Die offengelegten Datensätze enthielten laut Kinryū Labs Namen, Geburtsdaten, Geschlecht, Staatsangehörigkeiten, Pass- beziehungsweise Reisedokumentnummern samt Ablaufdatum und ausstellendem Land. Hinzu kamen die zugehörigen Reisedaten: Flugnummern und -daten, Fluggesellschaften, Abflug-, Ziel- und Transitflughäfen, Sitzplatzzuweisungen, Gepäckreferenzen sowie geplante, geschätzte und tatsächliche Flugzeiten — Informationen, wie sie typischerweise in APIS- und angrenzenden Airline-Systemen verarbeitet werden.
Von BleepingComputer eingesehene Beispieldatensätze betrafen unter anderem Reisende mit koreanischer, chinesischer, kanadischer und neuseeländischer Staatsangehörigkeit. Eine vollständige Aufschlüsselung nach Nationalitäten konnten die Forscher nicht liefern; die Daten deckten jedoch zahlreiche internationale Airlines aus dem asiatisch-pazifischen Raum, Europa und dem Nahen Osten ab. Damit können praktisch Menschen aus aller Welt betroffen sein, die in dem Zeitraum von neun Jahren Vietnam besucht oder das Land im Transit passiert haben.
Die Echtheit der Daten prüfte Kinryū Labs, indem die Forscher Einträge mit ihren eigenen Vietnam-Reisen abglichen. Wichtig für die Einordnung der Größenordnung: Es handelt sich um Reisevorgänge, nicht um eindeutige Personen — wer mehrfach geflogen ist, erscheint entsprechend mehrfach.
Den Zugriff erreichten die Forscher nach eigenen Angaben über die Verkettung zweier Fehlkonfigurationen. Aus dem offenen Internet antwortete der Endpunkt mit einem HTTP-401-Fehler („Nicht autorisiert“) und verhinderte so den direkten Zugriff. Ein über die Cloud führender Pfad ermöglichte jedoch den Zugang zum Cluster, der daraufhin Standard-Zugangsdaten akzeptierte.
Die Suchplattform FOFA erfasste Host und Port erstmals im Oktober 2022 und identifizierte den Dienst im Juli 2023 als Datenbank. Wann die Passagierdaten über den zweiten Zugriffsweg erstmals abrufbar waren, konnte Kinryū Labs nicht feststellen. Die tatsächliche Dauer der Offenlegung bleibt deshalb unbekannt, auch wenn die Datensätze selbst mehr als neun Jahre abdecken.
Ab dem 3. Juni informierte Kinryū Labs nach eigenen Angaben vietnamesische Behörden, die in der Datenbank vertretenen Fluggesellschaften sowie nationale Computer-Notfallteams. Am 8. Juni war der Zugang geschlossen. Eine von BleepingComputer geprüfte, authentifizierte E-Mail zeigt, dass das Sicherheitsteam von Singapore Airlines die Reaktion mitkoordinierte und Kinryū Labs am 8. Juni mitteilte, man habe „die relevanten Beteiligten eingeschaltet“ und „Schritte zur Eingrenzung des Problems unternommen“. Eine weitere Stellungnahme gab die Airline nicht ab.
Mehrere große Fluggesellschaften tauchen in den Funden mit Passagierdaten auf. Es gibt jedoch keinen Hinweis darauf, dass sie das offengelegte System betrieben oder dass ihre eigenen Netze kompromittiert wurden. Die Changi Airport Group, Betreiberin des Flughafens Singapur-Changi, erklärte gegenüber BleepingComputer, sie habe den Fall untersucht, wollte sich aber nicht äußern.
Offen bleibt, ob die Datenbank vor der Absicherung heruntergeladen, verkauft, erpresst oder anderweitig missbraucht wurde. Kinryū Labs fand weder Erpresserschreiben noch unbekannte Indizes auf dem Cluster und konnte den Datensatz nicht in Verkaufsangeboten im Netz nachweisen. Ohne Zugriff auf Server-Protokolle ließ sich jedoch nicht abschließend klären, ob jemand die Daten kopiert hat. Weitere technische Details will Kinryū Labs noch in dieser Woche im eigenen Blog veröffentlichen.