Nove anni di numeri di passaporto e posti a sedere, su un server con le credenziali di fabbrica
Ogni volta che prendi un volo internazionale, la compagnia trasmette al paese di destinazione una serie di dati su di te prima del decollo. Quel sistema si chiama APIS, Advance Passenger Information System, ed è più o meno il mucchio di dati più delicato che esista fuori da una banca. Kinryu Labs ne ha trovato uno appoggiato su internet aperto il 3 giugno, mentre setacciava database esposti. Conteneva 220,8 milioni di record: 210,3 milioni di passeggeri e 10,5 milioni di membri d'equipaggio, circa 107GB su 29 indici, su indirizzi IP assegnati a Viettel ad Hanoi.
Il contenuto non è una fuga parziale. Nomi, date di nascita, sesso, nazionalità, numero di passaporto o documento di viaggio con data di scadenza e paese di rilascio, poi numero e data del volo, compagnia, aeroporti di partenza, arrivo e transito, numero del posto, riferimento del bagaglio e orari previsti, stimati ed effettivi. I record vanno da gennaio 2017 ad aprile 2026 e riguardano viaggiatori di compagnie di Asia-Pacifico, Europa e Medio Oriente che in quel periodo hanno volato verso, dal o attraverso il Vietnam. Per entrare servivano due errori concatenati: un percorso via cloud che scavalcava l'autenticazione e poi credenziali di fabbrica mai cambiate. Kinryu Labs ha segnalato tutto il giorno stesso e l'accesso è stato chiuso l'8 giugno, con l'aiuto delle autorità vietnamite e delle compagnie aeree.
Quello che nessuno può dirti è se qualcun altro sia arrivato prima. I ricercatori non hanno trovato richieste di riscatto né segni di manomissione, ma non c'erano nemmeno i registri del server, quindi "non abbiamo trovato prove" è tutto ciò che si può affermare. Un numero di passaporto non è una password: non lo si cambia, e resta valido per anni. Il rischio realistico non è che qualcuno prenoti un volo a tuo nome. È che un messaggio che nomina la tua compagnia, il tuo posto e la data esatta del volo risulti estremamente credibile, mentre nessuna compagnia e nessuna autorità di frontiera ti chiede mai di confermare per email o SMS i dati del passaporto per un viaggio già fatto.
Quasi tutti noi teniamo anche una copia nostra di tutto questo: scansioni del passaporto, carte d'imbarco e lettere per il visto che dormono nella cartella Documenti. Il controllo della postura di sicurezza di Tendvane ti dice se BitLocker è davvero attivo su quel disco e ti ricorda di salvare la chiave di ripristino altrove, non sulla macchina che quella chiave sblocca.