疑涉越南的空港旅客信息系统(APIS)数据库公网暴露：2.2亿条旅客与机组记录含护照号，时间跨度9年

APIS（Advance Passenger Information System，空港旅客信息系统）用于在航班起飞或抵达前向边境与航空安全机构传输旅客和机组名单。这一监管要求本身就把异常完整的出行档案集中到了单一系统：姓名、出生日期、性别、国籍、护照或旅行证件号码、证件有效期与签发国，以及航班号、日期、航空公司、出发/目的/中转机场、座位号、行李参考与计划、预计、实际起降时间。

暴露的成因并非软件漏洞，而是两处配置缺陷叠加。集群直接面向互联网的访问端点在未认证时会返回HTTP 401，前端门看起来是锁好的；但通往同一集群存在另一条云端访问路径，该路径接受未经修改的默认凭据。管理员即使确认主端点已加固，也没有理由怀疑还有第二条配置不同的通路以出厂默认认证敞开。此事件无关联CVE披露。

时间线值得关注。Kinryū Labs于2026年6月3日在排查勒索软件活动期间的暴露数据库时发现该集群，同日向越南主管部门、相关航司与各国CERT通报，6月8日完成处置，新加坡航空安全团队协助协调。FOFA遥测显示该主机至少自2022年10月起即可被互联网扫描器发现，2023年7月被识别为数据库，但旅客数据何时开始可访问无法确定。

风险判断需要谨慎。由于没有访问日志，研究人员无法确认在修复前是否有人复制或窃取了数据，也未发现勒索留言或数据库被篡改的迹象；样本记录显示涉及韩国、中国、加拿大和新西兰等国旅客，覆盖亚太、欧洲与中东多家航司，但完整国籍分布尚未建立。此外，2.2亿是出行记录条数而非独立人数，常旅客与机组人员会重复出现。

对合规工作的启示有两点。其一，验证合规性不能只测主端点：云网络、代理、备用主机名、管理接口与遗留访问路径都应纳入常态化暴露面检测。其二，旅客与机组名单属于高风险身份数据，一旦与历史行程、座位和行李信息组合，可支撑高度可信的冒充式钓鱼，也可用于人员画像与活动轨迹重建，企业应将APIS类数据纳入最高级别的数据分类分级与访问控制。