A solução europeia para esta fuga não tem data

220 milhões de registos, nove anos, uma base de dados aberta

A Kinryu Labs encontrou, a 3 de junho de 2026, um cluster Elasticsearch acessível a partir da internet aberta, com 220,8 milhões de registos de passageiros e tripulação de voos entre janeiro de 2017 e abril de 2026. A empresa assegurou o cluster cinco dias depois, após notificar as autoridades vietnamitas, as CSIRT nacionais e as companhias aéreas identificáveis.

O cluster, chamado pax-info, continha nomes, datas de nascimento, nacionalidades, números de passaporte e datas de validade, números de voo, lugares e referências de bagagem, ligados a companhias com rotas pela Ásia-Pacífico, Europa e Médio Oriente. A Kinryu Labs rastreou o espaço de endereços exposto até à Viettel, a operadora estatal de telecomunicações do Vietname, mas não conseguiu confirmar que organização operava de facto a base de dados. Nem as autoridades vietnamitas nem o Changi Airport Group, referido na investigação como um dos nós implicados, explicaram como o cluster se manteve aberto.

Uma fuga que nunca ia ficar confinada a um só país

Os dados antecipados de passageiros nunca tiveram uma casa única. Há duas décadas que uma companhia aérea que voa para um país se liga normalmente de forma direta à autoridade fronteiriça desse país, uma integração feita à medida por destino, repetida em cada mercado que serve. Uma companhia com duas dezenas de rotas pode acabar a manter duas dezenas de ligações separadas, cada uma construída, protegida e monitorizada segundo o seu próprio calendário, pelo fornecedor que cada agência fronteiriça tenha escolhido.

Foi isso que permitiu que um único cluster mal configurado, ligado ao espaço de endereços de uma operadora estatal vietnamita, guardasse nove anos de registos para rotas que nunca tocaram no Vietname. A exposição não foi de facto um problema vietnamita que tenha vazado por acaso, mas uma característica estrutural da forma como esta categoria de dados foi ligada em toda a parte. Surge onde estiver a ligação mais fraca da rede. Corrige-se um ponto nacional e o seguinte, construído por outro fornecedor segundo outra norma, continua ali.

A Europa escreveu a solução. Não tem data de arranque.

A UE já tinha diagnosticado esta fragilidade estrutural antes de esta fuga se tornar pública. O Regulamento (UE) 2025/12, em vigor desde 28 de janeiro de 2025, substitui o modelo antigo, em que cada companhia se liga separadamente à autoridade fronteiriça de cada estado-membro, por um único router operado pela eu-LISA, a agência de TI da UE para a justiça e os assuntos internos. Todas as companhias que voem para, a partir de ou dentro da UE deverão enviar os dados de passageiros por esse canal único em vez de manterem uma ligação por país.

As obrigações do regulamento, no entanto, só se aplicam quando o router estiver em serviço, e nem a eu-LISA nem a Comissão Europeia publicaram uma data para isso. Vinte meses depois de a lei entrar em vigor, a arquitetura que deve substituir, o mesmo padrão de um ponto por país que permitiu a um único cluster vietnamita exposto guardar nove anos de dados de viagem transfronteiriça, continua a ser o que cada companhia que voa para a Europa efetivamente usa. Um departamento de viagens corporativas, uma equipa de compliance de uma companhia aérea ou um encarregado de proteção de dados que presuma que o router centralizado da UE já os cobre está a confiar num sistema que, por agora, só existe no regulamento e em nenhum outro lugar.

Leia a seguir: 8,7 milhões de dados de aeroportos expostos numa falha  |  O filtro da OpenAI não torna as conversas anónimas