Um banco de dados ligado ao sistema de controle de passageiros do Vietnã deixou expostos aproximadamente 220 milhões de registros de passageiros e tripulantes, incluindo informações altamente sensíveis como números de passaporte e detalhes de viagens internacionais.
A descoberta foi divulgada nesta terça-feira, 8 de setembro de 2026, e envolve um sistema do tipo Advance Passenger Information System (APIS), utilizado no setor aéreo para reunir antecipadamente informações sobre pessoas que embarcam em determinados voos.
A informação apresentada na imagem está correta em essência, mas há uma distinção fundamental: não são 220 milhões de passageiros únicos confirmados.
O banco continha cerca de 220 milhões de registros de viagens, o que significa que uma mesma pessoa pode aparecer diversas vezes ao realizar múltiplos voos.
Banco reunia quase uma década de viagens
Os dados encontrados abrangiam o período de 2017 a 2026, criando um histórico de quase dez anos de movimentações aéreas.
Entre as informações identificadas estavam:
nomes completos;
datas de nascimento;
nacionalidades;
números de passaporte;
informações sobre passageiros e tripulantes;
companhias aéreas;
números de voos;
aeroportos de origem e destino;
datas e horários relacionados às viagens.
A combinação dessas informações torna o incidente especialmente sensível.
Não se trata apenas de uma lista de nomes ou endereços de e-mail, mas de dados capazes de relacionar uma identidade a documentos de viagem e deslocamentos internacionais.
Pesquisadores encontraram credenciais padrão
O aspecto mais preocupante do caso está na forma como o sistema teria sido acessado.
Segundo a investigação, pesquisadores chegaram ao ambiente por um caminho hospedado em infraestrutura de nuvem e descobriram que era possível acessar componentes do sistema utilizando credenciais padrão.
Esse tipo de falha representa um dos problemas mais básicos — e ao mesmo tempo mais perigosos — da segurança digital.
Equipamentos, bancos de dados e aplicações frequentemente são instalados com usuários e senhas predefinidos pelo fabricante ou fornecedor.
Essas credenciais precisam ser alteradas durante a implantação.
Quando isso não acontece, uma proteção que deveria existir acaba praticamente anulada.
Não foi necessário explorar uma vulnerabilidade sofisticada
Esse detalhe diferencia o episódio de muitos grandes vazamentos.
Até o momento, a exposição não foi associada à exploração de uma vulnerabilidade zero-day extremamente avançada.
O problema identificado estava ligado principalmente à configuração inadequada e ao uso de credenciais padrão.
Isso reforça uma realidade conhecida na cibersegurança: nem sempre criminosos precisam quebrar criptografia ou desenvolver malware sofisticado.
Às vezes, a porta já está aberta.
O que é um sistema APIS?
O Advance Passenger Information System é utilizado por governos, autoridades migratórias e empresas aéreas para processar informações de passageiros antes da chegada ou partida de um voo.
Dados normalmente são coletados durante processos como check-in e documentação da viagem.
As informações podem ser utilizadas por autoridades para verificar passageiros, controlar fronteiras e identificar indivíduos que exigem análise adicional.
Por sua própria natureza, portanto, um sistema APIS concentra informações extremamente valiosas.
Passaporte aumenta gravidade da exposição
O número de um passaporte possui valor muito diferente de uma senha comum.
Uma senha pode ser alterada em poucos minutos.
Documentos oficiais possuem ciclos de validade muito mais longos e fazem parte da identidade da pessoa.
Quando números de passaporte aparecem combinados com:
nome completo;
data de nascimento;
nacionalidade;
e histórico de viagem,
o conjunto pode ser explorado em fraudes e operações sofisticadas de engenharia social.
Histórico de viagens amplia risco
Informações sobre deslocamentos também possuem valor.
Saber quando uma pessoa viajou, qual companhia utilizou e de onde partiu permite construir abordagens fraudulentas extremamente convincentes.
Um criminoso poderia, por exemplo, criar uma mensagem falsa dizendo:
“Identificamos um problema relacionado ao seu voo.”
Se a mensagem incluir o verdadeiro destino, data e companhia aérea, a vítima terá muito mais motivos para acreditar.
Esse é justamente o perigo de vazamentos que combinam identidade e contexto.
Executivos e autoridades podem exigir atenção adicional
O risco pode ser ainda maior quando os registros pertencem a executivos, autoridades governamentais, profissionais de setores estratégicos ou outras pessoas de interesse.
Históricos de viagens podem revelar padrões de deslocamento.
Também podem mostrar relacionamentos entre países, empresas, aeroportos e períodos específicos.
Mesmo informações antigas podem possuir valor para inteligência, espionagem ou reconhecimento prévio de alvos.
220 milhões não significa 220 milhões de vítimas
Essa é a principal correção necessária na interpretação do caso.
Cada entrada representa essencialmente um registro relacionado a uma viagem.
Uma pessoa que realizou dezenas de voos ao longo dos nove anos pode aparecer dezenas de vezes.
Tripulantes de companhias aéreas podem aparecer ainda mais frequentemente.
Portanto, não é possível concluir que 220 milhões de pessoas diferentes tiveram seus dados expostos.
O número de indivíduos únicos permanece indeterminado.
Volume continua gigantesco
Essa ressalva não diminui a dimensão do problema.
Mesmo contendo registros repetidos, um conjunto de aproximadamente 220 milhões de entradas representa uma quantidade enorme de informações.
E o período coberto torna a exposição particularmente significativa.
Dados acumulados desde 2017 podem permitir reconstruir uma parcela considerável do histórico de viagens de determinados indivíduos.
Quanto mais registros pertencentes à mesma pessoa existirem, mais completo pode se tornar esse perfil.
Sistema está ligado ao Vietnã, mas atribuição exige cautela
Outro ponto importante está na expressão “Vietnam-linked”.
As evidências técnicas encontradas pelos pesquisadores ligam o banco de dados a operações de viagens relacionadas ao Vietnã.
Isso não significa automaticamente que todos os registros pertençam a cidadãos vietnamitas.
Muito pelo contrário.
Um sistema de passageiros internacionais pode armazenar informações de pessoas de dezenas ou centenas de nacionalidades que simplesmente viajaram de, para ou através do país.
Também é importante evitar atribuir prematuramente a responsabilidade por toda a infraestrutura a uma única organização sem confirmação oficial.
Exposição não significa necessariamente vazamento criminoso de 220 milhões de registros
Existe ainda uma diferença importante entre dados expostos e dados comprovadamente roubados por criminosos.
Pesquisadores confirmaram que o ambiente estava acessível.
Isso demonstra risco concreto de acesso indevido.
Mas não significa automaticamente que um grupo criminoso tenha baixado os 220 milhões de registros antes da descoberta.
Determinar isso exige análise de logs e evidências históricas de acesso.
Por isso, a forma mais precisa de descrever o incidente é dizer que os registros ficaram expostos, e não que todos foram comprovadamente roubados.
Credenciais padrão são um problema antigo
O episódio chama atenção porque a causa relatada parece extremamente simples.
Senhas padrão continuam aparecendo em incidentes envolvendo:
roteadores;
câmeras;
servidores;
bancos de dados;
equipamentos industriais;
sistemas de armazenamento;
painéis administrativos;
e dispositivos de Internet das Coisas.
Fabricantes fornecem essas credenciais para facilitar a configuração inicial.
O problema começa quando elas permanecem ativas depois que o equipamento entra em produção.
Automação torna esse erro ainda mais perigoso
Hoje, invasores não precisam procurar manualmente cada sistema vulnerável.
Ferramentas automatizadas conseguem varrer grandes blocos da internet em busca de serviços expostos.
Depois, podem testar combinações conhecidas de usuários e senhas padrão.
Esse processo pode acontecer em escala.
Um sistema esquecido na internet pode ser encontrado pouco tempo depois de ser disponibilizado.
Por isso, credenciais padrão em interfaces acessíveis externamente devem ser tratadas como uma vulnerabilidade crítica de configuração.
MFA poderia adicionar uma barreira
Interfaces administrativas sensíveis também deveriam utilizar autenticação multifator sempre que possível.
Mesmo se uma senha fosse conhecida ou comprometida, o invasor ainda enfrentaria outra etapa de autenticação.
Outras medidas incluem limitar o acesso por rede, utilizar VPNs administrativas, aplicar políticas de identidade e monitorar tentativas anormais.
Em sistemas que armazenam dados de fronteira e documentos oficiais, controles desse tipo são particularmente importantes.
Princípio do menor privilégio também é essencial
Outro problema comum ocorre quando uma única credencial possui acesso a uma quantidade excessiva de dados.
Sistemas modernos devem seguir o princípio do menor privilégio.
Cada usuário ou serviço deveria acessar apenas aquilo que precisa para executar sua função.
Se uma conta operacional consegue consultar indiscriminadamente quase uma década de registros, o impacto de seu comprometimento aumenta dramaticamente.
Segmentação e controle granular poderiam reduzir o raio de impacto.
Dados antigos também precisam de proteção
O período de 2017 a 2026 levanta outra questão: retenção.
Por quanto tempo informações detalhadas de viagens precisam permanecer disponíveis?
A resposta depende de legislação, necessidades operacionais e requisitos governamentais.
Mas qualquer organização que mantém dados históricos precisa considerar que armazenamento prolongado também aumenta o risco.
Cada ano adicional cria um conjunto maior de informações que poderá ser atingido em um futuro incidente.
Aviação é infraestrutura altamente sensível
O setor aéreo reúne algumas das bases de dados mais valiosas do mundo.
Companhias aéreas, aeroportos, autoridades migratórias e prestadores de serviços processam continuamente:
passaportes;
vistos;
reservas;
pagamentos;
itinerários;
programas de fidelidade;
informações de contato;
e registros de fronteira.
Essa concentração torna o ecossistema um alvo constante para criminosos e operações de espionagem.
Terceiros ampliam superfície de ataque
Também existe uma cadeia tecnológica extensa por trás de uma única viagem.
Uma companhia aérea pode utilizar sistemas de reservas de uma empresa, infraestrutura em nuvem de outra, serviços aeroportuários de uma terceira e integrações governamentais adicionais.
Isso significa que proteger apenas o site da companhia aérea não é suficiente.
A segurança precisa abranger toda a cadeia responsável pelo processamento das informações.
Incidente é um alerta sobre segurança básica
Grandes ataques normalmente chamam atenção por vulnerabilidades sofisticadas.
Zero-days.
Malware avançado.
Ransomware.
Exploração de inteligência artificial.
Mas o caso ligado ao Vietnã mostra que controles básicos continuam determinantes.
Se a investigação estiver correta sobre o uso de credenciais padrão, uma base contendo centenas de milhões de registros sensíveis ficou potencialmente acessível por causa de uma falha que deveria ter sido eliminada durante a configuração inicial.
Exposição pode ter consequências durante anos
Mesmo quando um banco de dados é protegido depois da descoberta, o risco não desaparece imediatamente.
Se terceiros desconhecidos acessaram ou copiaram informações anteriormente, esses dados podem continuar circulando.
Documentos permanecem válidos.
Históricos de viagens continuam verdadeiros.
Dados pessoais continuam úteis para engenharia social.
É por isso que investigações posteriores precisam determinar não apenas como o sistema foi encontrado, mas também há quanto tempo estava acessível e quem pode ter entrado nele.
Caso ainda precisa de respostas
Algumas perguntas permanecem fundamentais:
qual organização operava efetivamente o banco?
por quanto tempo as credenciais padrão ficaram ativas?
existem logs capazes de identificar acessos anteriores?
quantos indivíduos únicos aparecem nos 220 milhões de registros?
quais companhias aéreas tiveram dados armazenados?
e houve download não autorizado antes da descoberta pelos pesquisadores?
Essas respostas serão necessárias para dimensionar o impacto real.
Informação da imagem é verdadeira, com ressalva importante
A publicação apresentada está essencialmente correta.
Pesquisadores encontraram um banco de dados APIS ligado a viagens pelo Vietnã contendo aproximadamente 220 milhões de registros de passageiros e tripulantes, com informações entre 2017 e 2026.
O acesso foi possível através de uma infraestrutura em nuvem associada a credenciais padrão.
Mas duas conclusões não devem ser feitas neste momento:
não existem 220 milhões de vítimas únicas confirmadas;
e não há comprovação de que criminosos tenham roubado todos os 220 milhões de registros.
Mesmo com essas ressalvas, o episódio pode representar uma das maiores exposições recentes de informações relacionadas a viagens aéreas.
E talvez o aspecto mais preocupante seja justamente sua aparente simplicidade.
Uma base com quase uma década de informações sensíveis não deveria depender de credenciais que permaneceram no padrão de fábrica.
