De Amerikaanse toezichthouder FTC heeft online drankaanbieder Drizly en diens directeur bestraft voor een groot datalek waarbij de gegevens van 2,5 miljoen mensen op straat kwamen te liggen. Volgens de FTC maakte de lakse beveiligingsmaatregelen bij Drizly de datadiefstal mogelijk. Aanvallers kregen e-mailadressen, namen, adresgegevens, ip-adressen, geboortedata en als bcrypt-hashes opgeslagen wachtwoorden in handen.

Drizly wordt ook wel de "Amazon voor drank" genoemd en werkt samen met lokale slijterijen in Canada en Verenigde Staten. In 2020 wist een aanvaller in te breken op het account van een medewerker en kreeg zo toegang tot inloggegevens voor de GitHub-repository. In de repository werden inloggegevens bewaard waarmee de aanvaller toegang tot de klantendatabase kreeg.

De FTC stelt dat Drizly nagelaten heeft om basale beveiligingsmaatregelen te treffen voor het beschermen van klantgegevens. Er was geen tweefactorauthenticatie (2FA) vereist om op GitHub in te loggen, de toegang van medewerkers tot persoonlijke data was niet beperkt, er was geen adequaat beveiligingsbeleid opgesteld en personeel was hier niet over getraind. Verder bewaarde Drizly inloggegevens op GitHub en werd het netwerk niet op dreigingen gemonitord.

De Amerikaanse toezichthouder heeft besloten om zowel Drizly als diens directeur verschillende maatregelen op te leggen. De drankaanbieder moet onnodige klantgegevens die het verzamelde vernietigen, toekomstige dataverzamelingen beperken, aan klanten uitleggen waarom het gegevens verzamelt en een informatiebeveiligingsprogramma implementeren. Het gaat dan om zaken als het trainen van personeel en het gebruik van 2FA.

Daarnaast kreeg ook de directeur verschillende maatregelen opgelegd. Bij alle bedrijven waar de man in de toekomst aan de slag gaat als directeur, meerderheidsaandeelhouder of 'senior officer' met verantwoordelijkheden voor it-beveiliging, moet hij verplicht een informatiebeveiligingsprogramma implementeren. De FTC had het voorstel openbaar gemaakt. Vervolgens kon het publiek erop reageren. Het is vandaag definitief gemaakt.