Keine Authentifizierung erforderlich

Kampagnenstatistiken

Zwei gleichzeitige OSINT-Vorgänge – Crystal Vault (bundesstaatliche API-Aufzählung) und a .git-Belichtungskampagne – gegen mexikanische Regierungs-, Hochschul-, Medien- und staatliche Infrastruktur ergaben die folgenden aggregierten Ergebnisse.

Ein Curl-Befehl

Es begann mit einer einzigen Zeile in einem Terminal.

curl -s https://repodatos.atdt.gob.mx/api_update/

Die Antwort war kein Fehler. Es war keine Anmeldeseite. Es war ein Verzeichnisliste von 177 Bundesbehörden – alle Datensätze, die von allen Ministerien, Regulierungsbehörden und öffentlichen Einrichtungen veröffentlicht werden, die mit Mexikos nationaler Open-Data-Plattform verbunden sind.

ATDT - Die Agentur für digitale Transformation und Telekommunikation (Agentur für digitale Transformation und Telekommunikation) – ist der zentralisierte Technologiezweig der mexikanischen Regierung. Es verwaltet das Datenarchiv des Bundes unter repodatos.atdt.gob.mx, eine Plattform zur Aggregation und Verteilung von Datensätzen aus der gesamten Exekutive. Der API war live. Die Endpunkte wurden indiziert. Es gab keine Authentifizierung, keine Ratenbegrenzung, keine Zugangskontrollen jeglicher Art.

Jeder Agenturordner enthielt strukturierte Metadaten, direkte Links zu CSV-Dateien und in vielen Fällen vollständige API Karten, die jeden verfügbaren Endpunkt und Parameter beschreiben. Was eine kontrollierte Datenverteilungsplattform sein sollte, war in der Praxis ein offener Aktenschrank mit entferntem Schloss.

Es waren keine Anmeldeinformationen erforderlich. Es wurden keine Exploits eingesetzt. Es wurden keine Nutzungsbedingungen umgangen. Das API war absichtlich – oder fahrlässig – öffentlich. Das Ergebnis war das gleiche.

Ziele gefährdet

Sieben Ziele in den Bereichen Bundesregierung, Landesregierung, Wissenschaft, Wahlen und Medien wurden über zwei Vektoren kompromittiert: nicht authentifizierter API-Zugriff und Offenlegung .git/ Verzeichnisse auf Produktionsservern.

Kritische PII Datensätze

Der Bund API bei repodatos.atdt.gob.mx stellte Datensätze bereit, die persönlich identifizierbare Informationen für schätzungsweise mehr als 186 Millionen Datensätze enthielten. Die folgenden Datensätze stellen die empfindlichsten Expositionen dar, geordnet nach Schweregrad.

SAT – 464.153 Steuerzahler

Der Servicio de Administración Tributaria (SAT) – Mexikos Steuerbehörde – war die größte Einzelquelle für personenbezogene Daten in der Sammlung. Insgesamt fünf Datensätze 69 MB Strukturierter Daten haben die Steuerunterlagen von fast einer halben Million Einzelpersonen und Organisationen offengelegt.

464.153 Steuerzahler. Namen, Steuernummern, Adressen, Telefonnummern. Wird als flache CSV-Datei von einem nicht authentifizierten API bereitgestellt. Ein Curl-Befehl pro Datei.

Offenlegung der Gehaltsabrechnung der UAEM

Die .git-Exposition bei uaem.mx (Universidad Autónoma del Estado de Morelos) hat 11.605 Dateien mit insgesamt 960 MB Produktionsquellcode wiederhergestellt, einschließlich Studentendatenbanken, Mitarbeiterverzeichnissen usw vollständige Lohn- und Gehaltsabrechnungsdaten. Aus den Gehaltsabrechnungsakten geht eine zweiwöchentliche Vergütung von insgesamt über 60 Millionen MXN pro Periode hervor (Daten von 2019).

Weiteres von UAEM wiederhergestelltes Material umfasst: Studentendatenbank PII (SOLICITUD_CONSTANCIAS Tabelle mit vollständigen Namen, E-Mail-Adressen, Studentenausweisen, Noten und Hauptfächern), Personalverzeichnisse, IT-Telefonverzeichnis, Zahlungsabwicklungssystem, elektronisches Abstimmungssystem, Berufslizenzsystem, System zur Abschlussgenerierung und vollständige Apache-Konfiguration mit Routing-Regeln. Der alleinige Entwickler – Rafael Fragoso ([email protected], GitHub: norgoth) – hatte Root-Zugriff und wurde direkt in der Produktion bereitgestellt.

SFP – 809 sanktionierte Beamte

Der Secretaría de la Función Pública (SFP) – Mexikos Ministerium für öffentliche Verwaltung – führt das offizielle Register der sanktionierten Regierungsbeamten. Der über ATDT verfügbar gemachte Datensatz enthielt 809 Datensätze von Bundesangestellten, die offiziell wegen Korruption, Fehlverhalten oder Verwaltungsverstößen bestraft wurden.

Jede Aufzeichnung enthielt den vollständigen Namen des Beamten, die Dienststelle, der er angehörte, die Art der verhängten Sanktion und die Dauer seines Ausschlusses aus dem öffentlichen Dienst. Die Sanktionen reichten von vorübergehenden Suspendierungen bis hin zu dauerhaften Verboten von der Beschäftigung im öffentlichen Dienst.

Unter den Namen: Emilio Lozoya Austin, ehemaliger CEO von PEMEX (Petróleos Mexicanos), Mexikos staatliche Ölgesellschaft. Lozoya stand im Mittelpunkt Odebrecht-Skandal – eine kontinentale Bestechungsaktion, bei der der brasilianische Baukonzern bezahlte Bestechungsgelder in Höhe von 10,5 Millionen US-Dollar um Verträge mit PEMEX abzuschließen. Lozoya wurde 2020 in Spanien festgenommen, an Mexiko ausgeliefert und wurde zu einem kooperativen Zeugen, dessen Aussage ehemalige Präsidenten und hochrangige Beamte betraf.

Bei der SFP-Sanktionsliste handelt es sich im Wesentlichen um ein öffentliches Register aller Bundesbeamten, die von der mexikanischen Regierung offiziell als korrupt eingestuft wurden. Dass es ohne Authentifizierung von einem offenen API bereitgestellt wurde, stimmt mit dem Muster auf der gesamten ATDT-Plattform überein: Daten, die echte Konsequenzen für echte Menschen haben, werden behandelt, als wäre es ein Wetter-Feed.

INDAABIN – 1.396 Bundesnotare

Der Instituto de Administración y Avalúos de Bienes Nacionales (INDAABIN) – das für die nationale Immobilienbewertung und -verwaltung zuständige Bundesinstitut – steuerte einen der ungewöhnlicheren Datensätze in der Sammlung bei: den vollständiges Verzeichnis von 1.396 Bundesnotaren.

Jeder Eintrag enthielt den vollständigen Firmennamen, die Lizenznummer, die Büroadresse und den Gerichtsstand des Notars. Bundesnotare in Mexiko sind wichtige Akteure bei Immobilientransaktionen, Unternehmensgründungen und rechtlichen Zertifizierungen. Ihre Identitäten und Standorte werden in diesem Detaillierungsgrad nicht öffentlich bekannt gegeben – oder das sollte auch nicht der Fall sein.

Durch die Offenlegung eines vollständigen Notarregisters entsteht ein spezifisches Risikoprofil. Notare sind das Ziel von Nötigung durch organisierte Kriminalitätsgruppen, die den Erwerb von Immobilien legitimieren, Unternehmensdokumente fälschen oder Geld durch Immobilien waschen wollen. Eine Massenliste aller Bundesnotare, ihrer Büroadressen und Lizenznummern stellt nicht nur eine administrative Unannehmlichkeit dar – sie ist auch ein Leitfaden für alle, die das mexikanische Notarsystem gefährden wollen.

Git-Exposure-Kampagne

Eine parallele .git-Exposure-Kampagne wurde wiederhergestellt 17 Live-Ausweissätze aus 6 mexikanischen Domänen, freigelegt Über 37 Entwickleridentitäten, und erholte sich fast 1 GB Produktionsquellcode von einer großen öffentlichen Universität. Sieben Git-Repositorys wurden in GitHub, GitLab, Bitbucket und internen Gitea-Instanzen entdeckt.

Die Berechtigungsnachweise umfassen ein staatliches Wahlinstitut (Wahlinfrastruktur), ein staatliches Gesundheitsamt, eine große Universität mit Studenten PII und eine große Zeitung. Es wurden drei externe IPs mit anschließbaren Datenbankdiensten identifiziert: 104.45.237.221 (Azure, IEEQ), 187.191.76.50 (IEEQ-Kommunikation) und 52.117.172.166 (IBM Cloud, El Siglo). Alle Anmeldeinformationen wurden im festgeschriebenen Quellcode gefunden, was auf ein systematisches Versäumnis bei der Verwendung von Umgebungsvariablen oder der Geheimhaltungsverwaltung in mexikanischen Institutionen hinweist.

Die Staatsanwaltschaft des Staates Durango (fiscalia.durango.gob.mx) führt eine einzelne WordPress-Installationsbereitstellung aus 24 Websites staatlicher Behörden einschließlich Fiscalia, DIF, Bildung, Gesundheit, öffentliche Sicherheit, Katastrophenschutz und SIPINNA (Kinderfürsorge). Es läuft mit RevSlider CVE-2022-0441 (CVSS 9.8, Authentifizierungsumgehung) und CVE-2014-9734 (Dateieinbindung). Es sind keine Sicherheits-Plugins installiert. XML-RPC ist aktiviert.

Rohdaten und Downloads

Alle gesammelten Daten wurden archiviert und stehen Forschern, Journalisten und Organisationen der Zivilgesellschaft über den Datenserver von ODINT zur Verfügung.