Базы сервисов доставки не содержат платежной информации, тем не менее те данные, которые там есть, тоже могут представлять серьезную проблему в случае утечки.
Данные могут утечь у компаний, работающих в совершенно разных отраслях. Одни утечки содержат больше информации, другие меньше. Иногда может казаться, что в очередной опубликованной базе нет ничего критического. Но можно ли считать такую утечку абсолютно безопасной? Давайте посмотрим на примере сервисов доставки еды.
Специалисты «Лаборатории Касперского» проанализировали случаи утечек данных в России за прошлый год и обнаружили, что 12% инцидентов, связанных с утечками пользовательских данных, произошли именно в организациях категории «Рестораны и доставка еды». Из-за них в публичный доступ попали в общей сложности почти 14 миллионов пользовательских данных. На первый взгляд, в подобных базах нет каких-то сверхчувствительных данных (банковских или паспортных), но в реальности эти утечки могут доставить много неприятностей и бизнесам, и их клиентам.
Что за данные присутствуют в утечках
Для начала следует уточнить, что в утечках из сервисов доставки маловероятно найти данные банковских карт — просто потому, что подобные организации не имеют с ними дела. Как правило, у них подключен платежный шлюз, этим шлюзом управляет банк-эквайер, номер карты вбивается на странице банка, и мерчант (поставщик услуги) не то что не хранит его, он его вообще не видит. Даже если при оплате пользователь соглашается привязать карту, это происходит на стороне банка, а мерчант только получает идентификатор «биндинга».
Тем не менее утечки из сервисов доставки еды опасны — как правило, даже более, чем утечки из маркетплейсов. Дело в том, что заказ с маркетплейса можно получить в пункте выдачи или на почте, а заказ еды, очевидно, всегда доставляется по фактическому активному адресу проживания (или как минимум частого присутствия) клиента. И это уже серьезно: перед нами буквально персональные данные, позволяющие надежно связать человека, его номер телефона и физический адрес, а также получить некоторое представление о его достатке и поведенческих паттернах.
Чем такие утечки грозят клиентам
Понятно, что ничего хорошего в том, что подобные информационные связки про человека оказываются в открытом доступе, нет. Можно рассмотреть несколько возможных негативных последствий:
- У злоумышленников есть информация о том, где живет человек, сколько он тратит на доставку еды, когда он ее заказывает, а какие дни, как правило, пропускает. В принципе, это может быть хорошей начальной базой для вора-домушника.
- Могут возникнуть неожиданные бытовые проблемы. Так, летом в соцсетях ходила история про девушку, которая, изучив базу, обнаружила, что ее молодой человек регулярно заказывал пиццу на домашний адрес ее подруги… В общем, закончилось все печально.
- Подобные утечки — готовые базы для маркетинговых исследований, позволяющие составить портрет потребителя и заваливать его таргетированным спамом по известному почтовому адресу.
- В базах встречаются не только квартиры, но и офисы. А это значит, что злоумышленник может попробовать применить социальную инженерию, чтобы через клиента сервиса доставки проникнуть во внутреннюю сеть организации. Например, позвонить и рассказать, что человек выиграл приз как активный клиент и ему выслан подарок, которым по факту оказывается пресловутая флешка с вредоносом. Поскольку человек — настоящий клиент службы доставки, у него будет мало поводов подозревать дурное, особенно если флешку доставит курьер в форме.
Чем такие утечки грозят бизнесу
Очевидно, что для бизнеса подобные утечки — форс-мажор, несущий в себе множество рисков:
- Репутационные. Об утечках быстро становится известно, потому что базы неизбежно появляются где-нибудь в дарквебе; поэтому, как правило, сами компании стараются сообщить о них первыми. Но подобная открытость не слишком помогает — инциденты с безопасностью неизбежно приводят к недоверию со стороны клиентов и партнеров.
- Регуляторные. Регуляторы всегда готовы оштрафовать бизнес за нарушение законодательства в области защиты персональных данных. Суммы штрафа, конечно, зависят от юрисдикции, причем роль может играть не только регион, где компания зарегистрирована, но и география проживания клиентов. Например, под действие GDPR подпадает любая компания, предоставляющая услуги европейским клиентам.
- Материальные. Клиенты все чаще объединяются для подачи коллективных исков в случае утечки их данных, и суды начинают вставать на их сторону. Опять же, суммы исков небольшие, но растут из-за увеличивающегося количества готовых судиться граждан.
Что с этим делать?
Выбор действий клиента, к сожалению, невелик, особенно если он не готов полностью отказаться от сервисов доставки. В целом стоит осознать, что утечки — это неизбежный риск; они были, есть и, скорее всего, будут, а значит, этот риск надо оценить и постараться нивелировать его последствия. Например, заказывать доставку товаров в пункты выдачи, а не домой. Обратить внимание на галочки в интерфейсе — возможно, в нем можно запретить хранить в базе ваш домашний адрес и телефон.
У бизнеса возможностей больше, они давно известны, но, к сожалению, не всегда применяются в полной мере. Например, стоит предпринять следующее:
- ограничивать доступ сотрудников к внутренним базам с персональными данными;
- периодически проводить аудит систем безопасности;
- не хранить в базе лишние персональные данные, давать клиентам возможность выбирать, что именно они готовы доверить бизнесу, а что надо удалить сразу по завершении заказа;
Больше подробностей про обнаруженные в 2022 году утечки данных вы можете получить в нашем отчете.
