Утечка данных сервиса «Яндекс.Еда», которая произошла в марте 2022 года, случилась в результате проведения кибератаки на стороннюю IT-инфраструктуру внешнего хостинга, где стояли виртуальные серверы FoodFox, подключённые через VPN в сеть «Яндекс Еды, а не из-за инсайда или «раздолбайства» внутри компании. Об этом 21 декабря рассказал директор по безопасности компании «Яндекс» Антон Карпов.
Злоумышленники взломали внешний хостинг, на котором располагались виртуальные машины сервиса. Эти серверы достались в «наследство» от компании-предшественника «Яндекс.Еды» под названием FoodFox, сообщил Карпов в подкасте Сергея Мезенцева на YouTube.
Как мы писали ранее, сама база в свободном доступе появилась 1 марта. Тогда служба безопасности Яндекса сообщила , что в результате недобросовестных действий одного из сотрудников в интернете были опубликованы телефоны клиентов и информация об их заказах: состав, время доставки и так далее. Выложенный хакерами файл представлял два дампа общим размером около 50Гб.
В подкасте Карпов уточнил, что первоначальную версию о сливе данных сотрудником в компании выдвинули потому, что там не видели следов взлома. Но дальнейшее расследование показало, что атака произошла через внешний хостинг за пределами «Яндекса».
«Это безусловно наша вина, но немного греет, что сломали не «Яндекс»», — заявил в Карпов. Сразу после того, как в компании убедились, что база данных — не компиляция и не фейк, они решили рассказать об этом своим пользователям».
8 ноября 2022 года Замоскворецкий районный суд Москвы частично удовлетворил иски пользователей «Яндекс Еды». Из 20 исков 13 заявителей получили компенсацию в размере 5000 рублей каждый. Ещё 7 исков, в которых заявители просили по 100 тыс. рублей, суд отклонил.
Источник: SecurityLab