Mercato 云存储桶未设防护，泄露 7 万笔订单——却保持沉默

Mercato 成立于 2015 年，帮助一千多家小型杂货店和特色食品店在波士顿、芝加哥、洛杉矶及其总部所在地纽约开展线上销售，提供自提或配送服务。据 TechCrunch 报道，2021 年 1 月，其在亚马逊云上的一个云存储桶处于开放且未受保护的状态，暴露了数万笔客户订单。公司修复了这次泄露，但并未通知客户，TechCrunch 也未找到依法应向州总检察长提交的任何披露通知。

被暴露的数据集包含 2015 年 9 月至 2019 年 11 月期间的 7 万多笔订单：客户姓名、电子邮箱和家庭住址、订单详情，以及用于下每笔订单的设备的 IP 地址。其中还包括 Mercato 自身高管的个人数据和订单详情。TechCrunch 通过将姓名和地址与已知账户及公开记录进行比对，核实了部分记录。亚马逊云上的存储桶默认是私有的，因此尚不清楚该存储桶是如何开放的，也不清楚 Mercato 何时得知此次暴露。

时机让问题更加严重：仅加利福尼亚州就有超过 1,800 名居民出现在该数据集中——是触发该州法律规定的强制泄露披露门槛的三倍多——却没有任何通知出现。同样未知的是，Mercato 在当月早些时候完成由 Velvet Sea Ventures 领投的 2600 万美元 A 轮融资之前，是否告知了投资者；领投方未回应置评请求。CEO Bobby Brannigan 证实了该事件，但以正在进行的调查为由拒绝回答问题。

超过 7 万笔订单的姓名、家庭住址、电子邮箱和 IP 地址被暴露；在州法律要求的地方未发布任何泄露通知。

多年的订单记录——包括高管自己的记录——存放在一个可公开访问的存储桶中，这是最基本的云配置错误。

泄露涉及多年数据（2015–2019 年订单）却多年未修复，且数月未披露：1 月暴露，4 月报道，未通知客户。

加利福尼亚州的披露门槛被超出三倍，因此未向州总检察长提交通知本身就是合规失败。

公司在同一时间窗口筹集了 2600 万美元，却没有任何公开迹象表明投资者被告知，将融资截止日期叠加在安全疏漏之上。

云存储桶默认私有是有原因的——在完成融资的那一周修复泄露，却不告知被泄露影响的人，使错误加倍。

Brannigan 表示，Mercato 正在“使用第三方进行完整审计”，承诺联系受影响的个人，表示有信心没有信用卡数据被访问，因为卡详情不存储在其服务器上，并承诺让“所有权威机构和利益相关者，包括投资者”了解审计结果。TechCrunch 关于披露的问题未获答复，截至报道时也没有任何州通知被公布。