Mercato, fundada en 2015, ayuda a más de mil pequeños comerciantes de comestibles y tiendas de alimentos especializados a vender en línea para recogida o entrega en Boston, Chicago, Los Ángeles y su ciudad natal, Nueva York. En enero de 2021, uno de sus buckets de almacenamiento en la nube de Amazon quedó abierto y sin protección, exponiendo decenas de miles de pedidos de clientes, según informó TechCrunch. La empresa corrigió la filtración pero no había alertado a sus clientes, y TechCrunch no pudo encontrar avisos de divulgación a los fiscales generales estatales donde la ley lo exige.
El conjunto de datos expuesto contenía más de 70.000 pedidos con fechas entre septiembre de 2015 y noviembre de 2019: nombres de clientes, direcciones de correo electrónico y domicilios, detalles de los pedidos y la dirección IP del dispositivo utilizado para realizar cada pedido. También incluía datos personales y detalles de pedidos de los propios directivos de Mercato. TechCrunch verificó una parte de los registros cotejando nombres y direcciones con cuentas conocidas y registros públicos. Los buckets de almacenamiento en la nube de Amazon son privados por defecto, por lo que no estaba claro cómo se abrió el bucket ni cuándo se enteró Mercato de la exposición.
El momento agravó el problema: solo California tenía más de 1.800 residentes en el conjunto de datos —más del triple del número que activa la obligación de divulgación de brechas según la ley estatal— y aun así no aparecieron avisos. También se desconocía si Mercato informó a los inversores antes de cerrar una Serie A de 26 millones de dólares liderada por Velvet Sea Ventures a principios de ese mes; el inversor principal no respondió a las solicitudes de comentarios. El CEO Bobby Brannigan confirmó el incidente pero declinó responder preguntas, alegando una investigación en curso.
Más de 70.000 pedidos con nombres, domicilios, correos electrónicos y direcciones IP expuestos; no se publicaron avisos de brecha donde la ley estatal los exigía.
Años de registros de pedidos —incluidos los de los propios directivos— permanecieron en un bucket con acceso público, la mala configuración en la nube más básica que existe.
La filtración quedó sin corregir durante datos de varios años (pedidos de 2015 a 2019) y sin divulgar durante meses: exposición en enero, reportaje en abril, ningún aviso a los clientes.
Se superó tres veces el umbral de divulgación de California, por lo que la ausencia de avisos al fiscal general del estado constituyó en sí misma un incumplimiento normativo.
La empresa recaudó 26 millones de dólares en la misma ventana sin ninguna señal pública de que se hubiera informado a los inversores, acumulando una fecha límite de recaudación de fondos sobre un fallo de seguridad.
Los buckets en la nube son privados por defecto por una razón, y corregir una filtración la semana en que cierras una ronda, sin avisar a las personas afectadas por la filtración, duplica el error.
Brannigan dijo que Mercato estaba «realizando una auditoría completa con un tercero», prometió contactar a las personas afectadas, expresó confianza en que no se accedió a datos de tarjetas de crédito porque los datos de las tarjetas no se almacenan en sus servidores, y se comprometió a mantener «informados de los hallazgos de la auditoría a todos los organismos autorizados y partes interesadas, incluidos los inversores». Las preguntas de TechCrunch sobre la divulgación quedaron sin respuesta, y no se había publicado ninguna notificación estatal en el momento del reportaje.
CONSULTA LAS PRUEBAS
Las fuentes
- Grocery startup Mercato spilled years of data, but didn't tell its customers TechCrunch · techcrunch.com ·