2017年1月7日から今年4月30日までにベトナムの空港を経由した旅行者の情報2億2078万件が、6月に「ホワイトハッカー」グループによって確認されるまで無防備な状態でさらされていたことが判明した。ベトナム国内のサーバーに保存されていた乗客・乗務員のパスポートやフライト情報などであり、大韓航空、アシアナ航空、済州航空、ジンエアー、ティーウェイ航空(現トリニティ航空)など韓国の航空会社5社の旅客記録2480万3512件も含まれている。韓国政府はベトナム当局に事実確認を要請したが、4カ月が経過したにもかかわらず、「個人情報の流出の兆候は確認されていない」という趣旨の回答しか得られていない。
21日に行ったハンギョレの取材によると、韓国インターネット振興院(KISA)は6月4日、グローバルセキュリティ研究グループ「キンリュウ・ラボ(Kinryu Labs)」から、「ベトナムの乗客情報システムと推定されるデータベースからの個人情報漏洩の可能性」について通報を受けた。研究チームは、インターネット上に露出していたデータベースのセキュリティ上の脆弱性を確認していたところ、ベトナムから不審なデータが含まれたデータベースを発見した。同チームが発見した年間107GB(ギガバイト)規模のデータベースには、2017年1月7日から今年4月30日までにベトナムを経由した乗客の記録約2億1000万件と、乗務員の記録約1046万件が含まれていた。各記録には、氏名、生年月日、性別、国籍、パスポート番号などの個人情報に加え、便名や出発地、到着地、手荷物識別番号、座席情報まで紐付けられていた。記録に登場する世界中の航空会社だけで1008社に上る。韓国をはじめ、中国、日本、オランダなどさまざまな国籍の人の情報が含まれており、韓国人が多く訪れるダナンやフーコックなどベトナムの主要なリゾート地を目的地とした記録も多数あった。
キンリュウ・ラボは、漏洩した資料が航空会社が国際線運航前に目的地国に送る事前乗客情報(API)の項目を中心に構成されており、サーバーがベトナム国営通信会社「ベトテル」のネットワーク帯域内にある点などから、当該データベースがベトナムの航空旅客情報処理システムに関連していると推定した。事前乗客情報とは、目的地国が事前に入国者を審査できるようにするため、航空会社が航空機の到着前に当該国に提供する、乗客および乗務員の身元情報などを指す。研究チームは、ベトナムの航空関連機関およびサイバーセキュリティ・インシデント対応機関などにこの情報漏洩の状況を伝えたが、返信が得られず、管理主体を確認できなかったという。
また、キンリュウ・ラボが2億件を超えるベトナム旅行情報が蓄積されているデータベースへのアクセス権限を手に入れるため、セキュリティの脆弱性を攻撃したり追加の認証を経たりする必要もなかったという。研究チームは6月3日、インターネット上に漏洩していたデータベースを広範囲に調べていたところ、「pax-info」という名前のクラスタを発見した。「pax」は航空業界で主に使われる「乗客(passenger)」の略語。研究チームによると、クラスタの起動プログラムに「初期化」状態のユーザー名とパスワードを入力したところ、管理者権限で乗客の個人情報を照会できたという。例えば、「1234/1234」や「admin/admin」のように、初期設定で主に使われる定型化されたIDとパスワードを入力すると、すぐに管理者としてログインでき、自由に情報を閲覧することができたという。同チームのキム・チェヨン研究員はハンギョレに対し、「2億件の記録に外部から管理者権限でアクセスできたという点で、極めて深刻なセキュリティリスクが存在した事例だ」と語った。
キンリュウ・ラボの研究チームは杜撰なセキュリティ状態により、数年間情報が無防備にさらされていた可能性も指摘した。乗客情報のデータベースが2022年9月に作成され、同年10月から外部のインターネットから当該サーバーを検知できた点などを根拠に挙げた。同チームは、ベトナムや韓国、日本などの不審なデータに関連する政府機関にこの事実を通知した。その後、サーバーへの外部からのアクセスは6月7日から遮断された。
しかし、数千万件に及ぶ国内航空会社の利用客の旅行情報が実際に流出したかどうかは、正確には確認されていない状況だ。個人情報保護委員会は、この通報に基づきベトナム政府に協力を要請したが、ベトナム側から具体的な調査内容が届いたかどうかなどは公表していない。同委員会は、ハンギョレと「共に民主党」のイ・ジュヒ議員からの確認要請に対し、「ベトナム政府が事実関係の確認を継続的に進めており、現時点では個人情報流出の兆候は確認されていないと認識している」とし、「個人情報流出の可能性に備えてダークウェブの監視を強化している」と説明した。情報が漏洩したサーバーの管理主体が誰なのか、流出はないとベトナム政府が判断した根拠などについての質問には、「具体的に確認することはできない」と答えるにとどまった。
ベトナムの空港を経由した約2億件の航空旅客情報が漏洩した状況は、国境を越えた個人情報の保護・管理体制に重大な欠陥が存在し得ることを示している。国内で個人情報の流出が頻繁に発生している中、政府や企業などがセキュリティ対策の整備に奔走しているが、我々が統制することが難しい海外で大規模な情報流出の可能性があることが今回確認されたのだ。
データベースの管理主体を究明し、情報流出の有無などを確認するための国際的な連携の必要性を指摘する声もあがっている。嘉泉大学のチェ・ギョンジン教授(法学)は、「国外に移転された情報の管理・監督と安全措置が適切に行われているかを確認するため、国際的な協力が必要と思われる」と語った。また、共に民主党のイ・ジュヒ議員は、「政府はベトナム当局と緊密に協力し、流出の有無を徹底的に確認するとともに、万が一の被害に備えるべきだ」と述べた。
2026/10/22 10:07
https://japan.hani.co.kr/arti/economy/57474.html