**Acceso no autorizado a bases de datos de la Administración de Empleo en el Extranjero de Filipinas: Un análisis profundo de la brecha de seguridad**
La reciente intrusión en los sistemas de la Administración de Empleo en el Extranjero de Filipinas (POEA, por sus siglas en inglés) ha puesto de manifiesto las vulnerabilidades que enfrentan las instituciones gubernamentales ante actores de amenazas desconocidos. Este incidente no solo afecta a la privacidad de miles de trabajadores filipinos en el extranjero, sino que también plantea serias preocupaciones sobre la seguridad de la información y la protección de datos en el ámbito gubernamental. En un contexto donde la migración laboral es crucial para la economía de Filipinas, la exposición de casi 69 GB de información sensible compromete tanto a los trabajadores como a la confianza en las instituciones encargadas de proteger sus derechos.
El análisis realizado por la firma de inteligencia de amenazas Hunt.io, publicado el 28 de octubre, reveló que el atacante logró acceder a 27 bases de datos de respaldo que contenían información crítica relacionada con la gestión de casos de empleo en el extranjero. Los datos comprometidos incluyen detalles sobre acreditaciones, contratos y registros financieros, entre otros. Durante un breve período de 24 minutos, el atacante utilizó herramientas de escalada de privilegios, como GodPotato y SeImpersonate, junto con la biblioteca de red Impacket para Python, para extraer la información. Sin embargo, la investigación sugiere que la pista se perdió en un servidor de staging en Singapur, lo que dejó abiertas muchas preguntas sobre la identidad del atacante y sus intenciones.
El hecho de que el servidor haya sido posteriormente accedido por un tercero no esclarecido complica aún más la situación. Borges, el responsable de investigación de Hunt.io, señala que, aunque no se ha encontrado evidencia de que la información robada se haya puesto a la venta, es posible que haya sido eliminada, aunque considera poco probable que esto ocurra. "No puedo afirmar que las copias de seguridad se detuvieron en el servidor de staging", explica, añadiendo que, a pesar de la falta de certeza sobre el destino de los datos, se trata de una brecha de seguridad significativa.
Este no es un incidente aislado. En agosto, Hunt.io identificó otro espacio de trabajo de un actor de amenazas que albergaba herramientas de hacking y que contenía 1.2 GB de datos robados de una agencia reguladora nuclear de Filipinas y de un contratista de construcción naval. Además, el año pasado, la policía filipina arrestó a una alcaldesa de un pequeño pueblo que era, en realidad, una nacional china que se hacía pasar por ciudadana filipina y que operaba un centro de estafas cibernéticas. Estos incidentes ponen de relieve un patrón preocupante de ataques dirigidos a las instituciones gubernamentales filipinas.
La conexión del ataque con actores estatales o grupos de ciberdelincuencia sigue siendo incierta. Aunque se encontraron fragmentos de código en chino, estos pertenecían a una biblioteca de software de terceros, lo que impide atribuir el ataque de manera concluyente. Sin embargo, Borges advierte que tanto los ciberdelincuentes como los adversarios estatales pueden encontrar valor en la información de identificación personal (PII) que se ha visto comprometida. "Ese tipo de PII de trabajadores migrantes, junto con datos de contratos y pagos, es útil para el fraude y el robo de identidad, por lo que tiene un valor comercial. También es un mapa detallado de una población de diáspora, lo que puede interesar a un actor estatal", afirma Borges.
La reciente investigación sobre los ataques a la administración filipina se inició tras el descubrimiento de un directorio abierto en un servidor alojado en el espacio de direcciones de Singapur de la empresa con sede en Helsinki, UpCloud Ltd. Este directorio contenía herramientas y archivos de registro relacionados con el ataque, incluida una versión renombrada de la biblioteca de escalada de privilegios GodPotato, un stager de PowerShell para desempaquetar herramientas en memoria y el entorno completo de Impacket para Python. Aunque Hunt.io considera el incidente como una violación confirmada, la falta de telemetría en tiempo de ejecución impide responder con certeza sobre cómo el atacante logró acceder a los datos.
Borges describe al operador del ataque como alguien con habilidades técnicas sólidas, aunque también cometió errores básicos. “La ingeniería del payload es competente, pero la seguridad operativa es deficiente; dejaron el servidor de staging y sus registros completamente expuestos”, señala. Esto sugiere que, a pesar de su habilidad para construir herramientas, el atacante fue descuidado en la gestión de su propia infraestructura.
Las implicaciones de esta brecha dependen en gran medida de la identidad del atacante y de cómo se utilizarán los datos robados. Aunque Hunt.io notificó a CERT Filipinas (CERT-PH) y al Departamento de Trabajadores Migrantes (DMW), no proporcionaron más detalles sobre las respuestas nacionales al incidente. Sin embargo, Borges afirma que, hasta ahora, la información no ha aparecido a la venta en la Dark Web. "No hemos visto que las copias de seguridad surjan a la venta o en una filtración", añade.
Es imperativo que los gobiernos de la región realicen auditorías exhaustivas de sus propias redes y fortalezcan su superficie de ataque. Los trabajadores con privilegios excesivos permiten a los atacantes, utilizando herramientas como SeImpersonate, acceder a más activos en la red. Además, Hunt.io identificó que el portal de trabajadores migrantes exponía varios puertos de riesgo, incluidos SMB en el 445 y WinRM en los 5985 y 47001. La combinación de estas vulnerabilidades con la falta de medidas de seguridad robustas plantea un riesgo significativo para la integridad de los datos y la seguridad nacional.