Кратко

  • Собственное сообщение DoorDash о безопасности описывает инцидент, пришедший через фишинговую атаку на стороннего подрядчика, а не через проникновение в системы самой платформы доставки.
  • Ни в одном из четырёх рассмотренных здесь документов нет числа пострадавших и нет проверки того, устояло ли исправление; проверяемым остаётся только то, что пострадавшая сторона опубликовала и кого она уведомила.

Первым шагом стало текстовое сообщение. Рассказ Twilio о кампании августа 2022 года описывает сотрудников, против которых применили фишинг через СМС, похищенные учётные данные и последовавший несанкционированный доступ к внутренним системам, причём в последствия попали около 125 клиентов компании (Twilio). DoorDash фигурирует там как один из пострадавших клиентов, а собственное сообщение компании описывает тот же маршрут с другого конца: фишинговая атака на стороннего подрядчика, открывшая пользовательские данные и вызвавшая прямое уведомление затронутых людей (сообщение DoorDash).

Злоумышленнику не нужно было добираться до DoorDash. Канал идентификации, который платформа арендовала, сломался на стороне поставщика, а доступ после этого лёг на записи, которые DoorDash передала в обычном ходе дел. Вот форма этого инцидента: не пробитая стена, а курьер, читающий посылку.

Что сообщение действительно утверждает. Категории названы конкретно: имена, адреса электронной почты, адреса доставки, история заказов и частичные платёжные сведения. Исключения столь же конкретны: полных номеров карт, паролей и учётных данных для входа среди них нет. Компания сообщает, что напрямую уведомила затронутых пользователей и работала с поставщиком над защитой среды.

Сохранённая запись относит это сообщение к ноябрю 2022 года. Отметки времени публикации в ней не было, поэтому месяц взят из формулировок документов, а не из датированной подписи, и ничто в четырёх рассмотренных записях не закрепляет конкретный календарный день. Кому нужна точная дата, тот её здесь не найдёт; он найдёт месяц.

Заслуга обнаружения принадлежит поставщику. Это весит больше, чем кажется. Вторжение нашли и описали у того поставщика, чьих сотрудников обманули фишингом, а не у платформы, чьи данные ушли. Документ DoorDash — это уведомление: в нём сказано, что взяли, что уцелело и что компания сделала потом. Нигде в нём нет утверждения, что DoorDash обнаружила кампанию. Поставщик опубликовал собственный рассказ; текст платформы читается так, как пишет клиент, которому только что сообщили новость.

Это не халатность. Это геометрия отказа, идущего через подрядчика. Компания не наблюдает среду, которую не эксплуатирует, не меняет учётные данные, которых не держит, и не видит вход, который до неё не доходит. Что она может — публиковать и уведомлять. Эти два действия составляют всё её управляемое поведение, а значит, и всё, что публичный след позволяет добросовестно проверять.

Проверка уведомления. По этой более узкой мерке у раскрытия такого рода четыре проверяемые части. Количество: называет ли пострадавшая сторона число затронутых людей? Опись: перечисляет ли она взятое и столь же полезно — не взятое? Проверка: есть ли в записи что-то, что испытывает исправление на прочность, вместо описания намерения исправить? Атрибуция обнаружения: сказано ли, кто нашёл вторжение?

Сообщение DoorDash уверенно проходит опись и уведомление. Оно называет категории данных, называет исключения и подтверждает, что пользователей предупредили напрямую. Заслуга обнаружения законно принадлежит поставщику, который опубликовал собственный отчёт. Количества нет. Проверки нет. Два независимых материала конца ноября 2022 года описывают тот же маршрут через подрядчика и оба отмечают, что публичные уведомления не содержали конкретной цифры пострадавших (TechCrunch) (BleepingComputer).

Оговорим границу точно: в четырёх документах, прочитанных для этого материала — сообщении DoorDash, рассказе Twilio и двух этих публикациях — ни один не даёт числа затронутых пользователей DoorDash и ни один не публикует результат аудита, заверение или измеренное изменение контроля, которое доказало бы, что восстановление устояло. Это утверждение о четырёх документах, а не о мире. Регуляторная подача с цифрой может существовать за их пределами; здесь она не читалась, и из её отсутствия в этом деле ничего не следует.

Что изменило бы квалификацию. Уведомление становится доказанным ремонтом, когда рядом появляются три вещи. Число, потому что экспозицию без размера нельзя ни оценить, ни заложить в бюджет. Заверение или проверенный контроль, потому что «работали с поставщиком над защитой среды» описывает деятельность, а не результат. И названный субподрядчик, потому что клиент не может оценить риск, который скрывает список поставщиков.

Ничто из этого не экзотика. Несколько юрисдикций уже требуют первого. Продления договоров давно несут второе в виде приложений по безопасности с правом аудита. Третье — вопрос закупки, и оно самое дешёвое из трёх.

Это издание уже писало о DoorDash, но о другом документе. Прежнее дело разбирало инцидент доступа 2019 года, который тоже пришёл через третью сторону; сообщение ноября 2022 года — отдельное раскрытие об отдельном механизме, и расстояние между ними само по себе информативно. Оба случая шли одной и той же дорогой. Ни один из публичных рассказов не говорит читателю, сколько людей по ней ехало.

Уведомление — не ремонт. Это квитанция о нём. Число и проверка превращают квитанцию в запись, на которую может опереться совет директоров, — и в этом инциденте, в границах четырёх прочитанных документов, недостаёт и того, и другого. Если хотите понять, как платформа ведёт себя, когда сбой отдан на сторону, не спрашивайте, обнаружила ли она вторжение. Она не могла. Спросите, что она раскрыла, кого уведомила и доказал ли кто-нибудь когда-нибудь, что дверь закрыли.

Запись справочника: DoorDash, Inc.