Утечка данных в сервисе «Яндекс.Еда» — проблема личных данных

Заказы и описание блюд, которые вы покупали, при этом не выводятся, но в дампе базы данных эти сведения также содержатся. Из них можно сделать выводы о том, что вы любите есть, как много еды заказываете и на какое число человек по числу заказанных приборов.

Развлекался тем, что смотрел, что заказывают мои соседи, на какие суммы, делился с ними информацией в разговорах, что вызывало у них шоковое состояние — письмо от «Яндекса» практически все проигнорировали и не увидели. А те, кто увидел, не придали значения, так как не посчитали чем-то важным.

Можно выбирать людей по районам, конкретным домам и смотреть на их заказы. Бесценная информация для мошенников, которые могут использовать ее в рамках социальной инженерии, представляться сотрудниками «Яндекса» и выманивать те или иные сведения. И это дополнительные риски для компании, от которых защититься можно уже только одним способом — максимально широко рассказать пострадавшим клиентам (а мы именно пострадавшая сторона) о том, что такое возможно. Только комплексный подход тут может защитить клиента от мошенников. Нужно, чтобы люди знали об этой ситуации и понимали, что происходит. Тут можно организовать подробную рассылку, рассказать на своих ресурсах об этом — можно придумать огромное число разных полезных вещей. На мой взгляд, тут имеет смысл делать фокус не только на утечке «Яндекса», но брать все подобные утечки совокупно и объяснять, показывать на примерах, разжевывать все для людей. И это будет полезно для всех, «Яндекс» тут взял бы на себя роль учителя. Подобный подход позволяет нивелировать утечку данных, показать, что компании не все равно и она использует этот повод для того, чтобы защитить всех людей, а не только своих клиентов. В рамках «Яндекса» это ничтожный бюджет, огромная прорва сотрудников PR могла реализовать такой подход в сжатые сроки, все ресурсы для этого внутри есть. Но этого не было сделано, так как «Яндекс» не понимает сути коммуникаций как таковых, пытается все скрыть. Когда компания влетела в неприятности, нужно не закрывать на них глаза и не делать вид, что ничего не произошло, а пытаться активно работать над тем, чтобы такого не было. Но это не путь «Яндекса».

Другим важным моментом становится повторная коммуникация. Например, тот же Тигран Худавердян мог бы написать от своего имени письмо к пользователям, покаяться и объяснить, в чем была проблема и как в «Яндексе» ее исправили. Понимаю, что не барское это дело — общаться с клиентами, но топ-менеджеры «Яндекса» умеют только красиво рассказывать сказки на своих конференциях, которые теперь превратились в огромные рекламные ролики. Проверка жизнью показывает, что общаться с людьми они не могут и не хотят.

Проблема эта для «Яндекса» носит системный характер, так как руководство компании притворяется, что они близки к своим пользователям. В этой игре топ-менеджмент отлично научился не видеть проблем, игнорировать отзывы с рынка, отстроить свою жизнь от происходящего. И это превратилось в умение не слышать и не слушать своих клиентов. Поэтому неудивительно, что «Яндекс» занял такую позицию при данной утечке.

Что нужно было сделать? Через неделю подготовить письмо, в котором изложить несколько важных моментов:

• Повторить предысторию проблемы и утечки данных;
• Рассказать, как поменялось отношение к данным, как их теперь хранят;
• Почему подобная ситуация не повторится;
• Принести извинения еще раз (каяться можно вечно, но активно нужно в первый месяц).

Вместо этого «Яндекс» молчал. И вот появляется публикация в Forbes, там старая утечка подсвечивается одним из сайтов, где можно наглядно увидеть все данные. Причем первоначальные ресурсы, например, тот же Telegram-канал с данными пользователей, недоступны. В «Яндексе» оперативно просили операторов блокировать такие сайты и ресурсы, но не смогли добиться их закрытия со стороны провайдеров, которые находятся вне России. Хотя тут задача не самая архисложная, такие данные блокируются, если есть претензия от юристов компании. Для «Яндекса», который изначально живет в Голландии, это не должно быть затруднительно. Нужно просто захотеть это сделать.

Потерянные данные становятся для «Яндекса» проблемой, и пострадавшие пользователи могут обратиться в суд. Срока давности тут нет, поэтому в ближайший год таких обращений может быть много, и это риск для компании. Как только кто-то победит в суде, а это довольно легко сделать, понесутся табуны пострадавших. Компенсация может составить от 10 до 50 тысяч рублей, тут все зависит от юриста и судьи, который будет рассматривать дело. Учитывая масштаб утечки, потери «Яндекса» будут довольно заметными.

Можно ли избежать этого и сработать на упреждение? Однозначно да. Не занимать позицию страуса, когда вам отвешивают пинки, а взять инициативу в свои руки. В частности, предложить пользователям компенсацию, причем необязательно это будут живые деньги, их как раз не стоит давать. Например, предложить коды компенсаций в качестве подписки на «Яндекс.Плюс». В зависимости от размера заказов такая подписка может быть на 3, 6 или 12 месяцев. Пустячок для «Яндекса», но приятная плюшка для пользователей. Плюс тут можно проработать вопрос того, что, пользуясь компенсацией, человек отказывается от будущих претензий по этой утечке (вопрос к юристам, но сделать такую оферту возможно). И это снимает накал страстей плюс убирает проблемы в будущем.

«Яндекс» — это не только сервис по доставке еды, но и такси, и другие приложения. И на них тоже распространяется негатив от этой утечки, доверие к «Яндексу» падает. Компании необходимо публично заявить, что они провели аудит данных, защитили их. Хорошим тоном будет пригласить, например, компанию Касперского, чтобы они провели независимый аудит и потом так же публично описали его результаты. Это хороший тон, плюс такие действия демонстрируют, что компании не все равно и она действительно серьезно к этому относится.

Но в «Яндексе» менеджменту все равно, утечка не играет никакой роли, это временная неприятность, которую они хотят быстро забыть. Знаете, почему я могу это утверждать? Поиск от «Яндекса» лидирует в России, найти утекшие данные очень легко с помощью… того же «Яндекса»!!! То есть сервис не блокирует свои утекшие данные, да и зачем?

Это первое, что нужно было сделать. Но этого никто не сделал, ибо все равно. И вот это все равно заставляет не верить «Яндексу», так как никаких уроков компания из каждой подобной ситуации не извлекает. Только еще больше замыкается в своем выдуманном мире, где нет проблем и они не достигают ушей топ-менеджмента.

В поддержке отвечают заученными фразами, которые показывают желание забыть проблему.

Да, сегодня сложная ситуация на рынке, у «Яндекса» пожар по многим направлениям. Но эта ситуация с утечкой данных одна из первоочередных, от нее в прямом смысле зависит имидж компании. С другой стороны, как кто-то сказал про «Яндекс», мертвое умереть не может. С имиджем компании тут полный швах, восприятие «Яндекса», несмотря на все хорошее, что компания делает (а такого много), остается во многом негативным. И это то, что нужно было исправлять давным-давно, но никто этого не делал.

Главное, чему нужно научиться «Яндексу», это не жить на выдуманном Олимпе, слышать своих пользователей и считать их достойными ответов и решения проблем. Пока этого нет даже отдаленно, у «Яндекса» все хорошо на словах. На деле это не так, и ворох проблем только усугубляется.

Мы провели опрос в Telegram, и он отлично показал вашу реакцию на утечку. 

P.S. Про продолжение проблем «Яндекса» мы поговорим позднее в отдельном материале, следите за анонсами на сайте. Первую часть этого материала вы можете найти в ссылках ниже.