Aucune authentification requise

Statistiques de campagne

Deux opérations OSINT simultanées — Crystal Vault (dénombrement fédéral API) et un Campagne d'exposition .git — contre le gouvernement mexicain, les universitaires, les médias et les infrastructures au niveau de l’État ont produit les résultats globaux suivants.

Une commande de boucle

Tout a commencé avec une seule ligne dans un terminal.

curl -s https://repodatos.atdt.gob.mx/api_update/

La réponse n'était pas une erreur. Ce n'était pas une page de connexion. C'était un répertoire de 177 agences fédérales — chaque ensemble de données publié par chaque ministère, régulateur et organisme public connecté à la plateforme nationale de données ouvertes du Mexique.

ATDT - le Agence de Transformation Numérique et Télécommunications (Agence pour la transformation numérique et les télécommunications) — est la branche technologique centralisée du gouvernement mexicain. Il gère le dépôt fédéral de données à repodatos.atdt.gob.mx, une plateforme conçue pour regrouper et distribuer des ensembles de données provenant de l'ensemble du pouvoir exécutif. Le API était en direct. Les points finaux ont été indexés. Il n’y avait aucune authentification, aucune limitation de débit, aucun contrôle d’accès d’aucune sorte.

Chaque dossier d'agence contenait des métadonnées structurées, des liens directs vers des fichiers CSV et, dans de nombreux cas, des cartes API complètes décrivant chaque point de terminaison et paramètre disponible. Ce qui était censé être une plate-forme de distribution de données contrôlée était, en pratique, un classeur ouvert dont le verrou était retiré.

Aucune information d'identification n'était requise. Aucun exploit n'a été utilisé. Aucune condition de service n’a été contournée. Le API était public à dessein – ou par négligence. Le résultat était le même.

Cibles compromises

Sept cibles dans les secteurs du gouvernement fédéral, de l'État, universitaire, électoral et médiatique ont été compromises par deux vecteurs : un accès API non authentifié et des attaques exposées. .git/ répertoires sur les serveurs de production.

Ensembles de données PII critiques

Le API fédéral à repodatos.atdt.gob.mx a servi des ensembles de données contenant des informations personnellement identifiables pour environ 186 millions d'enregistrements. Les ensembles de données suivants représentent les expositions les plus sensibles, organisées par gravité.

SAT — 464 153 contribuables

Le Servicio de Administración Tributaria (SAT) – l'administration fiscale mexicaine – était la plus grande source d'informations personnelles identifiables dans la collection. Cinq ensembles de données totalisant 69 Mo de données structurées ont exposé les dossiers fiscaux de près d’un demi-million de particuliers et d’organisations.

464 153 contribuables. Noms, numéros d'identification fiscale, adresses, numéros de téléphone. Servi sous forme de CSV plat provenant d'un API non authentifié. Une commande curl par fichier.

Exposition à la paie de l’UAEM

L'exposition .git à uaem.mx (Universidad Autónoma del Estado de Morelos) a récupéré 11 605 fichiers totalisant 960 Mo de code source de production, y compris les bases de données des étudiants PII, les répertoires du personnel et compléter les données de paie. Les fichiers de paie révèlent une rémunération bihebdomadaire totalisant plus de 60 millions de MXN par période (données 2019).

Le matériel récupéré supplémentaire de l'UAEM comprend : la base de données des étudiants PII (SOLICITUD_CONSTANCIAS tableau avec noms complets, e-mails, cartes d'étudiant, notes et spécialisations), annuaires du personnel, annuaire téléphonique informatique, système de traitement des paiements, système de vote électronique, système de licence professionnelle, système de génération de diplômes et configuration complète d'Apache avec règles de routage. Le seul développeur — Rafael Fragoso ([email protected], GitHub : norgoth) – avait un accès root et était déployé directement en production.

SFP — 809 fonctionnaires sanctionnés

Le Secrétariat de la Fonction Publique (SFP) — Le ministère mexicain de l'Administration publique — tient le registre officiel des fonctionnaires sanctionnés. L'ensemble de données exposé via ATDT contenait 809 enregistrements d'employés fédéraux qui avaient été officiellement sanctionnés pour corruption, mauvaise conduite ou violations administratives.

Chaque dossier comprenait le nom complet du fonctionnaire, l'agence qu'il travaillait, le type de sanction imposée et la durée de son exclusion de la fonction publique. Les sanctions allaient de suspensions temporaires à des interdictions permanentes d'emploi au sein du gouvernement.

Parmi les noms : Emilio LozoyaAustin, ancien PDG de PEMEX (Petróleos Mexicanos), la compagnie pétrolière nationale du Mexique. Lozoya était au centre du Scandale Odebrecht — une opération de corruption à l'échelle du continent dans laquelle le conglomérat brésilien de construction a payé 10,5 millions de dollars de pots-de-vin pour obtenir des contrats avec PEMEX. Lozoya a été arrêté en Espagne en 2020, extradé vers le Mexique et est devenu un témoin coopérant dont le témoignage impliquait d'anciens présidents et hauts fonctionnaires.

La liste des sanctions du SFP est, essentiellement, un registre public de tous les fonctionnaires fédéraux que le gouvernement mexicain a officiellement reconnus corrompus. Le fait qu'elles aient été servies sans authentification à partir d'un API ouvert est cohérent avec le modèle de l'ensemble de la plateforme ATDT : des données qui ont de réelles conséquences pour de vraies personnes, traitées comme s'il s'agissait d'un flux météo.

INDAABIN — 1.396 notaires fédéraux

Le Institut d'administration et d'évaluation des biens nationaux (INDAABIN) — l'institut fédéral chargé de l'évaluation et de la gestion des biens immobiliers nationaux — a fourni l'un des ensembles de données les plus inhabituels de la collection : le registre complet de 1 396 notaires fédéraux.

Chaque dossier contenait le nom légal complet du notaire, le numéro de licence, l'adresse du bureau et la juridiction. Les notaires fédéraux au Mexique sont des acteurs essentiels dans les transactions immobilières, les constitutions d'entreprises et les certifications juridiques. Leurs identités et leurs emplacements ne sont pas rendus publics à ce niveau de détail – ou ils n’étaient pas censés l’être.

L’exposition d’un registre notarial complet crée un profil de risque spécifique. Les notaires sont la cible de pressions exercées par des groupes du crime organisé qui cherchent à légitimer des acquisitions de propriétés, à falsifier des documents d'entreprise ou à blanchir de l'argent grâce à l'immobilier. Une liste détaillée de tous les notaires fédéraux, de leurs adresses de bureau et de leurs numéros de licence n'est pas seulement un inconvénient administratif : c'est une carte opérationnelle pour quiconque cherche à compromettre le système notarial du Mexique.

Campagne d'exposition Git

Une campagne parallèle d'exposition .git récupérée 17 jeux d'identifiants en direct de 6 domaines mexicains, exposés Plus de 37 identités de développeurs, et récupéré près de 1 Go de code source de production d'une grande université publique. Sept référentiels Git ont été découverts sur GitHub, GitLab, Bitbucket et les instances internes de Gitea.

Les ensembles de titres de compétences couvrent un institut électoral d'État (infrastructure électorale), un département de santé d'État, une grande université avec un étudiant PII et un grand journal. Trois adresses IP externes avec des services de base de données connectables ont été identifiées : 104.45.237.221 (Azure, IEEQ), 187.191.76.50 (communications IEEQ), et 52.117.172.166 (IBM Cloud, El Siglo). Toutes les informations d'identification ont été trouvées dans un code source validé, ce qui indique un échec systémique dans l'utilisation des variables d'environnement ou de la gestion des secrets dans les institutions mexicaines.

Le bureau du procureur de l'État de Durango (fiscalia.durango.gob.mx) exécute une seule diffusion d'installation WordPress 24 sites Web d'agences gouvernementales d'État dont Fiscalia, DIF, Éducation, Santé, Sécurité publique, Protection civile et SIPINNA (protection de l'enfance). Il exécute RevSlider avec CVE-2022-0441 (CVSS 9.8, contournement d'authentification) et CVE-2014-9734 (inclusion de fichier). Aucun plugin de sécurité n'est installé. XML-RPC est activé.

Données brutes et téléchargements

Toutes les données collectées ont été archivées et sont disponibles pour les chercheurs, les journalistes et les organisations de la société civile via le serveur de données de ODINT.