Uhajanje podatkov pri Szybko: izpostavljenih 200.000 strank, podjetje dva dni molčalo

VARŠAVA — Osebni podatki približno 200.000 strank aplikacije za dostavo hrane Szybko — imena, telefonske številke in celotna zgodovina naročil — so bili prosto dostopni na nezaščitenem strežniku. Podjetje se 48 ur po razkritju ni oglasilo, nato pa objavilo izjavo s štirimi stavki, ki po mnenju kritikov »ne pojasni ničesar«.

Ozadje

Szybko deluje v 14 poljskih mestih, sodeluje z 2.300 restavracijami in okoli 4.000 dostavljavci ter ima 1,1 milijona aktivnih uporabnikov. Blagovna znamka temelji na hitrosti in prijaznem tonu na družbenih omrežjih. Izpostavljena baza je vsebovala naročila za tri leta nazaj, vključno z naslovi dostave, opombami, kot je »koda vrat 4471«, in ponekod naročili iz lekarn.

Kdo sodeluje in kakšna so stališča

• Szybko, direktor Paweł Mazur: izjava pravi, da je bila baza »testno okolje«, da »plačilni podatki niso prizadeti« in da podjetje »sodeluje z organi«. Mazur javno še ni nastopil.
• Ola Dąbrowska, neodvisna raziskovalka varnosti, je strežnik odkrila in pravi, da je Szybko obvestila osem dni pred objavo — brez odgovora.
• Nacionalni organ za varstvo podatkov je uvedel postopek; globa lahko doseže 4 % letnega prometa.
• Skupina dostavljavcev »Kurierzy Razem« (predstavnik Damian Sikora): v bazi so bile tudi številke dostavljavcev, nekateri že prejemajo grozilne klice.
• Jezne stranke pod ključnikom #SzybkoWyciek brišejo aplikacijo in delijo posnetke zaslona lastnih naročil iz baze.
• Potrošniška organizacija »Czujny Konsument« (odvetnica Ewa Kamińska) pripravlja skupinsko tožbo in zbira oškodovance.
• Konkurent Talerzyk ponuja »mesec brezplačne dostave za vse, ki zapustijo Szybko«.

Časovnica prvih treh dni

• 1. dan, 9.00 — Dąbrowska objavi blog z zakritimi posnetki zaslona. Do večera zgodba pristane na velikih portalih.
• 1. dan, 18.00 — strežnik je umaknjen; Szybko molči.
• 2. dan — #SzybkoWyciek je med trendi; organ potrdi preiskavo; Talerzyk začne akcijo.
• 3. dan, 9.00 — Szybko objavi kratko izjavo brez opravičila. Dostavljavci napovedo dveurno stavko.

Ključna dejstva in številke

• 200.000 strank, okoli 4.000 dostavljavcev, 3 leta naročil.
• 48 ur molka, 8 dni prezrtih opozoril.
• Možna globa: do 4 % prometa (lani 310 milijonov zlotov).

Kaj sledi

Uprava Szybko se sestane 4. dan. Organizacija pravi, da se je tožbi pridružilo že 3.000 ljudi. Novinarji sprašujejo, ali bo Mazur odstopil.

Gradivo je izmišljeno in pripravljeno kot primer za simulacijo.