Dunzo-brugere skal være omhyggelige, efter at deres telefonnumre og e-mail-id'er er lækket

Lørdag stod Mukund Jha, CTO for en indisk leveringstjeneste kaldet Dunzo, over for den uundgåelige opgave at fortælle brugerne, at nogle af deres data var blevet udsat. I et blogindlæg undskyldte Jha voldsomt og forklarede, at hackere havde fået adgang til telefonnumre og e-mail-adresser for et ikke afsløret antal Dunzo-brugere.

Dunzo: Et tredjepartsbrud førte til eksponering af brugernes data

Dunzos CTO sagde, at efterforskningen stadig pågår, men han påpegede, at hackerne ikke angreb Dunzo selv. Serveren fra en tredjepart, som opstart fungerer med, blev brudt, og gennem den lykkedes det skurkerne at komme til en Dunzo-database, der indeholdt telefonnumre og e-mail-adresser.

Så snart de lærte om overtrædelsen, begyndte Jha og hans team straks at arbejde på at sikre dataene og sikre, at lignende hændelser ikke sker i fremtiden. Trinene, de tog, inkluderer implementering af et system, der vil advare dem om enhver mistænksom aktivitet, gennemgå plug-in fra tredjepart, stramme adgangskontrolpolitikker, ændre interne adgangskoder, rotere adgangstokens og opdatere hele netværkskonfigurationen. Mere eller mindre gjorde de alle de ting, et firma skulle gøre i kølvandet på et dataforbrud, såvel som nogle af de ting, som et firma ideelt skal gøre, før dataene ender med at blive udsat.

Dunzo var hurtig til at afsløre overtrædelsen, men nogle af detaljerne forbliver ukendt

Jha's blogindlæg blev indsat i en e-mail og sendt til nogle af Dunzos kunder. En af disse kunder var den uafhængige forsker og professionel inden for cybersikkerhed Niranjan Patil, som roste Dunzo for at være forkant med hændelsen.

Det er faktisk godt at se et startfirma, der har lidt en cybersikkerhedsulykke, indrømme om hacket og afsløre det så hurtigt som muligt. Når det er sagt, kunne Mukund Jha's meddelelse indeholde færre undskyldninger og lidt flere detaljer.

Jha påpegede, at virksomheden stadig undersøger hændelsen, så det er rimeligt at antage, at selv han ikke har det fulde billede. At den tredjepart, der blev hacket, stadig ikke er navngivet i øjeblikket, er også noget forståeligt.

Dunzo kunne dog i det mindste have afsløret, når overtrædelsen skete, og hvordan virksomheden lærte om det. Antallet af potentielt berørte brugere oplyses heller ikke, hvilket betyder, at det er umuligt at estimere omfanget af hændelsen. Folk spekulerer måske også på, om nogen login-data blev påvirket under overtrædelsen. Regelmæssige brugere tilmelder sig faktisk tjenesten med en engangsadgangskode, der sendes til deres telefoner, men de virksomheder, der arbejder med Dunzo, er afhængige af et traditionelt brugernavn og adgangskodegodkendelsessystem, og selvom underretningen siger, at ingen betalingsoplysninger er blevet udsat, der blev ikke nævnt loginoplysninger.

De manglende detaljer betyder, at brugerne på dette tidspunkt kun kan gøre mere end håb om, at overtrædelsen ikke er så alvorlig. De kan også håbe, at enhver fremtidig kommunikation vedrørende hændelsen vil være lidt mere detaljeret.