Rozwiązanie UE dla tego wycieku nie ma daty startu

220 milionów rekordów, dziewięć lat, jedna otwarta baza danych

Kinryu Labs znalazło 3 czerwca 2026 roku klaster Elasticsearch dostępny z otwartego internetu, zawierający 220,8 miliona rekordów pasażerów i załogi dla lotów między styczniem 2017 a kwietniem 2026. Firma zabezpieczyła klaster pięć dni później, po powiadomieniu wietnamskich władz, krajowych zespołów CSIRT i możliwych do zidentyfikowania linii lotniczych.

Klaster o nazwie pax-info zawierał imiona i nazwiska, daty urodzenia, narodowości, numery i daty ważności paszportów, numery lotów, miejsca oraz numery bagażu, powiązane z liniami obsługującymi trasy w Azji i na Pacyfiku, w Europie oraz na Bliskim Wschodzie. Kinryu Labs powiązało ujawnioną przestrzeń adresową z Viettel, państwowym operatorem telekomunikacyjnym Wietnamu, ale nie zdołało potwierdzić, która organizacja faktycznie prowadziła bazę danych. Ani wietnamskie władze, ani Changi Airport Group, wymieniona w badaniu jako jeden z zaangażowanych węzłów, nie wyjaśniły, jak klaster pozostał otwarty.

Wyciek, który nigdy nie miał szans zostać w jednym kraju

Dane pasażerów przekazywane z wyprzedzeniem nigdy nie miały jednego domu. Od dwudziestu lat linia lotnicza obsługująca dany kraj zazwyczaj łączy się bezpośrednio z własną władzą graniczną tego kraju, integracja budowana na zamówienie dla każdego kierunku, powtarzana dla każdego obsługiwanego rynku. Linia z dwudziestoma kilkoma trasami może kończyć z dwudziestoma kilkoma oddzielnymi połączeniami, z których każde jest budowane, zabezpieczane i monitorowane wedle własnego harmonogramu, przez dostawcę wybranego przez daną agencję graniczną.

To właśnie umożliwiło, że jeden źle skonfigurowany klaster, powiązany z przestrzenią adresową wietnamskiego operatora państwowego, przechowywał dziewięć lat danych dla tras, które nigdy nie dotyczyły Wietnamu. Ujawnienie nie było naprawdę wietnamskim problemem, który przypadkiem wyciekł, lecz strukturalną cechą tego, jak ten rodzaj danych był okablowany wszędzie. Pojawia się tam, gdzie akurat znajdowało się najsłabsze ogniwo sieci. Naprawia się jeden krajowy punkt końcowy, a następny, zbudowany przez innego dostawcę według innego standardu, nadal tam jest.

Europa napisała rozwiązanie. Nie ma daty włączenia.

UE zdiagnozowała tę strukturalną słabość, zanim ten wyciek stał się publiczny. Rozporządzenie (UE) 2025/12, które weszło w życie 28 stycznia 2025 roku, zastępuje stary model, w którym każda linia łączy się osobno z władzą graniczną każdego państwa członkowskiego, jednym routerem obsługiwanym przez eu-LISA, agencję IT UE ds. wymiaru sprawiedliwości i spraw wewnętrznych. Każda linia lecąca do, z lub w obrębie UE ma docelowo wysyłać dane pasażerów tym jednym kanałem zamiast utrzymywać oddzielne połączenie dla każdego kraju.

Obowiązki wynikające z rozporządzenia zaczynają jednak obowiązywać dopiero, gdy sam router zacznie działać, a ani eu-LISA, ani Komisja Europejska nie opublikowały daty tego wydarzenia. Dwadzieścia miesięcy po wejściu ustawy w życie architektura, którą ma ona zastąpić, ten sam wzorzec jednego punktu końcowego na kraj, który pozwolił jednemu ujawnionemu wietnamskiemu klastrowi przechowywać dziewięć lat transgranicznych danych podróży, wciąż pozostaje tym, czego faktycznie używa każda linia lecąca do Europy. Dział podróży służbowych firmy, zespół zgodności linii lotniczej albo inspektor ochrony danych, który zakłada, że scentralizowany router UE już go obejmuje, polega na systemie, który jak dotąd istnieje tylko w rozporządzeniu i nigdzie więcej.

Czytaj dalej: 8,7 miliona danych lotniskowych wyciekło w ataku  |  Filtr OpenAI nie czyni twoich rozmów anonimowymi