Mercato a laissé un bucket cloud ouvert, exposant 70 000 commandes — et est resté silencieux

Mercato, fondée en 2015, aide plus d'un millier de petits épiciers et de magasins d'alimentation spécialisés à vendre en ligne pour le retrait ou la livraison à Boston, Chicago, Los Angeles et dans sa ville d'origine, New York. En janvier 2021, l'un de ses buckets de stockage cloud sur le cloud d'Amazon est resté ouvert et non protégé, exposant des dizaines de milliers de commandes de clients, a rapporté TechCrunch. L'entreprise a corrigé la fuite mais n'avait pas alerté ses clients, et TechCrunch n'a pu trouver aucun avis de divulgation adressé aux procureurs généraux des États là où la loi l'exige.

L'ensemble de données exposé contenait plus de 70 000 commandes datant de septembre 2015 à novembre 2019 : noms des clients, adresses électroniques et postales, détails des commandes et adresse IP de l'appareil utilisé pour passer chaque commande. Il comprenait également des données personnelles et les détails des commandes des propres dirigeants de Mercato. TechCrunch a vérifié une partie des enregistrements en faisant correspondre des noms et des adresses avec des comptes connus et des registres publics. Les buckets de stockage sur le cloud d'Amazon sont privés par défaut, il n'était donc pas clair comment le bucket s'était ouvert ni quand Mercato avait eu connaissance de l'exposition.

Le calendrier a aggravé le problème : la Californie comptait à elle seule plus de 1 800 résidents dans l'ensemble de données — plus de trois fois le nombre qui déclenche l'obligation de divulgation d'une violation en vertu de la loi de l'État — et pourtant aucun avis n'est apparu. On ignorait également si Mercato avait informé ses investisseurs avant de boucler un tour de série A de 26 millions de dollars mené par Velvet Sea Ventures plus tôt ce mois-là ; l'investisseur principal n'a pas répondu aux demandes de commentaires. Le PDG Bobby Brannigan a confirmé l'incident mais a décliné les questions, invoquant une enquête en cours.

Plus de 70 000 commandes avec noms, adresses postales, adresses électroniques et adresses IP exposées ; aucun avis de violation publié là où la loi de l'État l'exigeait.

Des années d'enregistrements de commandes — y compris ceux des dirigeants eux-mêmes — se trouvaient dans un bucket à accès public, la plus élémentaire des erreurs de configuration cloud.

La fuite est restée non corrigée pendant des années de données (commandes de 2015 à 2019) et non divulguée pendant des mois : exposition en janvier, article en avril, aucune notification aux clients.

Le seuil de divulgation de la Californie était dépassé de trois fois, de sorte que l'absence d'avis au procureur général de l'État constituait en soi un manquement à la conformité.

L'entreprise a levé 26 millions de dollars dans la même période sans aucun signe public que les investisseurs avaient été informés, empilant une échéance de levée de fonds sur une défaillance de sécurité.

Les buckets cloud sont privés par défaut pour une raison — et corriger une fuite la semaine où l'on boucle un tour de table, sans en informer les personnes dont les données ont fuité, double l'erreur.

Brannigan a déclaré que Mercato « menait un audit complet en faisant appel à un tiers », a promis de contacter les personnes concernées, s'est dit confiant qu'aucune donnée de carte de crédit n'avait été consultée car les détails des cartes ne sont pas stockés sur ses serveurs, et s'est engagé à tenir « tous les organismes faisant autorité et les parties prenantes, y compris les investisseurs » informés des conclusions de l'audit. Les questions de TechCrunch sur la divulgation sont restées sans réponse, et aucune notification d'État n'avait été publiée au moment de l'article.