Mercato, 클라우드 버킷을 열어둔 채 7만 건의 주문 정보 유출 — 그리고 침묵했다

2015년에 설립된 Mercato는 보스턴, 시카고, 로스앤젤레스 그리고 본사가 있는 뉴욕 전역에서 1,000곳이 넘는 소규모 식료품점과 특산 식품점이 픽업 또는 배달을 위해 온라인으로 판매할 수 있도록 돕는다. TechCrunch의 보도에 따르면, 2021년 1월 아마존 클라우드에 있는 회사의 클라우드 스토리지 버킷 중 하나가 열린 채 보호되지 않아 수만 건의 고객 주문이 노출되었다. 회사는 유출을 수정했지만 고객에게 알리지 않았으며, TechCrunch는 법률이 요구하는 주 법무장관에 대한 공개 통지문을 어디에서도 찾을 수 없었다.

노출된 데이터 세트에는 2015년 9월부터 2019년 11월까지의 7만 건이 넘는 주문이 포함되어 있었다: 고객 이름, 이메일 및 자택 주소, 주문 세부 정보, 그리고 각 주문을 하는 데 사용된 기기의 IP 주소. 여기에는 Mercato 자체 임원들의 개인 데이터와 주문 세부 정보도 포함되어 있었다. TechCrunch는 이름과 주소를 알려진 계정 및 공개 기록과 대조하여 기록의 일부를 검증했다. 아마존 클라우드의 스토리지 버킷은 기본적으로 비공개이므로, 버킷이 어떻게 열렸는지 또는 Mercato가 언제 노출 사실을 알게 되었는지는 명확하지 않았다.

시점이 문제를 악화시켰다: 캘리포니아 주만 해도 데이터 세트에 1,800명이 넘는 주민이 있었는데 — 이는 주법에 따라 의무적 침해 공개를 촉발하는 수치의 세 배가 넘는다 — 그러나 어떤 통지도 나타나지 않았다. 또한 Mercato가 그달 초 Velvet Sea Ventures가 주도한 2,600만 달러 규모의 시리즈 A 투자를 마감하기 전에 투자자들에게 알렸는지도 알려지지 않았다; 주도 투자자는 논평 요청에 응답하지 않았다. CEO Bobby Brannigan은 사건을 확인했지만 진행 중인 조사를 이유로 질문을 거절했다.

이름, 자택 주소, 이메일, IP 주소가 포함된 7만 건이 넘는 주문이 노출되었고; 주법이 요구하는 곳에 침해 통지문이 게시되지 않았다.

수년치 주문 기록 — 임원들 자신의 기록 포함 — 이 공개 접근이 가능한 버킷에 있었다. 이는 존재하는 가장 기본적인 클라우드 오설정이다.

유출은 수년치 데이터(2015–2019년 주문)에 걸쳐 수정되지 않았고 몇 달 동안 공개되지 않았다: 1월 노출, 4월 보도, 고객 통지 없음.

캘리포니아의 공개 기준치를 세 배 초과했으므로, 주 법무장관에 대한 통지 부재 자체가 규정 준수 실패였다.

회사는 같은 시기에 2,600만 달러를 유치했으며 투자자들이 통보받았다는 공개적 징후는 없었다. 이는 보안 실패 위에 자금 조달 마감 시한을 겹쳐 놓은 것이다.

클라우드 버킷이 기본적으로 비공개인 데는 이유가 있다 — 그리고 라운드를 마감하는 주에 유출을 수정하면서, 유출로 피해를 입은 사람들에게 알리지 않는 것은 실수를 두 배로 만든다.

Brannigan은 Mercato가 '제3자를 이용한 완전한 감사를 실시하고 있다'고 말했으며, 영향을 받은 개인들에게 연락하겠다고 약속했고, 카드 세부 정보가 자사 서버에 저장되지 않기 때문에 신용카드 데이터는 접근되지 않았다고 확신을 표명했으며, '투자자를 포함한 모든 권위 있는 기관과 이해관계자'에게 감사 결과를 계속 알리겠다고 약속했다. 공개에 관한 TechCrunch의 질문은 답변되지 않았고, 보도 시점까지 어떤 주 통지도 게시되지 않았다.