Mercato 留下一個未受保護的雲端儲存桶，洩漏了 70,000 筆訂單——而且保持沉默

Mercato 成立於 2015 年，協助超過一千家小型雜貨店與特色食品店在波士頓、芝加哥、洛杉磯及其總部所在的紐約提供線上訂購、到店取貨或外送服務。據 TechCrunch 報導，2021 年 1 月，該公司在 Amazon 雲端上的其中一個雲端儲存桶處於開放且未受保護的狀態，暴露了數萬筆顧客訂單。該公司修補了這次外洩，卻未通知顧客，而 TechCrunch 也找不到依法應向州檢察長提交的任何揭露通知。

外洩的資料集包含超過 70,000 筆訂單，時間從 2015 年 9 月到 2019 年 11 月：顧客姓名、電子郵件與住家地址、訂單細節，以及用來下每筆訂單之裝置的 IP 位址。其中也包含 Mercato 自家高階主管的個人資料與訂單細節。TechCrunch 透過將姓名與地址比對已知帳戶及公開紀錄，驗證了部分紀錄。Amazon 雲端上的儲存桶預設為私有，因此並不清楚該儲存桶是如何開放的，也不清楚 Mercato 何時得知這起外洩。

時機點讓問題更加嚴重：光是加州，資料集中就有超過 1,800 名居民——是該州法律規定強制通報資料外洩門檻的三倍以上——卻未出現任何通知。同樣不清楚的是，Mercato 在同月稍早完成由 Velvet Sea Ventures 領投的 2,600 萬美元 A 輪融資之前，是否曾告知投資人；領投方未回覆置評請求。執行長 Bobby Brannigan 證實了這起事件，但以調查進行中為由拒絕回答問題。

超過 70,000 筆訂單的姓名、住家地址、電子郵件與 IP 位址遭到暴露；在州法律要求的情況下，並未發布任何外洩通知。

多年的訂單紀錄——包括高階主管自己的訂單——存放在一個可公開存取的儲存桶中，這是最基本的雲端設定錯誤。

這次外洩涉及好幾年的資料（2015 至 2019 年的訂單）卻未修補，且數個月未揭露：1 月外洩、4 月報導、顧客未獲通知。

加州的通報門檻被超出三倍，因此未向州檢察長發出通知，本身就是合規上的失誤。

該公司在同一期間募得 2,600 萬美元，卻沒有任何公開跡象顯示投資人曾被告知，讓募資期限與安全疏失疊加在一起。

雲端儲存桶預設為私有是有原因的——而在完成一輪融資的那一週修補外洩，卻不告訴被洩漏資料的人，等於把錯誤加倍。

Brannigan 表示 Mercato 正「透過第三方進行完整稽核」，承諾聯繫受影響的個人，表示有信心沒有任何信用卡資料遭到存取，因為卡號細節並未存放在其伺服器上，並承諾讓「所有主管機關與利害關係人，包括投資人」持續了解稽核結果。TechCrunch 關於揭露的提問未獲回覆，且截至報導時，尚未發布任何州級通知。