요약

  • DoorDash가 직접 공개한 보안 안내는 제3자 공급업체를 겨냥한 피싱 공격을 거쳐 도착한 사건을 설명한다. 배달 플랫폼 자체 시스템에 대한 침입이 아니다.
  • 이 글에서 검토한 네 건의 문서 중 어느 것도 피해자 수를 밝히지 않고, 수리가 유지됐는지 시험한 자료도 없다. 결국 감사 가능한 부분은 피해 당사자가 무엇을 공개했고 누구에게 알렸는가로 좁혀진다.

첫 동작은 문자 한 통이었다. Twilio가 2022년 8월의 캠페인을 설명한 자료는 직원들이 문자 기반 피싱의 표적이 되었고 자격 증명이 탈취되어 내부 시스템에 대한 비인가 접근으로 이어졌으며, 그 여파에 자사 고객 약 125곳이 휘말렸다고 서술한다 (Twilio). DoorDash는 그 명단에 피해 고객 중 하나로 등장하고, 회사 스스로의 소식란 안내는 같은 경로를 반대편에서 설명한다. 제3자 공급업체에 대한 피싱 공격이 이용자 정보를 노출했고 해당 당사자에게 직접 통지하게 만들었다는 것이다 (DoorDash 보안 안내).

침입자는 DoorDash에 도달할 필요가 없었다. 플랫폼이 빌려 쓰던 신원 채널이 공급업체 쪽에서 무너졌고, 그 뒤의 접근은 DoorDash가 정상적인 업무 과정에서 넘겨둔 기록을 향했다. 이것이 이 사건의 형태다. 벽을 뚫은 것이 아니라, 배달원이 소포를 펼쳐 읽은 것이다.

안내가 실제로 적어둔 것. 분류는 구체적이다. 이름, 이메일 주소, 배달 주소, 주문 이력, 부분 결제 정보가 접근당했다. 제외 항목도 똑같이 구체적이다. 온전한 카드 번호도, 비밀번호도, 계정 로그인 정보도 아니다. 회사는 피해 사용자에게 직접 알렸고 환경을 안전하게 하는 데 공급업체와 함께 일했다고 밝힌다.

보존된 기록은 이 안내를 2022년 11월에 놓는다. 게시 시각 표시가 없었으므로 그 달은 문서들의 서술에서 나온 것이지 날짜가 찍힌 서명에서 나온 것이 아니며, 이 글에서 검토한 네 기록 가운데 달력상 특정한 하루를 고정하는 것은 없다. 정확한 날짜가 필요한 독자는 여기서 그것을 찾지 못할 것이다. 찾게 되는 것은 달이다.

발견의 공은 공급업체에 있다. 이것은 들리는 것보다 무겁다. 침해를 찾아내고 설명한 쪽은 직원이 낚인 공급업체이지, 데이터가 옮겨진 플랫폼이 아니다. DoorDash의 문서는 통지다. 무엇이 빠져나갔고 무엇이 무사했으며 회사가 다음에 무엇을 했는지를 말한다. 그 안 어디에도 DoorDash가 이 캠페인을 발견했다는 주장은 없다. 공급업체는 자체 설명을 공개했고, 플랫폼의 글은 방금 소식을 전해 들은 고객이 쓴 글처럼 읽힌다.

이것은 태만이 아니다. 공급업체를 거쳐 가는 실패의 기하학이다. 기업은 자기가 운영하지 않는 환경을 감시할 수 없고, 자기가 보유하지 않은 자격 증명을 교체할 수 없으며, 자기에게 오지 않는 로그인을 볼 수도 없다. 할 수 있는 일은 공개와 통지다. 이 두 행위가 통제 가능한 행동의 전부이고, 따라서 공개 기록이 공정하게 감사할 수 있는 범위의 전부다.

통지의 네 가지 시험. 그 좁은 잣대로 보면 이런 종류의 공개에는 검증 가능한 네 부분이 있다. 수량: 피해 당사자가 몇 명이 영향을 받았는지 말하는가. 목록: 무엇이 빠져나갔고, 똑같이 유용하게 무엇이 빠져나가지 않았는지 지목하는가. 검증: 기록 안에 수리 의도를 서술하는 대신 수리가 유지됐는지 시험하는 무언가가 있는가. 발견의 귀속: 누가 침해를 찾았는지 설명하는가.

DoorDash의 안내는 목록과 통지를 깔끔하게 통과한다. 데이터 분류를 지목하고, 제외 항목을 지목하고, 사용자에게 직접 연락했다고 밝힌다. 발견의 공은 정당하게 공급업체에 있고, 공급업체는 스스로의 설명을 공개했다. 수량은 빠져 있다. 검증도 빠져 있다. 2022년 11월 하순의 독립 보도 두 건은 같은 공급업체 경유 피싱 경로를 전하고, 둘 다 공개된 통지에 피해자 수에 대한 구체적 숫자가 없었다고 적는다 (TechCrunch) (BleepingComputer).

경계를 정확히 하자. 이 글을 위해 읽은 네 문서, 즉 DoorDash의 보안 안내와 Twilio의 설명, 그리고 그 두 보도 가운데 피해 DoorDash 사용자의 수를 제시한 문서는 없고, 수리가 유지됐음을 보여줄 감사 결과나 보증, 측정된 통제 변경을 공개한 문서도 없다. 이것은 네 문서에 대한 진술이지 세상에 대한 진술이 아니다. 숫자를 담은 규제 당국 제출이 이들 바깥에 존재할 수 있다. 여기서는 읽지 않았고, 이 기록에서 그것이 없다고 해서 어떤 결론도 끌어낼 수 없다.

분류를 바꿀 것. 통지는 옆에 세 가지가 나타날 때 증명된 수리가 된다. 숫자, 크기를 모르는 노출은 대비할 수 없다. 보증 또는 시험된 통제, 「공급업체와 함께 환경을 안전하게 했다」는 활동의 서술이지 결과의 증거가 아니다. 그리고 이름이 밝혀진 하위 처리자, 고객은 공급업체 목록이 감추는 위험을 평가할 수 없다.

셋 중 어느 것도 이례적이지 않다. 여러 관할권은 이미 첫째를 요구한다. 계약 갱신은 감사권을 붙인 보안 부속서 형태로 이미 둘째를 싣고 있다. 셋째는 구매의 문제이고, 셋 가운데 가장 싸다.

이 지면은 DoorDash를 다른 문서로 이미 다룬 바 있다. 앞선 사례 파일은 마찬가지로 제3자를 거쳐 온 2019년 접근 사건을 살폈다. 2022년 11월의 안내는 다른 메커니즘에 관한 별개의 공개이고, 둘 사이의 거리 자체가 정보를 준다. 두 사건 모두 같은 종류의 길을 지났다. 어느 공개 서술도 그 길에 몇 명이 타고 있었는지 독자에게 말하지 않는다.

통지는 수리가 아니다. 수리에 대한 영수증이다. 숫자와 시험이 영수증을 이사회가 의지할 수 있는 기록으로 바꾼다. 그리고 이 사건에서, 이 글을 위해 검토한 네 문서의 범위 안에서, 둘 다 아직 지급되지 않았다. 실패가 외주화되어 있을 때 플랫폼이 어떻게 행동하는지 알고 싶다면, 침해를 발견했는지 묻지 마라. 발견할 수 없었다. 무엇을 공개했고 누구에게 알렸으며, 누군가 정말로 그 문이 닫혔음을 증명한 적이 있는지 물어라.

디렉터리 기록: DoorDash, Inc.