Dados de trabalhadores migrantes filipinos provavelmente vazaram em violação de 69GB

A Hunt.io, empresa de inteligência de ameaças, analisou logs de um servidor de staging aberto, hospedado no espaço de endereços de Singapura da UpCloud Ltd., e concluiu que um agente desconhecido copiou 27 bancos de dados de backup da Philippine Overseas Employment Administration. Foram cerca de 69GB em 24 minutos, com dados de gestão de casos de emprego no exterior, credenciamento, contratos e registros do caixa e do LandBank. A análise é de 28 de outubro, segundo a fonte.

O diretório aberto trazia uma versão renomeada do GodPotato (escalada de privilégios), um stager em PowerShell que descompacta ferramentas em memória e o ambiente Python completo do Impacket. A Hunt.io trata o caso como comprometimento confirmado, mas não tem telemetria de execução: não sabe como o invasor entrou, se o payload rodou nem para onde os dados foram. O servidor foi acessado depois, por alguém não identificado. Os backups não apareceram à venda, e a Hunt.io diz que não abriu os arquivos. Não houve atribuição: fragmentos em chinês pertencem a uma biblioteca de terceiros. A empresa notificou o CERT-PH e o Department of Migrant Workers. Também viu o portal de trabalhadores migrantes expondo SMB (445) e WinRM (5985 e 47001).

Para quem opera defesa em órgãos públicos, o caso mostra o valor de revisar privilégios (o SeImpersonate foi central) e de fechar portas como SMB e WinRM da internet. Também lembra que backups de SQL Server são alvo tão atraente quanto o banco de produção. Como o destino dos dados é incerto, vale tratar o risco de fraude e roubo de identidade dos trabalhadores como real.