Resumen

  • El aviso de seguridad publicado por DoorDash describe un incidente que llegó mediante un ataque de phishing contra un proveedor externo, no mediante una intrusión en los sistemas propios de la plataforma de reparto.
  • En los cuatro documentos examinados aquí, ninguno indica cuántas personas resultaron afectadas y ninguno publica una prueba de que la corrección se sostuviera, de modo que lo único auditable queda en lo que la víctima publica y a quién avisa.

El primer movimiento fue un mensaje de texto. El relato de Twilio sobre la campaña de agosto de 2022 describe empleados atacados con phishing por SMS, credenciales cosechadas y acceso no autorizado a sistemas internos, con unos 125 clientes suyos arrastrados en la consecuencia (Twilio). DoorDash aparece en ese relato como uno de los clientes afectados, y el comunicado de la empresa describe la misma ruta desde el otro extremo: un ataque de phishing contra un proveedor externo que expuso datos de usuarios y obligó a avisar directamente a las personas implicadas (aviso de seguridad de DoorDash).

El intruso nunca necesitó llegar a DoorDash. El canal de identidad que la plataforma alquilaba se rompió en el proveedor, y el acceso posterior recayó sobre registros que DoorDash había entregado en el curso normal de su negocio. Esa es la forma del incidente: no un muro forzado, sino un mensajero que lee el paquete.

Lo que el aviso dice en realidad. Las categorías son concretas. Se accedió a nombres, direcciones de correo electrónico, direcciones de entrega, historial de pedidos e información de pago parcial. Las exclusiones son igual de concretas: ni números completos de tarjeta, ni contraseñas, ni credenciales de inicio de sesión. La empresa afirma haber notificado directamente a los usuarios afectados y haber trabajado con el proveedor para asegurar el entorno.

El expediente conservado sitúa ese aviso en noviembre de 2022. No traía marca temporal de publicación, así que el mes proviene de lo que dicen los documentos y no de una firma fechada, y nada en los cuatro registros examinados fija un día de calendario. Quien necesite la fecha exacta no la encontrará aquí; encontrará el mes.

El mérito de la detección es del proveedor. Esto importa más de lo que parece. La intrusión la encontró y la contó el proveedor cuyos empleados fueron pescados, no la plataforma cuyos datos se movieron. El documento de DoorDash es un aviso: dice qué se llevaron, qué se salvó y qué hizo la empresa después. En ningún punto afirma haber detectado la campaña. El proveedor publicó su propio relato; el texto de la plataforma se lee como el de un cliente al que acaban de informar.

Eso no es negligencia. Es la geometría de un fallo que viaja por un proveedor. Una empresa no vigila un entorno que no opera, no rota credenciales que no posee y no ve un inicio de sesión que nunca recibe. Lo que sí puede hacer es publicar y avisar. Esos dos actos son la totalidad de su conducta controlable y, por tanto, la totalidad de lo que un expediente público permite auditar con honestidad.

La prueba de la notificación. Con ese rasero más estrecho, un aviso de este tipo tiene cuatro partes auditables. Cantidad: ¿dice la víctima cuántas personas resultaron afectadas? Inventario: ¿nombra lo que se llevaron y, con la misma utilidad, lo que no? Verificación: ¿algo en el expediente pone a prueba que la corrección se sostuvo, en lugar de describir la intención de corregir? Atribución de la detección: ¿el relato dice quién encontró la intrusión?

El aviso de DoorDash aprueba con holgura el inventario y la notificación. Nombra las categorías de datos, nombra las exclusiones y afirma que se contactó directamente a los usuarios. El mérito de la detección corresponde al proveedor, que publicó su propio relato. La cantidad falta. La verificación falta. Dos reportes independientes de finales de noviembre de 2022 describen la misma ruta de phishing por proveedor y ambos señalan que las notificaciones públicas no llevaban una cifra concreta de personas afectadas (TechCrunch) (BleepingComputer).

Para ser preciso con el límite: en los cuatro documentos leídos para este artículo —el aviso de DoorDash, el relato de Twilio y esos dos reportes— ninguno da un número de usuarios de DoorDash afectados, y ninguno publica un resultado de auditoría, una certificación o un cambio de control medido que demuestre que la reparación se sostuvo. Es una afirmación sobre cuatro documentos, no sobre el mundo. Puede existir un trámite regulatorio con una cifra fuera de ellos; aquí no se leyó, y su ausencia en este expediente no prueba nada.

Qué cambiaría la clasificación. Un aviso se convierte en reparación demostrada cuando aparecen tres cosas a su lado. Un número, porque una exposición que no se puede dimensionar no se puede provisionar. Una certificación o un control probado, porque «trabajar con el proveedor para asegurar el entorno» describe actividad, no resultado. Y un subencargado con nombre, porque un cliente no puede evaluar un riesgo que la lista de proveedores esconde.

Ninguno de los tres es exótico. Varias jurisdicciones ya exigen el primero. Las renovaciones de contratos ya llevan el segundo, en forma de anexos de seguridad con derechos de auditoría. El tercero es una cuestión de compras, y es el más barato de los tres.

Esta redacción ya ha escrito sobre DoorDash, acerca de otro documento. El expediente anterior examinó un acceso de 2019 que también llegó por un tercero; el aviso de noviembre de 2022 es una divulgación distinta sobre un mecanismo distinto, y la distancia entre ambos es informativa por sí misma. Los dos incidentes recorrieron el mismo tipo de camino. Ninguno de los dos relatos públicos dice al lector cuánta gente iba en él.

Un aviso no es una reparación. Es el recibo de una. La cifra y la prueba son lo que convierte el recibo en un expediente sobre el que un consejo puede apoyarse, y en este incidente, en los cuatro documentos examinados aquí, ambas siguen pendientes. Si quiere saber cómo se comporta una plataforma cuando el fallo está subcontratado, no pregunte si detectó la intrusión. No podía. Pregunte qué divulgó, a quién avisó y si alguien demostró alguna vez que la puerta había quedado cerrada.

Ficha del directorio: DoorDash, Inc.