要約

  • DoorDash 自身が公表したセキュリティ更新は、第三者ベンダーへのフィッシング攻撃を経由して起きた事案を述べており、配達プラットフォーム自社システムへの侵入ではない。
  • 本稿が読んだ四つの記録のうち、影響を受けた人数を示したものはなく、修正が保たれたことを試した文書も一つもない。したがって監査できるのは、被害者が何を公表し、誰に連絡したかという範囲に限られる。

最初の一手は一通のテキストメッセージだった。 Twilio が二〇二二年八月の攻撃について記した説明は、従業員が SMS によるフィッシングの標的になり、認証情報が奪われ、内部システムへの不正アクセスに至ったと述べ、その余波に約一二五の顧客が巻き込まれたとする（Twilio）。DoorDash はその影響顧客の一つとして同説明に現れ、同社自身のニュースルームの更新は同じ経路を反対側から記す。第三者ベンダーへのフィッシング攻撃が利用者情報を露出させ、当事者への直接通知につながったという説明である（DoorDash のセキュリティ更新）。

侵入者は DoorDash に届く必要がなかった。プラットフォームが借りていた identity の経路がベンダー側で破られ、その先のアクセスは、同社が通常の業務で渡していた記録に向かった。これがこの事案の形である。壁が破られたのではなく、配達人が荷物を開けて読んだのだ。

更新が実際に述べていること。 項目は具体的だ。氏名、メールアドレス、配達先住所、注文履歴、そして一部の支払い情報がアクセスされた。除外も同じだけ具体的である。完全なカード番号、パスワード、アカウントのログイン情報は侵害されていない。同社は影響を受けた利用者へ直接通知し、環境を安全にするためベンダーと協力したと述べている。

保存された記録はこの更新を二〇二二年十一月に置く。公開日時の欄を持たないため、この月は文書の記述に由来するもので、日付のある署名によるものではない。本稿が読んだ四つの記録のどれも、暦の上の特定の一日を確定しない。正確な日付を求める読者はここでは見つけられない。見つかるのは月である。

検知の功績はベンダーにある。 これは見た目より重い。侵害を見つけて説明したのは、従業員が釣られた側のベンダーであり、データが動いた側のプラットフォームではない。DoorDash の文書は通知である。何が取られ、何が無事で、会社が次に何をしたかを伝える。その中に、DoorDash がこの攻撃を検知したという主張はどこにもない。ベンダーは自らの説明を公表しており、プラットフォームの文書は、知らされた顧客が後から書く文章のように読める。

これは怠慢ではない。ベンダー経由の失敗が持つ幾何学である。企業は自ら運用しない環境を監視できず、自ら保持しない認証情報を更新できず、自分に届かないログインを見ることもできない。できるのは公表し、連絡することだ。その二つが統制可能な行為のすべてであり、したがって公開記録が公正に監査できる範囲のすべてになる。

通知の四つの検査。 その狭い物差しで測ると、この種の開示には四つの検証可能な部分がある。数量として、被害者は何人が影響を受けたと述べたか。棚卸しとして、何が取られ、同じくらい有用に何が取られなかったと名指ししたか。検証として、記録の中に修正が保たれたことを試す何かがあり、単に修正の意図を述べるにとどまっていないか。検知の帰属として、誰が侵害を見つけたかを説明しているか。

DoorDash の更新は棚卸しと通知を明快に通過する。データの項目を名指しし、除外も名指しし、利用者へ直接連絡したと述べている。検知の功績は正しくベンダーに属し、ベンダーは自らの説明を公表した。数量は欠けている。検証も欠けている。二〇二二年十一月下旬の独立した二つの報道は同じベンダー経由のフィッシングの経路を伝え、いずれも公開された通知に影響人数の具体的な数字がなかったと記している（TechCrunch）（BleepingComputer）。

境界を正確にしておく。本稿が読んだ四つの記録、すなわち DoorDash のセキュリティ更新、Twilio の説明、そしてこの二つの報道のうち、影響を受けた DoorDash 利用者の数を示した文書はなく、修正が保たれたことを示す監査結果、保証、測定された統制の変更を公表した文書もない。これは四つの文書についての陳述であって、世界についての陳述ではない。数字を載せた規制当局への届出がこれらの外に存在するかもしれない。本稿はそれを読んでおらず、この記録における不在から何かを推論すべきでもない。

分類を変えるもの。 通知は、その脇に三つが揃ったときに証明された修理になる。数字。大きさの分からない露出は備えようがない。保証、あるいは試験された統制。「環境を安全にするためベンダーと協力した」は活動の記述であって結果の証拠ではない。そして名前の示された委託先。供給者の一覧が隠す危険は顧客には評価できない。

三つのどれも珍しいものではない。いくつかの法域はすでに一つ目を要求している。契約の更新はすでに二つ目を、監査権を伴うセキュリティ別紙という形で運んでいる。三つ目は調達の問題であり、三つの中で最も安い。

本稿の場は以前にも DoorDash を扱った。別の文書についてである。以前のケースファイルは、これも第三者経由で起きた二〇一九年のアクセス事案を検討した。二〇二二年十一月の更新は別の仕組みについての別の開示であり、二つの間の距離そのものが示唆的である。どちらの事案も同じ種類の道を通った。どちらの公開の説明も、その道に何人乗っていたかを読者に告げない。

通知は修理ではない。修理の領収書である。数字と検査が、領収書を取締役会が依拠できる記録に変える。そしてこの事案では、本稿が読んだ四つの文書の範囲で、どちらもまだ支払われていない。失敗が外注されているとき、プラットフォームがどう振る舞うかを知りたければ、侵害を検知したかを尋ねてはいけない。検知できなかったのだ。何を開示し、誰に伝え、そして誰かが扉を閉じたことを実際に証明したのかを尋ねるべきである。

ディレクトリ記録: DoorDash, Inc.