Een enorme datablootstelling bij de Mexicaanse elektronische documentenleverancier EDX Solutions heeft naar schatting 30 miljoen gevoelige gegevens online toegankelijk gemaakt, waarbij informatie die verband houdt met PepsiCo-activiteiten in Latijns-Amerika voor een groot deel van het blootgestelde materiaal zorgt.
Het incident betrof een onbeveiligde MongoDB-database die begin juli werd ontdekt. Onderzoekers vonden 48 databases met ongeveer 292GB aan informatie die toebehoorde aan EDX en organisaties die hun documentbeheerdiensten gebruikten. De database was toegankelijk zonder de benodigde beschermingen om te voorkomen dat buitenstaanders toegang tot de inhoud hadden.
De Colombiaanse activiteiten van PepsiCo lijken het meest blootgesteld te zijn geweest. Meer dan 221GB van de totale data was verbonden aan Colombia, inclusief een database met meer dan 11 miljoen factuurtransactiegegevens. Onderzoekers vonden ook volledige facturatiedocumenten, identificaties, tijdstempels, configuratie-informatie en ten minste één record met platte tekstgegevens voor een interne API.
De blootstelling reikte ver buiten Colombia. Meer dan 42GB aan informatie was geassocieerd met Peru, waaronder gegevens die gekoppeld waren aan PepsiCo Peru en bouwmaterialenbedrijf Holcim. Gegevens die gekoppeld waren aan organisaties in de Dominicaanse Republiek, El Salvador, Costa Rica en Ecuador werden ook geïdentificeerd.
De blootgestelde informatie varieerde per database, maar omvatte facturen, belastinggerelateerde documenten, leveranciersinformatie, personeelsgegevens, e-mailadressen en authenticatiegegevens. Onderzoekers ontdekten ook API-inloggegevens, tokens, herstelcodes, digitale certificaatinformatie en interne bestanden.
Dergelijke gegevens kunnen nuttig materiaal bieden voor zeer overtuigende zakelijke oplichting. Gedetailleerde facturen en leveranciersrelaties kunnen criminelen helpen zich voor te doen als vertrouwde bedrijven, betalingen om te leiden of frauduleuze verzoeken te maken die sterk lijken op legitieme transacties. Blootgestelde inloggegevens en authenticatiegegevens kunnen mogelijk extra risico’s opleveren als ze geldig blijven.
De bevindingen tonen niet aan dat de eigen infrastructuur van PepsiCo direct is gecompromitteerd. In plaats daarvan werd de data blootgesteld via EDX Solutions, waarmee wordt aangetoond hoe informatie die aan een externe dienstverlener wordt toevertrouwd, beveiligingsrisico’s kan vormen voor meerdere klantorganisaties tegelijk.
Onderzoekers ontdekten de database op 2 juli en namen vijf dagen later contact op met EDX Solutions. Ze ontvingen een eerste reactie van het bedrijf, maar de communicatie stopte naar verluidt daarna. Het nationale computernoodteam van Mexico werd in augustus benaderd over de blootstelling.
Het is momenteel niet duidelijk hoe lang de MongoDB-instantie openbaar toegankelijk bleef of of ongeautoriseerde partijen de informatie hebben gedownload voordat onderzoekers deze ontdekten. EDX Solutions en PepsiCo hadden bij publicatie geen publieke uitleg van het incident gegeven, waardoor de volledige impact van de blootstelling onopgelost bleef.