Datalek bij Mexicaanse overheid: Verouderde systemen en leveranciersrisico’s

Een hacktivistengroep claimde onlangs de verantwoordelijkheid voor een van de grootste datalekken bij overheden in de Latijns-Amerikaanse geschiedenis. Het doelwit was de Mexicaanse overheid en de vermeende buit was enorm: 2,3 terabyte aan data van minstens 25 verschillende overheidsinstellingen, waarmee mogelijk de persoonlijke informatie van 36 miljoen Mexicaanse burgers werd blootgelegd.

Belangrijkste Inzichten

1. Derdepartijleveranciers zijn het grootste aanvalsoppervlak van de overheid. Bijna 30% van de overheidsinstanties wisselt gegevens uit met meer dan 5.000 derden, en datalekken gelinkt aan leveranciers zijn de afgelopen jaren met 68% gestegen. Zonder uitgebreide monitoring, toegangscontroles en geautomatiseerde intrekking van inloggegevens blijven instanties blind voor waar hun meest gevoelige data naartoe gaat.
2. “Verouderde” systemen die nog data bevatten, zijn geen buiten gebruik gestelde systemen. De Mexicaanse overheid omschreef de gecompromitteerde platforms als verouderd, maar hacktivisten wisten er toch 2,3 terabyte aan data uit te halen. Als legacy-systemen nog steeds toegankelijke burgergegevens bevatten met actieve inloggegevens, zijn ze niet buiten gebruik — ze zijn ongemonitorde risico’s die wachten om misbruikt te worden.
3. Hacktivistengroepen zetten perceptie net zo goed in als data zelf. De Chronus Group bundelde data uit diverse bronnen en presenteerde het als één enorm datalek om maximale media-aandacht en publieke angst te creëren. Organisaties hebben forensische mogelijkheden en onveranderlijke logs nodig om geverifieerde blootstelling te onderscheiden van overdreven claims voordat het publieke vertrouwen afbrokkelt.
4. Latijns-Amerika wordt geconfronteerd met een escalerend en divers cyberdreigingslandschap. Organisaties in de regio krijgen nu gemiddeld 3.065 cyberaanvallen per week te verwerken, veroorzaakt door statelijke actoren, cybercriminelen en hacktivisten die gelijktijdig opereren. Cybersecurity-professionals in de regio rapporteren het minste vertrouwen in de verdedigingscapaciteiten van hun overheden vergeleken met collega’s wereldwijd.
5. Geïntegreerd gegevensbeheer is de enige manier om structurele gaten te dichten. Gefragmenteerd toezicht over federale, regionale en derdepartijsystemen creëert precies de omstandigheden die dit datalek mogelijk maakten. Gecentraliseerd inzicht, zero-trust architectuur, geautomatiseerde intrekking van toegang en voortdurende audit logs zijn de basisvereisten om gevoelige data te beschermen binnen complexe overheidsomgevingen.

Het incident, dat op 30 januari 2026 aan het licht kwam, roept dringende vragen op over hoe overheden gevoelige burgergegevens beheren, vooral wanneer die data zich bevindt in verouderde infrastructuur die wordt onderhouden door externe aannemers. En hoewel het Mexicaanse cybersecurity-agentschap snel handelde om de ernst van het datalek te bagatelliseren, zijn de onderliggende problemen die het blootlegt allesbehalve klein.

Dit is wat er gebeurde, waarom het ertoe doet en wat organisaties die op grote schaal gevoelige data verwerken hiervan kunnen leren.

Wat de Chronus Group beweert te hebben gestolen

Een hackerscollectief dat zichzelf de Chronus Group noemt, publiceerde documenten en datasets die volgens hen zijn buitgemaakt uit Mexicaanse overheidssystemen. Volgens berichten omvatten de gelekte gegevens namen, telefoonnummers, fysieke adressen, geboortedata en bewijs van inschrijving in het publieke universele zorgsysteem van Mexico, het Instituto Mexicano del Seguro Social (IMSS) Bienestar.

Als dit klopt, vertegenwoordigen deze gegevens ongeveer 28% van de totale Mexicaanse bevolking, waarmee het een van de meest significante blootstellingen van overheidsdata in de recente geschiedenis van de regio is.

De Chronus Group is een relatief los collectief dat volgens Threat Intelligence-bedrijf Recorded Future sinds minstens 2021 in enige vorm actief is. De groep vervaagt de grens tussen hacktivisme en cybercriminaliteit. Sommige leden hebben databases en inloggegevens verkocht op darkwebfora, terwijl de groep zich ook profileert als een “cyberterrorisme”-organisatie, kennelijk bedoeld om angst en media-aandacht te maximaliseren.

Zoals een analist van Recorded Future uitlegde, is de strategie van de groep doelbewust: “Ze willen FUD verspreiden — fear, uncertainty, and doubt — omdat ze weten dat dat de krantenkoppen haalt.” De analist merkte op dat de kracht van sociale media hun boodschap veel verder verspreidt dan hun werkelijke capaciteiten rechtvaardigen.

De reactie van Mexico: schadebeperking of legitieme inschatting?

Mexico’s Agencia de Transformación Digital y Telecomunicaciones (ATDT), het nationale agentschap voor cybersecurity en digitale technologie, reageerde op de datalekclaims met een beheerste maar stellige weerlegging. Het agentschap stelde dat er geen publicatie van gevoelige data was vastgesteld en dat de informatie een samenstelling leek van data uit eerdere datalekken, niet van een nieuw incident.

Misschien het meest veelzeggend was de omschrijving van de getroffen systemen door het agentschap. De ATDT noemde ze “verouderde systemen ontwikkeld en beheerd door private partijen voor regionale overheidsorganen.” Met andere woorden, de blootgestelde data kwam niet uit de kernsystemen van de overheid die actief worden onderhouden. Ze kwam uit legacy-platforms die gebouwd en beheerd werden door derde partijen die, althans in theorie, niet meer actief in gebruik waren.

Dat onderscheid is belangrijk, maar niet op de manier die de overheid misschien hoopt. Het wijst op een reeks structurele kwetsbaarheden die veel vaker voorkomen en veel gevaarlijker zijn dan één enkel datalek.

Het probleem met derdepartijen is groter dan één incident

De eigen omschrijving van de ATDT van de gecompromitteerde systemen benadrukte onbedoeld een van de meest hardnekkige en onderschatte risico’s in overheids-cybersecurity: het beheer van derdepartijen.

Overheidsinstanties op elk niveau vertrouwen routinematig op externe aannemers voor het bouwen, inzetten en beheren van technologie. Dit geldt vooral op regionaal en gemeentelijk niveau, waar de interne technische capaciteit vaak beperkt is. Het probleem is dat deze relaties vaak niet de governance-structuren hebben die nodig zijn om data op termijn veilig te houden.

De cijfers schetsen een duidelijk beeld. Volgens het Kiteworks 2024 Risk Score Report wisselt bijna 30% van de overheidsinstanties data uit met meer dan 5.000 derde partijen, het hoogste percentage van alle sectoren. Ondertussen zijn datalekken gelinkt aan derdepartijen met 68% gestegen en zijn ze nu goed voor 15% van alle datalekken. Vijfenveertig procent van de grootste datalekken in 2024 had een leverancier- of partnercomponent.

De totale risicoscore van de overheid steeg met 95% tussen 2019 en 2023, van 4,0 naar 7,8 op de schaal van Kiteworks, vooral door kwetsbaarheden bij derde partijen en verouderde infrastructuur.

Wat dit zo gevaarlijk maakt, is het cumulatieve karakter van het probleem. Wanneer een overheidsinstantie een leverancier inschakelt om een systeem te bouwen, krijgt die toegang tot gevoelige data. Als het contract eindigt of het systeem wordt vervangen, blijft die toegang vaak bestaan. Inloggegevens worden niet ingetrokken. Data blijft op servers staan die niemand actief monitort. En omdat het toezicht gefragmenteerd is over federale, regionale en lokale niveaus, is er vaak geen enkele autoriteit die bijhoudt waar gevoelige data zich bevindt of wie er toegang toe heeft.

Waarom “verouderd” niet hetzelfde is als “veilig”

De framing van de ATDT van de getroffen systemen als “verouderd” was waarschijnlijk bedoeld om het publiek gerust te stellen. Maar het onthult een dieper probleem in hoe organisaties omgaan met het beheer van de levenscyclus van data.

Als een systeem echt verouderd is, dus niet meer nodig en niet meer in gebruik, dan zouden de gegevens die het bevat veilig moeten zijn verwijderd of gearchiveerd. Het feit dat hacktivisten 2,3 terabyte uit deze systemen konden halen, suggereert dat ze allesbehalve correct buiten gebruik zijn gesteld.

Dit patroon komt wereldwijd voor bij overheden en grote ondernemingen. Oude databases, fileservers en applicaties worden vervangen door nieuwere systemen, maar de oude worden niet uitgeschakeld. Ze blijven op netwerken met hun oorspronkelijke inloggegevens, vaak vergeten door IT-teams die zich op nieuwe prioriteiten richten. Deze verlaten systemen zijn de makkelijkste doelwitten voor aanvallers omdat ze twee dingen combineren waar hackers dol op zijn: waardevolle data en minimale beveiligingsmonitoring.

Veelvoorkomende fouten bij het buiten gebruik stellen van systemen zijn onder andere legacy-databases die lang na vervanging toegankelijk blijven op het netwerk, inloggegevens van voormalige medewerkers, aannemers en leveranciers die nooit worden ingetrokken, gevoelige data die nooit wordt verwijderd of veilig gearchiveerd, en regionale instanties die systemen inzetten zonder afstemming met federale cybersecurity-toezichthouders.

Elk van deze fouten vormt een gat dat aanvallers kunnen misbruiken, en in het geval van de Mexicaanse overheid lijkt het erop dat de Chronus Group precies dit soort gaten heeft gevonden.

Latijns-Amerika staat voor een escalerende cyberdreiging

Het Mexicaanse datalek vond niet in een vacuüm plaats. Latijns-Amerika is een van de zwaarst getroffen regio’s ter wereld als het gaat om cyberaanvallen, waarbij organisaties gemiddeld 3.065 aanvallen per week te verwerken krijgen.

Het dreigingslandschap is divers en groeit. Statelijke actoren, waaronder de Panda-groepen uit China, richten hun aandacht steeds vaker op de regio. Informatie-stealers en malware die inloggegevens oogsten bereikten eind 2024 hun hoogste detectieniveau in Mexico en buurlanden, volgens ESET, en deze dreigingen nemen nog steeds toe.

Camilo Gutiérrez, ESET’s field CISO voor Latijns-Amerika, omschreef de situatie als volgt: “Het dreigingslandschap waar Mexico mee te maken heeft is frequent, divers en groeiend, bestaande uit zowel traditionele vectoren als nieuwe aanvalsvormen die zich snel ontwikkelen. Dit onderstreept de noodzaak van voortdurende versterking van verdedigings- en detectiemogelijkheden in zowel de publieke als private sector.”

Bovenop de technische dreigingen is er een vertrouwenscrisis. Uit een recent onderzoek blijkt dat Latijns-Amerikaanse cybersecurity-experts het minste vertrouwen hebben in het vermogen van hun organisaties en overheden om hen te beschermen, vergeleken met collega’s elders in de wereld. Dat verlies aan vertrouwen heeft echte gevolgen. Wanneer burgers en bedrijven niet geloven dat hun overheid hun data kan beschermen, zijn ze minder bereid om gebruik te maken van digitale overheidsdiensten, wat de moderniseringsinspanningen die juist de beveiliging zouden moeten verbeteren ondermijnt.

Het draaiboek van hacktivisme: overdrijven, versterken, herhalen

Het is het vermelden waard dat de Chronus Group de ernst van het datalek waarschijnlijk flink heeft overdreven. Dit is een veelgebruikte tactiek onder hacktivistengroepen, vooral die zich vormen rond een specifieke operatie of zaak.

Zoals de analist van Recorded Future aangaf, bundelen deze groepen vaak data uit diverse bronnen, soms door echt nieuwe inbreuken te mengen met eerder gelekte informatie, en presenteren ze de gecombineerde buit als één enorm datalek. Het doel is merkopbouw. Hoe groter het geclaimde lek, hoe meer media-aandacht, hoe meer versterking via sociale media en hoe meer geloofwaardigheid binnen hackgemeenschappen.

ESET’s Gutiérrez omschreef de Chronus Group niet als een technisch complexe dreigingsactor met een duidelijk profiel, maar als “een naam die in fora en lokale rapporten wordt gebruikt om een reeks lekken en dreigingen te groeperen die vooral gericht zijn op Mexicaanse instellingen.” Dit soort losse verbanden is gebruikelijk in de hacktivistenwereld, waar de drempel laag is en de prikkel om te overdrijven groot.

Toch veroorzaken zelfs overdreven claims van datalekken echte schade. Ze ondermijnen het publieke vertrouwen, dwingen overheidsinstanties tot reactief crisismanagement en creëren verwarring over welke data daadwerkelijk risico loopt. Het vermogen om snel feit van fictie te onderscheiden via forensische analyse en uitgebreide logs is essentieel voor elke organisatie die met dit soort claims wordt geconfronteerd.

Hoe Kiteworks uitdagingen als deze aanpakt

De beschuldigingen van het Mexicaanse datalek zijn een schoolvoorbeeld van het soort databeveiligings- en compliance-uitdagingen waarvoor Kiteworks is ontwikkeld. De problemen die centraal staan in dit incident — gefragmenteerd toezicht op derde partijen, verlaten legacy-systemen, niet ingetrokken inloggegevens en een gebrek aan gecentraliseerd gegevensbeheer — zijn precies de gaten die Kiteworks helpt te dichten.

Kiteworks biedt een geïntegreerd platform voor het traceren, beheren en beveiligen van gevoelige data binnen complexe ecosystemen met meerdere partijen. Voor organisaties die te maken hebben met wijdvertakte leveranciersrelaties en gedecentraliseerde infrastructuur zoals bij de Mexicaanse overheid, levert dit platform diverse cruciale mogelijkheden.

Op het gebied van risicobeheer bij derde partijen stelt Kiteworks organisaties in staat om uitgebreide logs bij te houden van alle toegang door derden tot gevoelige data. Granulaire rolgebaseerde en op attributen gebaseerde toegangscontrole zorgt ervoor dat leveranciers alleen toegang hebben tot de data die ze nodig hebben voor hun specifieke rol. Wanneer een contract eindigt of een systeem buiten gebruik wordt gesteld, zorgt geautomatiseerde intrekking van toegang ervoor dat inloggegevens niet eindeloos blijven bestaan. Continue monitoring biedt realtime waarschuwingen bij afwijkend gedrag, zoals bulkdownloads of toegang vanaf onverwachte locaties.

Voor governance van legacy-systemen integreert Kiteworks Data Security Posture Management (DSPM)-mogelijkheden die organisaties helpen gevoelige data te ontdekken en te classificeren in alle repositories, inclusief systemen die als verouderd zijn aangemerkt maar nog steeds toegankelijke data bevatten. Dit soort inzicht ontbrak precies bij de Mexicaanse overheid, waar “verouderde” systemen nog terabytes aan burgerdata bevatten zonder voldoende monitoring of toegangscontrole.

Wanneer incidenten zich voordoen, biedt Kiteworks de forensische infrastructuur die nodig is voor een snelle en effectieve respons. Onveranderlijke logs creëren een duidelijke chain of custody die laat zien wie welke data heeft benaderd, wanneer en vanaf waar. SIEM-integratie maakt realtime monitoring en geautomatiseerde waarschuwingen mogelijk. En het vermogen om snel gecompromitteerde inloggegevens in alle gekoppelde systemen in te trekken, helpt schade te beperken voordat deze zich verspreidt.

Misschien wel het belangrijkste voor overheidsinstanties: Kiteworks ondersteunt het soort transparantie dat publiek vertrouwen opbouwt en behoudt. De initiële reactie van de ATDT op de claims van de Chronus Group was adequaat qua snelheid en directheid. Maar dat vertrouwen vasthouden vereist blijvend inzicht in hoe data wordt beschermd, wie er toegang toe heeft en welke stappen worden genomen om toekomstige incidenten te voorkomen. De gecentraliseerde governance- en rapportagemogelijkheden van Kiteworks maken dat niveau van transparantie operationeel haalbaar in plaats van slechts een streven.

Wat elke organisatie hiervan moet leren

De beschuldigingen van het Mexicaanse datalek, of ze nu zo ernstig blijken als geclaimd of grotendeels om gerecyclede data gaan, bevatten lessen die verder reiken dan Mexico of zelfs Latijns-Amerika.

Derdepartijleveranciers vormen het grootste aanvalsoppervlak voor de meeste overheidsinstanties, en de meeste organisaties missen het inzicht en de governance-structuren om dat risico effectief te beheren. Legacy-systemen worden niet veilig alleen omdat iemand ze als verouderd bestempelt. Ze worden pas veilig als de data die ze bevatten correct is verwijderd, toegang is ingetrokken en monitoring aanwezig is om ongeautoriseerde activiteiten te detecteren. Hacktivistengroepen hebben geleerd dat de perceptie van een enorm datalek bijna net zo schadelijk kan zijn als het lek zelf, wat betekent dat organisaties forensische mogelijkheden nodig hebben om snel en geloofwaardig te beoordelen wat er is gebeurd.

En bij al deze uitdagingen is de rode draad de noodzaak van geïntegreerd gegevensbeheer dat federale, regionale en derdepartijsystemen overstijgt, zodat securityteams één duidelijk beeld hebben van waar gevoelige data zich bevindt, wie er toegang toe heeft en wat er op elk moment mee gebeurt.

De organisaties die nu in deze mogelijkheden investeren, zijn het best gepositioneerd om het volgende datalek te doorstaan — of dat nu komt van hacktivisten die krantenkoppen zoeken, statelijke actoren met strategische doelen of cybercriminelen die uit zijn op financieel gewin. Wie dat niet doet, belandt in dezelfde positie als de Mexicaanse overheid: achteraf proberen te achterhalen wat er is gecompromitteerd, terwijl men het publiek probeert gerust te stellen dat het vertrouwen al aan het verliezen is.