bigbasket में 2020 की डेटा सेंध

सत्यापित डेटा श्रेणियों में जन्मतिथियाँ, ईमेल पते, IP पते, नाम, पासवर्ड, फ़ोन नंबर और भौतिक पते शामिल हैं। इस जानकारी को मिलाकर हमलावर किसी व्यक्ति के असली नाम, संपर्क विवरण और डिलीवरी से जुड़ी जानकारी का इस्तेमाल कर सकते हैं। इससे उन्हें सामान भेजे जाने, ऑर्डर रद्द होने, रिफ़ंड या पता बदलने के फ़र्ज़ी संदेश बनाने में मदद मिल सकती है। पासवर्ड सादे टेक्स्ट में नहीं थे; उनके लिए पुराने Django(SHA-1) हैश प्रारूप का इस्तेमाल किया गया था। यह प्रारूप पासवर्ड सुरक्षित रखने की आधुनिक अपेक्षाओं को पूरा नहीं करता और ऑफ़लाइन अनुमान लगाकर कमज़ोर पासवर्डों का पता लगाने का जोखिम समाप्त नहीं करता। इस रिकॉर्ड में भुगतान कार्ड और बैंक खातों की जानकारी के उजागर होने की पुष्टि नहीं हुई है।

इस रिकॉर्ड में सेंध की मानक तिथि 14 अक्टूबर 2020 है। अक्टूबर 2020 के अंत के आसपास एक डेटाबेस बिक्री के लिए पेश किया गया, जिसके बारे में कहा गया था कि उसका आकार लगभग 15 GB था और उसमें ग्राहकों से संबंधित करीब 2 करोड़ पंक्तियाँ थीं। नवंबर 2020 में bigbasket ने कहा कि वह संभावित डेटा सेंध का आकलन कर रही थी, सुरक्षा विशेषज्ञों के साथ उसके दायरे की जाँच कर रही थी और उसने Bengaluru Cyber Crime Cell में शिकायत दर्ज कराई थी। कंपनी ने यह भी कहा कि वह वित्तीय डेटा या कार्ड नंबर संग्रहीत नहीं करती थी। अप्रैल 2021 में डेटा अधिक व्यापक रूप से साझा किया गया और मानक विश्लेषण में 2,45,00,011 अलग-अलग ईमेल पतों की पुष्टि हुई। करीब 2 करोड़ पंक्तियों का शुरुआती अनुमान और 2,45,00,011 अलग-अलग ईमेल पते न तो एक ही माप हैं और न ही विश्लेषण के एक ही चरण के आँकड़े। सेंध लगाने के लिए इस्तेमाल किया गया सटीक तकनीकी तरीका सार्वजनिक नहीं किया गया था।

जिन ग्राहकों का प्रभावित अवधि के दौरान bigbasket खाता था और जिन्होंने फ़ोन नंबर या डिलीवरी का पता साझा किया था, उन्हें सबसे प्रत्यक्ष जोखिम है। जिन लोगों ने ईमेल, खरीदारी, भुगतान या काम से जुड़े खातों पर वही पासवर्ड दोबारा इस्तेमाल किया था, उन्हें उस पासवर्ड से लॉगिन करने के प्रयासों का अधिक जोखिम है। नाम, फ़ोन नंबर, जन्मतिथि और पते को एक साथ मिलाने से ग्राहक सहायता के नाम पर किए गए फ़र्ज़ी कॉल और डिलीवरी से जुड़े संदेश अधिक विश्वसनीय लग सकते हैं। किसी IP पते से अपने आप सटीक स्थान का पता नहीं चलता, लेकिन प्रोफ़ाइल की अन्य जानकारी के साथ मिलकर वह खातों को आपस में जोड़ने और निशाना बनाने के लिए अतिरिक्त संदर्भ दे सकता है।

यदि सेंध की अवधि के दौरान bigbasket पर इस्तेमाल किया गया पासवर्ड अब भी किसी खाते पर इस्तेमाल हो रहा है, तो उसे तुरंत बदलें और उससे मिलते-जुलते पासवर्ड भी इस्तेमाल करना बंद कर दें। पहले ईमेल खाते को सुरक्षित करें, सक्रिय सत्रों और खाता वापस पाने के विकल्पों की समीक्षा करें, और जहाँ सुविधा उपलब्ध हो, वहाँ बहु-कारक प्रमाणीकरण चालू करें। ऑर्डर, कूपन, रिफ़ंड, भुगतान में सुधार या पता बदलने के बहाने भेजे गए लिंक न खोलें; परिचित वेबसाइट या आधिकारिक ऐप खुद खोलें। किसी संदेश में आपका असली नाम, फ़ोन नंबर या पता होने से यह साबित नहीं होता कि भेजने वाला विश्वसनीय है। एक बार इस्तेमाल होने वाले सत्यापन कोड कभी साझा न करें।

हर सेवा के लिए अलग पासवर्ड बनाने हेतु पासवर्ड मैनेजर का इस्तेमाल करें। जहाँ व्यावहारिक हो, खरीदारी के खातों के लिए अलग ईमेल उपनाम इस्तेमाल करें। जिन पुराने खातों का अब इस्तेमाल नहीं होता, उनसे डिलीवरी के पते और फ़ोन नंबर हटा दें, और खाता वापस पाने के लिए दी गई जानकारी अद्यतन रखें। ईमेल और वित्तीय खातों के लिए लॉगिन अलर्ट चालू रखें। पासवर्ड रीसेट या ऑर्डर की अप्रत्याशित सूचनाओं की पुष्टि किसी स्वतंत्र माध्यम से करें। पते और जन्मतिथि जैसी जानकारी बदलना कठिन होता है और उसका इस्तेमाल वर्षों बाद भी सोशल इंजीनियरिंग के लिए किया जा सकता है। इसलिए यह न मानें कि एक बार पासवर्ड बदलने से इस घटना का जोखिम समाप्त हो गया है।

bigbasket के लिए इस्तेमाल किए गए ईमेल पते से इस रिकॉर्ड में जाँच करें। मिलान मिलने का अर्थ है कि वह पता मानक bigbasket डेटासेट में मौजूद है; इसका अर्थ यह नहीं है कि भुगतान कार्ड या बैंक की जानकारी उजागर हुई थी। यदि मिलान मिलता है, तो जहाँ-जहाँ पुराना पासवर्ड दोबारा इस्तेमाल किया था, वहाँ उसे बदलें, ईमेल की सुरक्षा को प्राथमिकता दें और डिलीवरी के बहाने होने वाली धोखाधड़ी से सतर्क रहें। यदि मिलान नहीं मिलता, तो याद रखें कि यह नतीजा केवल इसी डेटासेट पर लागू होता है और इससे अन्य सेंधों में डेटा उजागर होने की संभावना खारिज नहीं होती।