La brecha de 69 GB en Filipinas: Cómo GodPotato exfiltró 27 bases de datos SQL Server en 24 minutos
Análisis forense de la exfiltración de copias de seguridad de la POEA: escalada de privilegios sin CVE, controles de red ausentes y costes de respuesta técnica.
Fecha de publicación: 2026.11.05
27 archivos de respaldo de SQL Server transferidos sin interrupción
Bases de datos de contratos y trabajadores migratorios de la POEA
Tráfico saliente directo hacia un servidor UpCloud en Singapur
La exfiltración de 68,8 GB en 24 minutos: Vector de ataque y abuso de privilegios en SQL Server
El compromiso de los sistemas de la Administración de Empleo en el Extranjero de Filipinas (POEA, integrada en el Departamento de Trabajadores Migratorios) expuso 68,837 GiB de información crítica. El atacante no necesitó vulnerabilidades complejas de día cero en el motor de base de datos. La investigación forense reveló que la extracción de 27 archivos de copia de seguridad completos de Microsoft SQL Server se ejecutó en exactamente 23 minutos y 46 segundos, registrando una velocidad sostenida de transferencia de 48,3 MB/s.
El análisis de la infraestructura del atacante expuso una instancia pública en el proveedor UpCloud, alojada en Singapur. Entre los artefactos recuperados se localizó una versión modificada de GodPotato, una utilidad de escalada local de privilegios que abusa del privilegio SeImpersonatePrivilege. En entornos Windows Server con configuraciones por defecto, las cuentas de servicio bajo las que operan Microsoft SQL Server o Internet Information Services (IIS) disponen de este permiso habilitado de forma predeterminada.
Cadena de explotación observada en el incidente de la POEA
Acceso con privilegios limitados de servicio en el servidor Windows.
Abuso de SeImpersonatePrivilege para obtener NT AUTHORITY\SYSTEM vía DCOM/RPC.
Localización de 27 bases de datos desprotegidas en almacenamiento local.
Descarga de 68,8 GB en 23 minutos sin bloqueo perimetral de tráfico.
GodPotato intercepta llamadas DCOM hacia el servicio BITS (Background Intelligent Transfer Service) o el intermediario RPC local para forzar una autenticación NTLM en un socket local controlado por el atacante. Al recibir el testigo de autenticación del sistema, el ejecutable suplanta la identidad y genera un proceso secundario con permisos directos de NT AUTHORITY\SYSTEM. Con control total del sistema operativo, el adversario accedió a las carpetas locales de respaldo de bases de datos que contenían los registros de contratos laborales, el sistema Balik-Manggagawa y credenciales de servicios en línea.
Matriz de impacto forense: Costes de remediación frente a la inversión en controles preventivos
El impacto financiero de una brecha en infraestructuras gubernamentales de empleo trasciende el coste del ancho de banda comprometido. La organización debe asumir gastos forenses inmediatos, multas regulatorias impuestas por la Comisión Nacional de Privacidad (NPC) bajo la Ley de Privacidad de Datos de 2012 y auditorías completas de Active Directory. En el sector empresarial e institucional, el coste promedio de recuperación ante incidentes de exfiltración masiva de copias de seguridad supera con frecuencia el millón de dólares cuando no existen segmentaciones previas.
La ausencia de inspección de tráfico saliente (Egress Filtering) y la omisión de políticas de privilegios mínimos permitieron que decenas de gigabytes abandonaran la red corporativa sin activar alertas en el centro de operaciones de seguridad.
| Parámetro evaluado | Configuración observada en el incidente | Arquitectura de referencia recomendada | Estimación de impacto financiero / TCO |
|---|---|---|---|
| Control de privilegios locales | Cuenta de servicio SQL con SeImpersonatePrivilege | Virtual Service Accounts con derechos restringidos | 0 USD de coste software; 16 horas de ingeniería |
| Cifrado de copias de seguridad | Archivos .bak en texto plano en disco local | TDE (Transparent Data Encryption) con claves en HSM/KMS | 8–15% de consumo adicional de CPU en motor SQL |
| Monitorización de tráfico saliente | Conexión directa TCP hacia VPS externo sin límites | Pasarela proxy con inspección DPI y corte por anomalías | 1.800–4.500 USD/mes según volumen de red |
| Tasa de transferencia tolerada | 48,3 MB/s sostenidos sin estrangulamiento | Límite estricto de 2 MB/s en canales no autorizados | Alerta automática en SOC en <120 segundos |
| Coste estimado de respuesta | Triaje forense externo, multas legales y auditorías | Validación rutinaria de registros y auditoría de accesos | 450.000–1.200.000 USD frente a 25.000 USD anuales |
Valores promedio en dólares para infraestructuras con bases de datos críticas
Los costes de remediación derivados de la exposición pública de historiales laborales exigen la notificación individual a los afectados, la reconstrucción de las imágenes de servidores comprometidos y la sustitución completa de los esquemas de autenticación en Active Directory. El despliegue de controles preventivos en la capa de sistema operativo representa menos del 4% del coste total que genera la gestión reactiva de un incidente público de esta escala.
La brecha del staging server y los fallos de aislamiento en copias de seguridad empresariales
El vector analizado expuso un fallo crítico en la disciplina operativa del adversario que permitió la detección del incidente: el servidor intermedio en UpCloud funcionaba con un directorio web abierto sin autenticación. En este repositorio provisional quedaron expuestos tanto los 27 archivos de bases de datos como los registros de transferencia que detallaban las direcciones IP de origen, las marcas de tiempo y el inventario exacto de datos sustraídos.
Este detalle operativo confirma que la detección de la intrusión no se produjo por una alarma interna en la infraestructura de la POEA, sino por la identificación externa del servidor de acopio. Cuando la detección depende exclusivamente de observadores externos, el tiempo medio de permanencia del atacante (Dwell Time) supera con frecuencia las semanas de actividad inadvertida.
Análisis de causas y controles compensatorios indispensables
Copias de seguridad .bak acumuladas en volúmenes accesibles por el sistema operativo.
El cortafuegos permitió conexiones directas salientes sin filtrado hacia IPs desconocidas.
Envío directo de respaldos a repositorios inmutables sin persistencia en disco de producción.
Los 27 archivos .bak comprometidos abarcaban bases de datos completas del programa Balik-Manggagawa, que gestiona permisos de reingreso al país y autorizaciones de empleo de trabajadores filipinos en el extranjero. Esta estructura de datos contiene números de identificación gubernamental, detalles de visados, registros de contratación internacional y metadatos financieros. La consolidación de múltiples subsistemas en copias locales sin cifrado individual multiplica el daño potencial de una sola intrusión exitosa.
Plan de remediación técnica y endurecimiento estricto para infraestructuras Microsoft SQL Server
Para neutralizar de forma definitiva las técnicas de explotación fundamentadas en GodPotato y herramientas afines de la familia “Potato”, los equipos de infraestructura y seguridad deben aplicar una reconfiguración estructural en los servidores Windows y en la topología de red.
Secuencia prioritaria de implementación técnica
Retirar SeImpersonatePrivilege de cuentas de servicio y migrar a gMSA.
Restringir conexiones salientes en servidores de base de datos a puertos autorizados.
Cifrado con claves externas y respaldo directo a almacenamiento inaccesible en local.
Las siguientes medidas técnicas deben ejecutarse con carácter urgente en todo entorno que aloje bases de datos relacionales críticas sobre sistemas operativos Windows Server:
- Retirada de privilegios de suplantación (
SeImpersonatePrivilege): Modifique la política de seguridad local (secpol.msc-> Políticas locales -> Asignación de derechos de usuario -> Suplantar a un cliente tras la autenticación). Elimine cualquier cuenta de servicio del grupo de administradores locales y asegúrese de que únicamente las identidades de servicio estrictamente requeridas mantengan este derecho. Para instancias de SQL Server, migre hacia Cuentas de Servicio Administradas por Grupos (gMSA) configuradas con el principio de mínimo privilegio. - Bloqueo estricto de tráfico saliente en servidores de bases de datos: Un servidor de base de datos de producción nunca debe tener acceso directo a Internet. Implemente reglas perimetrales y de cortafuegos local (Windows Firewall) que denieguen todo el tráfico TCP/UDP saliente por defecto, permitiendo únicamente destinos internos específicos (controladores de dominio, servidores de monitorización centralizados y puntos de almacenamiento de copias de seguridad autenticados).
- Cifrado nativo y deslocalización de archivos de respaldo: Elimine la práctica de retener archivos
.baken discos locales de los servidores de bases de datos. Configure los respaldos para que se escriban mediante canales TLS directamente en repositorios de almacenamiento de objetos inmutables con soporte WORM (Write Once, Read Many). Active el cifrado de copias de seguridad de SQL Server utilizando un certificado protegido por una clave maestra de servicio o un módulo HSM independiente. - Detección de anomalías en ancho de banda de red: Configure umbrales de alerta en el sistema de monitorización para detectar transferencias continuadas superiores a 10 MB/s con una duración superior a dos minutos desde cualquier servidor de base de datos. Una exfiltración masiva de 48 MB/s debe ser interrumpida automáticamente mediante políticas de respuesta de red antes de que comprometa volúmenes significativos de información corporativa.