ベトナム関連の旅客情報2億2,000万件が露出 — Elasticsearchが既定認証情報で公開、2017〜2026年のAPISデータとKinryu Labsが報告

脅威インテリジェンス研究グループのKinryu Labsは2026年6月3日、ベトナムに関連する旅客情報システムのデータベースがインターネットに露出し、約2億2,000万件の旅客・乗員記録が既定の認証情報でアクセス可能な状態にあったことを明らかにした。同グループの調査と、その後の関係者への通報により、公開状態は6月8日に是正された。研究者は今週中に技術的な詳細を自らのブログで追加公開する予定としている。

2億2,078万件、107GBの旅客データが公開状態に

Kinryu Labsによると、公開されていたのはElasticsearchのクラスター「pax-info」だ。研究者がランサムウェア活動の調査の一環として公開データベースを探索する中で、6月3日に発見した。ホストはベトナム・ハノイのViettelが割り当てるIP空間に置かれていた。

クラスターは29のインデックスで構成され、データ量は約107GBに上る。そのうち2つの主要インデックスに、旅客2億1,031万8,069件と乗員1,046万5,631件の計2億2,078万3,700件が保存されていた。BleepingComputerが確認したところによると、対象期間は2017年1月から2026年4月までで、この間にベトナムを発着または経由した旅客が広く含まれる。

露出していた情報は、APIS（Advance Passenger Information System：事前旅客情報システム）や関連する航空会社システムが通常扱う項目と一致する。

個人識別情報: 氏名、生年月日、性別、国籍、旅券番号、旅券の有効期限、発行国
渡航情報: フライト番号・日付、航空会社、出発・到着・経由空港、座席、手荷物参照、定刻・予定・実績のフライト時刻

Kinryu Labsは、データの正当性を自らの研究者のベトナム渡航記録と照合して確認した。サンプルには韓国・中国・カナダ・ニュージーランド国籍の渡航者が含まれ、アジア太平洋・欧州・中東の多数の航空会社にまたがっていた。記録数は延べ件数であり、複数回渡航した同一人物が重複して含まれる。

二つの設定不備が連鎖 — クラウド経路と既定の認証情報

Kinryu Labsによると、露出した経緯は二つの設定不備が連鎖したものだ。

インターネットから直接Elasticsearchのエンドポイントにアクセスすると、HTTP 401「Unauthorized」が返り、直接のアクセスは拒否されていた。しかし、クラウド側の迂回経路を通じてクラスターに到達すると、既定の認証情報でアクセスが許可されていたという。

インターネット上の公開情報を収集するプラットフォームFOFAは、ホストとポートを2022年10月に初めて記録し、2023年7月にデータベースとして識別していた。ただし、Kinryu Labsは、旅客データが迂回経路を通じて取得可能になった正確な時期は特定できていないとしている。記録自体は9年以上に及ぶが、実際に外部から取得可能な状態がどれだけ続いていたかは不明だ。

研究者は発見当日にクラスターに身代金要求メモや不審なインデックスがないことを確認し、ダークウェブ上でデータが販売されている痕跡も確認できなかったとしている。ただし、サーバーのログにアクセスできないため、悪意ある第三者が事前にデータを複製したかどうかを断定することはできない。

6月3日から通報、6月8日に是正 — シンガポール航空が調整を支援

Kinryu Labsは6月3日からベトナム当局、データベースに含まれる航空会社、各国のCSIRT（Computer Security Incident Response Team）への通報を開始した。BleepingComputerが確認した認証済みメールによると、シンガポール航空のセキュリティチームが調整を支援し、6月8日に「関係者と連携し、問題の封じ込め措置を講じた」とKinryu Labsに連絡した。シンガポール航空はBleepingComputerの追加取材にはコメントしていない。チャンギ空港を運営するChangi Airport Groupも調査を実施したが、コメントを控えた。ベトナム当局からは公表時点までに回答がなかった。

航空会社側の運用ではない点も重要だ。BleepingComputerは、データベースに記録が含まれる主要航空会社を特定した一方で、航空会社自身が公開システムを運用していた形跡や、自社ネットワークが侵害された証拠はないと伝えている。APISは各国が出入国管理のために航空会社から事前に旅客情報を収集する仕組みであり、今回のクラスターがどの組織の運用によるものかは、BleepingComputerもKinryu Labsも公表時点で特定できていない。

日本の読者が留意すべき点

APISのデータは旅券番号や生年月日を含むため、漏えいした場合、なりすましや標的型フィッシングの素材として悪用される恐れがある。今回のデータはベトナム発着・経由が中心だが、9年間にわたり多国籍の渡航者が対象となっており、日本からベトナムを訪れた渡航者の情報も含まれている可能性がある。

Kinryu Labsは今週中に自らのブログで追加の技術的知見を公開する予定としている。被害の有無を個別に確認する手段は現時点で公表されておらず、研究者も「ログがなければ複製の有無を断定できない」としている。渡航者は今後、不審な連絡や旅券情報の不正利用に注意し、旅券の再発行や航空会社からの通知の有無を確認することが望ましい。

組織側にとっては、クラウド側の迂回経路と既定の認証情報という基本的な設定不備が組み合わさることで、直接のアクセス制御をすり抜けた点が教訓となる。Elasticsearchなどのデータストアをインターネットに面して運用する場合は、ネットワーク経路ごとのアクセス制御と、既定の認証情報の無効化を徹底することが求められる。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。