Всякий раз, когда не сразу разбираю кризис с киберинцидентом, получаю сообщения типа: это ты их консультируешь? Не я, друзья. Но если бы я была кризисным консультантом Додо Пиццы, обратила бы внимание на обратную логику антикризисного сообщения, многообещающий вывод и саму схему развития кризисного цикла.
Помните разбор инцидента туроператора TEZ TOUR? Так вот любители громко "хоронить" чужие бренды теперь нацелились на Додо Пиццу. Атакующие DataSuckers в своем телеграм-канале заявили о похищении 2–3 ТБ данных сети пиццерий. Об этом, насколько вижу, первым написал SecPost вчера в 18:19. Тогда Додо не дала комментарий журналистам.
Но примерно через два часа в своем телеграм-канале Додо публикует официальную версию событий: ее ИТ-система подверглась кибератаке "вчера и сегодня". Команда ИБ делает все возможное, чтоб это не повторилось. Стоп, а это точно то, что нужно знать мне, как условному клиенту Додо, в первую очередь?
Лишь после этого блока появляется информация, ради которой аудитория читает пост:
«...хотим открыто рассказать, какие данные части наших клиентов могли оказаться в доступе: имена, адреса, email, телефоны, даты рождений, составы заказов. Платежные данные мы не храним — они в безопасности. О произошедшем мы уведомили Роскомнадзор».
У кого именно "в доступе" не сказано. Формулировка мягкая, а между тем уведомление РКН говорит о том, что компания уже квалифицировала инцидент как достаточный для выхода к регулятору, а значит затрагивающий персональные данные.
А дальше на тоненького. В сообщении говорится, что платежные данные Додо не хранит и делается железобетонный вывод: они — в безопасности. Но одно из другого не вытекает. Если платежные реквизиты не хранятся, это может означать, что в скомпрометированной базе их не должно быть. А вот утверждать их безопасность можно только если уже установлено, что платежный контур инцидентом не затронут.
"Доступ злоумышленникам заблокирован, внутренняя проверка продолжается. Если вас разлогинит, не переживайте: это одна из мер по защите аккаунтов"
Объяснение логаута из аккаунта — правильный ход для купирования других интерпретаций в антикризисе. Если пользователь пытается зайти в акк, а его выкидывает, первая мысль: мой аккаунт угнали. Додо объяснила это защитной мерой, чтоб не получить новую волну пользовательского негодования. Предположу, что это и стало основным триггером выхода в публичное поле. Но это не дает ответа на вопрос: что делать пользователю дальше и чем это грозит?
🔠🔠🔠🔠🔠🔠🔠🔠
Итогом конструкция кризисного цикла снова начинается со злоумышленников, но публичность им дает не дефейс сайта, а СМИ. Главный вопрос к первой коммуникации Додо — почему начали с геройских сражений ИБ, а не с того, что важно клиенту? Также неясно, что означает формулировка про атаки вчера и сегодня, и зачем она нужна? Опровержения объема украденных данных пока нет, но, как пишут здесь, если заявления злодеев подтвердятся, это может стать одной из крупнейших утечек года.
Додо выдерживает эмпатичный ToV, говорит “не переживайте”, но извинений не приносит и похоже пообещала то, что находится вне ее зоны ответственности.
Респект за то, что не отключили комменты, но там уже не только ждут пиццы в подарок, но и жалуются на звонки мошенников и недоступность аккаунтов. Очевидно, Додо пора выходить с апдейтом. Причем, в ближайшие часы.
А мы традиционно пожелаем компании скорого возврата в нормальный режим, сил и ретроспективного анализа 🍕
#кибербез #антикризис