Витік даних EDX Solutions викрив 30 мільйонів записів, пов'язаних з операціями PepsiCo в Латинській Америці

Що було викрито

Дослідники кібербезпеки 2 липня 2026 року виявили загальнодоступну базу даних MongoDB компанії EDX Solutions, мексиканського провайдера управління електронними документами. Екземпляр містив 48 баз даних обсягом 292 ГБ, які належали EDX та її клієнтам, і дослідники оцінюють, що було викрито щонайменше 30 мільйонів конфіденційних записів.

Серед викритих даних були рахунки-фактури, податкові документи, облікові записи співробітників, дані авторизації, збережені у відкритому тексті, API-токени та деталі постачальників. Інцидент вплинув на компанії, що працюють щонайменше в восьми країнах, причому найбільшого удару зазнали операції PepsiCo в Латинській Америці.

Які країни постраждали найбільше

Колумбія стала найбільш постраждалою країною, де було викрито понад 221 ГБ даних. Одна база даних, яка становила три чверті всього витоку, містила 218 ГБ і належала філіалу PepsiCo в Колумбії. Одна колекція в базі даних Colombia-api містила понад 11 мільйонів записів, серед яких повні інвойсні транзакції, ідентифікатори, мітки часу та щонайменше один запис із даними авторизації до внутрішнього API, збереженими у відкритому тексті.

Перу за обсягом викритих даних посідає друге місце — понад 42 ГБ, що пов'язане переважно з PepsiCo Peru та місцевим підрозділом швейцарської компанії будівельних матеріалів Holcim. У Домініканській Республіці було викрито майже 18 ГБ, що пов'язане з місцевими операціями PepsiCo та компанією в секторі бітумної дистрибуції. У Сальвадорі викрито 7 ГБ, у Коста-Ріці — 2 ГБ, переважно пов'язані з супермаркетами CSU, а в Еквадорі — 41 МБ, що є найменшим обсягом ураження.

Чому витік небезпечний

Дослідники попереджають, що ці дані можуть створити можливість для фінансового шахрайства, крадіжки облікових записів співробітників та соціальної інженерії. Оскільки записи містять файли рахунків-фактур, податкові документи, цифрові сертифікати, дані API-авторизації та контактні дані постачальників, зловмисники можуть діяти від імені надійних компаній, втручатися в процеси інвойсингу або створювати фальшиві документи, які виглядатимуть легітимними.

Витік також відкриває прямий шлях для фальшивих платіжних вимог, перенаправлення платежів постачальникам та маніпуляцій з рахунками-фактурами. Викриті податкові ID, результати валідації та записи внутрішніх робочих процесів можуть допомогти зловмисникам у вивченні процесів звірки та відповідності, що ускладнює виявлення шахрайства. Дані облікових записів співробітників, коди відновлення та внутрішні кінцеві точки можуть бути використані для крадіжки облікових записів та тривалої імітації ланцюга поставок у кількох країнах.

Відповідь EDX

Дослідники вперше повідомили EDX про витік 7 липня 2026 року, а 8 серпня 2026 року звернулися до CERT Мексики. Після публікації статті EDX заявив, що екземпляр був захищений, що дослідники підтвердили та зазначили, що він більше не був загальнодоступним. Компанія заявила, що скасувала усі дані авторизації, API-токени та секрети в екземплярі і залучила незалежну криміналістичну компанію для визначення масштабу витоку та чи мала яка-небудь неавторизована сторона доступ до даних.

EDX заявив, що постійно інвестує в оновлення та посилення систем безпеки та впроваджує додаткові заходи контролю внаслідок інциденту. Витік був закритий 28 вересня 2026 року.

Джерела: Cybernews