Europas lösning på detta läckage har inget startdatum

220 miljoner poster, nio år, en öppen databas

Kinryu Labs hittade den 3 juni 2026 ett Elasticsearch-kluster som gick att nå från öppna internet, med 220,8 miljoner passagerar- och besättningsposter för flyg mellan januari 2017 och april 2026. Företaget säkrade klustret fem dagar senare, efter att ha informerat vietnamesiska myndigheter, nationella CSIRT och identifierbara flygbolag.

Klustret, kallat pax-info, innehöll namn, födelsedatum, nationaliteter, passnummer och utgångsdatum, flightnummer, sittplatser och bagagereferenser, kopplade till flygbolag med rutter i Asien och Stillahavsområdet, Europa och Mellanöstern. Kinryu Labs spårade det exponerade adressutrymmet till Viettel, Vietnams statliga teleoperatör, men kunde inte bekräfta vilken organisation som faktiskt drev databasen. Varken vietnamesiska myndigheter eller Changi Airport Group, nämnt i undersökningen som en av de berörda knutpunkterna, har förklarat hur klustret förblev öppet.

Ett läckage som aldrig kunde stanna i ett enda land

Förhandsdata om passagerare har aldrig haft ett enda hem. I två decennier har ett flygbolag som flyger till ett land i regel kopplat sig direkt till det landets egen gränspolis, en skräddarsydd integration per destination, upprepad för varje marknad det betjänar. Ett flygbolag med två dussin linjer kan sluta med att underhålla två dussin separata kopplingar, var och en byggd, säkrad och övervakad enligt sitt eget schema, av vilken leverantör den aktuella gränsmyndigheten råkade ha valt.

Det är vad som gjorde det möjligt för ett enda felkonfigurerat kluster, kopplat till en vietnamesisk statlig operatörs adressutrymme, att innehålla nio års data för linjer som aldrig berörde Vietnam. Exponeringen var inte egentligen ett vietnamesiskt problem som råkade läcka, utan ett strukturellt drag i hur denna typ av data har dragits överallt. Den dyker upp där nätverkets svagaste länk råkade finnas. Man åtgärdar en nationell ändpunkt och nästa, byggd av en annan leverantör enligt en annan standard, står fortfarande kvar.

Europa skrev lösningen. Den har inget startdatum.

EU hade redan diagnostiserat denna strukturella svaghet innan detta läckage blev offentligt. Förordning (EU) 2025/12, som trädde i kraft den 28 januari 2025, ersätter den gamla modellen, där varje flygbolag kopplar sig separat till varje medlemsstats gränsmyndighet, med en enda router som drivs av eu-LISA, EU:s it-byrå för rättsliga och inrikes frågor. Varje flygbolag som flyger till, från eller inom EU ska framdeles skicka passagerardata genom den enda kanalen istället för att underhålla en separat koppling per land.

Förordningens skyldigheter gäller dock först när routern själv är i drift, och varken eu-LISA eller EU-kommissionen har publicerat ett datum för det. Tjugo månader efter att lagen trädde i kraft är arkitekturen den ska ersätta, samma mönster med en ändpunkt per land som lät ett enda exponerat vietnamesiskt kluster hålla nio års gränsöverskridande resedata, fortfarande det som varje flygbolag som flyger till Europa faktiskt använder. En företagsreseavdelning, ett compliance-team på ett flygbolag eller ett dataskyddsombud som antar att EU:s centraliserade router redan täcker dem litar på ett system som hittills bara finns i förordningen och ingen annanstans.

Läs vidare: 8,7 miljoner flygplatsdata läckta i ett intrång  |  OpenAIs filter gör inte dina chattar anonyma