Nove anos de números de passaporte e lugares atribuídos, num servidor com credenciais de fábrica
Sempre que voa para o estrangeiro, a companhia aérea entrega ao país de destino um conjunto de dados sobre si antes de o avião sair. Esse sistema chama-se APIS, Advance Passenger Information System, e é mais ou menos o monte de dados mais sensível que existe fora de um banco. A Kinryu Labs encontrou um deles aberto na internet a 3 de junho, enquanto varria bases de dados expostas. Continha 220,8 milhões de registos: 210,3 milhões de passageiros e 10,5 milhões de membros de tripulação, cerca de 107GB distribuídos por 29 índices, num intervalo de endereços IP atribuído à Viettel em Hanói.
O conteúdo não é uma fuga parcial. Nomes, datas de nascimento, sexo, nacionalidade, número de passaporte ou documento de viagem com data de validade e país emissor, depois número e data do voo, companhia, aeroportos de partida, destino e trânsito, número do lugar, referência da bagagem e horas previstas, estimadas e reais. Os registos vão de janeiro de 2017 a abril de 2026 e dizem respeito a passageiros de companhias da Ásia-Pacífico, da Europa e do Médio Oriente que nesse período voaram para, do ou através do Vietname. Entrar exigia encadear dois erros: um caminho pela nuvem que passava ao lado da autenticação e, depois, credenciais de fábrica que ninguém tinha mudado. A Kinryu Labs comunicou o caso no mesmo dia e o acesso foi fechado a 8 de junho, com a ajuda das autoridades vietnamitas e das companhias aéreas.
O que ninguém lhe pode dizer é se mais alguém chegou lá antes. Os investigadores não encontraram pedidos de resgate nem sinais de alteração, mas também não havia registos do servidor, pelo que "não encontrámos provas" é tudo o que se pode afirmar. Um número de passaporte não é uma palavra-passe: não se troca, e continua válido durante anos. O risco realista não é que alguém reserve um voo em seu nome. É que uma mensagem que nomeia a sua companhia, o seu lugar e a data exata do voo soa extremamente credível, quando nenhuma companhia aérea nem serviço de fronteiras lhe pede jamais para confirmar dados do passaporte por email ou SMS acerca de uma viagem já feita.
Quase todos guardamos também a nossa própria cópia disto: digitalizações do passaporte, cartões de embarque e cartas de visto a dormir na pasta Documentos. A verificação do estado de segurança do Tendvane diz-lhe se o BitLocker está realmente ativo nessa unidade e lembra-o de guardar a chave de recuperação noutro lugar, e não no computador que essa chave desbloqueia.