Fuite de données chez Yandex Food
La fuite de données de 2022 chez Yandex Food a entraîné la publication en ligne de numéros de téléphone de clients et d’informations sur leurs commandes, à la suite d’actions non autorisées d’un employé.
Types de données exposées
11- Noms
- Adresses e-mail
- Numéros de téléphone
- Adresses physiques
- Order histories
- Instructions de livraison
- Localisations géographiques
- Purchase amounts
- Identifiants utilisateur
- Informations sur les appareils
- Timestamps
À propos de cette fuite de données
L’équipe de sécurité de Yandex Food a annoncé publiquement l’incident le 1er mars 2022 et a déclaré avoir signalé l’accès non autorisé aux forces de l’ordre.
Que s’est-il passé lors de la fuite de données chez Yandex Food ?
Yandex a attribué la publication de ces informations à un abus de la part d’un employé. L’entreprise a indiqué qu’elle réduirait le nombre d’employés ayant accès aux informations sur les commandes, supprimerait le traitement manuel et alignerait les mesures de protection de ces données sur celles utilisées pour les informations de paiement et de compte.
Plus tard en mars 2022, ces informations ont également été exposées sur une carte permettant d’effectuer des recherches. L’autorité russe de régulation des communications, Roskomnadzor, en a bloqué l’accès et a ouvert une procédure administrative. Les sources publiques ne précisent pas la date exacte de l’accès non autorisé. La date retenue dans le catalogue est donc le 1er mars 2022, jour où l’entreprise a confirmé l’incident.
Quelles informations ont été touchées ?
Les données pouvaient comprendre des noms, des numéros de téléphone, certaines adresses e-mail, des adresses de livraison, le contenu et les horaires des commandes, des consignes de livraison, des coordonnées géographiques, les montants des commandes, les identifiants des utilisateurs de Yandex Food et des informations sur les appareils ou les navigateurs.
Selon la déclaration officielle de Yandex, les informations bancaires et de paiement, les identifiants de connexion aux comptes et les mots de passe n’ont pas été touchés. Bellingcat a authentifié de manière indépendante le jeu de données divulgué et a également précisé qu’il ne contenait pas de mots de passe.
Combien de personnes ont été touchées ?
The Verge, citant Reuters, a rapporté qu’environ 58 000 utilisateurs avaient été touchés.
Que doivent faire les utilisateurs concernés ?
La combinaison des adresses, des numéros de téléphone et de l’historique des commandes peut accroître les risques d’hameçonnage ciblé, de faux messages de livraison, de harcèlement et de menaces pour la sécurité physique. Méfiez-vous des demandes inattendues de paiement, de codes de vérification ou d’informations personnelles qui prétendent provenir de Yandex Food ou d’un livreur.
Selon les informations rapportées, les mots de passe n’ont pas été touchés par l’incident. Vous devriez néanmoins examiner les alertes de connexion inattendues et utiliser un mot de passe unique avec une authentification multifacteur. Si vos consignes de livraison contenaient des détails sensibles, réfléchissez à la manière dont ces informations pourraient être utilisées à mauvais escient.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
