История с утечкой данных индийского стартапа доставки продуктов KiranaPro вызывает больше вопросов, чем швейцарский сыр дырок. Компания до сих пор не может определить, был ли инцидент внутренним нарушением или внешней хакерской атакой.
На прошлой неделе базирующийся в Бангалоре стартап обнаружил потерю доступа к внутренним серверам и удаление всех данных, включая код приложения, из GitHub. В пятницу компания обвинила бывшего сотрудника, однако в интервью соучредитель и генеральный директор Deepak Ravindran признал, что аккаунт сотрудника не был деактивирован после ухода, и не исключил возможность последующего несанкционированного использования.
«Если углубиться, нам нужно провести настоящее криминалистическое расследование. Мы обсудим это с советом директоров, инвесторами и получим официальное заключение от юристов», — заявил Ravindran TechCrunch.
Ранее в пятницу гендиректор заявил в посте на X, что инцидент стал результатом внутреннего нарушения: «После тщательного расследования мы пришли к выводу, что это не взлом. Внешние стороны не проникали в наши системы заказов или платежей, не использовали уязвимости и не обходили протоколы безопасности».
Соучредитель также опубликовал скриншот профиля бывшего сотрудника в LinkedIn, обвинив его в удалении кода. TechCrunch не делится ссылкой на пост, так как стартап не предоставил доказательств.
«Это был внутренний инцидент, вызванный действиями сотрудника с легальным доступом к системам. Он намеренно удалил критические журналы серверов во время тестирования, что нарушает наши правила и принципы», — написал Ravindran.
На вопрос, исключает ли компания возможность взлома аккаунта бывшего сотрудника третьими лицами, гендиректор ответил отрицательно: «Нужно провести полную проверку IP-адресов, устройств. Но это потребует времени и средств, поэтому мы пока не стали этого делать».
Основой обвинения стал ответ GitHub с именем пользователя, связанным с экс-сотрудником. «У нас есть только письмо от GitHub, указывающее на этого человека как на удалившего данные. Дальнейшего расследования мы не проводили», — признал Ravindran.
**АККАУНТ БЫВШЕГО СОТРУДНИКА НЕ БЫЛ ЗАКРЫТ**
Основанный в конце 2024 года, KiranaPro работает как приложение для заказов на государственной платформе ONDC. Сервис с голосовым интерфейсом и поддержкой четырёх языков обслуживает 55 000 клиентов в 50 городах.
Ravindran заявил, что сотрудник удалил данные после внезапного увольнения, но компания не знает, были ли на его устройствах настроены MFA-защита или антивирусы. CTO стартапа Saurav Kumar подтвердил, что процедура закрытия доступа не выполнялась из-за отсутствия HR-специалиста.
**ВОССТАНОВЛЕНИЕ ДАННЫХ AWS И GITHUB**
Помимо кода в GitHub, стартап потерял доступ к AWS-аккаунту с данными клиентов. Руководство заявило, что данные GitHub восстановлены из резервной копии сотрудника, а доступ к AWS возвращён.
Хотя аккаунт AWS защищался MFA, причина несанкционированного доступа остаётся неизвестной — физический доступ к телефону Ravindran, генерирующему коды, посторонние не имели. Гендиректор утверждает, что данные клиентов не были скомпрометированы или скачаны.
Стартап намерен подать официальную жалобу в полицию, но расследование продолжается. При этом компания до сих пор не выплатила полную зарплату текущим сотрудникам, несмотря на привлечение $1,2 млн в seed-раунде от Blume Ventures, Unpopular Ventures, Turbostart и бизнес-ангелов, включая олимпийскую медалистку PV Sindhu. В штате KiranaPro числятся 15 сотрудников в Бангалоре и Керале.