220 Juta Data Penumpang Pesawat Bocor, Pelancong ke Vietnam Berisiko

Harianjogja.com, JOGJA—Dunia penerbangan internasional kembali dihadapkan pada insiden keamanan siber berskala besar. Sebanyak lebih dari 220 juta catatan penumpang dan awak pesawat dilaporkan terekspos secara online setelah sebuah sistem Advance Passenger Information System (APIS) ditemukan memiliki celah keamanan yang memungkinkan akses tidak sah ke basis data berukuran raksasa.

Laporan ini pertama kali diungkap oleh firma keamanan siber Kinryū Labs yang menemukan klaster basis data terbuka saat melakukan pemindaian terhadap infrastruktur digital yang berkaitan dengan aktivitas ransomware. Temuan tersebut kemudian dilaporkan oleh media teknologi BleepingComputer pada Selasa (8/9/2026).

APIS merupakan sistem yang digunakan banyak negara untuk mengumpulkan informasi penumpang dan awak pesawat sebelum penerbangan tiba maupun berangkat. Sistem ini biasanya memuat identitas pribadi, informasi paspor, hingga rincian perjalanan yang diperlukan otoritas imigrasi dan keamanan perbatasan.

Menurut hasil investigasi, data yang terekspos mencakup periode sangat panjang, mulai Januari 2017 hingga April 2026. Rentang waktu tersebut membuat kebocoran ini berpotensi berdampak pada jutaan pelancong internasional yang pernah masuk, keluar, atau transit melalui Vietnam selama hampir sembilan tahun terakhir.

Kinryū Labs menemukan sebuah klaster Elasticsearch berlabel “pax-info” yang menyimpan 29 indeks data dengan ukuran mencapai 107 gigabyte. Dari total tersebut, dua indeks utama berisi sekitar 210,3 juta catatan penumpang dan lebih dari 10,4 juta catatan awak pesawat.

Secara keseluruhan, jumlah data yang ditemukan mencapai sekitar 220,7 juta catatan perjalanan. Angka tersebut bukan menunjukkan jumlah individu unik karena satu orang dapat tercatat berkali-kali jika melakukan banyak perjalanan selama periode tersebut.

Informasi yang terekspos tergolong sangat sensitif. Data tersebut mencakup nama lengkap, tanggal lahir, jenis kelamin, kewarganegaraan, nomor paspor, tanggal kedaluwarsa dokumen perjalanan, serta negara penerbit paspor.

Selain itu, basis data juga memuat detail penerbangan seperti nomor penerbangan, tanggal keberangkatan, maskapai, bandara asal dan tujuan, titik transit, nomor kursi, referensi bagasi, hingga estimasi waktu keberangkatan dan kedatangan.

Sampel data yang dianalisis menunjukkan adanya catatan perjalanan milik penumpang dari berbagai negara, termasuk Korea Selatan, China, Kanada, dan Selandia Baru. Temuan tersebut mengindikasikan bahwa cakupan kebocoran melibatkan banyak maskapai internasional yang beroperasi di kawasan Asia-Pasifik, Eropa, maupun Timur Tengah.

Berdasarkan analisis teknis, klaster data tersebut diketahui di-host dalam ruang alamat IP yang terkait dengan Viettel di Hanoi, Vietnam. Meski demikian, hingga kini belum ada kepastian mengenai instansi atau organisasi yang mengoperasikan sistem tersebut.

Kinryū Labs menyebut akses awal ke sistem sebenarnya telah dilindungi dengan mekanisme keamanan standar yang menghasilkan respons HTTP 401 Unauthorized ketika diakses secara langsung dari internet. Namun, peneliti menemukan jalur alternatif melalui layanan berbasis cloud yang memungkinkan akses menggunakan kredensial bawaan atau default credentials.

Keberadaan host dan port yang digunakan sistem tersebut bahkan disebut telah terdeteksi oleh platform intelijen internet FOFA sejak Oktober 2022. Akan tetapi, belum diketahui kapan tepatnya data mulai dapat diakses melalui jalur tersebut dan berapa lama informasi sensitif itu berada dalam kondisi rentan.

Setelah menemukan celah tersebut pada 3 Juni, Kinryū Labs segera menghubungi otoritas Vietnam, maskapai terkait, serta tim tanggap darurat keamanan siber nasional. Upaya koordinasi tersebut membuahkan hasil dengan ditutupnya akses ke basis data pada 8 Juni.

Singapore Airlines termasuk salah satu pihak yang merespons temuan tersebut. Tim keamanan maskapai itu menyatakan telah berkoordinasi dengan pihak terkait untuk memastikan kerentanan segera ditangani. Sementara itu, sejumlah maskapai lain juga teridentifikasi dalam sampel data yang ditemukan peneliti.

Meski demikian, investigasi sejauh ini tidak menemukan indikasi bahwa sistem internal maskapai maupun bandara berhasil diretas. Kebocoran disebut berasal dari konfigurasi basis data yang tidak aman, bukan dari serangan langsung terhadap infrastruktur penerbangan.

Hingga saat ini, belum ada kepastian apakah data tersebut sempat diunduh, diperjualbelikan, atau dimanfaatkan pihak tidak bertanggung jawab sebelum akses ditutup. Kinryū Labs mengaku tidak menemukan jejak permintaan tebusan maupun tanda-tanda eksploitasi masif.

Namun, absennya log server membuat para peneliti tidak dapat memastikan secara mutlak apakah informasi pribadi jutaan pelancong tersebut benar-benar aman dari penyalahgunaan. Kondisi ini menjadikan kasus kebocoran APIS sebagai salah satu insiden keamanan data penerbangan terbesar yang terungkap sepanjang tahun 2026.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.