La soluzione europea a questa fuga non ha una data

220 milioni di dati, nove anni, un database aperto

Kinryu Labs ha trovato il 3 giugno 2026 un cluster Elasticsearch raggiungibile da internet, con 220,8 milioni di dati di passeggeri ed equipaggio per voli tra gennaio 2017 e aprile 2026. La società ha messo in sicurezza il cluster cinque giorni dopo, dopo aver informato le autorità vietnamite, i CSIRT nazionali e le compagnie identificabili.

Il cluster, chiamato pax-info, conteneva nomi, date di nascita, nazionalità, numeri e date di scadenza dei passaporti, numeri di volo, posti a sedere e riferimenti bagagli, legati a compagnie con rotte in Asia-Pacifico, Europa e Medio Oriente. Kinryu Labs ha ricondotto lo spazio di indirizzi esposto a Viettel, l'operatore statale delle telecomunicazioni vietnamita, ma non ha potuto confermare quale organizzazione gestisse davvero il database. Né le autorità vietnamite né Changi Airport Group, citato nella ricerca come uno dei nodi coinvolti, hanno spiegato come il cluster sia rimasto aperto.

Una fuga che non poteva restare in un solo paese

I dati anticipati sui passeggeri non hanno mai avuto una sede unica. Da vent'anni, una compagnia che vola verso un paese si collega di norma direttamente all'autorità di frontiera di quel paese, un'integrazione costruita su misura per ogni destinazione, ripetuta per ogni mercato servito. Una compagnia con due dozzine di rotte può finire per gestire due dozzine di collegamenti separati, ciascuno costruito, protetto e sorvegliato secondo un proprio calendario, dal fornitore scelto da ciascuna agenzia di frontiera.

E' questo che ha permesso a un solo cluster mal configurato, legato allo spazio di indirizzi di un operatore statale vietnamita, di conservare nove anni di dati per rotte che non hanno mai toccato il Vietnam. L'esposizione non era davvero un problema vietnamita finito per caso in rete, ma una caratteristica strutturale del modo in cui questa categoria di dati è stata cablata ovunque. Emerge dove si trova il collegamento più debole della rete. Si corregge un punto nazionale e il successivo, costruito da un altro fornitore secondo un altro standard, resta lì.

L'Europa ha scritto la soluzione. Non ha una data di accensione.

L'UE aveva già diagnosticato questa debolezza strutturale prima che questa fuga diventasse pubblica. Il regolamento (UE) 2025/12, entrato in vigore il 28 gennaio 2025, sostituisce il vecchio modello, in cui ogni compagnia si collega separatamente all'autorità di frontiera di ogni stato membro, con un unico router gestito da eu-LISA, l'agenzia IT dell'UE per giustizia e affari interni. Ogni compagnia che vola verso, da o all'interno dell'UE dovrebbe inviare i dati dei passeggeri attraverso quell'unico canale invece di mantenere un collegamento per ogni paese.

Gli obblighi del regolamento, però, si applicano solo una volta che il router è in servizio, e né eu-LISA né la Commissione europea hanno pubblicato una data per questo. Venti mesi dopo l'entrata in vigore della legge, l'architettura che dovrebbe sostituire, lo stesso schema di un punto per paese che ha permesso a un solo cluster vietnamita esposto di conservare nove anni di dati di viaggio transfrontalieri, resta ciò che usa ogni compagnia che vola verso l'Europa. Un ufficio viaggi aziendale, un team di conformità di una compagnia aerea o un responsabile della protezione dei dati che presume che il router centralizzato dell'UE lo coprisca già si sta fidando di un sistema che per ora esiste solo nel regolamento e da nessun'altra parte.

Da leggere ora: 8,7 milioni di dati aeroportuali trapelati  |  Il filtro di OpenAI non rende anonime le tue chat