Estadísticas de campaña
Un único barrido de reconocimiento pasivo contra el patrimonio web del gobierno de Haití (ministerios, organismos de supervisión financiera, el aparato de seguridad y subdominios descubiertos con transparencia de certificados) produjo los siguientes resultados agregados. Cada solicitud era un HTTPGETno autenticado. No se utilizaron credenciales. No se vulneró ningún sistema.
Comenzó con una lista de directorio
No hubo ninguna hazaña. Había una URL.
curl -s https://civitax.gouv.ht/civitax.gouv.htes la aplicación de administración tributaria municipal de Haití: el sistema que maneja los registros del censo de propiedades (Recensement) y de facturación de impuestos (Bordereau) para los ciudadanos. El servidor no devolvió un muro de inicio de sesión. Devolvió una lista completa del directoriode toda la aplicación: archivos fuente, páginas de informes, módulos de estadísticas, páginas de administración de seguridad (Edit_User,GroupRights) y archivos descargables.rarde los módulos Recensement y Bordereau.
La aplicación ejecutaTelerik UIv2013.3.1015.40, una pila de componentes vulnerable aCVE-2017-9248(debilidad criptográfica) yCVE-2019-18935(ejecución remota de código no autenticado). El punto final TelerikDialogHandler.aspxrespondió con200 OK. Existía el controlador IIStrace.axd. Lo que se suponía que era un sistema fiscal gubernamental controlado era, en la práctica, un archivador abierto con el cajón ya abierto.
No se requirió autenticación. No se implementó ningún exploit. El índice del directorio era público por configuración... o por negligencia. Desde el punto de vista del ciudadano, la diferencia no importa.
Objetivos evaluados
La investigación barrió el patrimonio del gobierno de Haití en capas: 13 dominios ministeriales, 15 agencias financieras y de supervisión, 9 dominios militares y de seguridad, 13 subdominios de transparencia de certificados nunca antes evaluados y 20 objetivos de correo cPanel/descubrimiento automático. Los hallazgos a continuación son los que importan.
cashads.smocup.site, no apnh.gouv.ht. Un dominio nacional de aplicación de la ley ha sido silenciosamente reutilizado para el fraude.15.1.2507.61, IIS/10.0) frente al correo electrónico de la Aduana de Haití. Descubrimiento automático accesible. De todos los dominios investigados, sólo la Aduana publica una política de rechazo DMARC; el resto no aplica nada.200con una superficie enumerable. Uno de los seis dominios ministeriales vivos de los trece investigados; los otros siete no se resuelven en absoluto en DNS público.3.233 ciudadanos en una hoja de cálculo
El artefacto más dañino no fue una base de datos. Era un archivo público en el sitio de Aduanas:DOUANE-GOUV/downloads/Liste-des-candidats-retenus.xlsx: la lista completa de3.233 candidatos retenidos para el examende la Aduana de Haití (AGD), cada fila con datos personales completos.
Code | Last Name | First Name | Sex | Phone | Department
OE12AG7570 | Abdon | Gerald | M | (+509) 5544-6924 | OUEST
OE12AO1940 | Abel | Osmane | M | (+509) 4019-1719 | OUEST
ND18AC1872 | ABEL | CAMY | M | (+509) 3259-5650 | NORD_ESTExiste un gemelo redactado (Liste-des-candidats-retenus-no_phone.xlsx) en el mismo servidor, lo que demuestra que el editor sabía que los números de teléfono eran confidenciales y luego publicó la versión que los contenía de todos modos.
En todo el corpus de documentos más amplio, ODINT analizó227 documentosyescaneadas con EXIF 1.365 imágenesrecuperadas de puntos finales del gobierno público. El rendimiento agregado: 59 direcciones de correo electrónico únicas, miles de números de teléfono, identificadores fiscales NIF, personas identificadas, archivos PDF de presupuesto y leyes financieras, y datos operativos de Aduanas (tablas de códigos de contenedores, puertos y almacenes de SYDONIA, incluida una referencia de puertos internacionales de 895 filas). Se enumeraron dieciocho usuarios, autores y comentaristas de WordPress en el banco central (brh.ht), la dirección fiscal (dgi.gouv.ht, donde se registra una cuenta personal de Gmail como autor) y otras agencias, cada una con su hash público de Gravatar.
Un estado en hosting compartido
El hallazgo estructural no es una vulnerabilidad única: es la arquitectura. El gobierno de Haití utiliza hosting compartido. ODINT tomó huellas dactilares de los sitios de ministerio y supervisión enBluehost,SiteGroundyHostingercompartieron planes, varios de los cuales filtraron su origen de alojamiento a través de encabezados de host codificados en base64. WordPress 6.9.1 se repite en agencias no relacionadas, lo que sugiere un mantenedor o plantilla compartido. Del patrimonio financiero y de supervisión, 10 de 15 dominios estaban activos (cinco WordPress, dos Laravel, un October CMS, un IIS/ASP.NET con divulgación detallada de la ruta de error). De nueve dominios militares y de seguridad, siete no existen en el DNS público; el perímetro de seguridad digital del estado haitiano está, en gran parte, simplemente ausente.
Cuando un dominio de la policía nacional puede ser redirigido silenciosamente a una plataforma de fraude y nadie se da cuenta, el problema no es que falte un parche. El problema es que nadie tiene las llaves.
Datos sin procesar y descargas
Toda la evidencia recopilada ha sido archivada y está disponible para investigadores, periodistas y organizaciones de la sociedad civil a través del servidor de datos de ODINT. El archivo publicado contiene las capturas por agencia y los informes de reconocimiento analítico; las herramientas de enumeración utilizadas para recopilarlo se retienen intencionalmente.
Descargo de responsabilidad de OSINT
Este informe se basa íntegramente en inteligencia de código abierto (OSINT). No se accedió a información clasificada. No se utilizaron fuentes confidenciales. No se vulneró ningún sistema. No se eludió ningún mecanismo de autenticación. Todos los datos a los que se hace referencia en esta investigación estaban disponibles públicamente y se entregaron sin controles de acceso en el momento de su recopilación.
Cada punto final descrito aquí respondió a solicitudes HTTPGETno autenticadas. No se requirieron ni utilizaron contraseñas, tokens ni credenciales de ningún tipo. Las herramientas de enumeración utilizadas para recopilar esta evidencia se han retenido del archivo público; sólo se publican el material capturado y los informes analíticos.