Masowy wyciek danych z rosyjskiej firmy dostarczającej jedzenie Yandex Food ujawnił adresy dostaw, numery telefonów, nazwiska i instrukcje dostawy należące do osób związanych z rosyjską tajną policją, zgodnie z ustaleniami Bellingcat. Yandex Food, spółka zależna większej rosyjskiej firmy internetowej Yandex, po raz pierwszy zgłosiła wyciek danych 1 marca, obwiniając ją za „nieuczciwe działania” jednego z jej pracowników i zauważając, że wyciek nie zawiera danych logowania użytkowników. Rosyjski regulator komunikacyjny Roskomnadzor od tego czasu zagroził firmie grzywną w wysokości do 100 000 rubli (~ 1166 USD) za wyciek, który według Reutera ujawnił informacje około 58 000 użytkowników. Roskomnadzor zablokował też dostęp do internetowej mapy zawierającej dane — próba ukrycia informacji zwykłych obywateli, a także osób powiązanych z rosyjskimi służbami wojskowymi i służbami bezpieczeństwa. Bellingcat wykorzystał te dane do zidentyfikowania osoby powiązanej z otruciem Aleksieja Nawalnego. Badacze z Bellingcat uzyskali dostęp do skarbnicy informacji, przesiewając je w poszukiwaniu śladów na interesujące osoby, takie jak osoba powiązana z otruciem rosyjskiego lidera opozycji Aleksieja Nawalnego . Przeszukując bazę danych pod kątem numerów telefonów zebranych w ramach poprzedniego śledztwa, Bellingcat odkrył nazwisko osoby, która kontaktowała się z rosyjską Federalną Służbą Bezpieczeństwa (FSB) w celu zaplanowania otrucia Nawalnego. Bellingcat mówi, że ta osoba użyła również swojego służbowego adresu e-mail, aby zarejestrować się w Yandex Food, umożliwiając badaczom dalsze ustalenie jego tożsamości. Badacze przeanalizowali również ujawnione informacje dotyczące numerów telefonów należących do osób powiązanych z GRU (Głównym Zarządem Wywiadu) Rosji lub zagraniczną agencją wywiadu wojskowego tego kraju. Znaleźli nazwisko jednego z tych agentów, Jewgienija, i byli w stanie powiązać go z rosyjskim Ministerstwem Spraw Zagranicznych i znaleźć informacje rejestracyjne jego pojazdu. Bellingcat odkrył cenne informacje, przeszukując bazę danych również pod kątem konkretnych adresów. Kiedy badacze szukali siedziby GRU w Moskwie, znaleźli tylko cztery wyniki — potencjalny znak, że pracownicy po prostu nie korzystają z aplikacji dostawczej lub zamiast tego wolą zamawiać w restauracjach znajdujących się w odległości spaceru. Kiedy Bellingcat szukał Centrum Operacji Specjalnych FSB na przedmieściach Moskwy, uzyskał 20 wyników. Kilka wyników zawierało interesujące instrukcje dotyczące dostawy, ostrzegające kierowców, że miejscem dostawy jest w rzeczywistości baza wojskowa. Jeden z użytkowników powiedział swojemu kierowcy: „Podejdź do trzech szlabanów w pobliżu niebieskiej budki i zadzwoń. Po przystanku na autobus 110 do końca”, podczas gdy inny powiedział „Zamknięty teren. Idź do punktu kontrolnego. Dzwonić [number] dziesięć minut przed przyjazdem!”
Благодаря слитой базе «Яндекса» нашлась ещё одна квартира экс-любовницы Путина Светланы Кривоногих. Именно туда их дочь Луиза Розова заказывала еду. Квартира 400 м², стоит примерно 170 млн рублей! https://t.co/z3uGKOdQhc pic.twitter.com/tOGXOsFmRY— Соболь Любовь (@SobolLubov) 23 marca 2022
W przetłumaczonym ćwierkać, rosyjski polityk i zwolennik Nawalnego, Ljubow Sobol, powiedział, że ujawnione informacje doprowadziły nawet do dodatkowych informacji o byłej kochanki rosyjskiego prezydenta Władimira Putina i ich rzekomej „tajemnicy” córce. „Dzięki ujawnionej bazie danych Yandex znaleziono kolejne mieszkanie byłej kochanki Putina, Swietłany Krivonogikh” – powiedział Sobol. „Tam zamawiała posiłki ich córka Luiza Rozova. Mieszkanie ma 400 m², warte około 170 milionów rubli [~$1.98 million USD]!” Gdyby badacze byli w stanie odkryć tak wiele informacji na podstawie danych z aplikacji do dostarczania jedzenia, trochę niepokojące byłoby myślenie o ilości informacji, jakie Uber Eats, DoorDash, Grubhub i inne mają na temat użytkowników. W 2019 r. naruszenie danych DoorDash ujawniło nazwiska, adresy e-mail, numery telefonów, szczegóły zamówienia dostawy, adresy dostawy oraz zaszyfrowane, solone hasła 4,9 miliona osób — znacznie więcej niż w przypadku wycieku Yandex Food.