Утечка данных DoorDash

В записи DoorDash подтверждены следующие типы данных: адреса электронной почты, имена, номера телефонов, адреса доставки или почтовые индексы, основные сведения о заказах и частичные данные платёжных карт. Сочетание адреса электронной почты, имени и номера телефона делает поддельные сообщения от службы поддержки, уведомления о проблемах с доставкой и запросы на подтверждение аккаунта более убедительными. Адрес доставки и почтовый индекс дают представление о районе, где человек живёт или часто заказывает доставку. Сами по себе эти сведения не означают полноценной кражи личности, но позволяют персонализировать мошеннические сообщения.

Хотя частичные данные карты ограничены, они не бесполезны для злоумышленника. Тип карты и последние четыре цифры могут использоваться в разговоре с поддельной службой поддержки, чтобы завоевать доверие пользователя. Поскольку полного номера карты или сведений о банковском счёте в записи нет, она не позволяет установить риск прямого списания средств с карты. Однако можно ожидать сообщений с попытками убедить пользователя предоставить дополнительные сведения. Если злоумышленник получил доступ к основным сведениям о заказах небольшой группы пользователей, мошеннические обращения по поводу возврата, недоставленного заказа, купона или корректировки оплаты могут выглядеть правдоподобнее.

Подтверждённый инцидент относится к августу 2022 года и связан с фишинговой кампанией, начавшейся через сеть поставщиков. DoorDash заявила, что, заметив необычную активность, отключила доступ поставщика и локализовала инцидент. В этом отчёте число пострадавших представлено как 367 476 уникальных личных адресов электронной почты. В официальном заявлении не говорится, что пострадали все пользователи DoorDash: указано, что инцидент затронул данные небольшой доли пользователей. Набор затронутых данных также может различаться у разных людей.

Особенно важно учитывать ограничения. В этом инциденте не сообщалось о доступе к паролям, полным номерам платёжных карт, номерам банковских счетов, номерам социального обеспечения (Social Security) и социального страхования (Social Insurance). Поэтому нельзя исходить из того, что у пользователя утёк пароль или полные данные карты. Частичные данные карты, это лишь ограниченный набор её идентификаторов. Кроме того, эта запись не относится к инциденту DoorDash 2019 года, затронувшему примерно 4,9 миллиона человек. Инцидент на стороне поставщика в 2022 году имел меньший охват, но как отдельная утечка требует внимания из-за связи данных с доставкой и частичными платёжными сведениями.

В группу наибольшего риска входят потребители, чьи сведения хранились у DoorDash в 2022 году и которые получили уведомление об инциденте. Людям, чьи номера телефонов и адреса доставки оказались затронуты, могут поступать сообщения от людей, выдающих себя за курьеров, или от поддельных служб поддержки, а также сообщения о возврате денег за заказ. Для пользователей из небольшой группы, у которой были затронуты частичные данные карт или основные сведения о заказах, такие сообщения могут быть убедительнее: злоумышленник может попытаться придать разговору достоверность, упомянув последние четыре цифры карты или детали прошлых заказов.

Инцидент также мог затронуть курьеров, известных как Dashers. В официальном заявлении указано, что у этой группы могли быть затронуты имена, номера телефонов или адреса электронной почты. Эти люди могут стать мишенью поддельных сообщений о выплатах, переводе заработка или подтверждении аккаунта, а также звонков от мнимых представителей службы поддержки. Данные ресторанов и поставщиков не являются основным предметом этой записи. Однако из-за различий между ролями в экосистеме DoorDash пользователям следует внимательно проверять, к какому типу аккаунта относится сообщение. Утечка данных DoorDash особенно повышает риск социальной инженерии через телефонные звонки и текстовые сообщения.

Не переходите по ссылкам в неожиданных электронных письмах и текстовых сообщениях, связанных с DoorDash, с осторожностью относитесь к неожиданным звонкам и не сообщайте одноразовые коды. Сообщения якобы об адресе доставки, возврате заказа, подтверждении аккаунта или корректировке платежа следует проверять непосредственно в официальном приложении или в аккаунте на сайте. Не доверяйте звонящему только потому, что он знает частичные данные карты: настоящие сотрудники поддержки не должны запрашивать полный номер карты, сведения о банковском счёте, пароль или одноразовый код подтверждения.

Надёжный уникальный пароль для аккаунта DoorDash по-прежнему остаётся полезной мерой безопасности. Однако, поскольку в этом инциденте о доступе к паролям не сообщалось, главная неотложная мера, осторожность в отношении социальной инженерии. Если количество спама на вашем номере телефона увеличилось, следует использовать фильтрацию на уровне устройства и оператора. Проверять выписки по карте на необычные операции стоит постоянно, как общую меру безопасности, но подтверждённый охват этой записи не включает полные номера карт или банковские счета. Запросы на перевод заработка, изменение банковского счёта и звонки от службы поддержки для Dashers следует дополнительно проверять.

В долгосрочной перспективе следует регулярно проверять адреса, номера телефонов и сведения о способах оплаты, сохранённые в аккаунтах сервисов доставки и покупок. Неиспользуемые адреса и ненужные способы оплаты следует удалять, а для аккаунтов, используемых для участия в акциях, лучше выбирать отдельные адреса электронной почты, а не основной. Не следует использовать один и тот же шаблон пароля на разных платформах доставки. Электронную почту необходимо надёжно защищать, поскольку ссылки для восстановления доступа к аккаунтам сервисов доставки часто приходят именно туда.

Для компаний инцидент DoorDash показывает, что доступ сторонних поставщиков создаёт прямой риск для данных клиентов. В работе с поставщиками необходимы принцип минимальных привилегий, временный доступ, надёжная аутентификация, уведомления о необычном доступе и устойчивая к фишингу проверка личности сотрудников. Платформы доставки должны защищать данные пользователей не только в собственных системах, но и при взаимодействии с поставщиками. Даже если частичные данные карт и сведения о заказах кажутся ограниченными, их влияние на доверие клиентов и риск мошенничества существенно.

Если в этой записи найдено совпадение с вашими данными, ваш адрес электронной почты мог оказаться среди 367 476 уникальных адресов, связанных с утечкой данных DoorDash 2022 года. Совпадение не означает, что ваш пароль или полный номер карты утёк. Однако оно указывает на возможный риск, связанный с такими данными, как имя, адрес электронной почты, телефон, адрес доставки, а для небольшой группы, основные сведения о заказах и частичные данные карты. Первый шаг, проверить свой аккаунт DoorDash через официальный канал и с подозрением относиться к неожиданным сообщениям.

Ваш адрес доставки, номер телефона или частичные сведения о платеже могут использоваться в мошенническом сообщении. Поэтому не передавайте одноразовые коды, полные номера карт, банковские сведения или пароли никому, кто представляется сотрудником службы поддержки. Запросы на перевод заработка и подтверждение аккаунта для Dashers следует проверять непосредственно в официальном приложении. Правильная реакция на утечку данных DoorDash, учитывать, что подтверждённые категории данных из инцидента на стороне поставщика могут использоваться для социальной инженерии, не преувеличивать масштаб инцидента, представляя его как утечку полных финансовых данных, и укреплять безопасность аккаунта и общения.