Résumé

  • L'avis de sécurité publié par DoorDash décrit un incident arrivé par une attaque d'hameçonnage visant un prestataire tiers, et non par une intrusion dans les systèmes propres de la plateforme de livraison.
  • Dans les quatre documents examinés ici, aucun n'indique combien de personnes ont été touchées et aucun ne publie de test montrant que la correction a tenu : il ne reste donc, comme partie vérifiable, que ce que la victime publie et les personnes qu'elle contacte.

Le premier geste fut un texto. Le récit que Twilio fait de la campagne d'août 2022 décrit des salariés ciblés par hameçonnage par SMS, des identifiants récoltés, puis un accès non autorisé aux systèmes internes, avec environ 125 de ses clients entraînés dans la suite (Twilio). DoorDash y apparaît comme l'un de ces clients touchés, et l'avis de la société décrit la même route depuis l'autre bout : une attaque d'hameçonnage sur un prestataire tiers qui a exposé des données d'utilisateurs et déclenché une notification directe aux personnes concernées (avis de sécurité DoorDash).

L'intrus n'a jamais eu besoin d'atteindre DoorDash. Le canal d'identité que la plateforme louait a cédé chez le fournisseur, et l'accès qui a suivi portait sur des dossiers que DoorDash avait remis dans le cours normal de son activité. Voilà la forme de l'incident : non pas un mur forcé, mais un coursier qui lit le colis.

Ce que l'avis énonce réellement. Les catégories sont précises. Noms, adresses électroniques, adresses de livraison, historique de commandes et informations de paiement partielles ont été consultés. Les exclusions le sont tout autant : pas de numéros de carte complets, pas de mots de passe, pas d'identifiants de connexion. La société indique avoir prévenu directement les utilisateurs concernés et travaillé avec le fournisseur pour sécuriser l'environnement.

Le dossier conservé place cet avis en novembre 2022. Il ne portait aucune estampille de publication : le mois vient donc de ce que disent les documents, non d'une signature datée, et rien dans les quatre pièces examinées ne fixe un jour de calendrier. Qui cherche la date exacte ne la trouvera pas ici ; il trouvera le mois.

Le mérite de la détection revient au fournisseur. Cela compte plus qu'il n'y paraît. L'intrusion a été constatée et racontée par le prestataire dont les salariés ont été hameçonnés, pas par la plateforme dont les données ont circulé. Le document de DoorDash est un avis : il dit ce qui a été pris, ce qui a été épargné et ce que l'entreprise a fait ensuite. Nulle part il n'affirme avoir détecté la campagne. Le fournisseur a publié son propre récit ; le texte de la plateforme se lit comme celui d'un client à qui l'on vient d'apprendre la nouvelle.

Ce n'est pas une négligence. C'est la géométrie d'une défaillance qui passe par un fournisseur. Une entreprise ne surveille pas un environnement qu'elle n'exploite pas, ne renouvelle pas des identifiants qu'elle ne détient pas, et ne voit pas une connexion qu'elle ne reçoit jamais. Ce qu'elle peut faire, c'est publier et contacter. Ces deux actes constituent l'ensemble de sa conduite maîtrisable, et donc l'ensemble de ce qu'un dossier public permet d'auditer honnêtement.

L'épreuve de la notification. À cette aune plus étroite, un avis de ce genre comporte quatre parties vérifiables. La quantité : la victime dit-elle combien de personnes ont été touchées ? L'inventaire : nomme-t-elle ce qui a été pris et, tout aussi utilement, ce qui ne l'a pas été ? La vérification : quelque chose dans le dossier teste-t-il que la correction a tenu, plutôt que de décrire l'intention de corriger ? L'attribution de la détection : le récit dit-il qui a trouvé l'intrusion ?

L'avis de DoorDash passe proprement l'inventaire et la notification. Il nomme les catégories de données, nomme les exclusions et indique que les utilisateurs ont été contactés directement. Le mérite de la détection revient légitimement au fournisseur, qui a publié son propre compte rendu. La quantité manque. La vérification manque. Deux enquêtes indépendantes de la fin novembre 2022 décrivent la même route et notent l'une comme l'autre que les notifications publiques ne comportaient aucun chiffre précis de personnes touchées (TechCrunch) (BleepingComputer).

Précisons la frontière : dans les quatre documents lus pour cet article — l'avis de DoorDash, le récit de Twilio et ces deux enquêtes — aucun ne donne un nombre d'utilisateurs DoorDash touchés, et aucun ne publie de résultat d'audit, d'attestation ou de changement de contrôle mesuré qui démontrerait que la réparation a tenu. C'est une affirmation sur quatre documents, pas sur le monde. Un dépôt réglementaire chiffré peut exister en dehors d'eux ; il n'a pas été lu ici, et son absence dans ce dossier ne prouve rien.

Ce qui changerait le classement. Un avis devient une réparation démontrée quand trois éléments apparaissent à côté de lui. Un nombre, parce qu'une exposition que l'on ne sait pas dimensionner ne se provisionne pas. Une attestation ou un contrôle testé, parce que « travailler avec le fournisseur pour sécuriser l'environnement » décrit une activité, pas un résultat. Et un sous-traitant nommé, parce qu'un client ne peut pas évaluer un risque que la liste des fournisseurs dissimule.

Aucun des trois n'est exotique. Plusieurs juridictions exigent déjà le premier. Les renouvellements de contrats portent déjà le deuxième, sous forme d'annexes de sécurité assorties de droits d'audit. Le troisième est une question d'achat, et c'est le moins coûteux des trois.

Cette rédaction a déjà écrit sur DoorDash, à propos d'un autre document. Le dossier antérieur portait sur un accès de 2019, lui aussi venu d'un tiers ; l'avis de novembre 2022 est une divulgation distincte, sur un mécanisme distinct, et l'écart entre les deux est en soi instructif. Les deux incidents ont emprunté le même type de route. Aucun des deux récits publics ne dit au lecteur combien de personnes s'y trouvaient.

Un avis n'est pas une réparation. C'est le reçu d'une réparation. Le nombre et l'épreuve sont ce qui transforme le reçu en dossier sur lequel un conseil d'administration peut s'appuyer — et sur cet incident, dans les quatre documents examinés ici, les deux restent dus. Si vous voulez savoir comment une plateforme se conduit quand la défaillance est externalisée, ne demandez pas si elle a détecté l'intrusion. Elle ne le pouvait pas. Demandez ce qu'elle a divulgué, qui elle a prévenu, et si quelqu'un a jamais prouvé que la porte avait été refermée.

Fiche du répertoire : DoorDash, Inc.