דילוג הנתונים של EDX Solutions חשף 30 מיליון רשומות הקשורות לפעילות של PepsiCo באמריקה הלטינית

מה נחשף

חוקרי אבטחת סייבר גילו ב-2 ביולי 2026 מסד נתונים MongoDB זמין ציבורית של EDX Solutions, ספקית ניהול מסמכים אלקטרוניים מקסיקנית. המופקד כלל 48 מסדי נתונים עם 292GB של מידע השייך ל-EDX וללקוחותיה, והחוקרים מעריכים שלפחות 30 מיליון רשומות רגישות נחשפו.

הנתונים החשופים כללו חשבוניות, מסמכי מס, חשבונות עובדים, נתוני הרשאה שנשמרו בטקסט גלוי, טוקני API ופרטי ספקים. האירוע השפיע על חברות הפועלות בשמונה מדינות לפחות, אך הנזק הגדול ביותר נגרם לפעילות של PepsiCo באמריקה הלטינית.

אילו מדינות נפגעו יותר מכול

קולומביה הייתה המדינה הנפגעת ביותר, שם נחשפו מעל 221GB של נתונים. מסד נתונים אחד, שהווה שליש מהדילוג כולל, הכיל 218GB והשתייך לסניף הקולומביאני של PepsiCo. אוסף אחד במסד הנתונים Colombia-api כלל מעל 11 מיליון רשומות, כולל עסקאות חשבוניות מלאות, מזהים, חותמות זמן ולפחות רשומה אחת עם נתוני הרשאה שנשמרו בטקסט גלוי על API פנימי.

פרו מדורגת שנייה בגודל הנתונים שנחשפו, עם מעל 42GB, הקשורים בעיקר ל-PepsiCo Peru ולסניף המקומי של חברת חומרי הבנייה השווייצרית Holcim. ברפובליקה הדומיניקנית נחשפו כ-18GB, הקשורים לפעילות המקומית של PepsiCo ולחברה הפועלת בתחום ההפצה האזורית. באל סלבדור נחשפו 7GB, בקוסטה ריקה 2GB, הקשורים בעיקר לרשת הסופרמרקטים CSU, ובאקוואדור 41MB, הנפגע הקטן ביותר.

למה הדילוג מסוכן

החוקרים מזהירים כי הנתונים עלולים לאפשר הונאות פיננסיות, שינוי חשבונות עובדים והנדסה חברתית. מכיוון שהרשומות כוללות קבצי חשבוניות, מסמכי מס, אישורים דיגיטליים, נתוני הרשאה של API ופרטי יצרנים, תוקפים יכולים לפעול בשמן של חברות אמינות, להתערב בתהליכי חשבוניות או להציג מסמכים מזויפים שיראו לגיטימיים.

הדילוג פותח גם דרך ישיר לבקשות תשלום מזויפות, הפניית תשלומים המיועדים לספקים ומניפולציה של חשבוניות. מזהי מס, תוצאות אימות ורשומות תהליכי עבודה פנימיים שנחשפו עלולים לסייע לגנבים לחקור תהליכי חיוב והתאמה, מה שמקשה על איתור הונאות. נתוני חשבונות עובדים, קודי שחזור ונקודות קצה פנימיות עלולים לשמש לשינוי חשבונות ולחיקוי שרשרת אספקה ארוכת שנים במספר מדינות.

תגובת EDX

החוקרים הודיעו ל-EDX על הדילוג לראשונה ב-7 ביולי 2026, והתקשרו ל-Mexico CERT ב-8 באוגוסט 2026. לאחר פרסום המאמר הכריזה EDX כי המופקד אובטח, מה שאומת על ידי החוקרים שציינו שהוא כבר לא היה נגיש לציבור. החברה מסרה כי ביטלה את כל נתוני ההרשאה, טוקני ה-API והסודות במופקד, ושילבה חברת פרנזיקה עצמאית כדי לקבוע עד כמה נרחב היה הדילוג והאם צד בלתי מורשה נגש לנתונים.

EDX הכריזה כי ממשיכה להשקיע בעדכון וחיזוק מערכות האבטחה ותוסיף בקרות נוספות בעקבות האירוע. סגירת הדילוג תועד ב-28 בספטמבר 2026.

מקורות: Cybernews