Сайт со слитыми данными пользователей "Яндекса" заблокировали

23.03.2022 16:55

Фото: depositphotos/Евгения Смолянская

Роскомнадзор заблокировал сайт со слитыми данными пользователей "Яндекс.Еды". Злоумышленники сделали карту с личными сведениями клиентов сервиса.

Информация, попавшая в сеть, содержит имена, номера телефонов, адреса вплоть до квартиры, электронную почту и суммарную трату на заказы за полгода. Всего около 8 млн адресов. Ссылка на сайт с этим контентом появилась в средствах массовой информации и телеграм-каналах.

Вот, что рассказал один из пострадавших пользователей сервиса:

"Открыл с утра СМИ. Увидел, что произошел слив данных от "Яндекса". Прошел по ссылке, проверил себя – данные верные. Огорчился. Делать что-то вряд ли буду, потому что из интернета уже ничего не удалить. А так "отличная" новость: в IT-гиганте огромная дыра в безопасности – ничего удивительного. Спасибо за мизерные штрафы, что "Яндексу", что "Сберу", что Ozon – за все остальные сливы. Теперь буду ждать звонков от службы безопасности другого известного банка".

Служба безопасности "Яндекс.Еды" сообщила об утечке данных еще 1 марта. Всех пострадавших пользователей тогда уведомили о проблеме по электронной почте. В компании заявили, что это произошло по вине одного из сотрудников.

При этом банковские, платежные и регистрационные данные пользователей (логины и пароли) затронуты не были. Карта с данными – это визуализация данных из утечки, которая произошла в начале месяца, новых больше не происходило, заверили представители сервиса.

Скорее всего, данные слили подрядчики "Яндекса", говорит основатель сервиса мониторинга утечек DLBI Ашот Оганесян.

Ашот Оганесян

основатель сервиса мониторинга утечек DLBI

Это либо инсайдер с украинским происхождением, либо сочувствующий Украине с правами администратора слил базу данных. Тот, кто осуществлял этот саботаж, имел доступ к данным "Яндекс.Еды", подрядчик. Видимо, это курьерская служба, потому что там не все данные "Яндекс.Еды", там нет никаких платежных данных. Я посмотрел по самому себе. У меня там не указаны обычные имя и фамилия: у меня специфическим образом указано имя в "Яндекс.Еде", есть адрес доставки и сумма заказа. Очевидно, это некий сервис, который оказывает "Яндексу" услуги по доставке. К чему имел доступ человек, который все это слил, то и опубликовал. В данном случае опять один из украинских телеграм-каналов просто создал веб-сайт, на котором визуализировал это, сделали его максимально доступным.

На 100-процентную защиту персональных данных пользователь рассчитывать не может, отметил в свою очередь руководитель аналитического центра Zecurion Владимир Ульянов.

Владимир Ульянов

руководитель аналитического центра Zecurion

Когда мы данные отдали какой-либо компании, она нас переписала, что называется, тогда все, мы уже никак не управляем этими данными, не контролируем. Поэтому нам остается лишь надеяться, что данные будут обрабатываться, храниться должным образом. Не стоит избыточные данные передавать. Например, если в анкете есть 20 полей – не обязательно все их заполнять. Там, где мы их оставили, зарегистрировались с указанием паспортных данных, если компания может нас защитить, она нас защитит. Но человек ими управлять фактически никак не может. Можно попросить отозвать разрешение на управление персональными данными и хранение, обработку по закону о защите персональных данных. Но это редкий случай.

По данным GlobalCheck, сейчас доступность сайта составляет 0%. При этом в реестре заблокированных ресурсов его нет. Однако с помощью VPN открыть карту можно.