La solution européenne à cette fuite n'a pas de date

220 millions de dossiers, neuf ans, une base ouverte

Kinryu Labs a trouvé le 3 juin 2026 un cluster Elasticsearch accessible depuis internet, contenant 220,8 millions de dossiers de passagers et d'équipage pour des vols entre janvier 2017 et avril 2026. La société a sécurisé le cluster cinq jours plus tard, après avoir informé les autorités vietnamiennes, les CSIRT nationaux et les compagnies identifiables.

Le cluster, nommé pax-info, contenait des noms, dates de naissance, nationalités, numéros et dates d'expiration de passeport, numéros de vol, sièges et références de bagages, liés à des compagnies desservant l'Asie-Pacifique, l'Europe et le Moyen-Orient. Kinryu Labs a remonté l'espace d'adresses exposé jusqu'à Viettel, l'opérateur de télécommunications public vietnamien, sans pouvoir confirmer quelle organisation exploitait réellement la base. Ni les autorités vietnamiennes ni Changi Airport Group, cité dans l'enquête comme l'un des noeuds concernés, n'ont expliqué comment le cluster est resté ouvert.

Une fuite qui ne pouvait pas rester dans un seul pays

Les données de passagers transmises à l'avance n'ont jamais eu de domicile unique. Depuis vingt ans, une compagnie desservant un pays se connecte généralement en direct à l'autorité frontalière de ce pays, une intégration sur mesure par destination, répétée pour chaque marché desservi. Une compagnie exploitant deux douzaines de lignes peut se retrouver à entretenir deux douzaines de connexions séparées, chacune construite, sécurisée et surveillée selon son propre calendrier, par le prestataire choisi par chaque agence frontière.

C'est ce qui a permis à un seul cluster mal configuré, lié à l'espace d'adresses d'un opérateur d'Etat vietnamien, de conserver neuf ans de données pour des lignes qui n'ont jamais touché le Vietnam. Cette exposition n'était pas vraiment un problème vietnamien qui aurait fuité par hasard, mais un trait structurel de la manière dont cette catégorie de données a été câblée partout. Elle surgit là où se trouve le maillon le plus faible du réseau. On corrige un point national et le suivant, construit par un autre prestataire selon un autre standard, reste en place.

L'Europe a écrit la solution. Elle n'a pas de date de mise en marche.

L'UE avait déjà diagnostiqué cette faiblesse structurelle avant que cette fuite ne devienne publique. Le règlement (UE) 2025/12, entré en vigueur le 28 janvier 2025, remplace l'ancien modèle, où chaque compagnie se connecte séparément à l'autorité frontalière de chaque Etat membre, par un routeur unique exploité par eu-LISA, l'agence informatique de l'UE pour la justice et les affaires intérieures. Toute compagnie volant vers, depuis ou à l'intérieur de l'UE est censée transmettre les données passagers par ce canal unique plutôt que par une connexion séparée par pays.

Les obligations du règlement, cependant, ne s'appliquent qu'une fois le routeur en service, et ni eu-LISA ni la Commission européenne n'ont publié de date à cet effet. Vingt mois après l'entrée en vigueur de la loi, l'architecture qu'il est censé remplacer, le même schéma d'un point par pays qui a permis à un seul cluster vietnamien exposé de conserver neuf ans de données de voyage transfrontalier, reste ce qu'utilise chaque compagnie volant vers l'Europe. Un service voyages d'entreprise, une équipe de conformité d'une compagnie aérienne ou un délégué à la protection des données qui suppose que le routeur centralisé de l'UE le couvre déjà se fie à un système qui n'existe encore que dans le règlement, et nulle part ailleurs.

À lire ensuite: 8,7 millions de données d'aéroport piratées d'un coup  |  Le filtre d'OpenAI ne rend pas vos chats anonymes