Filtración de datos de Yandex Food
La filtración de datos de Yandex Food de 2022 consistió en la publicación en línea de números de teléfono de clientes e información sobre sus pedidos tras las acciones no autorizadas de un empleado.
Tipos de datos expuestos
11- Nombres
- Direcciones de correo electrónico
- Números de teléfono
- Direcciones físicas
- Order histories
- Instrucciones de entrega
- Ubicaciones geográficas
- Purchase amounts
- Identificadores de usuario
- Información de dispositivos
- Timestamps
Acerca de esta brecha de datos
El equipo de seguridad de Yandex Food hizo público el incidente el 1 de marzo de 2022 y afirmó que había informado del acceso no autorizado a las autoridades policiales.
¿Qué ocurrió en la filtración de Yandex Food?
Yandex atribuyó la publicación de la información al uso indebido por parte de un empleado. La empresa afirmó que reduciría el número de empleados con acceso a la información de los pedidos, eliminaría el procesamiento manual y equipararía las medidas de protección de esos datos con los controles utilizados para la información de pagos y cuentas.
Más adelante, en marzo de 2022, la información también quedó expuesta a través de un mapa que permitía realizar búsquedas. El regulador ruso de las comunicaciones, Roskomnadzor, bloqueó el acceso y abrió un expediente administrativo. Las fuentes públicas no especifican la fecha exacta del acceso no autorizado, por lo que la fecha que figura en el catálogo es el 1 de marzo de 2022, cuando la empresa confirmó el incidente.
¿Qué información se vio afectada?
Los datos podían incluir nombres, números de teléfono, algunas direcciones de correo electrónico, direcciones de entrega, contenido y horas de los pedidos, instrucciones de entrega, coordenadas de ubicación, importes de los pedidos, identificadores de usuario de Yandex Food e información sobre dispositivos o navegadores.
El comunicado oficial de Yandex indica que la información bancaria y de pagos, los datos de inicio de sesión de las cuentas y las contraseñas no se vieron afectados. Bellingcat verificó de forma independiente la autenticidad del conjunto de datos filtrado y también aclaró que no contenía contraseñas.
¿Cuántas personas se vieron afectadas?
The Verge, citando a Reuters, informó que aproximadamente 58 000 usuarios se vieron afectados.
¿Qué deberían hacer los usuarios afectados?
La combinación de direcciones, números de teléfono e historial de pedidos puede aumentar el riesgo de phishing dirigido, mensajes de entrega falsos, acoso y amenazas a la seguridad física. Los usuarios deberían actuar con cautela ante solicitudes inesperadas de pagos, códigos de verificación o información personal que supuestamente procedan de Yandex Food o de un repartidor.
Aunque, según lo comunicado, las contraseñas no se vieron afectadas por el incidente, los usuarios deberían revisar las alertas inesperadas de inicio de sesión y utilizar una contraseña única junto con autenticación multifactor. Quienes hayan incluido detalles sensibles en sus instrucciones de entrega deberían considerar cómo podría utilizarse indebidamente esa información.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
