Meksikalı elektronik belge sağlayıcısı EDX Solutions’da gerçekleşen büyük bir veri açığlığı, tahmini 30 milyon hassas kaydı çevrimiçi erişilebilir bıraktı; Latin Amerika genelindeki PepsiCo operasyonlarıyla bağlantılı bilgiler, açığa çıkan materyallerin büyük kısmını oluşturuyor.
Olay, Temmuz başında keşfedilen güvensiz bir MongoDB veritabanını içeriyordu. Araştırmacılar, EDX ve onun belge yönetim hizmetlerini kullanan kuruluşlara ait yaklaşık 292GB bilgi içeren 48 veritabanı buldu. Veritabanı, dışarıdan gelenlerin içeriğine ulaşmasını engelleyecek korumalar olmadan erişilebilirdi.
PepsiCo’nun Kolombiya’daki operasyonları en çok maruz kalan gibi görünüyor. Genel verinin 221GB’dan fazlası Kolombiya ile ilişkilendirilmişti; bunlar arasında 11 milyondan fazla fatura işlem kaydı içeren bir veritabanı da var. Araştırmacılar ayrıca tam fatura belgeleri, tanımlayıcılar, zaman damgaları, yapılandırma bilgileri ve dahili API için açık metin kimlik bilgilerini içeren en az bir kayıt buldular.
Bu maruziyet Kolombiya’nın çok ötesine uzandı. PepsiCo Peru ve yapı malzemeleri şirketi Holcim ile bağlantılı kayıtlar da dahil olmak üzere 42GB’dan fazla bilgi Peru ile ilişkilendirildi. Dominik Cumhuriyeti, El Salvador, Kosta Rika ve Ekvador’daki kuruluşlarla bağlantılı veriler de tespit edildi.
Ortaya çıkan bilgiler veritabanları arasında değişiklik gösterdi ancak faturalar, vergiyle ilgili belgeler, tedarikçi bilgileri, çalışan hesap bilgileri, e-posta adresleri ve kimlik doğrulama verileri içeriyordu. Araştırmacılar ayrıca API kimlik bilgileri, tokenlar, kurtarma kodları, dijital sertifika bilgileri ve dahili dosyalar keşfetti.
Bu tür kayıtlar, son derece ikna edici iş dolandırıcılıkları için faydalı materyal sağlayabilir. Detaylı faturalar ve tedarikçi ilişkileri, suçluların güvenilir şirketler kimliğini taklit etmelerine, ödemeleri yönlendirmesine veya meşru işlemlere çok benzeyen sahte talepler oluşturmasına yardımcı olabilir. Açıkta kalan kimlik bilgileri ve kimlik doğrulama bilgileri, geçerli kalırsa ek riskler yaratabilir.
Bulgular, PepsiCo’nun kendi altyapısının doğrudan tehlikede olduğunu kanıtlamamaktadır. Bunun yerine, veriler EDX Solutions aracılığıyla ortaya çıkarıldı ve bu da harici bir hizmet sağlayıcıya emanet edilen bilgilerin birden fazla müşteri kuruluşu için aynı anda güvenlik riskleri yaratabileceğini gösterdi.
Araştırmacılar veritabanını 2 Temmuz’da keşfetti ve beş gün sonra EDX Solutions ile iletişime geçti. Şirketten ilk yanıt aldılar ancak iletişimin sonrasında kesildiği bildirildi. Meksika’nın ulusal bilgisayar acil müdahale ekibiyle Ağustos ayında bu maruziyet hakkında iletişime geçildi.
MongoDB örneğinin ne kadar süre kamuya açık kaldığı veya yetkisiz tarafların bilgiyi araştırmacılar keşfetmeden önce indirip indirmediği şu anda net değil. EDX Solutions ve PepsiCo, bulgular yayımlandığında olayla ilgili kamuoyuna açıklama yapmamıştı, bu da maruziyetin tam etkisini çözmemiş bıraktı.