O governo sem bloqueio

Estatísticas de campanha

Uma única varredura passiva de reconhecimento contra o património web do governo do Haiti – ministérios, órgãos de supervisão financeira, o aparelho de segurança e subdomínios descobertos pela transparência dos certificados – produziu os seguintes resultados agregados. Cada solicitação era um HTTPGETnão autenticado. Nenhuma credencial foi usada. Nenhum sistema foi violado.

Tudo começou com uma listagem de diretório

Não houve exploração. Havia um URL.

curl -s https://civitax.gouv.ht/

civitax.gouv.hté o aplicativo de administração tributária municipal do Haiti — o sistema que gerencia registros de censo de propriedade (Recensement) e cobrança de impostos (Bordereau) para os cidadãos. O servidor não retornou uma parede de login. Ele retornou uma listagem completa do diretóriode todo o aplicativo: arquivos de origem, páginas de relatório, módulos de estatísticas, páginas de administração de segurança (Edit_User,GroupRights) e arquivos.rarpara download dos módulos Recensement e Bordereau.

O aplicativo executaTelerik UIv2013.3.1015.40– uma pilha de componentes vulnerável aCVE-2017-9248(fraqueza criptográfica) eCVE-2019-18935(execução remota de código não autenticada). O endpoint TelerikDialogHandler.aspxrespondeu com200 OK. O manipulador IIStrace.axdexistia. O que deveria ser um sistema tributário governamental controlado era, na prática, um arquivo aberto com a gaveta já puxada.

Nenhuma autenticação foi necessária. Nenhuma exploração foi implantada. O índice do diretório era público por configuração — ou por negligência. Do ponto de vista do cidadão, a diferença não importa.

Metas avaliadas

A investigação varreu o patrimônio do governo do Haiti em camadas: 13 domínios ministeriais, 15 agências financeiras e de supervisão, 9 domínios militares e de segurança, 13 subdomínios de transparência de certificados nunca avaliados anteriormente e 20 alvos de correio cPanel/autodiscover. As descobertas abaixo são as que importam.

3.233 cidadãos em uma planilha

O artefato mais prejudicial não foi um banco de dados. Era um arquivo público no site da Alfândega:DOUANE-GOUV/downloads/Liste-des-candidats-retenus.xlsx— a lista completa de3.233 candidatos retidos para o exameda Alfândega do Haiti (AGD), cada linha contendo dados pessoais completos.

Code         | Last Name  | First Name   | Sex | Phone            | Department
OE12AG7570   | Abdon      | Gerald       | M   | (+509) 5544-6924 | OUEST
OE12AO1940   | Abel       | Osmane       | M   | (+509) 4019-1719 | OUEST
ND18AC1872   | ABEL       | CAMY         | M   | (+509) 3259-5650 | NORD_EST

Um gêmeo redigido (Liste-des-candidats-retenus-no_phone.xlsx) existe no mesmo servidor – provando que o editor sabia que os números de telefone eram confidenciais e, de qualquer maneira, publicou a versão que os continha.

Em todo o corpus documental mais amplo, o ODINT analisou227 documentosedigitalizados por EXIF ​​1.365 imagensrecuperadas de endpoints públicos do governo. O rendimento agregado: 59 endereços de e-mail exclusivos, milhares de números de telefone, identificadores fiscais NIF, indivíduos nomeados, PDFs de orçamento e legislação financeira e dados operacionais aduaneiros (tabelas de códigos de contêineres, portos e armazéns SYDONIA - incluindo uma referência de porto internacional de 895 linhas). Dezoito usuários, autores e comentaristas do WordPress foram enumerados no banco central (brh.ht), na diretoria tributária (dgi.gouv.ht, onde uma conta pessoal do Gmail é registrada como autor) e em outras agências, cada uma com seu hash público do Gravatar.

Um estado de hospedagem compartilhada

A descoberta estrutural não é uma vulnerabilidade única – é a arquitetura. O governo do Haiti funciona com base em hospedagem compartilhada. ODINT detectou sites de ministério e supervisão emBluehost,SiteGroundeHostingerplanos compartilhados, vários deles vazando sua origem de hospedagem por meio de cabeçalhos de host codificados em base64. O WordPress 6.9.1 é recorrente em agências não relacionadas, sugerindo um mantenedor ou modelo compartilhado. Do patrimônio financeiro e de supervisão, 10 dos 15 domínios estavam ativos (cinco WordPress, dois Laravel, um CMS de outubro, um IIS/ASP.NET com divulgação detalhada do caminho de erro). Dos nove domínios militares e de segurança, sete não existem no DNS público – o perímetro de segurança digital do estado haitiano está, em grande parte, simplesmente ausente.

Quando um domínio da polícia nacional pode ser silenciosamente redirecionado para uma plataforma fraudulenta e ninguém percebe, o problema não é a falta de um patch. O problema é que ninguém está segurando as chaves.

Dados brutos e downloads

Todas as evidências coletadas foram arquivadas e estão disponíveis para pesquisadores, jornalistas e organizações da sociedade civil através do servidor de dados do ODINT. O arquivo publicado contém as capturas por agência e os relatórios analíticos de reconhecimento; as ferramentas de enumeração usadas para coletá-lo são intencionalmente retidas.