На анонимном форуме 2ch.hk появился тред со скриншотами из системы CRM маркетплейса Ozon. Даты на изображениях стоят июльские. Все скриншоты сделаны из аккаунта одного специалиста техподдержки. В настоящее время страница с этим тредом оперативно удалена.
Согласно попавшим в открытый доступ данным, оператор техподдержки может просматривать всю информацию о заказах клиента по обращению, видит все чаты, ФИО и контактные данные клиента, состав заказов и адреса доставки. Из дополнительных данных ему также доступны такие опции: способ заказа (сайт, мобильное приложение), способ оплаты, просьбы по упаковке «взрослых» товаров, стоимость заказа и способ оплаты. Данные банковских карт клиентов в системе недоступны.
Эксперты сервиса разведки утечек данных и мониторинга даркнета DLBI пояснили, что по датам на скриншотах они делались на протяжении почти месяца (с 01.07.2022 по 25.07.2022). По их данным, всего было опубликовано 12 скриншотов, содержащих фрагменты переписки службы поддержки (одного и того же специалиста, от чьего имени был осуществлён вход в CRM-систему) с клиентами.
По соображениям безопасности Хабр не публикует ссылки на зеркала и архивы этого треда. В случае появления подобных ссылок в комментариях к публикации, они будут закрыты. Пожалуйста, не выкладывайте их тут.
В Ozon дали для Хабра полный комментарий по этому инциденту.
«Из-за недобросовестных действий одного сотрудника поддержки клиентов данные нескольких заказов попали в сеть. В скриншотах не содержится платёжных данных покупателей, а сами скриншоты — неиндексируемые, что значительно ограничивает возможность распространить информацию.28 января Ozon запустил бета-версию сервиса заработка для самозанятых Ozon Profit. Пользователи, зарегистрированные в ФНС в качестве самозанятых, могут там выполнять простые задания по обслуживанию систем маркетплейса и получать за это вознаграждение до 20 тыс. рублей в месяц при работе по 4 часа в день. Доступ к заданиям сервиса пользователи могут получить только после просмотра обучающих видеокурсов и успешного прохождения тестирования по курсу обучения.
Сотруднику был моментально заблокирован доступ в корпоративные системы, он будет уволен, так как нарушение политики о конфиденциальности данных пользователей и халатное отношение к клиентам компании является для Ozon неприемлемым. Сейчас принимается решение о передаче информации в правоохранительные органы для возбуждения уголовного дела.
Мы приносим извинения покупателям, данные о заказах которых оказались в открытом доступе. Отметим отдельно, что сотрудники поддержки не имеют доступа к платёжной информации клиентов, им доступен ограниченный набор данных, необходимых для помощи клиенту с доставкой заказа. Также из соображений безопасности у сотрудников поддержки ограничена возможность поиска по данным пользователя во внутренней системе»,
— сообщили в пресс-службе Ozon.
19 апреля СМИ сообщили, что Ozon в марте и апреле начал сокращать часть сотрудников и оптимизировать многие команды, чтобы уменьшить расходы компании. Источники утверждают, что это коснётся 20% персонала из ранее числившихся в маркетплейсе 45 тыс. работников. В самой компании опровергли массовые сокращения и наоборот заявили, что набирают персонал и занимаются расширением команд разработчиков в IT-лаборатории и на логистических узлах компании.
