חוקרי חברת Kinryū Labs חשפו אשכול Elasticsearch פתוח לאינטרנט, המקושר למערכת מידע מוקדם על נוסעים (APIS) הפועלת בווייטנאם, ובו כ-220 מיליון רשומות של נוסעים וצוותי טיסה שנאספו על פני תשע שנים. לא ידוע אם המידע נגנב או נמכר בפועל לפני שהמאגר אובטח.
הפרטים
המאגר כלל כ-210 מיליון רשומות נוסעים ו-10.4 מיליון רשומות צוותי אוויר, ובהן שמות, תאריכי לידה, אזרחויות, מספרי דרכון ותאריכי תפוגה, פרטי טיסה, שדות תעופה ומושבים — מינואר 2017 ועד אפריל 2026. הגישה למאגר התאפשרה דרך שרשור של שתי תקלות תצורה: נקודת הקצה הראשית החזירה שגיאת הרשאה, אך החוקרים הצליחו לעקוף זאת דרך נתיב ענן חלופי עם פרטי גישת ברירת מחדל. החוקרים איתרו את המאגר ב-3 ביוני 2026 ודיווחו לרשויות בווייטנאם, לחברות תעופה מושפעות ולצוותי CERT לאומיים; המאגר אובטח כחמישה ימים לאחר מכן. הגורם המפעיל המדויק בווייטנאם טרם אושר רשמית, אך כתובות ה-IP מקושרות לספק Viettel בהאנוי. מערכות APIS משמשות רשויות הגירה ברחבי העולם לאיסוף פרטי זהות ודרכון מחברות תעופה עוד לפני נחיתת נוסעים, כך שהמידע החשוף עשוי לגעת בנוסעים מאזרחויות רבות שטסו דרך וייטנאם או אליה.
נקודות לשים לב
- הסיפור נוגע בעיקר לנוסעים שטסו דרך וייטנאם, אליה או ממנה בין 2017 ל-2026 — לא ניתן לדעת בוודאות אם המידע האישי שלכם נכלל בלי אישור רשמי מהגורם המפעיל.
- מספר דרכון ותאריך לידה שדלפו יחד הם שילוב שמאפשר התחזות מול גורמים רשמיים — היו ערניים לפניות חשודות המתיימרות להגיע מרשויות הגירה או חברות תעופה.
- המקרה הזה נוסף לשורת דלפים דומים ב-2026 שמקורם בבסיסי נתונים ללא הגנה בסיסית — אין עדות שהמידע נוצל בזדון, אבל היעדר עדות אינו הוכחה להיעדר גישה, בהתחשב בכך שלא נבדקו לוגים היסטוריים.
- אל תסיקו מהמקרה שמערכות APIS כשלעצמן פגיעות מטבען — הכשל כאן הוא תצורת ענן שגויה ופרטי גישת ברירת מחדל, כשל חוזר ונשנה במאגרי מידע ארגוניים בכל תעשייה.
מקורות: BleepingComputer · Security Affairs
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
