韩国航司2480万条出行记录在越南暴露，涉及9年间旅客护照号码等信息

旅客姓名、出生日期、航班信息等

在当地安全防护薄弱的服务器上暴露
韩国政府：越南政府仍在核查是否发生信息泄露

经确认，涉及2017年1月7日至今年4月30日期间经由越南机场出行的2.2078亿条旅客及机组人员信息，在今年6月被一个“白帽黑客”团队发现前，一直处于缺乏有效防护的暴露状态。这些数据存储在越南境内的服务器上，包括旅客和机组人员的护照、航班等信息，其中涉及大韩航空、韩亚航空、济州航空、真航空、德威航空等5家韩国航空公司的旅客出行记录共2480.3512万条。韩国政府虽已要求越南有关部门核实情况，但四个月过去，收到的回复仍只是“尚未发现个人信息泄露迹象”。

据本报21日采访了解，韩国互联网振兴院（KISA）于6月4日收到全球安全研究团队Kinryū Labs的报告，称“一个疑似属于越南旅客信息系统的数据库可能存在个人信息泄露问题”。该团队在检查暴露于互联网的数据库是否存在安全漏洞时，发现了越南的一个存有可疑数据的存储库。该存储库中的数据总量达107GB，包括2017年1月7日至今年4月30日期间经由越南出行的2.1亿余条旅客记录和1046万余条机组人员记录。每条记录除姓名、出生日期、性别、国籍、护照号码等个人信息外，还关联着航班号、出发地、目的地、行李识别号码和座位信息。数据涉及全球1008家航空公司。

其中包括韩国、中国、日本、荷兰等多个国家公民的信息，也有大量以岘港、富国岛等深受韩国游客欢迎的越南主要度假地为目的地的出行记录。

Kinryū Labs发现，暴露的数据主要由航空公司在国际航班执飞前向目的地国家发送的预报旅客信息（API）构成，服务器也位于越南国有电信运营商Viettel的网段内，因此推测该存储库与越南航空旅客信息处理系统有关。预报旅客信息是指航空公司在飞机抵达前，向目的地国家提供的旅客和机组人员身份等信息，以便有关部门提前开展入境审查。该团队曾向越南航空相关机构及网络安全事件应对机构通报数据暴露情况，但未获回复，因此未能确认数据库的管理方。

据悉，Kinryū Labs在访问这处存有逾2亿条越南出行记录的存储库时，无需利用安全漏洞发起攻击，也不必经过额外的身份验证。6月3日，该团队在大范围调查暴露于互联网的数据库时，发现了一个名为“pax-info”的存储库。“pax”是航空业常用的“旅客”（passenger）缩写。研究人员介绍，他们在存储库运行程序中输入默认用户名和密码后，便能以管理员权限查询旅客个人信息。也就是说，只需输入类似“1234/1234”或“admin/admin”这样的常见初始账号和密码，即可直接以管理员身份登录，自由查看信息。Kinryū Labs研究员金采英（音）向本报表示：“外部人员能够以管理员权限访问2亿条记录，说明这一系统存在非常严重的安全风险。”

该团队还指出，由于安全防护薄弱，这些信息可能已在缺乏保护的情况下暴露数年。其依据包括，旅客信息存储空间创建于2022年9月，且自同年10月起，外部互联网便能探测到该服务器。Kinryū Labs向越南、韩国、日本等与这些可疑数据有关的国家政府机构通报了情况。此后，该服务器自6月7日起无法再从外部访问。

不过，涉及韩国航空公司旅客的数千万条出行记录是否已实际外泄，目前仍未得到确切核实。韩国个人信息保护委员会根据相关报告向越南政府提出了协助请求，但并未公开是否收到越方提供的具体调查情况。针对本报及共同民主党议员李周禧的询问，该委员会表示：“越南政府仍在持续核实相关情况。据我们了解，截至目前尚未发现个人信息泄露迹象。”委员会还称：“为应对个人信息可能泄露的情况，正在加强暗网监测。”对于暴露数据的服务器由谁管理，以及越南政府判断未发生泄露的依据等问题，委员会仅答复称：“无法具体确认。”

经由越南机场出行的2亿余条航空旅客信息暴露一事表明，跨境个人信息保护和管理体系可能存在重大漏洞。韩国国内个人信息泄露事件频发，政府和企业正努力加强安全防护，但此次事件说明，在韩国难以直接管控的境外，同样存在个人信息大规模泄露的风险。

有意见指出，应加强国际协作，查明数据库的管理方，并核实是否发生信息泄露。嘉泉大学法学教授崔景津指出：“看来有必要通过国际协作，确认转移至境外的个人信息是否得到妥善管理和监督，相关安全措施是否落实。”共同民主党议员李周禧表示：“政府应与越南有关部门密切合作，彻底查清是否发生信息泄露，并为可能出现的损害做好应对准备。”

姜在九 记者