EDX Solutions' veri sızıntısı PepsiCo'nun Latin Amerika operasyonlarıyla ilişkili 30 milyon kaydı ortaya çıkardı

Ne Ortaya Çıktı

Siber güvenlik araştırmacıları, 2 Temmuz 2026'da Meksikalı elektronik belge yönetimi sağlayıcısı EDX Solutions'in herkese açık MongoDB veritabanını keşfetti. Örnek, EDX ve müşterilerine ait 292GB veri içeren 48 veritabanı barındırıyordu ve araştırmacılar en az 30 milyon hassas kaydın açığa çıktığını değerlendiriyor.

Sızdırılan veriler arasında faturalar, vergi belgeleri, çalışan hesapları, düz metin olarak saklanan kimlik doğrulama verileri, API token'ları ve tedarikçi detayları vardı. Olay en az sekiz ülkede faaliyet gösteren şirketleri etkiledi; darbe en çok PepsiCo'nun Latin Amerika operasyonlarına vurdu.

Hangi Ülkeler En Fazla Zarar Gördü

Kolombiya, 221GB'dan fazla verinin sızdırıldığı en zarar gören ülkeydi. Sızıntının üçte birini oluşturan bir veritabanı 218GB veri içeriyordu ve PepsiCo'nun Kolombiya şubesine aitti. Colombia-api veritabanındaki bir koleksiyon 11 milyonun üzerinde kayıt içeriyordu; bunlar arasında tam fatura işlemleri, tanımlayıcılar, zaman damgaları ve en az bir kayıtta dahili API için düz metin olarak saklanan kimlik doğrulama verileri bulunuyordu.

Peru, 42GB'dan fazla sızdırılan veriyle ikinci sırada yer alıyor; bu büyük ölçüde PepsiCo Peru ve İsviçreli yapı malzemeleri şirketi Holcim'in yerel yan kuruluşuyla ilişkili. Dominik Cumhuriyeti'nde neredeyse 18GB sızdırıldı ve bu, PepsiCo'nun yerel operasyonlarıyla ve bitüm dağıtım sektöründe faaliyet gösteren bir şirketle bağlantılı. El Salvador'da 7GB, Kosta Rika'da 2GB (büyük ölçüde CSU süpermarketleriyle ilişkili) ve en az zarar gören ülke olan Ekvador'da 41MB sızdırıldı.

Sızıntı Neden Tehlikeli

Araştırmacılar, bu verilerin mali dolandırıcılık, çalışan hesaplarının ele geçirilmesi ve sosyal mühendislik olasılığı yaratabileceği konusunda uyarıyor. Kayıtlar fatura dosyalarını, vergi belgelerini, dijital sertifikaları, API kimlik doğrulama verilerini ve tedarikçi iletişim bilgilerini içerdiği için saldırılar güvenilir şirketler adına hareket edebilir, faturalandırma süreçlerine müdahale edebilir veya meşru görünen sahte belgeler sunabilir.

Sızıntı ayrıca sahte ödeme taleplerine, tedarikçilere yapılan ödemelerin yönlendirilmesine ve faturalarla manipülasyona doğrudan yol açabilir. Sızdırılan vergi kimlikleri, doğrulama sonuçları ve dahili iş süreci kayıtları, suçluların muhasebe ve uyumluluk süreçlerini incelemesine yardımcı olabilir ki bu da dolandırıcılığın tespitini zorlaştırır. Çalışan hesap verileri, kurtarma kodları ve dahili uç noktalar, hesap ele geçirme ve birden fazla ülkede uzun süreli tedarik zinciri taklidi için kullanılabilir.

EDX'in Yanıtı

Araştırmacılar sızıntıyı ilk olarak 7 Temmuz 2026'da EDX'e bildirdi ve 8 Ağustos 2026'da Meksika CERT ile iletişime geçti. Makale yayımlandıktan sonra EDX, örneği güvenli hale getirdiğini açıkladı; araştırmacılar bunu doğruladı ve örneğin artık herkese açık olmadığını belirtti. Şirket, örnekteki tüm kimlik doğrulama verilerini, API token'larını ve sırlarını iptal ettiğini ve sızıntının ne kadar geniş kapsamlı olduğunu ve herhangi bir yetkisiz tarafın verilere erişip erişmediğini belirlemek için bağımsız bir adli bilişim şirketi görevlendirdiğini söyledi.

EDX, güvenlik sistemlerini sürekli olarak güncellemeye ve güçlendirmeye yatırım yaptığını ve olayın ardından ek denetimler uyguladığını açıkladı. Sızıntının kapatılması 28 Eylül 2026'da kayda geçti.

Kaynaklar: Cybernews