Daftar Isi
Jakarta, CNBC Indonesia – Sistem Informasi Penumpang Lanjutan (Advance Passenger Information System/APIS) yang memuat lebih dari 220 juta catatan data penumpang dan awak pesawat, dilaporkan bocor secara online akibat serangkaian celah keamanan. Berdasarkan penelusuran para peneliti, sistem ini diduga kuat terhubung dengan salah satu organisasi di Vietnam, dikutip dari BleepingComputer, Selasa (8/9/2026).
APIS sendiri merupakan sistem standar global yang digunakan oleh berbagai negara untuk mengumpulkan data identitas, paspor, dan perincian penerbangan dari maskapai sebelum penumpang maupun kru mendarat atau lepas landas.
Data yang terekspos ini mencakup rentang waktu yang sangat panjang, yakni dari Januari 2017 hingga April 2026, dan berpotensi menyeret pelancong lintas kewarganegaraan yang terbang menuju, keluar, atau sekadar transit di Vietnam selama periode tersebut.
9 Tahun Data Penumpang Nyaris Tanpa Proteksi
Temuan ini bermula pada 3 Juni lalu, ketika firma keamanan siber Kinryū Labs mendapati adanya klaster Elasticsearch yang terbuka saat tengah memindai basis data bocor terkait aktivitas ransomware.
Klaster yang diberi label ‘pax-info’ itu membongkar 29 indeks dengan ukuran data mencapai 107 GB. Dua indeks utamanya menyimpan beban berat: 210.318.069 catatan penumpang dan 10.465.631 catatan awak kabin, dengan akumulasi total menyentuh 220.783.700 entri.
Berdasarkan analisis Kinryū Labs, klaster tersebut di-host di dalam ruang IP milik Viettel di Hanoi. Meski demikian, media teknologi BleepingComputer belum dapat mengonfirmasi entitas atau instansi Vietnam mana yang memegang kendali atas sistem itu.
Adapun perincian informasi yang terekspos tergolong sangat sensitif. Data tersebut meliputi:
-
Nama lengkap penumpang dan kru
-
Tanggal lahir, jenis kelamin, serta kewarganegaraan
-
Nomor paspor atau dokumen perjalanan, tanggal kedaluwarsa, dan negara penerbit
-
Detail penerbangan (nomor penerbangan, tanggal, maskapai, bandara asal, tujuan, hingga titik transit)
-
Informasi kursi, referensi bagasi, serta estimasi waktu keberangkatan hingga kedatangan aktual
Sampel data yang ditinjau menunjukkan sejumlah pelancong asal Korea Selatan, China, Kanada, dan Selandia Baru turut terseret. Walau perincian demografi secara utuh belum terkalkulasi, cakupan data melintasi banyak maskapai internasional dari kawasan Asia-Pasifik, Eropa, hingga Timur Tengah.
Artinya, siapa pun yang pernah singgah atau melintasi langit Vietnam dalam kurun waktu sembilan tahun terakhir berisiko datanya tersimpan di sana.
Kinryū Labs memastikan keaslian data tersebut dengan mencocokkannya langsung dengan riwayat perjalanan para penelitinya ke Vietnam. Perlu dicatat, angka 220 juta tersebut merepresentasikan total catatan perjalanan (travel records), bukan jumlah individu unik. Artinya, penumpang yang sering terbang akan tercatat berkali-kali di dalam basis data.
Celah Berantai Jadi Pintu Masuk
Akses ke basis data jumbo ini mulanya dilindungi oleh sistem standar internet. Saat diakses dari jaringan publik, titik akhir (endpoint) sistem merespons dengan kode HTTP 401 Unauthorized, yang menandakan akses langsung diblokir.
Namun, celah terbuka melalui jalur berbasis cloud yang memungkinkan peneliti menembus klaster menggunakan kredensial bawaan (default credentials).
Platform intelijen internet FOFA sebenarnya sudah mendeteksi keberadaan host dan port tersebut sejak Oktober 2022, bahkan mengklasifikasikannya sebagai basis data pada Juli 2023. Kendati demikian, belum diketahui secara pasti kapan data penumpang mulai bisa disedot melalui jalur akses kedua tersebut. Durasi pasti dari kebocoran data ini pun masih misterius.
Respons Cepat dan Langkah Mitigasi
Begitu temuan ini terungkap pada 3 Juni, Kinryū Labs langsung melayangkan laporan darurat kepada otoritas Vietnam, maskapai terkait, serta tim tanggap darurat siber nasional. Hasilnya, akses ke basis data tersebut berhasil ditutup dan diamankan pada 8 Juni.
Koordinasi lintas sektor turut melibatkan maskapai besar. Singapore Airlines, melalui tim keamanannya, mengonfirmasi telah bergerak cepat menggandeng pihak terkait untuk menambal celah tersebut per 8 Juni. Sejumlah maskapai lain juga teridentifikasi dalam sampel data, meski dipastikan bahwa infrastruktur internal maskapai maupun bandara tidak mengalami peretasan (compromised).
Changi Airport Group di Singapura menyatakan telah menyelidiki insiden ini namun memilih bungkam saat dimintai keterangan lanjutan. Hingga berita ini diturunkan, pihak berwenang Vietnam juga belum memberikan respons resmi.
Hingga kini, belum ada kepastian apakah data tersebut sempat diunduh, diperjualbelikan, atau disalahgunakan oleh pihak ketiga sebelum akhirnya dikunci. Kinryū Labs mengaku tidak menemukan jejak tebusan (ransom notes) maupun indikasi eksploitasi masif, meski ketiadaan server logs membuat mereka tidak bisa seratus persen memastikan apakah data tersebut sudah berpindah tangan.
(fab/fab)
Leave a comment