В результате утечки данных APIS, связанной с Вьетнамом, были раскрыты 220 миллионов записей о пассажирах и членах экипажа, включая номера паспортов и информацию о рейсах. Раскрытые данные охватывают период с января 2017 года по апрель 2026 года и могут касаться путешественников разных национальностей, которые совершали перелеты во Вьетнам и обратно, а также транзитом через него в течение этого периода. Kinryū Labs обнаружила кластер Elasticsearch 3 июня во время обследования незащищенных баз данных в рамках исследования активности программ-вымогателей. Кластер, получивший название pax-info, содержал 29 индексов и примерно 107 ГБ данных. Два его основных индекса содержали 210 318 069 записей о пассажирах и 10 465 631 запись о членах экипажа, что в сумме составляло 220 783 700 записей. По данным Kinryū Labs, кластер размещался в выделенном компанией Viettel IP-пространстве в Ханое. Раскрытая информация включала имена пассажиров и членов экипажа, даты рождения, пол, гражданство, номера паспортов или проездных документов, сроки действия документов и страны их выдачи. Сопутствующие данные о поездке включали номера и даты рейсов, авиакомпании, аэропорты отправления, назначения и транзита, распределение мест, номера багажа, а также запланированное, расчетное и фактическое время полета — информация, обычно хранящаяся в APIS и связанных с ней системах авиакомпаний. Исследователи не смогли предоставить полную разбивку по национальностям, данные охватывали многочисленные международные авиакомпании Азиатско-Тихоокеанского региона, Европы и Ближнего Востока. В результате, раскрытые записи могут относиться к людям практически из любой страны, которые посещали Вьетнам или совершали транзит через него в течение девятилетнего периода. Kinryū Labs подтвердила достоверность информации, сопоставив записи в базе данных с данными о поездках своих исследователей во Вьетнам. Исследователи отметили, что смогли получить доступ к базе данных посредством двух ошибок конфигурации. При подключении через открытый интернет конечная точка возвращала HTTP-ответ 401, что препятствовало прямому доступу к базе данных. Однако облачный путь позволил исследователям получить доступ к кластеру, который затем принял учетные данные по умолчанию. Интернет-платформа FOFA впервые зафиксировала хост и порт в октябре 2022 года и идентифицировала сервис как базу данных в июле 2023 года. Однако Kinryū Labs не смогла определить, когда данные о пассажирах впервые стали доступны через второй канал доступа. В результате, хотя сами записи охватывают более девяти лет, фактическая продолжительность воздействия неизвестна. Kinryū Labs уведомила вьетнамские власти, авиакомпании, представленные в базе данных, и национальные группы реагирования на компьютерные чрезвычайные ситуации, начиная с 3 июня. Команда безопасности Singapore Airlines помогала координировать ответные действия, сообщив Kinryū Labs 8 июня, что компания «привлекла соответствующие стороны» и «приняла меры для локализации проблемы». В свою очередь, Changi Airport Group, управляющая сингапурским аэропортом Чанги, провела расследование по данному вопросу, но отказалась от комментариев. Вьетнамские власти также сохраняют молчание. Kinryū Labs планирует раскрыть дополнительные технические результаты в своем блоге позднее на этой неделе.