Mercato、クラウドバケットを公開状態のまま放置し7万件の注文情報が流出——しかも沈黙を貫いた

2015年創業のMercatoは、ボストン、シカゴ、ロサンゼルス、そして本拠地ニューヨークで、1000を超える小規模食料品店や専門食品店が受け取りまたは配達のためにオンライン販売できるよう支援している。TechCrunchの報道によると、2021年1月、Amazonのクラウド上にある同社のクラウドストレージバケットの一つが公開され無防備な状態に置かれ、数万件の顧客注文情報が露出した。同社は漏えいを修正したが顧客には通知しておらず、TechCrunchは法律で求められる州司法長官への開示通知を確認できなかった。

露出したデータセットには、2015年9月から2019年11月までの7万件を超える注文が含まれていた。顧客の氏名、メールアドレスと自宅住所、注文の詳細、そして各注文を行った端末のIPアドレスである。またMercato自身の役員の個人データと注文詳細も含まれていた。TechCrunchは、既知のアカウントや公開記録と氏名・住所を照合することで、記録の一部を検証した。Amazonのクラウド上のストレージバケットはデフォルトで非公開であるため、バケットがどのように公開されたのか、またMercatoがいつ漏えいを把握したのかは明らかではなかった。

タイミングが問題を悪化させた。カリフォルニア州だけでもデータセットには1800人を超える住民が含まれており、これは州法で義務付けられる侵害開示の引き金となる人数の3倍以上であったにもかかわらず、通知は一切出されなかった。また、同月初めにVelvet Sea Venturesが主導した2600万ドルのシリーズAを完了する前にMercatoが投資家に伝えていたかどうかも不明であり、主導投資家はコメント要請に応じなかった。CEOのBobby Branniganはインシデントを認めたが、進行中の調査を理由に質問を拒否した。

氏名、自宅住所、メールアドレス、IPアドレスを含む7万件を超える注文が露出し、州法が求める場所に侵害通知は公開されなかった。

役員自身のものを含む長年の注文記録が、公開アクセス可能なバケットに置かれていた。これは最も基本的なクラウドの設定ミスである。

漏えいは数年にわたるデータ（2015年から2019年の注文）に対して修正されず、数か月にわたって非開示のままだった。1月に露出、4月に報道、顧客への通知はなし。

カリフォルニア州の開示基準を3倍超えていたため、州司法長官への通知の欠如それ自体がコンプライアンス違反であった。

同社は同じ時期に2600万ドルを調達しており、投資家に伝えられたことを示す公的な兆候はなかった。資金調達の期限にセキュリティ上の過失が重なったのである。

クラウドバケットがデフォルトで非公開なのには理由がある。そして、資金調達を完了した週に漏えいを修正しつつ、漏えいの被害者に知らせないことは、過ちを二重にするものである。

Branniganは、Mercatoが「第三者を起用して完全な監査を実施している」と述べ、影響を受けた個人に連絡することを約束し、カード情報は同社のサーバーに保存されていないためクレジットカードデータはアクセスされていないとの確信を表明し、「投資家を含むすべての権威ある機関とステークホルダー」に監査結果を通知し続けると約束した。開示に関するTechCrunchの質問は回答されず、報道時点で州への通知は公開されていなかった。