No se requiere autenticación

Estadísticas de campaña

Dos operaciones OSINT simultáneas: Crystal Vault (enumeración federal API) y una Campaña de exposición .git — contra la infraestructura gubernamental, académica, de medios y a nivel estatal de México produjo los siguientes resultados agregados.

Un comando de rizo

Comenzó con una sola línea en una terminal.

curl -s https://repodatos.atdt.gob.mx/api_update/

La respuesta no fue un error. No era una página de inicio de sesión. fue un listado de directorio de 177 agencias federales — cada conjunto de datos publicado por cada ministerio, regulador y organismo público conectado a la plataforma nacional de datos abiertos de México.

ATDT - el Agencia de Transformación Digital y Telecomunicaciones (Agencia para la Transformación Digital y las Telecomunicaciones) — es el brazo tecnológico centralizado del gobierno mexicano. Gestiona el depósito de datos federal en repodatos.atdt.gob.mx, una plataforma diseñada para agregar y distribuir conjuntos de datos de todo el poder ejecutivo. El API transmitió en vivo. Los puntos finales fueron indexados. No había autenticación, ni limitación de velocidad, ni controles de acceso de ningún tipo.

Cada carpeta de agencia contenía metadatos estructurados, enlaces directos a archivos CSV y, en muchos casos, mapas API completos que describían cada parámetro y punto final disponibles. Lo que se suponía que era una plataforma de distribución de datos controlada era, en la práctica, un archivador abierto al que se le había quitado la cerradura.

No se requirieron credenciales. No se utilizaron exploits. No se eludió ninguna condición de servicio. El API era público por diseño o por negligencia. El resultado fue el mismo.

Objetivos comprometidos

Siete objetivos en los sectores del gobierno federal, el gobierno estatal, el académico, el electoral y los medios de comunicación se vieron comprometidos a través de dos vectores: acceso no autenticado API y exposición .git/ directorios en servidores de producción.

Conjuntos de datos críticos PII

El API federal en repodatos.atdt.gob.mx sirvió conjuntos de datos que contienen información de identificación personal para aproximadamente 186 millones de registros. Los siguientes conjuntos de datos representan las exposiciones más sensibles, organizadas por gravedad.

SAT — 464,153 Contribuyentes

El Servicio de Administración Tributaria (SAT) —La autoridad tributaria de México—fue la fuente más grande de información de identificación personal en la colección. Cinco conjuntos de datos en total 69 megas de datos estructurados expusieron los registros fiscales de casi medio millón de personas y organizaciones.

464.153 contribuyentes. Nombres, números de identificación fiscal, direcciones, números de teléfono. Servido como CSV plano desde un API no autenticado. Un comando curl por archivo.

Exposición de nómina de la UAEM

La exposición .git en uaem.mx (Universidad Autónoma del Estado de Morelos) recuperó 11,605 archivos con un total de 960 MB de código fuente de producción, incluidas bases de datos de estudiantes PII, directorios de personal y datos completos de nómina. Los archivos de nómina revelan remuneraciones quincenales por un total de más de $60 millones de pesos por período (datos de 2019).

Material recuperado adicional de la UAEM incluye: base de datos de estudiantes PII (SOLICITUD_CONSTANCIAS tabla con nombres completos, correos electrónicos, identificaciones de estudiantes, calificaciones y especialidades), directorios de personal, directorio telefónico de TI, sistema de procesamiento de pagos, sistema de votación electrónica, sistema de licencia profesional, sistema de generación de títulos y configuración completa de Apache con reglas de enrutamiento. El único desarrollador: Rafael Fragoso ([email protected], GitHub: norgoth): tenía acceso de root y se implementó directamente en producción.

SFP — 809 funcionarios sancionados

El Secretaría de la Función Pública (SFP) — Secretaría de la Función Pública de México — mantiene el registro oficial de funcionarios gubernamentales sancionados. El conjunto de datos expuesto a través de ATDT contenía 809 registros de empleados federales que habían sido sancionados formalmente por corrupción, mala conducta o violaciones administrativas.

Cada registro incluía el nombre completo del funcionario, la agencia a la que prestaba servicios, el tipo de sanción impuesta y la duración de su inhabilitación para el servicio público. Las sanciones abarcaron desde suspensiones temporales hasta prohibiciones permanentes de empleo en el gobierno.

Entre los nombres: Emilio LozoyaAustin, ex director ejecutivo de PEMEX (Petróleos Mexicanos), la petrolera estatal de México. Lozoya estaba en el centro de la Escándalo Odebrecht — una operación de soborno a nivel continental en la que el conglomerado constructor brasileño pagó 10,5 millones de dólares en sobornos para conseguir contratos con PEMEX. Lozoya fue arrestado en España en 2020, extraditado a México y se convirtió en testigo cooperante cuyo testimonio implicó a expresidentes y altos funcionarios.

La lista de sanciones de la SFP es, en esencia, un registro público de todos los funcionarios federales que el gobierno mexicano ha declarado formalmente corruptos. El hecho de que se haya entregado sin autenticación desde un API abierto es consistente con el patrón en toda la plataforma ATDT: datos que conllevan consecuencias reales para personas reales, tratados como si fueran una fuente meteorológica.

INDAABIN — 1,396 Notarios Federales

El Instituto de Administración y Avalúos de Bienes Nacionales (INDAABIN) (el instituto federal responsable de la valoración y gestión nacional de propiedades) aportó uno de los conjuntos de datos más inusuales de la colección: el registro completo de 1,396 notarios federales.

Cada registro contenía el nombre legal completo del notario, el número de licencia, la dirección de la oficina y la jurisdicción. Los notarios federales en México son actores críticos en transacciones de propiedad, constituciones de empresas y certificaciones legales. Sus identidades y ubicaciones no se anuncian públicamente con este nivel de detalle, o no se suponía que lo hicieran.

La exposición de un registro notarial completo crea un perfil de riesgo específico. Los notarios son objeto de coerción por parte de grupos del crimen organizado que buscan legitimar adquisiciones de propiedades, falsificar documentos corporativos o lavar dinero a través de bienes raíces. Una lista masiva de todos los notarios federales, las direcciones de sus oficinas y los números de licencia no es simplemente un inconveniente administrativo: es un mapa operativo para cualquiera que busque comprometer el sistema notarial de México.

Campaña de exposición de Git

Se recupera una campaña de exposición paralela a .git 17 conjuntos de credenciales en vivo de 6 dominios mexicanos, expuestos Más de 37 identidades de desarrolladory recuperado casi 1 GB de código fuente de producción de una importante universidad pública. Se descubrieron siete repositorios de Git en GitHub, GitLab, Bitbucket e instancias internas de Gitea.

Los conjuntos de credenciales abarcan un instituto electoral estatal (infraestructura electoral), un departamento de salud estatal, una importante universidad con estudiantes PII y un periódico importante. Se identificaron tres IP externas con servicios de bases de datos conectables: 104.45.237.221 (Azure, IEEQ), 187.191.76.50 (comunicaciones IEEQ), y 52.117.172.166 (IBM Cloud, El Siglo). Todas las credenciales se encontraron en código fuente comprometido, lo que indica una falla sistémica en el uso de variables de entorno o gestión de secretos en las instituciones mexicanas.

La Fiscalía del Estado de Durango (fiscalia.durango.gob.mx) ejecuta una única instalación WordPress 24 sitios web de agencias gubernamentales estatales incluyendo Fiscalía, DIF, Educación, Salud, Seguridad Pública, Protección Civil y SIPINNA (bienestar infantil). Ejecuta RevSlider con CVE-2022-0441 (CVSS 9.8, omisión de autenticación) y CVE-2014-9734 (inclusión de expediente). No se instalan complementos de seguridad. XML-RPC está habilitado.

Datos sin procesar y descargas

Todos los datos recopilados han sido archivados y están disponibles para investigadores, periodistas y organizaciones de la sociedad civil a través del servidor de datos de ODINT.