28 февраля служба безопасности Яндекс Еды выявила утечку данных. Сервис сразу же предупредили пользователей и приняли меры, но было поздно — злоумышленники начали распространять похищенную информацию в интернете.
Утёкшая информация — массив из нескольких миллионов строк, в которых содержались сведения о заказах из Яндекс Еды. Это адреса, номера телефонов, имена — в том виде, в каком они указаны в сервисе, — а также даты и время заказов. Утечки логинов, паролей и данных банковских карт не было, эта информация в безопасности.
1 марта, команда Еды начала рассылать письма тем, чьи данные оказались скомпрометированы. 22 марта злоумышленники запустили сайт с визуализацией — они привязали данные пользователей Яндекс Еды к интерактивной карте. При этом на сайте можно найти сведения, которых не было в массиве: например, ФИО и адреса электронной почты. Это означает, что создатели сайта скомпоновали данные Еды с данными, утёкшими из других компаний.
Сейчас Яндекс добивается блокировки сайтов и каналов, которые публикуют данные. К 23 марта большинство провайдеров уже заблокировали ресурсы, которые распространяли утёкшую информацию, — они недоступны на территории РФ.
За прошедшие недели команда Еды свела к минимуму количество сотрудников, которые имеют доступ к приватным данным. Также данные переносятся в более защищённое хранилище.
В скором времени Яндекс.Еду подключат к инструменту для управления данными, который Яндекс запустил в прошлом году. С его помощью можно посмотреть, какие данные о вас накопили разные сервисы, и при желании удалить их раз и навсегда.