Утечка данных мигрантов на Филиппинах могла затронуть почти 69 ГБ резервных копий SQL Server: неизвестный оператор скопировал 27 баз данных менее чем за 24 минуты. Внутри, предположительно, находились сведения о зарубежном трудоустройстве, контрактах, аккредитации и финансовых операциях работников. Для российских компаний и госорганизаций это очередное напоминание: резервная копия с открытым сетевым доступом — не страховка от инцидента, а готовый комплект данных для злоумышленника.
Как сообщает Dark Reading, следы компрометации обнаружила компания Hunt.io, изучившая staging-сервер атакующих в сингапурском адресном пространстве хостинг-провайдера UpCloud. На сервере оказались открытые каталоги с журналами и инструментами, по которым исследователи восстановили предполагаемую цепочку действий. В логах зафиксировано копирование 27 бэкапов, связанных с Philippine Overseas Employment Administration — филиппинским ведомством, которое занимается вопросами трудоустройства граждан за рубежом.
Атакующие работали быстро: на выгрузку почти 69 ГБ ушло менее получаса. В таких наборах особенно опасна не только персональная информация сама по себе, но и её связность. Данные о кандидатах, работодателях, контрактах, статусах рассмотрения дел, кассовых операциях и платежах позволяют собирать убедительные сценарии мошенничества: от точечного фишинга до попыток захватить учётные записи или подделать документы. Для государства подобная база ещё и описывает значительную часть трудовой диаспоры — профиль, который может представлять интерес не только для криминального рынка.
Hunt.io не утверждает, что архивы были опубликованы или выставлены на продажу: на момент исследования компания не видела их на площадках утечек. Но отсутствие объявления не отменяет сам инцидент. По словам руководителя исследований Hunt.io Эстебана Борхеса, данные уже были скопированы за пределы контроля ведомства, а дальнейший маршрут не удалось установить. Исследователи не открывали сами резервные копии и не могут подтвердить полный состав записей или количество пострадавших.
В арсенале оператора нашли GodPotato и SeImpersonate — инструменты, применяемые для повышения привилегий в Windows при определённых конфигурациях, — а также библиотеку Impacket для сетевых операций. На сервере присутствовали переименованная версия GodPotato, PowerShell-загрузчик для распаковки инструментов в памяти и полное Python-окружение Impacket. Это говорит не о случайном наборе утилит, а о подготовленной рабочей среде для перемещения по инфраструктуре и вывода данных.
При этом аккуратность атакующих закончилась там, где началась собственная операционная безопасность. Они оставили staging-сервер и журналы доступными для внешнего обнаружения. Борхес оценил технику как компетентную, но не выдающуюся: оператор сумел подготовить полезную нагрузку и провести выгрузку, однако плохо скрыл инфраструктурные следы. Приписывать атаку конкретной стране или группе Hunt.io не стала. Фрагменты китайского текста, найденные в коде, относились к сторонней библиотеке, а не были доказательством происхождения атакующих.
Инцидент вписывается в более широкий и неприятный паттерн: государственные системы остаются привлекательной целью не потому, что в них обязательно лежат секреты, а потому, что там часто хранятся большие, давно накопленные и хорошо связанные массивы персональных данных. В августе Hunt.io уже сообщала об обнаружении рабочей среды другого злоумышленника с 1,2 ГБ данных, предположительно похищенных у филиппинского ядерного регулятора и морского подрядчика. Это не доказывает связь эпизодов, но показывает повторяющуюся проблему с защищённостью публичного сектора.
Для ИТ-команд практический вывод довольно приземлённый. Бэкапы SQL Server нужно учитывать как критичный актив, а не как технический мусор в отдельной папке: ограничивать права сервисных и пользовательских учётных записей, сегментировать доступ, контролировать необычные объёмы исходящего трафика и регулярно проверять, не доступны ли снаружи административные сервисы. В исследуемом случае портал миграционной службы также экспонировал рискованные порты, включая SMB на 445 и WinRM на 5985 и 47001. Один открытый порт не равен взлому, но в сочетании с избыточными привилегиями он превращает локальную ошибку настройки в короткий путь к доменным данным.
Филиппинские CERT и Department of Migrant Workers получили уведомление от исследователей, однако подробностей о реакции властей Hunt.io не раскрывала. Главный открытый вопрос теперь не в том, был ли факт копирования: журналы указывают, что утечка данных мигрантов произошла. Неизвестно, кто получил архивы после staging-сервера и будут ли они использованы для массового мошенничества, точечных атак или останутся в закрытой коллекции. Для защитников это ещё один аргумент строить мониторинг вокруг движения данных, а не ждать, пока база появится в продаже.
