs fois s’il a effectué plusieurs vols.
Les données couvrent une période allant de janvier 2017 à avril 2026. Elles comprennent les noms, dates de naissance, sexe, nationalité, numéros de passeport ou de document de voyage, dates d’expiration et pays émetteurs. À cela s’ajoutent les détails du déplacement : compagnie aérienne, numéro et date du vol, aéroports de départ, d’arrivée et de transit, siège, références des bagages et horaires prévus ou réels.
La porte principale était fermée, une autre l’était beaucoup moins
Depuis Internet, la base ne semblait pas directement accessible. Le serveur renvoyait bien une erreur « Unauthorized ».L’exposition passait en réalité par un autre chemin. Selon BleepingComputer, les chercheurs ont exploité deux mauvaises configurations pour atteindre le cluster par un autre chemin hébergé dans le cloud. Une fois ce passage trouvé, la base acceptait des identifiants par défaut.
Le système était hébergé sur une adresse IP attribuée à Viettel à Hanoï, mais les chercheurs n’ont pas pu identifier avec certitude l’organisation vietnamienne qui l’exploitait. Ils ont en revanche vérifié l’authenticité des données en retrouvant leurs propres déplacements au Vietnam dans la base.
Une exposition dont la durée reste inconnue
Les enregistrements remontent à 2017, mais cela ne signifie pas que la base est restée accessible pendant neuf ans. La plateforme FOFA avait repéré l’hôte et son port dès octobre 2022, puis identifié le service comme une base de données en juillet 2023. Les chercheurs ne savent toutefois pas à partir de quand le second chemin d’accès permettait réellement de consulter les informations.
Ils ont signalé le problème aux autorités vietnamiennes, aux compagnies aériennes concernées et à plusieurs CERT à partir du 3 juin. L’accès a été corrigé le 8 juin. Rien ne permet aujourd’hui d’affirmer que les données ont été volées avant leur sécurisation. Les chercheurs n’ont trouvé ni demande de rançon ni copie identifiée à la vente, mais l’absence de journaux serveur les empêche également d’exclure un téléchargement antérieur.
Les compagnies aériennes ne sont pas mises en cause
La base contenait les données de voyageurs de nombreuses compagnies internationales en Asie-Pacifique, en Europe et au Moyen-Orient. Cela ne signifie pas pour autant que leurs propres systèmes aient été compromis. BleepingComputer précise qu’aucun élément ne montre que les compagnies dont les passagers apparaissent dans la base exploitaient elles-mêmes l’infrastructure exposée.
L’incident concerne un Advance Passenger Information System, ces dispositifs utilisés par les autorités pour recevoir avant un vol les informations d’identité et de voyage des passagers et des équipages. C’est précisément ce qui rend l’exposition sensible : il ne s’agit pas seulement d’un fichier clients, mais d’un historique mêlant identité officielle et déplacements internationaux.
