Автентифікація не потрібна

Статистика кампанії

Дві одночасні операції OSINT — Crystal Vault (федеральний API перелік) і a .git рекламна кампанія — проти мексиканського уряду, академічних, медіа та інфраструктури на державному рівні дали наступні сукупні результати.

Одна команда Curl

Все почалося з одного рядка в терміналі.

curl -s https://repodatos.atdt.gob.mx/api_update/

Відповідь не була помилкою. Це не була сторінка входу. Це був а каталог із 177 федеральними агентствами — кожен набір даних, опублікований кожним міністерством, регулятором і державним органом, підключеним до національної платформи відкритих даних Мексики.

ATDT — те Agencia de Transformación Digital y Telecomunicaciones (Агентство цифрової трансформації та телекомунікацій) — це централізований технологічний підрозділ уряду Мексики. Він керує федеральним сховищем даних на repodatos.atdt.gob.mx, платформа, розроблена для агрегування та розповсюдження наборів даних від усієї виконавчої влади. API був у прямому ефірі. Кінцеві точки були проіндексовані. Не було ні автентифікації, ні обмеження швидкості, ні будь-якого контролю доступу.

Кожна папка агентства містила структуровані метадані, прямі посилання на файли CSV і в багатьох випадках повні API карти з описом усіх доступних кінцевих точок і параметрів. Те, що мало бути контрольованою платформою розповсюдження даних, на практиці являло собою відкриту картотечну шафу зі знятим замком.

Облікові дані не були потрібні. Експлойти не використовувалися. Жодні умови обслуговування не були обійдені. API був публічним задумом — або через недбалість. Результат був той самий.

Цілі скомпрометовані

Сім цілей у федеральному уряді, уряді штату, академічному, виборчому та медіа-секторах були скомпрометовані за двома напрямками: неавтентифікований доступ API і викриття .git/ каталоги на робочих серверах.

Критичні PII набори даних

Федеральний API в repodatos.atdt.gob.mx обслуговував набори даних, що містять особисту інформацію для приблизно 186 мільйонів+ записів. Наступні набори даних представляють найбільш чутливі опромінення, упорядковані за ступенем тяжкості.

SAT — 464 153 платники податків

The Servicio de Administración Tributaria (SAT) — Податковий орган Мексики — був єдиним найбільшим джерелом особистої інформації в колекції. Всього п’ять наборів даних 69 Мб структурованих даних розкрив податкові записи майже півмільйона осіб і організацій.

464 153 платники податків. Імена, ІПН, адреси, номери телефонів. Подається як плоский CSV з неавтентифікованого API. Одна команда curl на файл.

Викриття заробітної плати UAEM

Експозиція .git на uaem.mx (Universidad Autónoma del Estado de Morelos) відновив 11 605 файлів загальною кількістю 960 МБ робочого вихідного коду, включаючи студентські PII бази даних, каталоги співробітників і повні дані по заробітній платі. Файли заробітної плати показують компенсацію кожні два тижні на загальну суму понад 60 мільйонів мексиканських песо за період (дані за 2019 рік).

Додатковий відновлений матеріал з UAEM включає: студентську базу даних PII (SOLICITUD_CONSTANCIAS таблиця з повними іменами, електронними адресами, студентськими квитками, оцінками та спеціалізаціями), довідники співробітників, довідник ІТ-телефонів, система обробки платежів, система електронного голосування, система професійних ліцензій, система отримання ступенів і повна конфігурація Apache із правилами маршрутизації. Єдиний розробник — Рафаель Фрагозо ([email protected], GitHub: norgoth) — мав root-доступ і розгортався безпосередньо у виробництві.

SFP — 809 санкційних посадових осіб

The Secretaría de la Función Pública (SFP) — Міністерство державного управління Мексики — веде офіційний реєстр державних службовців, до яких потрапили санкції. Набір даних, відкритий через ATDT, містить 809 записів федеральних службовців, які були офіційно покарані за корупцію, неналежну поведінку або адміністративні порушення.

Кожен запис включав повне ім’я посадовця, установу, в якій він працював, тип накладеного покарання та тривалість його дискваліфікації з державної служби. Санкції варіювалися від тимчасового відсторонення до постійної заборони на державну роботу.

Серед імен: Еміліо Лозоя Остін, колишній генеральний директор PEMEX (Petróleos Mexicanos), державна нафтова компанія Мексики. Лозоя була в центрі Одебрехтський скандал — операція з хабарництва, що охопила весь континент, за яку платив бразильський будівельний конгломерат 10,5 мільйонів доларів хабара для забезпечення контрактів з PEMEX. Лозоя був заарештований в Іспанії в 2020 році, екстрадований до Мексики та став свідком-співробітником, чиї свідчення причетні до колишніх президентів і високопосадовців.

Список санкцій SFP, по суті, є публічним реєстром усіх федеральних чиновників, яких мексиканський уряд офіційно визнав корумпованими. Те, що він надавався без автентифікації з відкритого API, узгоджується з шаблоном на всій платформі ATDT: дані, які мають реальні наслідки для реальних людей, розглядаються як інформація про погоду.

INDAABIN — 1396 федеральних нотаріусів

The Instituto de Administración y Avalúos de Bienes Nacionales (INDAABIN) — федеральний інститут, відповідальний за оцінку та управління національною власністю — вніс один із найбільш незвичайних наборів даних у колекцію: повний реєстр 1396 федеральних нотаріусів.

Кожен запис містив повне юридичне ім’я нотаріуса, номер ліцензії, адресу офісу та юрисдикцію. Федеральні нотаріуси в Мексиці відіграють важливу роль у операціях з майном, реєстрації бізнесу та юридичних сертифікатах. Їхні особи та місцезнаходження не оголошуються публічно з таким рівнем деталізації — або вони не мали бути.

Виявлення повного нотаріального реєстру створює певний профіль ризику. Нотаріуси є об’єктами примусу з боку організованих злочинних груп, які прагнуть узаконити придбання власності, підробити корпоративні документи або відмити гроші через нерухомість. Масовий список усіх федеральних нотаріусів, адреси їхніх офісів і номерів ліцензій — це не просто адміністративна незручність — це оперативна карта для всіх, хто прагне скомпрометувати нотаріальну систему Мексики.

Кампанія Git Exposure

Відновлено паралельну кампанію експозиції .git 17 живих наборів облікових даних з 6 мексиканських доменів, викрито 37+ ідентифікаторів розробників, і одужав майже 1 ГБ робочого вихідного коду з великого державного університету. У GitHub, GitLab, Bitbucket і внутрішніх екземплярах Gitea було виявлено сім сховищ Git.

Набори облікових даних охоплюють державний виборчий інститут (виборча інфраструктура), державний департамент охорони здоров’я, великий університет зі студентом PII і велику газету. Було визначено три зовнішні IP-адреси з підключеними службами бази даних: 104.45.237.221 (Azure, IEEQ), 187.191.76.50 (комунікації IEEQ) і 52.117.172.166 (IBM Cloud, El Siglo). Усі облікові дані було знайдено у закріпленому вихідному коді, що вказує на системну помилку використання змінних середовища або управління секретами в установах Мексики.

Прокуратура штату Дуранго (fiscalia.durango.gob.mx) запускає одну установку WordPress. 24 сайти державних установ включаючи Fiscalia, DIF, освіту, охорону здоров'я, громадську безпеку, цивільний захист і SIPINNA (добробут дітей). Він працює з RevSlider CVE-2022-0441 (CVSS 9.8, обхід автентифікації) і CVE-2014-9734 (включення файлу). Плагіни безпеки не встановлено. XML-RPC увімкнено.

Необроблені дані та завантаження

Усі зібрані дані було заархівовано та доступно для дослідників, журналістів та організацій громадянського суспільства через сервер даних ODINT.