

美国外卖服务DoorDash被指泄露近500万用户的信息

代码卫士

2019-09-27

导读：具体详情所知不多

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

DoorDash 公司表示数据遭泄露。一名越权用户能够获得对490万名消费者、外卖骑手(Dasher) 和商家个人信息的访问权限。

DoorDash 发布安全通知和电子邮件表示，越权方在2019年5月4日获得访问数据的权限。这些数据属于在2018年4月5日当天或之前加入平台的用户、骑手和商家。

目前尚不清楚数据是如何遭访问的，但该公司提到他们通过一家第三方服务发现了异常活动。目前尚不知晓该数据是否由第三方服务提供商托管，还是遭受了源自该服务提供商的供应链攻击，亦或是该越权访问源自该服务提供商。

目前确定的消息是，遭泄露的信息包括邮件地址、送餐地址、订单历史、电话号码、哈希盐密码。DoorDash 公司还指出，某些消费者、骑手和商家信用卡或银行卡的最后四位数字也遭暴露。

遭访问的数据完整列表如下：

资料信息，包括姓名、邮件地址、送餐地址、订单历史、电话号码和哈希盐密码。

某些消费者支付卡的最后四位数字遭暴露。不够，完整的信用卡信息如完整的支付卡卡号或 CVV号码并未遭访问。攻击者无法利用这些信息发起对支付卡的欺诈攻击。

DoorDash 骑手和商家银行卡卡号的最后四位数字遭泄露。不过完整的银行账户信息并未遭访问。遭泄露的这些信息无法用于实施欺诈性提款行为。

大约10万名骑手的驾照号码遭访问。