Данные пользователей «Яндекс.Еды» опубликовали в сети — в том числе ФИО, номера телефонов и суммы трат за полгода
Статьи редакции
Статьи редакции
Базу данных оформили в формате интерактивной карты.
- В начале марта 2022 года служба безопасности «Яндекс.Еды» сообщила об утечке информации, которая произошла «в результате недобросовестных действий одного из сотрудников». В сети опубликовали телефоны клиентов и информацию об их заказах, включая сведения о потраченных деньгах.
- 22 марта в сети появилась интерактивная карта, на которой клиенты «Яндекс.Еды» могут себя найти.
- Среди прочего, в обнародованной базе данных указываются адрес клиента, номер телефона, используемое устройство для оформления заказов и сумма, потраченная за полгода. Проверка DTF показала, что информация верна.
- Создатели сервиса также подготовили форму, которая позволяет проверить наличие в базе данных по номеру телефона или ФИО.
- Авторы интерактивной карты написали, что желающие могут удалить свои данные из базы, обратившись к ним в службу поддержки. Однако позже выяснилось, что номер на сайте каждый раз случайным образом выбирается из «слитой» базы.
Ранее стало известно, что «Яндекс» планирует продать сервисы «Новости» и «Дзен», чтобы «сконцентрироваться на развитии поиска, технологий и городских сервисов» в связи с экономической ситуацией.
РБК: «Яндекс» собирается продать сервисы «Новости» и «Дзен»
Статьи редакции
Главный потенциальный покупатель — VK.
И рассказал, что будет делать дальше.
- Компания раскрыла первые результаты расследования, которое запустила, когда в интернете появились исходные коды её сервисов. Она повторила, что они «устарели» и не угрожают безопасности клиентов, а также отметила: там есть тестовые алгоритмы, которые использовались только внутри «Яндекса».
- При этом в ходе более «масштабного аудита всего содержимого» она зафиксировала случаи «серьёзного нарушения» собственных политик — это «Принципы «Яндекса»» и «Правила корпоративной этики».
[Одно из наших правил] гласит: «Наша работа строится на принципах честности и прозрачности. Мы исходим из того, что любой внутренний диалог, документ или код при определённых обстоятельствах может стать публичным. И если это случится, нам не должно быть стыдно».
Сейчас нам очень стыдно.
из обращения «Яндекса»
- По словам компании, в коде содержалась контактная информация некоторых её партнёров — например, телефоны водителей и номера их удостоверений. В некоторых его частях были слова, которые могли оскорбить «людей разных рас и национальностей».
- Код «Яндекс Лавки» позволял вручную настраивать рекомендации любых товаров — без пометки о том, что это реклама. А фрагменты из сервисов «Еда» и «Такси» показали, что некоторые группы пользователей получали «приоритетную поддержку».
- Вдобавок к этому «Яндекс» выявил случаи, когда логику работы сервисов — например, в системе рекомендаций и поиске по изображениям и видео, — правили «не алгоритмическим способом, а «костылями»». Компания не уточнила, как это противоречит её принципам (возможно, предложенные «впопыхах» решения могли повысить уязвимость инфраструктуры — vc.ru).
- В будущем компания сохранит политику нулевой терпимости к багам, которая позволяла разработчикам быстро внедрять изменения, но пересмотрит способы её реализации. Она также скроет из репозитория данные, которые «не имеют отношения к алгоритмам и настройкам сервисов», — чтобы они получили дополнительную защиту.
- Помимо этого, она вернётся к обсуждению вопросов техноэтики — это то, насколько её решения соответствуют «общечеловеческой морали» и корпоративным принципам. Новые правила опубликуют на сайте, а для проверки кода на соответствие им организуют отдельную службу.
- В марте 2022 года «Яндекс Еда» сообщила об утечке телефонов и данных о заказах клиентов, которая произошла по вине сотрудника. Позже в сети опубликовали карту с этой информацией. Сайт заблокировали, а «Яндекс Еда» добавила функцию удаления данных о заказах.
- 26 января 2023 года пользователи форума Hacker News сообщили о публикации папок с исходным кодом сервисов компании: общее количество архивов — 83, объём в сжатом виде — более 44,7 Гб. К публикации кода оказался причастен один из сотрудников «Яндекса», рассказал vc.ru близкий к компании источник.
Фото: Игорь Иванко / Коммерсантъ
Данные нескольких сотен тысяч пользователей сервиса «Яндекс.Практикум» оказались в открытом доступе. Об этом сообщает Telegram-канал «Утечки информации».
Отмечается, что в сеть выложили информацию о 300 тысячах пользователей сервиса. В открытом доступе оказались имена и фамилии юзеров, номера телефонов и адреса электронной почты.
31 мая Telegram-канал «Утечки информации» сообщил, что в интернет утекли данные курьеров другого сервиса компании — «Яндекс.Еда». В пресс-службе сервиса опровергли это сообщение, подчеркнув, что инцидент с появившейся в открытом доступе информацией о курьерах связан с ранее выявленной утечкой.
Об утечке в сеть данных пользователей «Яндекс.Еды» стало известно 1 марта. Представители «Яндекса» рассказали, что инцидент произошел из-за недобросовестных действий одного из сотрудников. Они заверили, что после случившегося ужесточили подход к хранению чувствительной информации. Также, по их словам, в отношении виновного были приняты установленные законом меры.
После этого, 22 марта, в интернете появился сайт, на котором данные пользователей «Яндекс.Еды» были визуализированы в виде карты. Утверждалось, что ресурс предоставлял информацию об адресах клиентов, а таких их номера телефонов и суммы трат. 21 апреля суд в Москве оштрафовал «Яндекс.Еду» на 60 тысяч рублей за то, что компания допустила утечку.
Журналисты редакции нашли в слитых данных и свои заказы
Поделиться
В открытый доступ попала база заказов сервиса «Яндекс.Еда», содержащая контактные данные сотен тысяч клиентов: адреса, номера телефонов, суммы, комментарии для курьеров и другую информацию о покупках в 2021–2022 годах. Опубликована информация о 202 405 покупках ростовчан.
Утечка произошла около месяца назад, но широко известно о ней стало 23 марта, когда появился сайт с визуализацией украденных у компании данных.
— 1 марта мы официально уведомили об утечке данных о заказах. <…> Данные платежных карт и логины и пароли утечка не затронула — они в безопасности. Никаких новых инцидентов в сфере информационной безопасности с тех пор не зафиксировано. Мы работаем с правоохранительными органами и владельцами ресурсов, которые могут использовать злоумышленники, чтобы минимизировать распространение массива данных. Ресурс с визуализацией данных сейчас уже недоступен, — отмечено в заявлении «Яндекса».
Ранее компания объяснила утечку «недобросовестными действиями одного из сотрудников». В «Яндексе» заявили, что «ужесточили подход к хранению чувствительной информации, в том числе связанной с заказами, и обеспечат ей уровень защиты, сопоставимый с уровнем защиты платежной информации».
- Ваше имя и привязанный к аккаунту номер телефона;
- адрес вашей электронной почты;
- вашу фамилию и отчество — если вы указали эти данные;
- точное место, откуда был сделан заказ (по геоданным);
- адрес, куда вы заказали еду;
- код домофона, номер этажа, квартиры — если вы указали эти данные;
- время и дату заказа;
- сумму заказа;
- комментарий, который вы оставили для курьера;
- модель вашего телефона (Android или iPhone), данные о приложении.
23 марта Роскомнадзор заблокировал сайт с картой, на которой визуализировали информацию пользователей «Яндекс.Еды», но массивы данных остаются в открытом доступе.