Siber güvenlik araştırmacıları, Vietnam’daki bir IP bloğunda barındırılan ve yanlış yapılandırılmış bir Elasticsearch veritabanında 220 milyondan fazla havayolu yolcusu ve mürettebat kaydının açıkta kaldığını ortaya çıkardı. Ocak 2017’den Nisan 2026’ya uzanan kayıtlar arasında pasaport numaraları, uçuş güzergahları ve kişisel bilgiler yer alıyor. Veritabanı, tespit edilmesinin ardından Haziran ayında güvence altına alındı.

Veritabanında Neler İfşa Oldu?

“pax-info” adıyla anılan açık küme, 210.318.069 yolcu kaydı ve 10.465.631 mürettebat kaydı olmak üzere toplam 220.783.700 giriş içeriyordu. Kayıtlar; havayollarının kalkıştan önce sınır yetkililerine ilettiği Gelişmiş Yolcu Bilgi Sistemi (APIS) verilerinden oluşuyordu. İfşa olan alanlar arasında isimler, doğum tarihleri, cinsiyet, uyruk bilgisi, pasaport veya seyahat belgesi numaraları ve son kullanma tarihleri, uçuş numaraları ve tarihleri, havayolu adları, kalkış-transit havalimanları, koltuk atamaları, bagaj referansları ile planlanan ve gerçekleşen uçuş süreleri bulunuyor. BleepingComputer’ın incelediği örnek kayıtlar arasında Koreli, Çinli, Kanadalı ve Yeni Zelandalı yolcular ile Asya-Pasifik, Avrupa ve Orta Doğu’daki havayolları da yer alıyor. Rakamların bireysel kişileri değil seyahat kayıtlarını temsil ettiği, sık seyahat edenlerin sistemde birden fazla kez görünebileceği belirtiliyor.

Zincirleme Güvenlik Zafiyetleri

Veritabanı, Hanoi merkezli telekomünikasyon operatörü Viettel’e tahsis edilmiş bir IP alanında barındırılıyordu; ancak araştırmacılar sistemi hangi kuruluşun işlettiğini doğrulayamadı. Sunucuya doğrudan erişim 401 kimlik doğrulama hatası döndürerek kilitli görünüm veriyordu, ancak bulut tabanlı alternatif bir erişim yolu aynı kümeye ulaşıp varsayılan kimlik bilgilerini kabul etti. İnternet istihbarat platformu FOFA, sunucuyu ilk kez Ekim 2022’de kaydetmiş, Temmuz 2023’te veritabanı olarak tanımlamıştı; gerçek maruz kalma süresi hâlâ bilinmiyor. Güvenlik firması Kinryū Labs, sorunu fidye yazılımı araştırması sırasında 3 Haziran’da keşfetti ve aynı gün Vietnamlı yetkililere, etkilenen havayollarına ve ulusal CERT ekiplerine bildirdi. Veritabanı 8 Haziran’da güvence altına alındı. Singapore Airlines, ilgili taraflarla iletişime geçtiğini ve sorunu kontrol altına almak için adım attığını doğruladı.

Yasal Belirsizlikler ve Olası Sonuçlar

Araştırmacılar herhangi bir fidye notuna veya verilerin değiştirildiğine dair bir işarete rastlamadı; ancak sunucu erişim kayıtlarına ulaşamadıklarından, veritabanının açık kaldığı yıllar boyunca kayıtların kopyalanıp kopyalanmadığını tespit edemediler. Bu belirsizlik hukuki açıdan kritik önem taşıyor: 1 Ocak 2026’da yürürlüğe giren Vietnam Kişisel Verilerin Korunması Kanunu, ihlallerin 72 saat içinde bildirilmesini zorunlu kılıyor ve sınır ötesi veri aktarımı ihlalleri için önceki yılın gelirinin yüzde beşine kadar para cezası öngörüyor. Kayıtların uluslararası uçuşları kapsaması nedeniyle AB ve Birleşik Krallık vatandaşlarının da veriler arasında yer alması olası görünüyor; bu da GDPR’ın devreye girme ihtimalini gündeme getiriyor.