coordinated-disclosure · data-exposure · elasticsearch · aviation · apis · pii · default-credentials · vietnam
220 مليون سجل مسافر: قاعدة بيانات ركاب مرتبطة بفيتنام تُركت مكشوفة
عثرت Kinryū Labs على قاعدة بيانات تحتوي على معلومات الركاب المسبقة لكل من سافر جوًا إلى فيتنام أو منها على مدى تسع سنوات: 210,318,069 سجل ركاب و10,465,631 سجل طاقم، يربط كل منها اسمًا وتاريخ ميلاد ورقم جواز سفر بمسار رحلة كامل، وصولًا إلى بطاقة الأمتعة. وكانت تستجيب ببيانات الدخول الافتراضية التي لم تُغيَّر. امتد نطاقها من أطقم Aeroflot وBelavia إلى السياح البيلاروس في Cam Ranh. أُغلق الوصول في يونيو 2026 بعد إفصاح منسّق.
بقلم Davis Zheng·
TLP:CLEAR. اكتشفت Kinryū Labs هذا الانكشاف في 3 يونيو 2026 أثناء بحث في قواعد البيانات المكشوفة وأبلغت عنه في اليوم نفسه؛ وأُغلق الوصول خلال أيام. كان الاستقصاء للقراءة فقط: لم يُسجَّل سوى الأعداد الإجمالية والمدى الزمني ومخطط الحقول وعدد قليل من لقطات الشاشة. في كل لقطة شاشة في هذا التقرير، حُجبت الحقول التي تُعرِّف بالشخص، أي الاسم ورقم جواز السفر وتاريخ الميلاد. لم يُحتفَظ بأي سجل فردي لراكب أو فرد طاقم ولم يُنشر ولم يُشارَك مع أي جهة خارج السلطات التي أُبلغت أثناء الإفصاح. عنوان المضيف المصدر ومنفذه وبيانات الاعتماد محجوبة. لم يُتحقَّق من هوية الجهة المشغِّلة للنظام.
الخلاصة
- 210 مليونسجل ركاب
- 10.4 مليونسجل طاقم
- 9 سنواتمن الرحلات، من 2017 إلى 2026
- 1,008شركة طيران في البيانات
في 3 يونيو 2026، وأثناء مسح واسع لقواعد البيانات المتروكة مفتوحة على الإنترنت، وجدنا عنقود Elasticsearch باسم pax-info. وElasticsearch محرك قواعد بيانات للبحث في كميات كبيرة من السجلات. لم يكن هذا العنقود مفتوحًا على مصراعيه أمام الإنترنت بأكمله: فقد رُفض أي طلب يُرسَل إليه مباشرة. لكن كان الوصول إليه ممكنًا عبر نقطة انطلاق سحابية، وما إن يُتاح الوصول حتى قبِل بيانات الدخول الافتراضية لـ Elasticsearch، أي اسم مستخدم وكلمة مرور مضبوطين من المصنع لم يغيّرهما المشغّل قط. وهذا ليس حماية فعلية. وخلفه كان يقبع 220,783,700 سجل سفر تمتد من 7 يناير 2017 إلى 30 أبريل 2026.
المسح الذي أظهر هذا يعثر في معظم الأحيان على أشياء باهتة: بيانات اختبار تركها مطوّر، أو كتالوج منتجات لمتجر، أو قاعدة بيانات ممسوحة تحمل مذكرة فدية مكان السجلات التي كانت فيها. لم يكن هذا العنقود باهتًا. فقد ضمّ أرشيفًا يمتد تسع سنوات من بيانات مراقبة الحدود، وكان عمر أحدث السجلات نحو خمسة أسابيع حين عثرنا عليها، أي أن النظام كان لا يزال يُكتب إليه. كان حيًّا.
البيانات هي معلومات الركاب المسبقة. فقبل أي رحلة دولية، ترسل شركة الطيران إلى بلد الوجهة كشفًا بمن على متن الطائرة، كي يتمكن جهاز الحدود من فحص جميع الركاب مسبقًا. والحقول موحَّدة بحسب معايير ICAO، وكالة الأمم المتحدة التي تضع قواعد الطيران المدني. وبعبارة بسيطة، هذه من أشد البيانات حساسية التي تحتفظ بها دولة عن المسافرين العاديين: لكل شخص اسم حقيقي وتاريخ ميلاد مرتبطان برقم جواز سفر، وسجل يبيّن بدقة إلى أين ذهب ومتى.
- أرشيف يمتد تسع سنوات، وكان لا يزال حيًّا. 210,318,069 سجل ركاب و10,465,631 سجل طاقم، وأحدثها يعود إلى نحو خمسة أسابيع. كان هذا الأرشيف العملي لنظام تشغيلي، لا نسخة قديمة أُلقيت ونُسيت. ثقة عالية، مقيسة مباشرة.
- كل سجل هو هوية مقرونة بسجل تنقلات. اسم كامل وتاريخ ميلاد وجنس وجنسية، مرتبطة برقم جواز السفر وتاريخ انتهائه والبلد المُصدِر له، ثم الرحلة: رقمها وتاريخها والمطارات والمقعد وبطاقة الأمتعة. وهذه الحقول مجتمعة هي المادة الخام لانتحال الهوية وتزوير الوثائق، إضافة إلى سجل يبيّن أين كان شخص محدد الاسم في يوم بعينه. ثقة عالية.
- كان النطاق عالميًا، وكان دقيقًا. تشمل الناقلات Aeroflot وBelavia، الناقلتين الوطنيتين الروسية والبيلاروسية؛ ويتوزع الركاب بين هولنديين وصينيين وبيلاروس وكوريين ويابانيين وغيرهم؛ وتصل التفاصيل إلى مراجع بطاقات الأمتعة الفردية. وامتد نطاقه إلى ركاب الترانزيت والرحلات المتصلة، لا إلى من بدأت رحلتهم في فيتنام أو انتهت فيها فحسب. ثقة عالية.
- لم يكن هناك اقتحام ولا استغلال ثغرة. قبِل العنقود بيانات الاعتماد الافتراضية المصنعية لـ Elasticsearch، التي لم تُغيَّر قط، وأتاحت واجهته الويب الخاصة تصديرًا إلى JSON بنقرة واحدة. وبيانات الدخول الافتراضية موثقة علنًا وهي أول ما يجرّبه أي ماسح. لم تُستخدم أي ثغرة برمجية. ثقة عالية.
- البيانات مرتبطة بفيتنام، لكن الجهة المشغّلة غير مؤكدة. كانت مستضافة على بنية تحتية تابعة لشركة الاتصالات الحكومية الفيتنامية في هانوي، ومهيكلة كتغذية بمعايير ICAO، وتهيمن عليها أكبر ناقلتين فيتناميتين. أما الجهة التي كانت تشغّلها فلم نتمكن من تحديدها، ولم تردّ السلطات الفيتنامية التي أبلغناها. ثقة متوسطة بشأن الملكية؛ الاستضافة والمخطط ملاحظان مباشرة، أما المشغّل فلا.
pax-info 29 فهرسًا ونحو 220.79 مليون مستند عبر 107 غيغابايت. ويمثّل فهرسا الركاب والطاقم 220,783,700 من تلك المستندات؛ والبقية فهارس مرجعية واختبارية صغيرة.ما الذي يحتويه كل سجل
يربط كل سجل اسمًا كاملًا وتاريخ ميلاد وجنسًا وجنسية برقم جواز سفر أو وثيقة سفر وتاريخ انتهائها والبلد المُصدِر لها، ثم يُلحق بها الرحلة: رقم الرحلة وتاريخها ومطار المغادرة ومطارات الترانزيت والوجهة والمقعد ومرجع الأمتعة. والاسم وتاريخ الميلاد ورقم جواز السفر مجتمعة تتيح لأحدهم انتحال شخصية مسافر أو تزوير وثيقة سفر، بينما يبيّن مسار الرحلة أين كان مسافر محدد الاسم في يوم بعينه.
شكل سجل واحد، كما دوّناه مع حجب كل قيمة تُعرِّف بالهوية:
flightDate: 2026-04-30 flightNumber: VN0402 fromAirportCode: HAN (هانوي) toAirportCode: ICN (سول-إنتشون) guestNameOriginal: [REDACTED] birthday: [REDACTED] nationalityCode: [REDACTED] documentNumberOriginal: [REDACTED]
من كان في قاعدة البيانات
القراءة البديهية لنظام ركاب فيتنامي هي أنه يضم مسافرين فيتناميين. لكنه يضم أكثر من ذلك بكثير. فالجنسيات الواردة في السجلات تمتد عبر العالم، هولندية وصينية وبيلاروسية وكورية ويابانية وفرنسية وألمانية وكندية وماليزية، وعدد شركات الطيران 1,008. وأي شخص سافر على خط جوي مرّ بمطار فيتنامي، على أي ناقلة تقريبًا، خلال تسع سنوات، هو مرشّح لأن يكون هنا.
وتبرز اثنتان من تلك الناقلات. فمن بين سجلات الطاقم قوائم طواقم Aeroflot، الناقلة الوطنية الروسية، وBelavia، الناقلة البيلاروسية، وكلتاهما تعملان تحت عقوبات غربية. وكانت أسماء أطقمهما وتواريخ ميلادهم وأرقام جوازات سفرهم في المخزن المفتوح نفسه مع الجميع. ويحمل جانب الركاب حركة المدنيين المقابلة: مواطنون بيلاروس محجوزون إلى Cam Ranh، المدينة الساحلية المجاورة لـ Nha Trang التي لطالما كانت وجهة للسياحة الروسية وسياحة ما بعد الاتحاد السوفيتي. وأيًا كان تقدير المرء لذلك، فقد كانت هذه من أكثر سجلات السفر انكشافًا على الإطلاق وبأتفه السبل.
كما تجاوز النظام من بدأت رحلتهم في فيتنام أو انتهت فيها. فكل سجل يحمل حقولًا منفصلة لمطار المغادرة الأول والترانزيت والوجهة، وكثير منها لا يذكر سوى مطارات أجنبية، هونغ كونغ، سنغافورة شانغي، شنغهاي، ماكاو، كوالالمبور. فقد التُقط ركاب الترانزيت والرحلات المتصلة إلى جانب الجميع، بهوياتهم الكاملة مرفقةً برحلة قد لا تكون بدأت في فيتنام أو انتهت فيها أصلًا.
وصولًا إلى بطاقة الأمتعة
لا تتوقف التفاصيل عند “من” و”أين”. فكل سجل يحمل أيضًا الأثر التشغيلي للرحلة، بما في ذلك مرجع بطاقة الأمتعة المسجّل باسم ذلك الراكب. وهو الرقم المدوَّن على الملصق الملفوف حول مقبض حقيبتك، ذاك الذي يبيّن إلى أين تتجه الحقيبة ويربطها بك. وبالنسبة إلى مجموعة بيانات بهذا الحجم، فتلك درجة غير معتادة من الدقة: لا مجرد أن شخصًا سافر جوًا، بل أي حقيبة كانت له.
كيف كان الوصول إلى العنقود ممكنًا
لم يكن العنقود مفتوحًا على مصراعيه أمام الإنترنت بأكمله. فقد رُفض أي طلب أُرسل إليه مباشرة. ما جعله قابلًا للوصول هو نقطة انطلاق سحابية: فمن هناك استجابت قاعدة البيانات، وقبِلت بيانات الدخول الافتراضية لـ Elasticsearch، أي اسم المستخدم وكلمة المرور اللذين يأتيان مع البرنامج، واللذين لم يغيّرهما المشغّل قط. وبيانات الاعتماد الافتراضية ليست دفاعًا. فهي موثقة علنًا وهي أول ما يجرّبه أي ماسح. لم تُستغل أي ثغرة برمجية، ولم تكن هناك حاجة إلى أي منها. وبمجرد الدخول، أتاحت وحدة التحكم الويب الخاصة بالعنقود زر Download as JSON: فلم تكن البيانات تتطلب حتى كتابة برنامج نصي لأخذها.
ولم يكن الانكشاف مسألة أيام. فقد أُنشئ فهرس الركاب في 15 سبتمبر 2022. وسجّلت خدمة المسح العامة للإنترنت FOFA المضيف لأول مرة في أكتوبر 2022، وبحلول منتصف 2023 كانت تصنّفه قاعدة بيانات. أي أن المخزن كان قابلًا للوصول، ببيانات دخوله الافتراضية، لما يزيد كثيرًا على ثلاث سنوات قبل أن نعثر عليه. أما ما إذا كانت بيانات الركاب قابلة للاسترجاع طوال تلك الفترة بأكملها، ومن غيرنا وصل إليها، فذلك ما لا نستطيع قوله.
guest-v3-index) 210,318,069 سجلًا، وضمّ فهرس الطاقم (crew-index) 10,465,631، إلى جانب جداول مرجعية صغيرة. وتواريخ الإنشاء، سبتمبر 2022 لفهرس الركاب ومايو 2023 لفهرس الطاقم، تبيّن كم مضى على تشغيل النظام.كيف أحصيناها من دون قراءتها
أحصينا العنقود من دون قراءة سجل أي شخص. فـ Elasticsearch يجيب عن أسئلة من قبيل “كم عدد السجلات المطابقة لهذا” و”صنّف هذه بحسب شركة الطيران” عبر واجهات العدّ والتجميع، التي تُعيد إجماليات وأعدادًا لكل فئة ولا تُعيد أبدًا صفًا فرديًا. واحتفظنا بأعداد المستندات والمدى الزمني للبيانات وقائمة أسماء الحقول في المخطط وعدد قليل من لقطات الشاشة مع تعتيم كل حقل معرِّف للهوية، وقد أُخذت لغرض واحد هو تأكيد أن الحقول مملوءة. لم يُسترجَع أي سجل فردي لراكب أو فرد طاقم ولم يُخزَّن ولم يُمرَّر إلى أي جهة خارج السلطات التي أبلغناها.
والفهرس في Elasticsearch يقابل تقريبًا جدولًا واحدًا. وكان حجم الفهرسين اللذين ضمّا أشخاصًا كالتالي.
- 109,232,811سجلًا مُصنَّفًا ذكرًا
- 101,085,255سجلًا مُصنَّفًا أنثى
- 1,008شركة طيران مذكورة في البيانات
| الفهرس | السجلات | الحجم |
|---|---|---|
الركاب (guest-v3-index) | 210,318,069 | 95.3 GB |
الطاقم (crew-index) | 10,465,631 | 4.3 GB |
عشرون ناقلة تتجاوز كل منها مليون سجل
تطال المجموعة المكشوفة مسافرين يفوقون بكثير مسافري فيتنام وحدها. فقد ذكرت 1,008 ناقلة، منها 20 ضمّت كل واحدة أكثر من مليون سجل.
| الناقلة | السجلات |
|---|---|
| VietJet Air | 45,820,123 |
| Vietnam Airlines | 43,184,871 |
| الناقلات الكورية (Korean Air، Asiana، Jeju Air، Jin Air، Tway) | ~24.7 مليون |
| الناقلات السنغافورية (Singapore Airlines، Scoot) | ~7.7 مليون |
وتضم كل من Qatar Airways وEmirates وAll Nippon Airways وCathay Pacific وChina Southern ملايين السجلات كذلك. وليس مفاجئًا أن تتصدر القائمة ناقلتان فيتناميتان. لكن أن تمتد بعد ذلك إلى الناقلات الوطنية لكوريا والخليج واليابان والصين هو بيت القصيد: فهذه لم تكن يومًا بيانات فيتنام وحدها لتفقدها. ولا نستطيع أن نستنتج من السجلات ما هو الترتيب الذي وجّه كشوف ركاب ناقلات أجنبية إلى مخزن واحد مستضاف في فيتنام وأبقاها فيه تسع سنوات.
أين كان العنقود مستضافًا
قدّرنا مسألة النسبة اعتمادًا على ما كان بين أيدينا فقط: شبكة الاستضافة، وبنية الفهارس، وتشكيلة الناقلات، وحداثة البيانات، وحالة ضبط الوصول. كان العنقود يقع في نطاق شبكي مخصص لـ Viettel، شركة الاتصالات الحكومية الفيتنامية، تحت AS38731. ورقم النظام المستقل (ASN) هو معرّف مشغّل الشبكة الذي يقف خلف عنوان إنترنت، وهذا المعرّف مسجّل باسم مجمّع تقني في هانوي. والمخطط هو تغذية معلومات ركاب مسبقة بمعايير ICAO، وتتصدر تشكيلة الناقلات فيه الناقلتان الفيتناميتان، بـ 45,820,123 سجلًا على VietJet Air و43,184,871 على Vietnam Airlines. وتتطابق هذه الاستضافة وتشكيلة الناقلات مع نظام يستوعب كل حركة دولية عبر فيتنام.
تقديرنا في حينه:
على كل محور يمكن التحقق منه من بيانات كانت بين أيدينا، فإن الأدلة متسقة مع كون هذا نظام معلومات ركاب فيتناميًا حقيقيًا وحيًّا تُرك مكشوفًا، لا نسخة تستضيفها جهة ثالثة في مكان آخر.
فالأطراف التي تعيد بيع البيانات المسروقة لا تستضيفها عادة على شبكة محلية قابلة للتتبع داخل البلد الضحية، ونسخها تكون قديمة بحلول وقت ظهورها. أما الاستضافة المحلية والمخطط المصمم لغرض محدد وحداثة البيانات البالغة خمسة أسابيع، فتُقرأ مجتمعة على أنها بيانات حية لا تفريغ معاد بيعه.
لم نتمكن من تأكيد الجهة التي كانت تشغّل العنقود، ونحرص على عدم المبالغة في الربط. وقد أبلغنا الجهة الوطنية الفيتنامية للاستجابة لحوادث الأمن السيبراني (VNCERT) إلى جانب السلطات الأخرى؛ ولم تردّ. والاستضافة والمخطط هما ما يربط النظام بفيتنام. أما هوية المشغّل فليست أمرًا نستطيع إثباته من الخارج، ونتركها مفتوحة.
الإفصاح
- 3 يونيو 2026عثرنا على العنقود المكشوف أثناء بحث في قواعد البيانات المفتوحة وبدأنا في اليوم نفسه إبلاغ الأطراف المتضررة والمسؤولة: فرق الاستجابة الوطنية للطوارئ الحاسوبية، وهيئات حماية البيانات، والهيئات المعنية بالطيران، وشركات الطيران التي كان ركابها ضمن المجموعة.
- خلال أيامخرج المضيف عن الخدمة ولم يعد قابلًا للوصول. أُغلق الانكشاف المحدد.
أبلغنا عنه في اليوم الذي وجدناه فيه، ولم ننشر حتى أُغلق الوصول. وكان الاستقصاء للقراءة فقط، ولم يُحتفَظ بسجل أي فرد ولم يُشارَك مع أي جهة خارج السلطات التي أُبلغت.
ما لا نزال عاجزين عن قوله
الثغرة المحددة أُغلقت، لكن الأسئلة الأكبر ليست لنا أن نجيب عنها:
- كم دام الانكشاف. يعود فهرس الركاب إلى سبتمبر 2022، وسجّلت الماسحات العامة المضيف اعتبارًا من أكتوبر 2022. أما ما إذا كانت البيانات قابلة للاسترجاع طوال تلك الفترة بأكملها، وما إذا كان أي طرف آخر قد وصل إليها أو نسخها، فذلك ما لا نستطيع تحديده.
- من كان المسؤول. لا تزال الجهة المشغّلة مجهولة، ولم تردّ السلطات الفيتنامية التي أبلغناها.
- هل سيُبلَّغ المسافرون. يبقى دون جواب ما إذا كانت شركات الطيران والهيئات الوطنية لحماية البيانات ستُبلغ المسافرين الأفراد الذين انكشفت سجلاتهم.
- كيف تجمّعت البيانات. أما لماذا جُمعت كشوف هذا العدد الكبير من الناقلات الأجنبية في مخزن واحد مستضاف في فيتنام، وأُبقيت فيه تسع سنوات، فذلك ما لا تفسّره السجلات.
إذا كنت تشغّل قاعدة بيانات على الإنترنت
الخطأ هنا شائع وتجنّبه زهيد التكلفة. للفرق التي تشغّل Elasticsearch أو أي مخزن مشابه:
- غيّر بيانات الدخول الافتراضية، وأبقِ منفذ البيانات بعيدًا عن الإنترنت العام. فبيانات الاعتماد التي تأتي مع البرنامج معروفة للجميع؛ وتركها كما هي يعادل عدم وجود كلمة مرور أصلًا. فعّل مصادقة حقيقية وضع قاعدة البيانات خلف حد شبكي.
- افترض أن كل ما يمكن الوصول إليه سيُكتشَف. فالمسح على نطاق الإنترنت مستمر ومؤتمت. وقد فهرس ماسح عام هذا المضيف قبل سنوات من عثورنا عليه.
- اعرف أين تقيم بياناتك الأشد حساسية، ومن يستطيع الوصول إليها. فالضرر هنا ينبع من مخزن واحد يضم بيانات هوية وتنقل لمئات الملايين من الأشخاص، يمكن بلوغه عبر نقطة انطلاق ببيانات دخول افتراضية لم تُغيَّر. ابدأ بجرد تلك المخازن.