Kebocoran APIS Terkait Vietnam Ungkap 220 Juta Data Penumpang dan Kru

Lebih dari 220 juta catatan penumpang dan kru penerbangan ditemukan dapat diakses secara online melalui sebuah database Advance Passenger Information System (APIS) yang diduga terkait dengan organisasi di Vietnam.

Database tersebut berisi informasi sensitif seperti nama, tanggal lahir, jenis kelamin, kewarganegaraan, nomor paspor atau dokumen perjalanan, hingga detail penerbangan. Data yang terekspos mencakup periode Januari 2017 hingga April 2026, sehingga berpotensi melibatkan pelancong dari berbagai negara yang pernah terbang menuju, dari, atau transit melalui Vietnam.

Penemuan ini dilakukan oleh peneliti keamanan Kinryū Labs ketika melakukan survei terhadap database yang terekspos ke internet dalam rangka penelitian aktivitas ransomware.

Database Berisi 220,7 Juta Catatan

Kinryū Labs menemukan cluster Elasticsearch tersebut pada 3 Juni 2026. Database dengan nama “pax-info” terdiri dari 29 index dengan ukuran sekitar 107 GB.

Dua index utama di dalamnya berisi:

• 210.318.069 catatan penumpang
• 10.465.631 catatan kru
• Total 220.783.700 catatan

Database tersebut ditemukan berada pada alamat IP yang dialokasikan kepada Viettel di Hanoi. Namun, peneliti tidak dapat memastikan organisasi Vietnam mana yang sebenarnya mengoperasikan sistem tersebut.

Data yang tersimpan bukan hanya informasi identitas. Database juga memuat berbagai detail perjalanan, termasuk nomor dan tanggal penerbangan, maskapai, bandara keberangkatan, tujuan dan transit, nomor kursi, referensi bagasi, serta waktu penerbangan yang dijadwalkan, diperkirakan, maupun waktu aktual.

Informasi Paspor dan Perjalanan Ikut Terekspos

Jenis informasi yang ditemukan membuat kebocoran ini menjadi sangat sensitif.

Catatan penumpang dan kru dapat mencakup nama lengkap, tanggal lahir, jenis kelamin, kewarganegaraan, nomor paspor atau dokumen perjalanan, tanggal kedaluwarsa dokumen, serta negara penerbit dokumen.

Informasi tersebut kemudian dikaitkan dengan data perjalanan yang lebih rinci.

Peneliti menemukan data penumpang dengan berbagai kewarganegaraan, termasuk Korea, China, Kanada, dan Selandia Baru. Database juga mencakup berbagai maskapai internasional yang beroperasi di kawasan Asia-Pasifik, Eropa, dan Timur Tengah.

Karena data mencakup penerbangan menuju, dari, maupun melalui Vietnam, cakupannya berpotensi jauh lebih luas daripada warga negara Vietnam saja.

Namun, angka 220,78 juta tersebut merupakan jumlah catatan perjalanan, bukan jumlah individu unik. Seseorang yang melakukan perjalanan beberapa kali dapat muncul berulang kali di dalam database.

Peneliti Memastikan Data Merupakan Data Asli

Kinryū Labs melakukan verifikasi dengan mencocokkan sejumlah informasi dalam database dengan perjalanan yang dilakukan oleh peneliti mereka sendiri ke Vietnam.

Hasil pencocokan tersebut menunjukkan bahwa data yang ditemukan merupakan informasi perjalanan yang valid.

Hal ini semakin meningkatkan kekhawatiran karena database tidak sekadar berisi data dummy atau informasi pengujian.

APIS sendiri digunakan di berbagai negara untuk mengumpulkan informasi identitas, paspor, dan penerbangan dari maskapai sebelum penumpang maupun kru tiba di atau meninggalkan suatu negara.

Dua Salah Konfigurasi Membuka Jalan ke Database

Yang membuat insiden ini menarik adalah database tersebut tidak dapat diakses begitu saja dari internet. Menurut Kinryū Labs, peneliti harus memanfaatkan rantai dua salah konfigurasi untuk mencapai cluster Elasticsearch.

Endpoint yang terbuka dari internet pada awalnya memberikan respons HTTP 401 “Unauthorized”, sehingga akses langsung ke database ditolak.

Namun, peneliti menemukan jalur berbasis cloud yang memungkinkan mereka mencapai cluster tersebut. Setelah berhasil mencapai cluster melalui jalur tersebut, sistem ternyata masih menerima default credentials.

Kombinasi kedua salah konfigurasi inilah yang akhirnya memungkinkan database diakses.

Platform intelijen internet FOFA sebenarnya telah mencatat host dan port tersebut sejak Oktober 2022. FOFA kemudian mengidentifikasinya sebagai layanan database pada Juli 2023.

Meski demikian, Kinryū Labs tidak dapat menentukan kapan data penumpang mulai dapat diakses melalui jalur kedua tersebut.

Dengan kata lain, meskipun catatan perjalanan di dalam database mencakup lebih dari sembilan tahun, durasi sebenarnya ketika database terekspos tidak diketahui.

Akses Ditutup Lima Hari Setelah Dilaporkan

Kinryū Labs mulai melaporkan masalah tersebut pada 3 Juni, termasuk kepada otoritas Vietnam, maskapai yang datanya muncul dalam database, serta sejumlah tim Computer Emergency Response Team (CERT) nasional.

Menurut peneliti, akses terhadap database akhirnya berhasil diperbaiki pada 8 Juni 2026.

Tim keamanan Singapore Airlines juga membantu mengoordinasikan respons terhadap insiden tersebut. Berdasarkan email terautentikasi yang ditinjau dalam laporan, Singapore Airlines menginformasikan kepada Kinryū Labs pada 8 Juni bahwa mereka telah melibatkan pihak terkait dan mengambil langkah untuk mengatasi masalah tersebut.

Singapore Airlines tidak memberikan komentar tambahan.

Sejumlah maskapai besar juga disebut memiliki catatan penumpang di dalam database. Namun, tidak ada indikasi bahwa maskapai-maskapai tersebut mengoperasikan sistem yang terekspos atau bahwa jaringan internal mereka berhasil dibobol.

Changi Airport Group, operator Bandara Changi Singapura, mengatakan telah melakukan investigasi terhadap masalah tersebut tetapi memilih untuk tidak memberikan komentar lebih lanjut.

Belum Diketahui Apakah Data Dicuri

Salah satu pertanyaan terbesar dalam insiden ini adalah apakah data tersebut sempat diunduh atau dimanfaatkan oleh pihak lain sebelum akses ditutup.

Kinryū Labs mengatakan tidak menemukan ransom note maupun index asing yang mencurigakan di dalam cluster. Peneliti juga tidak menemukan indikasi bahwa dataset tersebut sedang ditawarkan untuk dijual secara online.

Namun, hal tersebut belum cukup untuk memastikan bahwa data tidak pernah dicuri.

Tanpa akses terhadap server logs, peneliti tidak dapat memastikan apakah ada pihak lain yang pernah menyalin data tersebut selama database dapat diakses.

Dengan ukuran sekitar 107 GB dan berisi informasi paspor serta detail perjalanan selama bertahun-tahun, potensi penyalahgunaan data tetap menjadi perhatian meskipun tidak ditemukan bukti langsung mengenai pencurian.

Investigasi Masih Berlanjut

Kasus ini menunjukkan bagaimana kombinasi beberapa salah konfigurasi yang tampaknya sederhana dapat membuka akses menuju database dengan informasi pribadi dalam jumlah sangat besar.

Database tersebut diketahui berada di lingkungan yang terkait dengan Vietnam, tetapi organisasi yang bertanggung jawab mengoperasikannya masih belum teridentifikasi secara pasti.

Kinryū Labs berencana mempublikasikan temuan teknis tambahan melalui laporan mereka dalam waktu dekat. Sementara itu, belum ada kepastian apakah 220 juta lebih catatan perjalanan tersebut pernah diakses atau disalin oleh pihak yang tidak berwenang sebelum celah ditutup.

Sumber: Kinryū Labs