インドのスタートアップ企業 Yes Madam が顧客とギグワーカーの機密データを公開

インドの在宅サロンプラットフォーム「Yes Madam」は、サーバー側の設定ミスにより顧客とギグワーカーの機密データを公開した。

ノイダに拠点を置くYes Madamは、同社のウェブサイトによると、国内30以上の都市で事業を展開しています。同社のプラットフォームは、セラピー、マッサージ、スパ、男性用グルーミングなど、自宅で受けられるサロンサービスを提供しています。Yes Madamのモバイルアプリも100万回以上ダウンロードされています。

しかし、この新興企業は、少なくとも2月20日以降、パスワードなしでインターネットに接続していたYes Madamの顧客数十万人の氏名、携帯電話番号、住所、電子メールアドレスを含むデータベースを残していた。データベースには、緯度と経度の値を含む顧客の位置データ、支払いリンク、モデル名やIMEI番号などのユーザーデバイスの詳細も含まれていた。

さらに、このスタートアップは、プラットフォーム上のギグワーカーのプロフィール画像、名前、携帯電話番号を公開した。

CloudDefense.aiのセキュリティ研究者Anurag Sen氏は、公開されたデータベースを発見し、TechCrunchにスタートアップ企業への報告を依頼した。

データベースのIPアドレスを知っている人なら誰でも、設定ミスによりウェブブラウザだけで流出したデータにアクセスできた。セン氏によると、データベースには90万人以上のユーザーのエントリが含まれていたという。

Yes Madamは、TechCrunchが詳細を報告した直後の金曜日にデータベースのセキュリティを確保した。Yes Madamの共同創設者であるマヤンク・アーヤ氏は、TechCrunchに対し、修正プログラムを導入したことを確認した。