Доставка еды и ритейл — лидеры по объему утечек пользовательских данных в 2022 году

По данным аналитического отчета «Лаборатории Касперского», в 2022 году обнаружено 168 случаев публикаций значимых баз данных, относящихся к российским компаниям. Если распределить утечки равномерно в течение года, выяснится, что практически каждый второй день в свободный доступ выкладывалась информация, затрагивающая российских пользователей интернета. Если мартовская активность связана в первую очередь с массовыми взломами ресурсов СМИ и служб доставки ресторанов, то август отметился публикацией объемного архива дампов небольших баз данных различных компаний, среди которых присутствовали в том числе значимые утечки.

64% пользовательских данных были скомпрометированы в результате атак именно на крупный бизнес. Представители крупного бизнеса понимают риски, которые могут возникнуть в случае отсутствия организации защиты информации, имеют возможность тратить деньги на развитие систем защиты. Но обладание гигантскими объемами ценных данных, финансовая обеспеченность делают эти компании привлекательной целью злоумышленников, отмечают специалисты «Лаборатории Касперского». В 2022 году, помимо перечисленных факторов, одну из основных ролей сыграл общественный резонанс, возникший после первых крупных утечек данных.

В компании также рассказали, чем могут быть опасны утечки данных сервисов доставки еды. Базы сервисов доставки не содержат платежной информации, тем не менее те данные, которые там есть, тоже могут представлять серьезную проблему в случае утечки.

12% инцидентов, связанных с утечками пользовательских данных, произошли именно в организациях категории «Рестораны и доставка еды». Из-за них в публичный доступ попали в общей сложности почти 14 миллионов пользовательских данных. На первый взгляд, в подобных базах нет каких-то сверхчувствительных данных (банковских или паспортных), но в реальности эти утечки могут доставить много неприятностей и бизнесам, и их клиентам.

В утечках из сервисов доставки маловероятно найти данные банковских карт — просто потому, что подобные организации не имеют с ними дела. Как правило, у них подключен платежный шлюз, этим шлюзом управляет банк-эквайер, номер карты вбивается на странице банка, и мерчант (поставщик услуги) не то что не хранит его, он его вообще не видит. Даже если при оплате пользователь соглашается привязать карту, это происходит на стороне банка, а мерчант только получает идентификатор «биндинга».

Тем не менее утечки из сервисов доставки еды опасны — как правило, даже более, чем утечки из маркетплейсов. Дело в том, что заказ с маркетплейса можно получить в пункте выдачи или на почте, а заказ еды, очевидно, всегда доставляется по фактическому активному адресу проживания (или как минимум частого присутствия) клиента. И это уже серьезно: перед нами буквально персональные данные, позволяющие надежно связать человека, его номер телефона и физический адрес, а также получить некоторое представление о его достатке и поведенческих паттернах.

Можно рассмотреть несколько возможных негативных последствий:

• У злоумышленников есть информация о том, где живет человек, сколько он тратит на доставку еды, когда он ее заказывает, а какие дни, как правило, пропускает. В принципе, это может быть хорошей начальной базой для вора-домушника.

• Могут возникнуть неожиданные бытовые проблемы. Так, летом в соцсетях ходила история про девушку, которая, изучив базу, обнаружила, что ее молодой человек регулярно заказывал пиццу на домашний адрес ее подруги… В общем, закончилось все печально.

• Подобные утечки — готовые базы для маркетинговых исследований, позволяющие составить портрет потребителя и заваливать его таргетированным спамом по известному почтовому адресу.

• В базах встречаются не только квартиры, но и офисы. А это значит, что злоумышленник может попробовать применить социальную инженерию, чтобы через клиента сервиса доставки проникнуть во внутреннюю сеть организации. Например, позвонить и рассказать, что человек выиграл приз как активный клиент и ему выслан подарок, которым по факту оказывается пресловутая флешка с вредоносом. Поскольку человек — настоящий клиент службы доставки, у него будет мало поводов подозревать дурное, особенно если флешку доставит курьер в форме.

Очевидно, что для бизнеса подобные утечки — форс-мажор, несущий в себе множество рисков:

Репутационные. Об утечках быстро становится известно, потому что базы неизбежно появляются где-нибудь в дарквебе; поэтому, как правило, сами компании стараются сообщить о них первыми. Но подобная открытость не слишком помогает — инциденты с безопасностью неизбежно приводят к недоверию со стороны клиентов и партнеров.

Регуляторные. Регуляторы всегда готовы оштрафовать бизнес за нарушение законодательства в области защиты персональных данных. Суммы штрафа, конечно, зависят от юрисдикции, причем роль может играть не только регион, где компания зарегистрирована, но и география проживания клиентов. Например, под действие GDPR подпадает любая компания, предоставляющая услуги европейским клиентам.

Материальные. Клиенты все чаще объединяются для подачи коллективных исков в случае утечки их данных, и суды начинают вставать на их сторону. Опять же, суммы исков небольшие, но растут из-за увеличивающегося количества готовых судиться граждан.

Что с этим делать?

Выбор действий клиента, к сожалению, невелик, особенно если он не готов полностью отказаться от сервисов доставки. В целом стоит осознать, что утечки — это неизбежный риск; они были, есть и, скорее всего, будут, а значит, этот риск надо оценить и постараться нивелировать его последствия. Например, заказывать доставку товаров в пункты выдачи, а не домой. Обратить внимание на галочки в интерфейсе — возможно, в нем можно запретить хранить в базе ваш домашний адрес и телефон.

У бизнеса возможностей больше, они давно известны, но, к сожалению, не всегда применяются в полной мере. Например, стоит предпринять следующее:

• ограничивать доступ сотрудников к внутренним базам с персональными данными;

• периодически проводить аудит систем безопасности;

• не хранить в базе лишние персональные данные, давать клиентам возможность выбирать, что именно они готовы доверить бизнесу, а что надо удалить сразу по завершении заказа;

• тщательно следить за происходящим в вашей инфраструктуре при помощи сервисов класса MDR.