Una massiccia esposizione di dati presso il fornitore messicano di documenti elettronici EDX Solutions ha lasciato accessibili online circa 30 milioni di record sensibili, con informazioni collegate alle operazioni di PepsiCo in tutta l’America Latina che rappresentano gran parte del materiale esposto.
L’incidente ha coinvolto un database MongoDB non sicuro scoperto all’inizio di luglio. I ricercatori hanno trovato 48 database contenenti circa 292GB di informazioni appartenenti a EDX e organizzazioni che utilizzano i suoi servizi di gestione documentale. Il database era accessibile senza le protezioni necessarie per impedire a estranei di accedere ai suoi contenuti.
Le operazioni colombiane di PepsiCo sembrano essere state le più esposte. Più di 221GB dei dati complessivi erano associati alla Colombia, incluso un database contenente oltre 11 milioni di registrazioni di transazioni di fattura. I ricercatori hanno inoltre trovato documenti completi di fattura, identificatori, timestamp, informazioni di configurazione e almeno un record contenente credenziali in testo semplice per un’API interna.
L’esposizione si è estesa ben oltre la Colombia. Oltre 42GB di informazioni erano associate al Perù, inclusi documenti collegati a PepsiCo Peru e alla società di materiali da costruzione Holcim. Sono stati inoltre identificati dati collegati a organizzazioni della Repubblica Dominicana, El Salvador, Costa Rica ed Ecuador.
Le informazioni esposte variavano tra i database ma includevano fatture, documenti fiscali, informazioni sui fornitori, dettagli degli account dei dipendenti, indirizzi email e dati di autenticazione. I ricercatori hanno inoltre scoperto credenziali API, token, codici di recupero, informazioni sui certificati digitali e file interni.
Tali registri potrebbero fornire materiale utile per truffe aziendali altamente convincenti. Fatture dettagliate e rapporti con i fornitori potrebbero aiutare i criminali a impersonare aziende affidabili, reindirizzare pagamenti o creare richieste fraudolente che assomigliano molto a transazioni legittime. Credenziali e informazioni di autenticazione esposte potrebbero creare rischi aggiuntivi se rimangono valide.
I risultati non dimostrano che l’infrastruttura di PepsiCo sia stata direttamente compromessa. Al contrario, i dati sono stati esposti tramite EDX Solutions, dimostrando come le informazioni affidate a un fornitore di servizi esterni possano creare rischi di sicurezza per più organizzazioni clienti contemporaneamente.
I ricercatori hanno scoperto il database il 2 luglio e hanno contattato EDX Solutions cinque giorni dopo. Hanno ricevuto una risposta iniziale dall’azienda, ma la comunicazione si è interrotta successivamente. La squadra nazionale di risposta alle emergenze informatiche del Messico è stata contattata riguardo all’esposizione in agosto.
Attualmente non è chiaro per quanto tempo l’istanza di MongoDB sia rimasta pubblicamente accessibile o se parti non autorizzate abbiano scaricato le informazioni prima che i ricercatori le scoprissero. EDX Solutions e PepsiCo non avevano fornito una spiegazione pubblica dell’incidente quando i risultati furono pubblicati, lasciando irrisolto l’impatto completo dell’esposizione.