La solución de Europa para esta fuga no tiene fecha

220 millones de registros, nueve años, una base de datos abierta

Kinryu Labs encontró el 3 de junio de 2026 un clúster de Elasticsearch accesible desde internet, con 220,8 millones de registros de pasajeros y tripulación de vuelos entre enero de 2017 y abril de 2026. La firma aseguró el clúster cinco días después, tras notificar a las autoridades vietnamitas, los CSIRT nacionales y las aerolíneas identificables.

El clúster, llamado pax-info, contenía nombres, fechas de nacimiento, nacionalidades, números de pasaporte y fechas de caducidad, números de vuelo, asientos y referencias de equipaje, de aerolíneas con rutas por Asia-Pacífico, Europa y Oriente Medio. Kinryu Labs rastreó el espacio de direcciones expuesto hasta Viettel, el operador estatal de telecomunicaciones de Vietnam, pero no pudo confirmar qué organización operaba realmente la base de datos. Ni las autoridades vietnamitas ni Changi Airport Group, mencionado en la investigación como uno de los nodos implicados, han explicado cómo quedó abierto el clúster.

Una fuga que nunca iba a quedarse en un solo país

Los datos anticipados de pasajeros nunca han tenido un único hogar. Durante dos décadas, una aerolínea que vuela a un país suele conectarse directamente con la autoridad fronteriza de ese país, una integración hecha a medida por cada destino, repetida en cada mercado que atiende. Una aerolínea con dos docenas de rutas puede acabar manteniendo dos docenas de conexiones separadas, cada una construida, protegida y vigilada según su propio calendario, por el contratista que haya elegido cada agencia fronteriza.

Eso es lo que permitió que un solo clúster mal configurado, vinculado al espacio de direcciones de un operador estatal vietnamita, guardara nueve años de registros de rutas que nunca tocaron Vietnam. La exposición no fue en realidad un problema vietnamita que se filtró por casualidad, sino un rasgo estructural de cómo se ha tendido esta clase de datos en todas partes. Aparece donde esté la conexión más débil de la red. Se corrige un punto nacional y el siguiente, construido por otro proveedor con otro estándar, sigue ahí.

Europa escribió la solución. No tiene fecha de encendido.

La UE ya había diagnosticado esta debilidad estructural antes de que esta fuga se hiciera pública. El Reglamento (UE) 2025/12, en vigor desde el 28 de enero de 2025, sustituye el modelo antiguo, en el que cada aerolínea se conecta por separado con la autoridad fronteriza de cada Estado miembro, por un único router operado por eu-LISA, la agencia de TI de la UE para justicia y asuntos de interior. Toda aerolínea que vuele hacia, desde o dentro de la UE debería enviar los datos de pasajeros por ese único canal en vez de mantener una conexión por país.

Sin embargo, las obligaciones del reglamento no empiezan hasta que el router esté en servicio, y ni eu-LISA ni la Comisión Europea han publicado una fecha para ello. Veinte meses después de que la ley entrara en vigor, la arquitectura que debe sustituir, el mismo patrón de un punto por país que dejó a un solo clúster vietnamita expuesto guardar nueve años de datos de viaje transfronterizo, sigue siendo lo que usa cada aerolínea que vuela a Europa. Un departamento de viajes corporativo, un equipo de cumplimiento de una aerolínea o un responsable de protección de datos que dé por hecho que el router centralizado de la UE ya los cubre está confiando en un sistema que, por ahora, solo existe en el reglamento y en ningún otro sitio.

Leer a continuación: 8,7 millones de datos de aeropuertos filtrados  |  El filtro de OpenAI no anonimiza tus chats