Чем опасны утечки данных сервисов доставки еды

Данные могут утечь у компаний, работающих в совершенно разных отраслях. Одни утечки содержат больше информации, другие меньше. Иногда может казаться, что в очередной опубликованной базе нет ничего критического. Но можно ли считать такую утечку абсолютно безопасной? Давайте посмотрим на примере сервисов доставки еды.Специалисты «Лаборатории Касперского» проанализировали случаи утечек данных в России за прошлый год и обнаружили, что 12% инцидентов, связанных с утечками пользовательских данных, произошли именно в организациях категории «Рестораны и доставка еды». Из-за них в публичный доступ попали в общей сложности почти 14 миллионов пользовательских данных. На первый взгляд, в подобных базах нет каких-то сверхчувствительных данных (банковских или паспортных), но в реальности эти утечки могут доставить много неприятностей и бизнесам, и их клиентам.

Что за данные присутствуют в утечках

Для начала следует уточнить, что в утечках из сервисов доставки маловероятно найти данные банковских карт — просто потому, что подобные организации не имеют с ними дела. Как правило, у них подключен платежный шлюз, этим шлюзом управляет банк-эквайер, номер карты вбивается на странице банка, и мерчант (поставщик услуги) не то что не хранит его, он его вообще не видит. Даже если при оплате пользователь соглашается привязать карту, это происходит на стороне банка, а мерчант только получает идентификатор «биндинга».

Тем не менее утечки из сервисов доставки еды опасны — как правило, даже более, чем утечки из маркетплейсов. Дело в том, что заказ с маркетплейса можно получить в пункте выдачи или на почте, а заказ еды, очевидно, всегда доставляется по фактическому активному адресу проживания (или как минимум частого присутствия) клиента. И это уже серьезно: перед нами буквально персональные данные, позволяющие надежно связать человека, его номер телефона и физический адрес, а также получить некоторое представление о его достатке и поведенческих паттернах.

Чем такие утечки грозят клиентам

Понятно, что ничего хорошего в том, что подобные информационные связки про человека оказываются в открытом доступе, нет. Можно рассмотреть несколько возможных негативных последствий:

• У злоумышленников есть информация о том, где живет человек, сколько он тратит на доставку еды, когда он ее заказывает, а какие дни, как правило, пропускает. В принципе, это может быть хорошей начальной базой для вора-домушника.
• Могут возникнуть неожиданные бытовые проблемы. Так, летом в соцсетях ходила история про девушку, которая, изучив базу, обнаружила, что ее молодой человек регулярно заказывал пиццу на домашний адрес ее подруги… В общем, закончилось все печально.
• Подобные утечки — готовые базы для маркетинговых исследований, позволяющие составить портрет потребителя и заваливать его таргетированным спамом по известному почтовому адресу.
• В базах встречаются не только квартиры, но и офисы. А это значит, что злоумышленник может попробовать применить социальную инженерию, чтобы через клиента сервиса доставки проникнуть во внутреннюю сеть организации. Например, позвонить и рассказать, что человек выиграл приз как активный клиент и ему выслан подарок, которым по факту оказывается пресловутая флешка с вредоносом. Поскольку человек — настоящий клиент службы доставки, у него будет мало поводов подозревать дурное, особенно если флешку доставит курьер в форме.

Чем такие утечки грозят бизнесу

Очевидно, что для бизнеса подобные утечки — форс-мажор, несущий в себе множество рисков:

• Репутационные. Об утечках быстро становится известно, потому что базы неизбежно появляются где-нибудь в дарквебе; поэтому, как правило, сами компании стараются сообщить о них первыми. Но подобная открытость не слишком помогает — инциденты с безопасностью неизбежно приводят к недоверию со стороны клиентов и партнеров.
• Регуляторные. Регуляторы всегда готовы оштрафовать бизнес за нарушение законодательства в области защиты персональных данных. Суммы штрафа, конечно, зависят от юрисдикции, причем роль может играть не только регион, где компания зарегистрирована, но и география проживания клиентов. Например, под действие GDPR подпадает любая компания, предоставляющая услуги европейским клиентам.
• Материальные. Клиенты все чаще объединяются для подачи коллективных исков в случае утечки их данных, и суды начинают вставать на их сторону. Опять же, суммы исков небольшие, но растут из-за увеличивающегося количества готовых судиться граждан.

Что с этим делать?

Выбор действий клиента, к сожалению, невелик, особенно если он не готов полностью отказаться от сервисов доставки. В целом стоит осознать, что утечки — это неизбежный риск; они были, есть и, скорее всего, будут, а значит, этот риск надо оценить и постараться нивелировать его последствия. Например, заказывать доставку товаров в пункты выдачи, а не домой. Обратить внимание на галочки в интерфейсе — возможно, в нем можно запретить хранить в базе ваш домашний адрес и телефон.

У бизнеса возможностей больше, они давно известны, но, к сожалению, не всегда применяются в полной мере. Например, стоит предпринять следующее:

• ограничивать доступ сотрудников к внутренним базам с персональными данными;
• периодически проводить аудит систем безопасности;
• не хранить в базе лишние персональные данные, давать клиентам возможность выбирать, что именно они готовы доверить бизнесу, а что надо удалить сразу по завершении заказа;
• тщательно следить за происходящим в вашей инфраструктуре при помощи сервисов класса MDR.