Resumo

  • O próprio comunicado de segurança do DoorDash descreve um incidente que chegou por um ataque de phishing contra um fornecedor terceirizado, e não por uma invasão aos sistemas da plataforma de entregas.
  • Nos quatro documentos examinados aqui, nenhum informa quantas pessoas foram atingidas e nenhum publica um teste mostrando que a correção se sustentou; sobra como parte auditável apenas o que a vítima divulga e quem ela avisa.

O primeiro movimento foi uma mensagem de texto. O relato do Twilio sobre a campanha de agosto de 2022 descreve funcionários atacados por phishing via SMS, credenciais colhidas e acesso não autorizado a sistemas internos, com cerca de 125 clientes seus arrastados na consequência (Twilio). O DoorDash aparece nesse relato como um dos clientes atingidos, e o comunicado da própria empresa descreve a mesma rota pelo outro extremo: um ataque de phishing a um fornecedor terceirizado que expôs dados de usuários e levou a um aviso direto às pessoas envolvidas (comunicado de segurança do DoorDash).

O invasor nunca precisou chegar ao DoorDash. O canal de identidade que a plataforma alugava foi rompido no fornecedor, e o acesso seguinte recaiu sobre registros que o DoorDash havia entregado no curso normal do negócio. É essa a forma do incidente: não um muro arrombado, mas um entregador lendo o pacote.

O que o comunicado realmente afirma. As categorias são concretas. Nomes, endereços de e-mail, endereços de entrega, histórico de pedidos e informações parciais de pagamento foram acessados. As exclusões são igualmente concretas: nenhum número completo de cartão, nenhuma senha, nenhuma credencial de login. A empresa diz ter avisado diretamente os usuários afetados e ter trabalhado com o fornecedor para proteger o ambiente.

O registro preservado situa esse comunicado em novembro de 2022. Ele não trazia marca temporal de publicação, então o mês vem do que os documentos dizem, não de uma assinatura datada, e nada nos quatro registros examinados fixa um dia de calendário. Quem precisa da data exata não a encontrará aqui; encontrará o mês.

O crédito da detecção é do fornecedor. Isso pesa mais do que parece. A invasão foi encontrada e narrada pelo fornecedor cujos funcionários foram pescados, não pela plataforma cujos dados circularam. O documento do DoorDash é um aviso: conta o que foi levado, o que foi poupado e o que a empresa fez depois. Em nenhum ponto ele afirma que o DoorDash detectou a campanha. O fornecedor publicou o próprio relato; o texto da plataforma soa como o de um cliente que acabou de ser informado.

Isso não é negligência. É a geometria de uma falha que viaja por um fornecedor. Uma empresa não monitora um ambiente que não opera, não troca credenciais que não possui e não enxerga um login que nunca recebe. O que ela pode fazer é divulgar e avisar. Esses dois atos são a totalidade da sua conduta controlável e, portanto, a totalidade do que um registro público permite auditar com honestidade.

O teste do aviso. Nessa régua mais estreita, um comunicado desse tipo tem quatro partes auditáveis. Quantidade: a vítima diz quantas pessoas foram atingidas? Inventário: nomeia o que foi levado e, com a mesma utilidade, o que não foi? Verificação: alguma coisa no registro testa se a correção se sustentou, em vez de descrever a intenção de corrigir? Atribuição da detecção: o relato diz quem encontrou a invasão?

O comunicado do DoorDash passa com folga no inventário e no aviso. Nomeia as categorias de dados, nomeia as exclusões e afirma que os usuários foram contatados diretamente. O crédito da detecção pertence ao fornecedor, que publicou o próprio relato. A quantidade falta. A verificação falta. Duas reportagens independentes do fim de novembro de 2022 descrevem a mesma rota de phishing por fornecedor e ambas registram que os avisos públicos não traziam um número específico de pessoas atingidas (TechCrunch) (BleepingComputer).

Para ser preciso sobre o limite: nos quatro documentos lidos para esta matéria — o comunicado do DoorDash, o relato do Twilio e essas duas reportagens — nenhum dá um número de usuários do DoorDash afetados, e nenhum publica resultado de auditoria, atestado ou mudança de controle medida que demonstrasse que o reparo se sustentou. É uma afirmação sobre quatro documentos, não sobre o mundo. Um registro regulatório com número pode existir fora deles; não foi lido aqui, e sua ausência neste dossiê não prova nada.

O que mudaria a classificação. Um aviso vira reparo demonstrado quando três coisas aparecem ao lado dele. Um número, porque exposição que não se consegue dimensionar não se consegue provisionar. Um atestado ou um controle testado, porque «trabalhar com o fornecedor para proteger o ambiente» descreve atividade, não resultado. E um suboperador nomeado, porque o cliente não consegue avaliar um risco que a lista de fornecedores esconde.

Nenhum dos três é exótico. Várias jurisdições já exigem o primeiro. As renovações de contrato já carregam o segundo, na forma de anexos de segurança com direitos de auditoria. O terceiro é uma questão de compras, e é o mais barato dos três.

Esta redação já escreveu sobre o DoorDash, a respeito de outro documento. O dossiê anterior examinou um acesso de 2019 que também chegou por um terceiro; o comunicado de novembro de 2022 é uma divulgação distinta sobre um mecanismo distinto, e a distância entre os dois é informativa por si só. Os dois incidentes percorreram o mesmo tipo de estrada. Nenhum dos dois relatos públicos diz ao leitor quanta gente ia nela.

Um aviso não é um reparo. É o recibo de um. O número e o teste são o que transforma o recibo num registro em que um conselho pode confiar — e neste incidente, nos quatro documentos examinados aqui, ambos continuam devidos. Se você quer saber como uma plataforma se comporta quando a falha é terceirizada, não pergunte se ela detectou a invasão. Ela não podia. Pergunte o que divulgou, a quem avisou e se alguém algum dia provou que a porta havia sido fechada.

Ficha do diretório: DoorDash, Inc.