Grab必须重新评估其网络安全框架，尤其是在移动应用平台报告了一系列损害客户数据的漏洞之后。最近的安全事件促使新加坡个人数据保护委员会（PDPC）处以10000新加坡元（7325美元）的罚款，并下令在120天内审查公司的数据保护政策。
2019年8月30日，当Grab通知PDPC其对移动应用程序所做的更改导致其驱动程序未经授权的访问时，违规行为曝光。后来的进一步调查显示，21541名Grabbhitch司机和乘客的个人信息暴露在未经授权的风险中，包括车辆号码、乘客姓名，电子钱包余额包括乘车支付的历史记录。
Grab部署了一个更新，以插入其API（应用程序编程接口）中的潜在漏洞，但这导致了数据泄露。
PDPC在其报告中指出，Grab在没有确保“合理的安全安排”的情况下对其系统进行了更改为了防止任何个人数据的泄露。缺乏足够可靠的流程来管理IT系统的变更是一个“特别严重的错误”，因为这是供应商第二次犯下类似错误，由于第一个影响了一个不同的系统。
委员会注意到，Grab对其应用程序进行了更改，但不了解这些修改将如何使用其应用程序及其更广泛的IT系统的现有功能进行操作。
在部署应用程序更新之前，它也没有进行适当的范围界定测试，注意到各组织在引入新的IT功能或对其系统进行更改之前必须这样做。”这些测试需要模拟真实世界的使用情况，包括引入更改时正常操作环境中的可预见场景。该委员会称，部署前的此类测试对于组织能够检测和纠正新的IT功能中的错误和/或对可能危及个人数据的变化产生的任何意外影响发出警报是至关重要的。
它补充说，Grab承认它没有进行模拟多个用户访问其应用程序或特定的测试，以验证缓存机制（导致漏洞的组件）如何与更新同步工作。
强调该公司已四次违反新加坡PDPA第24条，PDPC表示，这是“值得关注的重要原因”，尤其是考虑到Grab的业务涉及每天处理大量个人数据。第24节概述了组织需要通过制定“合理的安全安排”来保护其拥有或控制的个人数据，以防止未经授权的访问、收集、使用、披露、复制、修改或类似风险。
新加坡的Grab最初是一家共享单车运营商，现在提供包括食品配送在内的服务组合，数字支付和保险。它还宣布https://www.zdnet.com/article/grab-singtel-partner-up-in-bid-for-singapore-digital-bank-license/“target=”https://www.zdnet.com/article/singapore-to-issue-digital-bank-licenses/“target=”\u blank“>新加坡，这两家公司将瞄准“数字第一”消费者和中小企业。这一合作关系将导致一个联合实体，Grab将拥有60%的股份。抓取操作跨越八个亚太市场包括印度尼西亚、马来西亚、泰国和越南。
除了罚款之外，PDPC还指示Grab在120天内为其移动应用程序制定“设计数据保护政策”，以降低再次发生数据泄露的风险。
ZDNet问了几个问题，包括公司计划审查的具体领域、在最初的违规行为发生后制定的安全政策，以及在公司近年来推出新服务时为确保安全性而采取的措施。
谷歌没有对上述任何问题作出回应，而是以其此前发布的声明进行回复：“数据安全和用户隐私对我们来说至关重要，我们很抱歉让他们失望。当事件于2019年8月30日被发现时，我们立即采取行动保护我们用户的数据，并向PDPC自我报告。为了防止再次发生，我们引入了更稳健的流程，特别是与我们的IT环境测试相关的流程，以及对我们的遗留应用程序和源代码的架构审查。“数据政策需要“认真审查”
自2018年以来四次违反PDPA，Synopsys软件诚信集团（Synopsys Software Integrity Group）亚太区客户服务经理伊恩•霍尔（ianhall）指出，这似乎表明Grab需要一次“严肃的审查”。特别是，公司应该评估其发布过程，在发布应用程序之前必须通过必要的测试和检查点。
他引用了Enterprise Strategy Group的一项研究，指出易受攻击的代码将被转移到生产中，这通常是由于公司需要在截止日期之前完成。
Sophos全球解决方案Aaron Bugalns工程师也表示赞同，并指出Grab在安全方面的优势是“一个典型的例子”，它是一个组织快速扩展，但没有按比例扩展其安全策略和技术控制。”考虑到这是它在移动设备上应用程序的另一个问题，明智的做法是在发布应用程序之前考虑第三方服务来评估应用程序的安全性，”Bugal在一次电子邮件采访中告诉ZDNet。
问到对于Grab这样的公司来说，确保安全性保持稳健是否具有挑战性，因为Grab已经迅速扩展了其服务组合，霍尔说，维护越来越复杂的应用程序，覆盖了广泛的功能，当然会更加困难。
他解释说，某些遗留代码部分可能不会像更新的代码那样频繁更新，同时，更新的代码也可能引入新的漏洞。
“开发人员可能倾向于将精力集中在更新的代码上，而重新修复遗留代码部分的漏洞可能会更困难，”他说这就是为什么在开发生命周期的早期发现并解决问题，并将安全工具与开发过程很好地集成在一起总是更好的原因。“Bugal指出，随着企业业务的增长，将捕获更多的客户数据，此外，安全措施应与应用程序和收集的数据并驾齐驱。
他补充道，对公司运营模式的任何更改都应包括概念阶段的安全架构。”这并不是一个回顾性的问题，或者说，一旦这些变化被发布，就不会被考虑到。
根据Hall的说法，开发人员经常无意中引入漏洞，因为他们不是安全专家。他指出，一些最常见的漏洞来自于对谷歌Android或苹果iOS移动平台的不当使用、不安全的数据存储，Bugal补充说，一些组织也使用过时的开发工具，不会实施评估库和共享代码（许多应用程序将其作为基础）的服务。”他解释说：“这有时会在应用程序开发人员没有过错的情况下，将漏洞引入应用程序。”使用现代化的开发环境，包括在形成阶段和发布阶段对应用程序进行安全设计和评估，是提高安全性不可或缺的一部分。“
他指出，对移动应用程序的更改通常会被应用程序商店前台自动接受，并在发布后应用于移动设备，让移动用户在应用程序设计和整体安全方面“听命于开发者去做正确的事情”。
“作为消费者，我们应该了解一个组织正在收集哪些数据，他们是如何存储这些数据的，并了解如果数据泄露的风险，霍尔补充道：“我建议手机和其他设备的用户保持应用程序和操作系统的更新。此外，使用应用程序并只向您信任的公司和应用程序提供个人详细信息。在Android平台上，我们可以对不应该访问它们的应用程序禁用特定权限。“
