Neun Jahre Passnummern und Sitzplätze, auf einem Server mit Werkspasswort
Jedes Mal, wenn Sie international fliegen, meldet die Airline vor dem Abflug eine Reihe von Angaben über Sie an das Zielland. Dieses System heißt APIS, Advance Passenger Information System, und es ist etwa der sensibelste Datenberg, der außerhalb einer Bank existiert. Kinryu Labs fand am 3. Juni einen davon offen im Internet, beim systematischen Suchen nach ungeschützten Datenbanken. Er enthielt 220,8 Millionen Datensätze: 210,3 Millionen Passagiere und 10,5 Millionen Besatzungsmitglieder, rund 107GB in 29 Indizes, auf einem IP-Bereich, der Viettel in Hanoi zugewiesen ist.
Der Inhalt ist kein Teilleck. Namen, Geburtsdaten, Geschlecht, Staatsangehörigkeit, Pass- oder Reisedokumentnummer samt Ablaufdatum und Ausstellungsland, dazu Flugnummer und Datum, Airline, Abflug-, Ziel- und Transitflughäfen, Sitzplatznummer, Gepäckreferenz sowie geplante, geschätzte und tatsächliche Zeiten. Die Datensätze reichen von Januar 2017 bis April 2026 und betreffen Reisende von Airlines aus Asien-Pazifik, Europa und dem Nahen Osten, die in diesem Zeitraum nach, von oder über Vietnam geflogen sind. Der Zugang erforderte die Verkettung zweier Fehler: ein Weg über die Cloud, der die Anmeldung umging, und dann Werkszugangsdaten, die niemand geändert hatte. Kinryu Labs meldete den Fund am selben Tag, und der Zugang wurde am 8. Juni geschlossen, mit Hilfe vietnamesischer Behörden und der Airlines.
Was niemand sagen kann, ist, ob vorher schon jemand anderes dort war. Die Forscher fanden keine Erpressernachrichten und keine Spuren von Manipulation, aber es gab auch keine Serverprotokolle, also bleibt es bei "wir haben nichts gefunden". Eine Passnummer ist kein Passwort: Man kann sie nicht wechseln, und sie bleibt jahrelang gültig. Das realistische Risiko ist nicht, dass jemand in Ihrem Namen einen Flug bucht. Es ist, dass eine Nachricht, die Ihre Airline, Ihren Sitzplatz und das genaue Flugdatum nennt, ausgesprochen glaubwürdig wirkt - und dass keine Airline und keine Grenzbehörde je per E-Mail oder SMS Passdaten zu einer bereits absolvierten Reise bestätigen lässt.
Die meisten von uns haben außerdem eine eigene Kopie von all dem: Passscans, Bordkarten und Visaschreiben, die im Ordner Dokumente liegen. Tendvanes Prüfung der Sicherheitslage sagt Ihnen, ob BitLocker auf diesem Laufwerk tatsächlich aktiv ist, und erinnert Sie daran, den Wiederherstellungsschlüssel woanders zu speichern als auf dem Rechner, den er aufschließt.