Fuite APIS Vietnam : 220 millions de voyageurs exposés

Ce qui s'est passé

Le 3 juin 2026, les chercheurs de Kinryū Labs ont découvert lors d'une opération de reconnaissance sur des bases de données accessibles en ligne un cluster Elasticsearch baptisé pax-info contenant des données massives issues d'un système APIS — Advance Passenger Information System. Ces systèmes collectent des informations préalables sur les passagers aériens avant leur embarquement, dans le cadre d'un protocole international de sécurité aux frontières que la quasi-totalité des pays du monde a adopté.

Bien qu'inaccessible directement depuis l'internet public, le cluster était joignable via un chemin alternatif passant par un service cloud. Une fois cet accès établi, les chercheurs ont constaté que la base de données n'était protégée que par des identifiants par défaut — l'une des erreurs de configuration les plus classiques et les plus dévastatrices en matière de sécurité. Le cluster contenait 29 indices répartis dans 107 gigaoctets de données.

Les deux principaux index contenaient respectivement 210 318 069 enregistrements de passagers et 10 465 631 enregistrements d'équipages, pour un total combiné de 220 783 700 entrées. Chaque enregistrement inclut des données particulièrement sensibles : nom complet, numéro de passeport, date de naissance, nationalité, et informations détaillées sur les vols concernés — numéros de vol, dates, routes aériennes. L'ensemble couvre la période de janvier 2017 à avril 2026, soit neuf ans de données de voyage.

La connexion avec le Vietnam a été établie sur la base des métadonnées du cluster et des routes aériennes représentées dans les données, correspondant principalement à des vols à destination, en provenance ou en transit par le Vietnam. Les autorités vietnamiennes de l'aviation civile collectent des données APIS dans le cadre de réglementations internationales de sécurité aérienne. Toutefois, aucun propriétaire n'a revendiqué publiquement la responsabilité de cette base de données, et aucun organisme gouvernemental ni compagnie aérienne n'a confirmé en être l'opérateur — un fait notable qui complique toute possibilité de notification des personnes concernées.

Kinryū Labs a contacté des parties susceptibles d'être responsables de la base de données avant de rendre ses conclusions publiques. L'accès à la base a été corrigé le 8 juin 2026, par la résolution des mauvaises configurations et la suppression des identifiants par défaut. Entre la découverte le 3 juin et la remédiation le 8 juin, une fenêtre d'exposition d'au moins cinq jours s'est ouverte — sans compter la durée d'exposition antérieure à la découverte, qui demeure inconnue et pourrait s'étendre sur des semaines, voire des mois.

L'investigation n'a pas permis de déterminer si des acteurs malveillants avaient déjà copié, vendu ou utilisé les données avant la fermeture de l'accès. Sans journaux serveur complets, il est impossible de conclure avec certitude sur l'étendue d'une éventuelle exfiltration. BleepingComputer, qui a relayé la découverte, souligne que l'absence d'un propriétaire identifié complexifie également toute démarche de notification des personnes concernées — pourtant exigée par les réglementations de protection des données dans de nombreux pays, dont le RGPD en Europe.

Le volume de cette fuite est considérable à l'échelle mondiale. Les 220 millions d'enregistrements représentent potentiellement plusieurs centaines de millions de personnes uniques — un même voyageur pouvant apparaître plusieurs fois pour différents vols. Pour toute personne ayant transité par le Vietnam entre 2017 et avril 2026, le risque existe que ses données de passeport soient désormais entre des mains inconnues, avec un potentiel d'exploitation pour du phishing ciblé, de la fraude documentaire ou de l'usurpation d'identité.

Cette découverte s'inscrit dans une tendance préoccupante de bases de données Elasticsearch laissées exposées avec des configurations par défaut. Des incidents comparables avaient précédemment touché des opérateurs de santé, des télécoms et des administrations publiques dans le monde entier. Dans le contexte spécifique des données de voyage, la sensibilité est maximale : la combinaison nom, numéro de passeport et historique de déplacements est parmi les ensembles de données les plus exploitables par des acteurs malveillants, qu'il s'agisse de groupes de fraude organisée ou d'acteurs étatiques.

Pourquoi c'est important

La fuite APIS vietnamienne illustre de façon saisissante la vulnérabilité des infrastructures critiques face à des erreurs de configuration basiques. Un Elasticsearch exposé avec des identifiants par défaut — une erreur corrigeable en quelques minutes — a suffi à exposer neuf ans de données de voyage de 220 millions d'enregistrements. Ce n'est pas une attaque sophistiquée exploitant une vulnérabilité zero-day : c'est un oubli de sécurité fondamental dans un système gérant des données parmi les plus sensibles qui soient.

Pour les entreprises opérant dans les secteurs du voyage, de l'aviation, ou de toute industrie gérant des données personnelles massives, cet incident constitue un rappel brutal de l'importance des audits réguliers de configuration. Les bases de données Elasticsearch sont particulièrement à risque car leur configuration ouverte par défaut facilite le déploiement rapide mais laisse les données accessibles sans authentification si l'administrateur n'a pas activé la sécurité. Les moteurs de recherche d'actifs exposés — Shodan, Censys — indexent régulièrement de telles bases, et les acteurs malveillants les utilisent autant que les chercheurs en sécurité.

Du point de vue réglementaire, cette fuite soulève des questions sérieuses sur la conformité au RGPD et aux réglementations équivalentes. Des données de ressortissants européens ayant transité par le Vietnam sur neuf ans sont très probablement incluses dans les 220 millions d'enregistrements. Leur traitement par un opérateur non identifié, sans mesures de sécurité adéquates, constituerait une violation grave du règlement européen. Les autorités de contrôle — dont la CNIL — pourraient être fondées à enquêter auprès des compagnies aériennes qui ont transmis ces données APIS dans le cadre de leurs obligations réglementaires.

Dans un contexte géopolitique où les données de voyage constituent un actif de renseignement de premier plan, une fuite de cette ampleur est potentiellement exploitable bien au-delà des escroqueries classiques. Des services de renseignement étrangers, des réseaux de fraude organisée ou des acteurs spécialisés dans la falsification documentaire peuvent avoir un intérêt direct pour ce type d'informations. La combinaison nom, passeport et historique de voyages permet de construire des profils détaillés ou de faciliter l'usurpation d'identité à grande échelle.

Ce qu'il faut retenir

• 220 millions d'enregistrements de passagers et équipages aériens ont été exposés via un Elasticsearch configuré avec des identifiants par défaut — une erreur de sécurité basique aux conséquences massives.
• Les données couvrent 9 ans (2017-2026) et incluent numéros de passeport, dates de naissance et historiques de vol — parmi les informations personnelles les plus exploitables par des acteurs malveillants.
• Auditez systématiquement vos instances Elasticsearch et bases de données cloud : désactivez les accès par défaut et imposez une authentification forte sur tout système hébergeant des données personnelles sensibles.