Dane z dostaw na widelcu — wyciek z serwisu do zamawiania jedzenia w Elblągu

Serwis NaWynos.elblag.pl, służący do zamawiania jedzenia w Elblągu, umożliwiał pobranie danych klientów w sposób publiczny – bez konieczności logowania. Problem dotyczy zamówień od 2011 roku.

Zgodnie z ustaleniami, serwis posiadał endpoint, który po podaniu numeru zamówienia zwracał dane dotyczące tego zamówienia. Jeden z badaczy odkrył, że można łatwo wysłać numer zamówienia i otrzymać dane, takie jak: adres dostawy, numer telefonu klienta, czy kod do domofonu. Niebezpiecznik potwierdził te ustalenia. Udało im się dotrzeć nawet do bardzo starych zamówień, m.in. numer 1500 z 2011 roku, a maksymalny numer, jaki udało się zidentyfikować, to 600 605.  Choć nie wszystkie identyfikatory w tym zakresie zwracały dane, większość odpowiadała.

Zgłoszenie zostało wysłane do administratora danych – Biura Usług Informatycznych SOFTEL s.c.. Po kontakcie mailowym i telefonicznym, firma potwierdziła przyjęcie zgłoszenia. Według jej przedstawiciela:

"Ne ma tam e-maila, jest tylko telefon i adres dostawy, który niekoniecznie musi być związany z telefonem. Uwagi o wejściu do budynku nie są chronione przez RODO. Nie sądzę, że to wymaga zgłoszenia do UODO, nie widzę tam żadnych wrażliwych danych. Podejmiemy natomiast kroki, żeby to na wszelki wypadek zabezpieczyć"

- odpowiedział na pytania serwisu Niebezpiecznik.pl Włodek Gęsicki, wydawca Elbląskiej Gazety Internetowej i portalu portEl.pl.

Po interwencji Niebezpiecznika endpoint umożliwiający pobieranie danych został zablokowany.

Elbląska Gazeta portEL.pl wydała oświadczenie w sprawie serwisu NaWynos, przytaczamy je w całości:

Informujemy, że dane klientów serwisu NaWynos są bezpieczne. Po zgłoszeniu przez portal Niebezpiecznik.pl luki w oprogramowaniu serwisu została ona natychmiast usunięta. Sprawę, o której napisał portal Niebezpiecznik.pl, zgłosiliśmy do Urzędu Ochrony Danych Osobowych. Czekamy na dalszy tryb postępowania urzędu. W wyniku błędu oprogramowania serwisu NaWynos nie wypłynęły żadne dane wrażliwe (nazwiska, PESEL, konta bankowe itp.). Serwis takich danych nie wymaga od swoich użytkowników, a co za tym idzie nie gromadzi ich i nie przetwarza na swoich serwerach. Zapewniamy, że dane klientów serwisu NaWynos są bezpieczne i w odpowiedni sposób chronione.

O wycieku napisał Niebezpiecznik.pl