Uma enorme exposição de dados no provedor mexicano de documentos eletrônicos EDX Solutions deixou cerca de 30 milhões de registros sensíveis acessíveis online, com informações ligadas às operações da PepsiCo na América Latina representando grande parte do material exposto.
O incidente envolveu um banco de dados MongoDB não seguro descoberto no início de julho. Pesquisadores encontraram 48 bancos de dados contendo aproximadamente 292GB de informações pertencentes à EDX e a organizações que utilizam seus serviços de gerenciamento documental. O banco de dados era acessível sem as proteções necessárias para impedir que terceiros acessassem seu conteúdo.
As operações da PepsiCo na Colômbia parecem ter sido as mais expostas. Mais de 221GB dos dados totais estavam associados à Colômbia, incluindo um banco de dados contendo mais de 11 milhões de registros de transações de faturas. Pesquisadores também encontraram documentos completos de fatura, identificadores, carimbos de data, informações de configuração e pelo menos um registro contendo credenciais de texto simples para uma API interna.
A exposição se estendeu muito além da Colômbia. Mais de 42GB de informações foram associadas ao Peru, incluindo registros ligados à PepsiCo Peru e à empresa de materiais de construção Holcim. Dados conectados a organizações na República Dominicana, El Salvador, Costa Rica e Equador também foram identificados.
As informações expostas variavam entre bancos de dados, mas incluíam faturas, documentos fiscais, informações de fornecedores, detalhes de contas de funcionários, endereços de e-mail e dados de autenticação. Os pesquisadores também descobriram credenciais de API, tokens, códigos de recuperação, informações de certificados digitais e arquivos internos.
Esses registros podem fornecer material útil para golpes empresariais altamente convincentes. Faturas detalhadas e relacionamentos com fornecedores podem ajudar criminosos a se passar por empresas confiáveis, redirecionar pagamentos ou criar solicitações fraudulentas que se assemelhem a transações legítimas. Credenciais expostas e informações de autenticação podem potencialmente criar riscos adicionais se continuarem válidas.
As conclusões não estabelecem que a própria infraestrutura da PepsiCo foi diretamente comprometida. Em vez disso, os dados foram expostos por meio da EDX Solutions, demonstrando como informações confiadas a um provedor externo de serviços podem criar riscos de segurança para múltiplas organizações clientes ao mesmo tempo.
Pesquisadores descobriram o banco de dados em 2 de julho e entraram em contato com a EDX Solutions cinco dias depois. Eles receberam uma resposta inicial da empresa, mas a comunicação teria sido interrompida posteriormente. A equipe nacional de resposta a emergências informáticas do México foi contatada sobre a exposição em agosto.
Atualmente não está claro por quanto tempo a instância do MongoDB permaneceu publicamente acessível ou se partes não autorizadas baixaram as informações antes que os pesquisadores as descobrissem. A EDX Solutions e a PepsiCo não haviam fornecido uma explicação pública do incidente quando os resultados foram publicados, deixando o impacto total da exposição sem resolução.