Esposizione di 220 milioni di record di viaggiatori: un allerta sulla sicurezza dei dati

Un grave incidente di sicurezza ha recentemente colpito il settore aereo, con la scoperta di un archivio cloud contenente circa 220 milioni di record di viaggiatori e membri dell’equipaggio, reso accessibile a causa di misconfigurazioni. I dati, raccolti tra gennaio 2017 e aprile 2026, sono stati identificati da ricercatori che hanno rintracciato un cluster Elasticsearch accessibile tramite un percorso cloud alternativo che accettava credenziali di default.

L’archivio in questione, che comprendeva 29 indici per un totale di circa 107 GB di dati, sembra essere stato generato da un sistema di Advance Passenger Information System (APIS). Conteneva informazioni personali identificative, tra cui nomi, date di nascita, nazionalità, numeri di passaporto e dettagli di viaggio, come sesso, date di scadenza dei documenti e compagnie aeree utilizzate.

Nonostante la gravità della situazione, non è stato possibile attribuire con certezza l’operatore del sistema. L’infrastruttura risultava ospitata in blocchi IP assegnati a Viettel, con localizzazione ad Hanoi. Tra i dati esposti, due indici principali includevano rispettivamente 210.318.069 record passeggeri e 10.465.631 record equipaggio, con voci relative a viaggiatori da, verso o attraverso il Vietnam, e registrazioni di persone di diverse nazionalità, tra cui cittadini canadesi, cinesi, coreani e neozelandesi.

La scoperta è stata segnalata il 3 giugno alle autorità vietnamite e a diverse compagnie aeree coinvolte, mentre il CERT nazionale è stato avvisato. L’archivio è stato reso inaccessibile il 8 giugno. Il team di sicurezza di Singapore Airlines ha coordinato le attività di contenimento, comunicando di aver coinvolto le parti interessate.

Fino ad ora, non ci sono evidenze che attori malevoli abbiano avuto accesso ai dati o che questi siano stati esfiltrati. Non risultano neppure segnalazioni di vendita dell’archivio sul dark web o rivendicazioni pubbliche da parte di gruppi di hacking. Tuttavia, esperti del settore avvertono che le misconfigurazioni di database e la scarsa visibilità sull’infrastruttura cloud sono cause ricorrenti di fughe di dati.

Cassius Edison, COO di Closed Door Security, ha sottolineato che la complessità delle tecnologie gestite e la mancanza di audit possono facilitare errori di configurazione. Raccomanda pertanto l’impiego di penetration test e verifiche di sicurezza indipendenti per prevenire simili incidenti in futuro.

Il 2026 ha già visto altri gravi incidenti di esposizione di dati, tra cui centinaia di milioni di record da un fornitore di identità e oltre tre miliardi di record derivanti da un database MongoDB mal configurato. Questo nuovo episodio mette in evidenza l’urgenza di rafforzare le misure di sicurezza nel trattamento dei dati sensibili, specialmente in un settore così critico come quello aereo.