2.2 亿条护照与航班记录裸奔公网，数据库的主人至今没人认领
目录
配图：AI 生成的概念示意图，非真实证件或现场画面。
TL;DR：安全研究团队 Kinryū Labs 发现一个名为 pax-info 的 Elasticsearch 集群，里面有约 2.2 亿条旅客与机组出行记录，含护照号、出生日期和座位信息，因默认凭据而可被访问。服务器位于越南 Viettel 的 IP 段，6 月 8 日已被封堵，但运营方身份至今无法确认。目前没有证据表明数据被下载或售卖，也没有证据表明涉事航空公司自身被入侵。
发生了什么
Kinryū Labs 在 6 月 3 日为勒索软件相关研究排查暴露数据库时，发现了这个集群。它属于一套 Advance Passenger Information System（APIS，预先旅客信息系统）数据，共 29 个索引、约 107 GB。
按报道给出的数字，其中乘客记录 210,318,069 条，机组记录 10,465,631 条，合计约 2.208 亿条，时间跨度从 2017 年 1 月到 2026 年 4 月。需要注意，这是“记录数”而不是“人数”，经常出行的人会重复出现。
暴露了什么
字段相当敏感：姓名、出生日期、性别、国籍、护照或旅行证件号、证件有效期和签发国；还有航班号与日期、航司、出发/到达/中转机场、座位号、行李参考号，以及计划、预计和实际的航班时间。样本里能看到韩国、中国、加拿大、新西兰等国籍。研究人员用自己赴越南的行程核对过，确认数据是真的。
为什么能进去
问题是两处配置叠加。直接面向公网的入口会返回 401，看起来是锁住的；但另有一条云端访问路径能通到同一个集群，并且接受默认凭据。
搜索引擎 FOFA 早在 2022 年 10 月就记录过这个主机和端口，2023 年 7 月标注为数据库。不过旅客数据具体从什么时候开始能被取到，研究人员无法判断，所以真实的暴露时长是未知数。
谁的数据库？
这是整件事最奇怪的部分。IP 段属于河内的 Viettel，研究人员称系统似乎与一家越南机构有关，但 BleepingComputer 无法确认运营方是谁。Kinryū Labs 自 6 月 3 日起通知了越南当局、数据中涉及的航空公司和各国 CERT；BleepingComputer 发稿前联系越南方面，没有得到回应。
新加坡航空的安全团队参与了协调，6 月 8 日称已“采取措施控制问题”，之后没有更多说明；樟宜机场集团表示调查过，但拒绝置评。报道也强调，没有迹象显示这些航司运营了该系统或自身网络被攻破。访问在 6 月 8 日被关闭。
还有哪些没说清
服务器没有日志可查，所以无法确认有没有人拷走数据。研究人员没发现勒索信或陌生索引，也没在网上找到这批数据的出售信息。Kinryū Labs 表示将在博客发布更多技术细节。
这类数据的麻烦在于护照号和出生日期无法像密码一样“重置”。是否会被用于身份欺诈，目前没有证据，但漏洞被关上了，主人却依旧沉默。