Dziewięć lat numerów paszportów i numerów miejsc, na serwerze z fabrycznym hasłem
Za każdym razem, gdy lecisz za granicę, linia lotnicza przekazuje krajowi docelowemu zestaw danych o tobie jeszcze przed startem. Ten system nazywa się APIS, Advance Passenger Information System, i jest to bodaj najbardziej wrażliwa hałda danych poza bankiem. Kinryu Labs znalazło jedną taką bazę leżącą w otwartym internecie 3 czerwca, podczas przeczesywania odsłoniętych baz. Zawierała 220,8 miliona rekordów: 210,3 miliona pasażerów i 10,5 miliona członków załóg, około 107GB w 29 indeksach, na adresach IP przypisanych do Viettel w Hanoi.
Zawartość nie jest częściowym wyciekiem. Nazwiska, daty urodzenia, płeć, obywatelstwo, numer paszportu lub dokumentu podróży wraz z datą ważności i krajem wydania, dalej numer i data lotu, przewoźnik, lotniska wylotu, przylotu i tranzytu, numer miejsca, numer bagażu oraz czasy planowane, szacowane i rzeczywiste. Rekordy obejmują okres od stycznia 2017 do kwietnia 2026 i dotyczą podróżnych linii z Azji i Pacyfiku, Europy oraz Bliskiego Wschodu, którzy w tym czasie lecieli do, z lub przez Wietnam. Wejście wymagało połączenia dwóch pomyłek: ścieżki przez chmurę, która omijała logowanie, a potem fabrycznych danych dostępu, których nikt nigdy nie zmienił. Kinryu Labs zgłosiło sprawę tego samego dnia, a dostęp zamknięto 8 czerwca, przy pomocy wietnamskich urzędów i linii lotniczych.
Nikt nie powie ci, czy ktoś inny nie był tam wcześniej. Badacze nie znaleźli żądań okupu ani śladów zmian, ale nie było też dzienników serwera, więc "nie znaleźliśmy dowodów" to wszystko, co da się powiedzieć. Numer paszportu nie jest hasłem: nie da się go wymienić i pozostaje ważny latami. Realne ryzyko nie polega na tym, że ktoś zarezerwuje lot na twoje nazwisko. Polega na tym, że wiadomość podająca twojego przewoźnika, twoje miejsce i dokładną datę lotu wygląda wyjątkowo wiarygodnie, a żadna linia lotnicza ani straż graniczna nigdy nie prosi mailem czy SMS-em o potwierdzenie danych paszportu do podróży, która już się odbyła.
Większość z nas trzyma też własną kopię tego wszystkiego: skany paszportu, karty pokładowe i pisma wizowe leżące w folderze Dokumenty. Kontrola stanu zabezpieczeń w Tendvane mówi ci, czy BitLocker jest na tym dysku faktycznie włączony, i przypomina, żeby klucz odzyskiwania trzymać gdzie indziej niż na komputerze, który on odblokowuje.