Mega vazamento expõe dados de 220 milhões de viajantes em APIS vietnamita

A exposição de 220 milhões de registros de viajantes em um cluster Elasticsearch vietnamita reforça a fragilidade da segurança de APIs e bancos de dados mal configurados. O incidente expôs dados de um sistema APIS (Advanced Passenger Information System), essencial para o controle de fronteiras. A falha não foi um acesso direto, mas uma cadeia de eventos: o endpoint principal retornava um erro HTTP 401, mas uma rota alternativa baseada em nuvem permitia acesso irrestrito usando credenciais padrão. Isso mostra que mesmo com uma barreira aparente, vulnerabilidades em outros pontos podem derrubar toda a proteção. Um cluster Elasticsearch desprotegido, mesmo que indiretamente, se torna um alvo fácil para pesquisadores ou cibercriminosos.

Este caso se alinha com uma tendência preocupante que o CEVIU News tem acompanhado. Vazamentos por falhas em APIs ou bancos de dados desprotegitos são recorrentes. Tivemos, por exemplo, a exposição de dados de frotas na plataforma My Eicher e informações militares na Schemata, ambas por APIs sem autenticação ou com falhas de autorização. O que acontece na prática é que um único elo fraco, como credenciais padrão em um ambiente de nuvem, anula outras camadas de segurança. É um lembrete forte sobre a necessidade de auditorias completas e rigorosas, especialmente em sistemas que armazenam dados tão sensíveis e de alto volume.

Este vazamento é crítico porque os dados expostos, nomes completos, datas de nascimento, nacionalidades, números e validades de passaportes, são a base para fraudes de identidade. Com essas informações, cibercriminosos podem criar documentos falsos, realizar ataques de phishing altamente personalizados ou, no cenário mais grave, usar os dados para espionagem e ações maliciosas em larga escala. O volume (220 milhões de registros) e a abrangência temporal (nove anos de dados) aumentam o risco exponencialmente, afetando viajantes de diversas nacionalidades que passaram pelo Vietnã.

Para empresas e governos, a repercussão vai além da privacidade individual. A confiança nos sistemas de controle de fronteiras e na proteção de dados de cidadãos é abalada. Empresas aéreas cujos passageiros tiveram dados expostos, mesmo sem culpa direta, enfrentam questionamentos sobre como seus dados são tratados por terceiros. É um alerta sobre a importância de garantir que parceiros e fornecedores sigam os mais altos padrões de segurança, e que auditorias de segurança não deixem 'portas dos fundos' abertas em configurações de nuvem ou credenciais padrão.