Fuga di dati: esposti 220 milioni di record di viaggiatori a causa di misconfigurazioni

Un grave incidente di sicurezza ha recentemente colpito il settore aereo, con l’esposizione di circa 220 milioni di record di viaggiatori e membri dell’equipaggio a causa di una serie di misconfigurazioni in un archivio cloud. I dati, risalenti a un periodo compreso tra gennaio 2017 e aprile 2026, sono stati individuati da ricercatori che hanno scoperto un cluster Elasticsearch accessibile tramite un percorso cloud alternativo che accettava credenziali di default.

L’archivio, che comprendeva 29 indici per un totale di circa 107 GB di dati, sembra essere stato generato da un sistema di informazione sui passeggeri (APIS). Tra le informazioni esposte vi sono dati personali identificativi come nomi, date di nascita, nazionalità, numeri di passaporto e documenti di viaggio, oltre a dettagli su sesso, date di scadenza dei documenti, paesi di emissione, compagnie aeree, aeroporti di partenza, destinazione e transito, assegnazioni di posto e riferimenti bagaglio.

Non è stato possibile determinare con certezza l’operatore del sistema, ma l’infrastruttura risultava ospitata in blocchi IP assegnati a Viettel e localizzata ad Hanoi. Due indici principali includevano rispettivamente 210.318.069 record passeggeri e 10.465.631 record equipaggio, con voci relative a persone che avevano viaggiato da, verso o tramite il Vietnam. Tra le nazionalità segnalate figurano cittadini canadesi, cinesi, coreani e neozelandesi, e l’archivio non è limitato a una singola compagnia aerea, citando vettori in Asia-Pacifico, Europa e Medio Oriente.

I ricercatori hanno segnalato la scoperta il 3 giugno alle autorità vietnamite, a diverse compagnie aeree interessate e al CERT nazionale; l’archivio è stato reso inaccessibile l’8 giugno. Il team di sicurezza di Singapore Airlines ha coordinato le attività di contenimento, comunicando di aver coinvolto le parti interessate.

Attualmente, senza un’analisi dei log e un’indagine forense completa, non è possibile stabilire se attori malevoli abbiano avuto accesso o esfiltrato i dati. Al momento non ci sono evidenze di vendita dell’archivio sul dark web né rivendicazioni pubbliche da parte di gruppi di hacking.

Le misconfigurazioni di database e la scarsa visibilità sull’infrastruttura cloud sono indicate come cause ricorrenti di fughe di dati. Cassius Edison, COO di Closed Door Security, ha sottolineato che la complessità delle tecnologie gestite e la mancanza di audit facilitano errori di configurazione. Edison raccomanda l’impiego di penetration test e verifiche di sicurezza indipendenti per prevenire incidenti simili in futuro.

Nel 2026, sono stati segnalati altri grandi incidenti di esposizione di dati, tra cui centinaia di milioni di record da un fornitore di identità e oltre tre miliardi di record derivanti da un database MongoDB mal configurato, evidenziando la necessità di una maggiore attenzione alla sicurezza dei dati nel settore.