摘要

  • DoorDash 自己发布的安全通告描述的是一次经由第三方供应商钓鱼攻击而来的事件，而不是对这家配送平台自有系统的入侵。
  • 本文查阅的四份记录中，没有任何一份说明受影响人数，也没有任何一份公布修复是否守住的检验；于是对这类失败唯一可核查的部分，只剩下受害方公布了什么、联系了谁。

第一步是一条短信。 Twilio 对 2022 年 8 月那场行动的描述是：员工被短信钓鱼攻击，凭据被钓走，随后攻击者进入内部系统，约 125 家客户被卷入余波（Twilio）。DoorDash 就在这份描述的受影响客户名单里；而这家公司自己的新闻室通告，从另一端描述了同一条路径：对第三方供应商的钓鱼攻击，暴露了用户信息，并促使它直接通知了当事人（DoorDash 安全通告）。

入侵者从来不需要抵达 DoorDash。平台租用的身份通道在供应商那一端被攻破，随之而来的访问落在 DoorDash 在正常业务中交出去的记录上。这次事件形状如此：不是墙被凿开，而是信使翻开了包裹。

通告究竟写了什么。 类别是具体的：姓名、电子邮箱地址、配送地址、订单历史以及部分支付信息被访问。排除项同样具体：没有完整的支付卡号，没有密码，没有账户登录凭据。公司称已直接通知受影响用户，并与供应商一道加固了环境。

留存记录把这份通告放在 2022 年 11 月。它没有携带发布时间戳，所以月份来自文件的表述，而不是一个带日期的署名；本次查阅的四份记录中，也没有任何一份把它固定到某个日历日。需要确切日期的人在这里找不到；能找到的是月份。

检测这份功劳属于供应商。 这比听起来更重要。入侵是员工被钓鱼的那家供应商发现并说明的，而不是数据被带走的平台。DoorDash 的文件是一份通告：它告诉人们什么被拿走、什么没被碰、公司接下来做了什么。通篇没有一句声称 DoorDash 自己发现了这场行动。供应商公布了自己的版本；平台那份文本读起来，像是得知消息之后由客户写下的说明。

这不算失职。这是供应商路径失败的几何形状。企业无法监控自己不运营的环境，无法轮换自己不持有的凭据，也无法看见一条永远不会送到自己手里的登录。它能做的是公布与联系。这两件事构成它全部可控制的作为，也因此构成公开记录能够被公正审计的全部范围。

通知的四项检验。 用这把更窄的尺子量，这样一份通告有四个可核查的部分。数量：受害方说了有多少人受影响吗？清单：它点名了被拿走的东西，以及同样有用的、没被拿走的东西吗？验证：记录里有任何东西在检验修复是否守住，而不只是描述修复的意愿吗？检测归属：叙述说明了是谁发现这次入侵吗？

DoorDash 的通告在清单与通知两项上过得干净。它点名了数据类别，点名了排除项，并表明用户已被直接联系。检测的功劳恰当属于供应商，而供应商公布了自己的说明。数量缺失。验证缺失。两篇 2022 年 11 月下旬的独立报道描述了同一条供应商钓鱼路径，并都指出公开通知未载明受影响人数的具体数字（TechCrunch）（BleepingComputer）。

把边界说准：在本文阅读的四份记录里——DoorDash 的安全通告、Twilio 的说明，以及那两篇报道——没有任何一份给出 DoorDash 受影响用户的数量，也没有任何一份公布审计结果、鉴证结论或经测量的控制变更，用来证明修复守住了。这是关于四份文件的陈述，不是关于世界的陈述。这些文件之外可能存在一份载有数字的监管申报；本文没有读到它，也不能从它在本档案中的缺席推出任何结论。

什么会改变定性。 当通告旁边出现三样东西，它才变成被证明的修复。一个数字，因为量不出来的暴露无法被预留准备。一份鉴证或一项被测过的控制，因为「与供应商一道加固环境」描述的是活动，不是结果。以及一个有名字的下游处理者，因为客户无法评估被供应商清单藏起来的那种风险。

这三样都不稀奇。若干辖区已经强制要求第一样。合同续签早已携带第二样，形式是带审计权的安全附件。第三样是采购问题，也是三样里最便宜的。

本刊此前写过 DoorDash，那是另一份文件。早先的案例档案审视的是一次 2019 年的访问事件，同样经由第三方而来；2022 年 11 月的通告则是关于另一套机制的另一次披露，而两者之间的距离本身就说明问题。两次事件走的是同一种路。两份公开叙述都没有告诉读者，这条路上坐着多少人。

通告不是修复，它是修复的收据。数字与检验，才把收据变成董事会可以依赖的档案——而在这次事件上，在本文查阅的四份文件范围内，两样都还欠着。想知道一家平台在失败被外包时如何行事，别去问它有没有发现入侵。它发现不了。去问它披露了什么、通知了谁，以及有没有人真的证明过那扇门已经关上。

名录记录：DoorDash, Inc.