Neuf ans de numéros de passeport et de numéros de siège, sur un serveur aux identifiants d'usine
Chaque fois que vous prenez un vol international, la compagnie transmet une série de renseignements sur vous au pays de destination avant le décollage. Ce système s'appelle APIS, Advance Passenger Information System, et c'est à peu près l'ensemble de données le plus sensible qui existe en dehors d'une banque. Kinryu Labs en a trouvé un posé sur l'internet ouvert le 3 juin, en ratissant les bases exposées. Il contenait 220,8 millions de fiches: 210,3 millions de passagers et 10,5 millions de membres d'équipage, environ 107GB répartis sur 29 index, sur une plage d'adresses IP attribuée à Viettel à Hanoï.
Le contenu n'est pas une fuite partielle. Noms, dates de naissance, sexe, nationalité, numéro de passeport ou de document de voyage, sa date d'expiration et son pays d'émission, puis numéro et date de vol, compagnie, aéroports de départ, d'arrivée et de transit, numéro de siège, référence de bagage et horaires prévus, estimés et réels. Les fiches vont de janvier 2017 à avril 2026 et concernent des voyageurs de compagnies d'Asie-Pacifique, d'Europe et du Moyen-Orient ayant volé vers, depuis ou via le Vietnam pendant cette période. Y entrer demandait d'enchaîner deux erreurs: un chemin passant par le cloud qui contournait l'authentification, puis des identifiants d'usine jamais changés. Kinryu Labs a signalé le problème le jour même et l'accès a été fermé le 8 juin, avec l'aide des autorités vietnamiennes et des compagnies aériennes.
Ce que personne ne peut vous dire, c'est si quelqu'un d'autre est arrivé avant. Les chercheurs n'ont trouvé ni demande de rançon ni trace de modification, mais il n'y avait pas non plus de journaux serveur, donc "nous n'avons rien trouvé" est tout ce qu'on peut affirmer. Un numéro de passeport n'est pas un mot de passe: on ne le change pas, et il reste valable des années. Le risque réaliste n'est pas que quelqu'un réserve un vol à votre nom. C'est qu'un message citant votre compagnie, votre siège et la date exacte de votre vol est extrêmement crédible, alors qu'aucune compagnie ni aucun service frontalier ne vous demande jamais de confirmer par courriel ou par SMS les détails d'un passeport pour un voyage déjà effectué.
La plupart d'entre nous gardent aussi leur propre copie de tout cela: scans de passeport, cartes d'embarquement et lettres de visa qui dorment dans Documents. Le contrôle de posture de sécurité de Tendvane vous dit si BitLocker est réellement actif sur ce disque et vous incite à mettre la clé de récupération ailleurs que sur la machine qu'elle déverrouille.