Mercato deixou um bucket na nuvem aberto, expondo 70.000 pedidos — e ficou em silêncio

A Mercato, fundada em 2015, ajuda mais de mil mercearias menores e lojas de alimentos especiais a vender online para retirada ou entrega em Boston, Chicago, Los Angeles e sua cidade natal, Nova York. Em janeiro de 2021, um de seus buckets de armazenamento na nuvem da Amazon ficou aberto e desprotegido, expondo dezenas de milhares de pedidos de clientes, informou o TechCrunch. A empresa corrigiu o vazamento, mas não havia alertado seus clientes, e o TechCrunch não conseguiu encontrar avisos de divulgação aos procuradores-gerais estaduais onde a lei exige.

O conjunto de dados exposto continha mais de 70.000 pedidos datados de setembro de 2015 a novembro de 2019: nomes de clientes, endereços de e-mail e residenciais, detalhes dos pedidos e o endereço IP do dispositivo usado para fazer cada pedido. Também incluía dados pessoais e detalhes de pedidos dos próprios executivos da Mercato. O TechCrunch verificou uma parte dos registros cruzando nomes e endereços com contas conhecidas e registros públicos. Os buckets de armazenamento na nuvem da Amazon são privados por padrão, portanto não estava claro como o bucket foi aberto nem quando a Mercato soube da exposição.

O momento agravou o problema: só a Califórnia tinha mais de 1.800 residentes no conjunto de dados — mais de três vezes o número que aciona a divulgação obrigatória de violações sob a lei estadual —, e ainda assim nenhum aviso apareceu. Também não se sabia se a Mercato informou os investidores antes de fechar uma Série A de US$ 26 milhões liderada pela Velvet Sea Ventures no início daquele mês; o investidor líder não respondeu aos pedidos de comentário. O CEO Bobby Brannigan confirmou o incidente, mas recusou-se a responder perguntas, citando uma investigação em andamento.

Mais de 70.000 pedidos com nomes, endereços residenciais, e-mails e endereços IP expostos; nenhum aviso de violação publicado onde a lei estadual os exigia.

Anos de registros de pedidos — incluindo os dos próprios executivos — estavam em um bucket com acesso público, a mais básica das configurações incorretas na nuvem.

O vazamento ficou sem correção por dados de anos (pedidos de 2015 a 2019) e sem divulgação por meses: exposição em janeiro, reportagem em abril, nenhum aviso aos clientes.

O limite de divulgação da Califórnia foi ultrapassado em três vezes, de modo que a ausência de avisos ao procurador-geral do estado era, por si só, uma falha de conformidade.

A empresa levantou US$ 26 milhões na mesma janela sem qualquer sinal público de que os investidores foram informados, empilhando um prazo de captação sobre uma falha de segurança.

Buckets na nuvem são privados por padrão por um motivo — e corrigir um vazamento na semana em que se fecha uma rodada, sem avisar as pessoas afetadas pelo vazamento, dobra o erro.

Brannigan disse que a Mercato estava "conduzindo uma auditoria completa usando um terceiro", prometeu contatar os indivíduos afetados, expressou confiança de que nenhum dado de cartão de crédito foi acessado porque os detalhes do cartão não são armazenados em seus servidores, e prometeu manter "todos os órgãos autorizados e partes interessadas, incluindo investidores" informados sobre as conclusões da auditoria. As perguntas do TechCrunch sobre a divulgação ficaram sem resposta, e nenhuma notificação estadual havia sido publicada até a data da reportagem.