Mercato ließ einen Cloud-Bucket offen und gab 70.000 Bestellungen preis – und schwieg dazu

Mercato, 2015 gegründet, hilft über tausend kleineren Lebensmittelhändlern und Feinkostgeschäften beim Onlineverkauf zur Abholung oder Lieferung in Boston, Chicago, Los Angeles und der Heimatstadt New York. Im Januar 2021 wurde einer der Cloud-Speicher-Buckets des Unternehmens bei Amazon ungeschützt und offen gelassen, wodurch Zehntausende Kundenbestellungen offengelegt wurden, wie TechCrunch berichtete. Das Unternehmen schloss das Leck, hatte seine Kunden aber nicht benachrichtigt, und TechCrunch konnte keine Offenlegungshinweise an die Generalstaatsanwälte der Bundesstaaten finden, wo dies gesetzlich vorgeschrieben ist.

Der offengelegte Datensatz enthielt mehr als 70.000 Bestellungen aus der Zeit von September 2015 bis November 2019: Kundennamen, E-Mail- und Wohnadressen, Bestelldetails und die IP-Adresse des Geräts, mit dem die jeweilige Bestellung aufgegeben wurde. Er enthielt auch personenbezogene Daten und Bestelldetails der eigenen Führungskräfte von Mercato. TechCrunch verifizierte einen Teil der Datensätze, indem Namen und Adressen mit bekannten Konten und öffentlichen Aufzeichnungen abgeglichen wurden. Cloud-Speicher-Buckets bei Amazon sind standardmäßig privat, daher war unklar, wie der Bucket geöffnet wurde oder wann Mercato von der Offenlegung erfuhr.

Der Zeitpunkt verschärfte das Problem: Allein in Kalifornien befanden sich mehr als 1.800 Einwohner im Datensatz – mehr als das Dreifache der Zahl, die nach staatlichem Recht eine Pflicht zur Meldung von Datenschutzverletzungen auslöst – dennoch erschienen keine Benachrichtigungen. Ebenso war unbekannt, ob Mercato die Investoren informierte, bevor es Anfang desselben Monats eine Series A über 26 Millionen US-Dollar unter der Führung von Velvet Sea Ventures abschloss; der Lead-Investor antwortete nicht auf Kommentaranfragen. CEO Bobby Brannigan bestätigte den Vorfall, lehnte jedoch Fragen ab und verwies auf eine laufende Untersuchung.

Über 70.000 Bestellungen mit Namen, Wohnadressen, E-Mails und IP-Adressen wurden offengelegt; es wurden keine Benachrichtigungen über Datenschutzverletzungen veröffentlicht, wo das staatliche Recht sie vorschrieb.

Bestelldaten aus mehreren Jahren – einschließlich der der Führungskräfte selbst – lagen in einem Bucket mit öffentlichem Zugriff, der grundlegendsten Fehlkonfiguration in der Cloud überhaupt.

Das Leck blieb über Daten aus mehreren Jahren (Bestellungen 2015–2019) unbereinigt und monatelang nicht offengelegt: Offenlegung im Januar, Bericht im April, keine Kundenbenachrichtigung.

Die kalifornische Offenlegungsschwelle wurde um das Dreifache überschritten, sodass das Fehlen von Benachrichtigungen an den Generalstaatsanwalt des Bundesstaates selbst ein Compliance-Versäumnis war.

Das Unternehmen sammelte im selben Zeitraum 26 Millionen US-Dollar ein, ohne dass es öffentliche Anzeichen dafür gab, dass die Investoren informiert wurden – eine Finanzierungsfrist traf auf ein Sicherheitsversäumnis.

Cloud-Buckets sind aus gutem Grund standardmäßig privat – und ein Leck in der Woche zu schließen, in der man eine Finanzierungsrunde abschließt, ohne die betroffenen Personen zu informieren, verdoppelt den Fehler.

Brannigan sagte, Mercato führe „eine vollständige Prüfung durch einen Dritten durch“, versprach, betroffene Personen zu kontaktieren, äußerte die Zuversicht, dass keine Kreditkartendaten abgerufen wurden, da Kartendetails nicht auf seinen Servern gespeichert würden, und versprach, „alle zuständigen Stellen und Interessengruppen, einschließlich der Investoren“, über die Ergebnisse der Prüfung auf dem Laufenden zu halten. TechCrunchs Fragen zur Offenlegung blieben unbeantwortet, und zum Zeitpunkt des Berichts waren keine staatlichen Benachrichtigungen veröffentlicht worden.