Fuite de données clients de Yandex.Eda

Le 1er mars 2022, Yandex.Eda — la branche de livraison de repas du géant russe de l'internet Yandex — a annoncé avoir subi une fuite de données, l'imputant aux « actions malhonnêtes d'un employé ». Quelques semaines plus tard, les informations divulguées ont été publiées sur une carte interactive permettant à quiconque de rechercher les adresses et numéros de téléphone des clients, transformant une fuite interne en une crise de confidentialité très publique.

Ce qui s'est passé

Selon Yandex, un employé disposant d'un accès aux dossiers clients a exfiltré des données de commande et ces informations se sont retrouvées en ligne. Le 22 mars 2022, un site tiers est apparu, reportant les enregistrements divulgués sur une carte de la Russie, exposant les données personnelles de plus de 58 000 clients sous une forme géographique et consultable.

Les champs exposés comprenaient les noms complets, numéros de téléphone, adresses de livraison, codes d'interphone, montants de commande et historique de commandes des clients. Yandex.Eda servant une large clientèle urbaine — incluant, selon les rapports, des personnes liées à des organes de sécurité et gouvernementaux — l'exposition cartographiée et adressable a suscité un examen inhabituel.

Impact

• Plus de 58 000 clients ont vu leurs données d'identité et de localisation exposées.
• La présentation des données sous forme de carte consultable a considérablement amplifié le préjudice par rapport à un simple dump de base de données.
• Une fuite distincte et connexe de données de coursiers — environ 700 000 enregistrements contenant noms, e-mails, numéros de téléphone et mots de passe hachés — est apparue durant la même période.

Réponse

Le régulateur russe des communications Roskomnadzor a restreint l'accès à la carte et ouvert une procédure administrative contre Yandex.Eda pour violation de la loi sur les données personnelles. Le 21 avril 2022, un tribunal de Moscou a infligé à l'entreprise une amende de 60 000 roubles (environ 700 $ à l'époque) pour la fuite concernant les clients ; une amende supplémentaire de 60 000 roubles a suivi en août pour la fuite des données de coursiers. Des dizaines d'utilisateurs concernés ont lancé un recours collectif réclamant des dommages moraux de 100 000 roubles chacun.

Pourquoi c'est important

La fuite de Yandex.Eda est devenue une référence dans le débat sur les sanctions dérisoires que le droit russe attachait alors aux grandes violations de données personnelles : une amende de 60 000 roubles pour l'exposition de dizaines de milliers de personnes a été largement citée comme preuve que les amendes devaient être proportionnées au préjudice. L'affaire — une exfiltration par un initié transformée en outil de cartographie public — a contribué à alimenter les propositions législatives russes ultérieures d'amendes assises sur le chiffre d'affaires pour les fuites de données personnelles, à l'image de l'escalade de type RGPD observée ailleurs.