700Credit में 2025 की डेटा सेंध

प्रभावित लोगों को भेजे गए 700Credit के सूचना पत्र में स्पष्ट रूप से कहा गया है कि वेब एप्लिकेशन में मौजूद, उसके डीलरशिप ग्राहकों से जुड़े कुछ रिकॉर्ड बिना अनुमति कॉपी किए गए थे। मेन के अटॉर्नी जनरल के कार्यालय में दाखिल यह पत्र आधिकारिक तौर पर पुष्टि करता है कि यह घटना व्यक्तिगत डेटा में सेंध थी और सूचना दिए जाने का दायरा 58,36,521 लोगों तक था। मिशिगन के अटॉर्नी जनरल ने भी उपभोक्ताओं के लिए एक चेतावनी प्रकाशित की, जिसमें घटना और प्रभावित डेटा के प्रकारों का विवरण दिया गया था।

BleepingComputer ने आधिकारिक पत्र और कंपनी के एक वरिष्ठ अधिकारी के बयानों की समीक्षा की। उसकी रिपोर्ट के अनुसार, हमले में ऐसे API का इस्तेमाल हुआ, जिस तक तीसरे पक्ष के एक इंटीग्रेशन पार्टनर के सिस्टम में सेंध लगाकर पहुंच बनाई गई थी। उसकी रिपोर्टिंग स्वतंत्र रूप से पुष्ट डेटा फ़ील्ड, जांच की समयरेखा और बारह महीनों तक पहचान सुरक्षा सहायता दिए जाने की पुष्टि करती है। LeakData इन्हीं स्रोतों से साझा किए गए निष्कर्षों पर निर्भर करता है और हमलावर की पहचान या सार्वजनिक नहीं किए गए तकनीकी विवरणों के बारे में अनुमान नहीं लगाता।

कंपनी के विवरण के अनुसार, एक हमलावर जुलाई 2025 में 700Credit के एक इंटीग्रेशन पार्टनर के सिस्टम में घुसा और उसे उपभोक्ताओं की जानकारी प्राप्त करने के लिए इस्तेमाल होने वाला API मिला। पार्टनर ने उस समय 700Credit को इस सेंध की सूचना नहीं दी। सुरक्षा नियंत्रण में एक कमजोरी के कारण उपभोक्ता के संदर्भ पहचानकर्ता का मूल अनुरोधकर्ता से पर्याप्त मिलान नहीं हो रहा था। इससे हमलावर बिना अनुमति उपभोक्ताओं के रिकॉर्ड मांग सका।

25 अक्टूबर को असामान्य गतिविधि देखने के बाद, 700Credit ने बाहरी कंप्यूटर फॉरेंसिक विशेषज्ञों के साथ जांच शुरू की और उस API को बंद कर दिया जिसके ज़रिए डेटा उजागर हुआ था। कंपनी के एक वरिष्ठ अधिकारी ने सार्वजनिक रूप से कहा कि हमलावर ने 2025 में मई से अक्टूबर के बीच डीलरशिप से एकत्र किए गए उपभोक्ता डेटा का लगभग बीस प्रतिशत हासिल कर लिया था। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी पुष्टि सार्वजनिक स्रोतों से की जा सकती है।

सूचना संबंधी दस्तावेज़ चार डेटा श्रेणियों की पुष्टि करते हैं: पूरे नाम, भौतिक पते, जन्मतिथियां और सोशल सिक्योरिटी नंबर। ज़रूरी नहीं कि हर व्यक्ति के रिकॉर्ड में ये सभी फ़ील्ड मौजूद रहे हों, क्योंकि कंपनी ने कहा था कि रिकॉर्ड की जानकारी व्यक्ति के अनुसार अलग-अलग थी।

उद्धृत स्रोतों में पेमेंट कार्ड नंबर, बैंक खातों के पासवर्ड, बायोमेट्रिक टेम्पलेट या ड्राइविंग लाइसेंस नंबर को पुष्ट दायरे में शामिल नहीं किया गया है। इसलिए इन श्रेणियों को यहां नहीं जोड़ा गया है। भले ही 700Credit क्रेडिट रिपोर्टिंग और पहचान सत्यापन के उत्पाद उपलब्ध कराता है, लेकिन उसके सभी उत्पादों में इस्तेमाल होने वाली हर तरह की जानकारी में सेंध लगने की धारणा नहीं बनाई जा सकती। यह रिकॉर्ड केवल उन चार श्रेणियों तक सीमित है जिनका सूचना पत्र में स्पष्ट रूप से उल्लेख किया गया है।

700Credit ने कहा कि उसके आंतरिक नेटवर्क में सेंध नहीं लगी थी और घटना केवल 700Dealer.com की एप्लिकेशन परत तक सीमित थी। शुरुआती पहुंच एक इंटीग्रेशन पार्टनर के यहां बनाई गई थी, इसलिए यह तीसरे पक्ष के कनेक्शन से जुड़ा जोखिम था, जो एप्लिकेशन इंटरफ़ेस के ज़रिए आगे बढ़ा। हालांकि, सहायक साक्ष्य के बिना यह रिकॉर्ड उस अनाम पार्टनर के हर सिस्टम या 700Credit के प्रत्येक डीलरशिप ग्राहक के मामले को अलग सेंध नहीं मानता।

कंपनी ने 21 नवंबर को प्रभावित डीलरशिप ग्राहकों को सूचित करना शुरू किया और कहा कि लोगों को लिखित सूचनाएं भेजने की प्रक्रिया 22 दिसंबर से शुरू होगी। National Automobile Dealers Association के साथ समन्वय करके उसने अपनी ओर से और प्रभावित डीलर ग्राहकों की ओर से Federal Trade Commission को एक संयुक्त सूचना दी। राज्यों के अटॉर्नी जनरल और FBI को भी घटना की सूचना दी गई।

700Credit ने प्रभावित लोगों को TransUnion के ज़रिए बारह महीनों की मुफ़्त क्रेडिट निगरानी और पहचान बहाली सेवाओं की पेशकश की। सूचना पाने वालों को बताई गई अंतिम तारीख से पहले इन सेवाओं के लिए पंजीकरण करना चाहिए, अपनी क्रेडिट रिपोर्ट नियमित रूप से देखनी चाहिए और अनजान खातों या क्रेडिट संबंधी पूछताछ की तुरंत रिपोर्ट करनी चाहिए। जो संदेश कंपनी की ओर से आए हुए लगें, लेकिन सोशल सिक्योरिटी नंबर या भुगतान मांगें, उनकी पुष्टि ऐसे संपर्क माध्यम से करनी चाहिए जिसका विवरण स्वतंत्र रूप से प्राप्त किया गया हो।

चूंकि सोशल सिक्योरिटी नंबर को आसानी से बदला नहीं जा सकता, इसलिए केवल थोड़े समय की निगरानी लगातार बने रहने वाले जोखिम से निपटने के लिए पर्याप्त नहीं हो सकती। अमेरिका के उपभोक्ता तीनों प्रमुख क्रेडिट ब्यूरो में मुफ़्त सिक्योरिटी फ़्रीज़ लगवा सकते हैं, कर और सरकारी सेवाओं के खातों पर मज़बूत बहु-कारक प्रमाणीकरण इस्तेमाल कर सकते हैं और लंबे समय तक पहचान की चोरी के संकेतों पर नज़र रख सकते हैं। सिक्योरिटी फ़्रीज़ मौजूदा खातों को बंद नहीं करता; यह बिना अनुमति नए क्रेडिट खाते खोलना अधिक कठिन बना देता है।

आधिकारिक स्रोत में प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि उजागर हुई हर डेटा श्रेणी हर व्यक्ति पर लागू थी। समाचारों की सुर्खियों में लगभग 58 लाख के रूप में दी गई संख्या और अलग-अलग राज्यों में दाखिल दस्तावेज़ों में दी गई छोटी अंतरिम कुल संख्याओं को अलग से नहीं जोड़ा गया है। घटना की तारीख 25 अक्टूबर 2025 है। यही वह पुष्ट दिन है जब 700Credit ने संदिग्ध गतिविधि का पता लगाया था। जुलाई में शुरू हुई तीसरे पक्ष की पहुंच का उल्लेख समयरेखा में किया गया है, लेकिन उसके लिए कोई सटीक दिन नहीं गढ़ा गया है।

लोगों की अपुष्ट संख्याओं, डेटा फ़ील्ड और हमलावरों से जुड़े अपुष्ट दावों को सार्वजनिक रूप से दर्ज घटना के दायरे का हिस्सा नहीं माना गया है। यदि कोई नियामक संशोधन जारी करता है या कंपनी अंतिम फॉरेंसिक रिपोर्ट प्रकाशित करती है, तो दायरे का दोबारा आकलन किया जा सकता है। मौजूदा विवरण उतना ही बताता है जितना आधिकारिक सूचनाओं और स्वतंत्र रिपोर्टिंग से समर्थित है।