Vazamento de dados de DoorDash

Os tipos de dados verificados no registro da DoorDash são endereços de e-mail, nomes, números de telefone, endereços de entrega ou códigos postais, informações básicas de pedidos e dados parciais de cartões de pagamento. A combinação de e-mail, nome e número de telefone torna mais convincentes as mensagens de falso suporte, as notificações sobre problemas de entrega ou as solicitações de verificação de conta. O endereço de entrega e o código postal fornecem contexto sobre a região onde a pessoa mora ou costuma fazer pedidos. Embora esse contexto, por si só, não constitua um roubo completo de identidade, ele facilita a personalização de mensagens fraudulentas.

Embora sejam limitadas, as informações parciais de cartões não são irrelevantes. O tipo de cartão e os últimos quatro dígitos podem ser usados indevidamente em uma conversa com um falso serviço de atendimento para conquistar a confiança do usuário. Como o número completo do cartão ou a conta bancária não estão disponíveis, não é possível estabelecer, com base neste registro, o risco de retirada direta de dinheiro por meio do cartão; no entanto, é possível esperar mensagens que tentem convencer o usuário a fornecer informações adicionais. Se informações básicas de pedidos tiverem sido acessadas para um grupo menor, abordagens falsas envolvendo devoluções, entregas não recebidas, cupons ou ajustes de taxas podem parecer mais realistas.

O incidente verificado corresponde ao período de agosto de 2022 e está ligado a uma campanha de phishing que começou pela rede de fornecedores. A DoorDash afirmou que, após perceber uma atividade incomum, desativou o acesso do fornecedor e conteve o incidente. O número de pessoas afetadas consta neste relatório como 367.476 endereços de e-mail pessoais únicos. O comunicado oficial não afirma que todos os usuários da DoorDash foram afetados; ele indica que foram afetados dados de uma pequena porcentagem deles. Os campos de dados afetados também podem variar de uma pessoa para outra.

Esses limites são especialmente importantes. Neste incidente, senhas, números completos de cartões de pagamento, números de contas bancárias, números de seguridade social (Social Security) e números de seguro social (Social Insurance) não foram relatados entre os dados acessados. Portanto, não se deve tratar a situação do usuário como se houvesse um vazamento de senha ou dos dados completos do cartão. Os dados parciais de cartões se referem apenas a identificadores limitados. Além disso, este registro não corresponde ao incidente da DoorDash de 2019, que envolveu aproximadamente 4,9 milhões de pessoas; o incidente de 2022 envolvendo o fornecedor tem um escopo menor, mas exige atenção como um vazamento distinto, devido ao contexto de entregas e de informações parciais de pagamento.

O grupo de maior risco é formado por consumidores cujas informações eram mantidas pela DoorDash em 2022 e que receberam uma notificação relacionada ao incidente. Pessoas com número de telefone e endereço de entrega entre os dados podem ser alvo de mensagens de falsos entregadores, falsos atendentes ou sobre reembolsos de pedidos. Para os usuários do grupo menor com dados parciais de cartões ou informações básicas de pedidos, as mensagens podem ser mais convincentes, pois o invasor pode tentar dar credibilidade à conversa usando detalhes como os últimos quatro dígitos do cartão ou o contexto de pedidos anteriores.

Os entregadores conhecidos como Dashers também podem fazer parte do incidente. O comunicado oficial indicou que o nome, o número de telefone ou o endereço de e-mail desse grupo podem ter sido afetados. Essas pessoas podem ser alvo de mensagens falsas sobre pagamentos, transferências de ganhos ou verificação de conta, ou de ligações de falsos representantes do suporte. Os dados de restaurantes e fornecedores não são o foco principal deste registro; no entanto, devido às diferentes funções no ecossistema da DoorDash, os usuários devem verificar com cuidado a qual tipo de conta a mensagem se refere. O vazamento de dados da DoorDash aumenta especialmente o risco de engenharia social por telefone e mensagens de texto.

Não clique em links de e-mails ou mensagens de texto inesperados sobre a DoorDash, tenha cautela com ligações inesperadas sobre o assunto e não compartilhe códigos de uso único. Mensagens que aleguem tratar de endereço de entrega, devolução de pedidos, verificação de conta ou correções de pagamento devem ser verificadas diretamente pelo aplicativo oficial ou pela conta no site. Não confie em quem liga apenas porque essa pessoa conhece informações parciais do cartão; equipes legítimas de suporte não devem pedir o número completo do cartão, a conta bancária, a senha ou um código de verificação de uso único.

Usar uma senha forte e exclusiva na sua conta da DoorDash continua sendo uma boa medida de segurança; no entanto, como não houve relato de acesso a senhas neste incidente, a principal medida urgente é ter cautela diante do risco de engenharia social. Se houver aumento de spam na linha telefônica, use filtros tanto no aparelho quanto na operadora. Continue monitorando transações incomuns nas faturas do cartão como um hábito geral de segurança; no entanto, o escopo verificado deste registro não inclui números completos de cartões nem contas bancárias. Solicitações de transferência de ganhos, alterações de conta bancária ou ligações de suporte destinadas a Dashers devem passar por uma verificação adicional.

A longo prazo, revise regularmente os endereços, números de telefone e informações sobre formas de pagamento mantidos em contas de entrega e de compras. Exclua endereços que não são mais usados, remova formas de pagamento desnecessárias e prefira endereços de e-mail separados do principal para contas usadas em campanhas promocionais. Não use o mesmo padrão de senha em diferentes plataformas de entrega. Proteja bem a conta de e-mail, pois os links de recuperação de contas de entrega costumam chegar por e-mail.

Do ponto de vista empresarial, o incidente da DoorDash mostra que o acesso de fornecedores terceirizados representa um risco direto para os dados dos clientes. Para fornecedores, são necessários o princípio do menor privilégio, acesso temporário, autenticação forte, alertas de acesso incomum e verificação de funcionários resistente a phishing. As plataformas de entrega devem proteger os dados dos usuários não apenas em seus próprios sistemas, mas também nos fornecedores que utilizam. Mesmo que os dados parciais de cartões e de pedidos pareçam limitados, o impacto sobre a confiança dos clientes e o risco de fraude é significativo.

Se você encontrar uma correspondência neste registro, seu endereço de e-mail pode ter sido encontrado entre os 367.476 e-mails únicos associados ao vazamento de dados da DoorDash de 2022. Uma correspondência não significa que sua senha ou o número completo do seu cartão tenham sido vazados. No entanto, ela indica que campos como nome, e-mail, telefone e endereço de entrega, ou informações básicas de pedidos e dados parciais de cartões de um grupo menor, podem representar um risco. O primeiro passo é verificar sua conta da DoorDash pelo canal oficial e desconfiar de mensagens inesperadas.

Seu endereço de entrega, número de telefone ou detalhes parciais de pagamento podem ser usados em uma mensagem fraudulenta. Portanto, não forneça códigos de uso único, números completos de cartões, informações bancárias ou senhas a ninguém que se apresente como representante do suporte. Solicitações de transferência de ganhos e de verificação de conta destinadas a Dashers devem ser verificadas diretamente no aplicativo oficial. A resposta adequada a um vazamento de dados da DoorDash é reconhecer que os campos de dados verificados, provenientes do fornecedor, podem ser usados em engenharia social, sem exagerar o incidente como se fosse um vazamento completo de dados financeiros, e reforçar a segurança da conta e das comunicações.