Исследователь безопасности из компании Security Discovery Боб Дьяченко опубликовал на своей странице в Twitter сведения о том, что он обнаружил в свободном доступе сервер MongoDB, который содержал информацию питерского сервиса доставки еды «2 Берега». Эти данные были доступны любому неавторизованному пользователю в период с 21 по 29 марта.
Дьяченко рассказал, что база данных callbackProd включала более 10,39 млн строк, в том числе адреса доставок, имена получателей, номера телефонов, стоимость и даты совершения заказов.
База данных находилась в открытом доступе больше недели, поэтому ее содержание могли скачать. Дьяченко заявил в Twitter о том, что находится в Украине. Еще до обнаружения данной утечки он пообещал не оповещать российские компании о выявленных уязвимостях.
База данных содержала персональные данные клиентов «2 Берегов» из 15 населенных пунктов. Суммарный объем похищенных сведений составил около 3,5 Гбайт. Эксперт отмечает, что база использовалась компанией-владельцем с 21 по 27 марта, поскольку в этот период в ней появились 400 тыс. новых записей.
В начале марта в свободном доступе оказалась база данных сервиса доставки Яндекс.Еда. Она содержит сведения об именах и фамилиях клиентов, номера телефонов, адреса доставок, комментарии к заказу за период с 19.06.2021 по 04.02.2022. Всего в базе данных было более 49,4 млн строк с заказами. Яндекс сообщила, что утечка произошла из-за халатности сотрудника.
Спустя три недели Роскомнадзор попросил суд назначить Яндексу штраф в размере от 60 до 100 тыс. руб. Проект «Сетевые свободы» объявил, что поможет пострадавшим пользователям организовать коллективный иск против компании. Судебное заседание по делу об утечке пройдет 21 апреля
На следующий день глава Яндекс.Еды Роман Маресов принес извинения за утечку. Он заверил, что логины, пароли и данные банковских карт клиентов не были скомпрометированы.
Сегодня стало известно, что в суд передали документы по коллективному иску. К нему присоединились 33 потерпевших и еще 300 заявок находятся на рассмотрении.
