Bonobos: डेटा में सेंध

Bonobos रिकॉर्ड में सत्यापित फ़ील्ड की सूची काफ़ी व्यापक है: ईमेल पते, नाम, IP पते, फ़ोन नंबर, भौतिक पते, खरीदारी का इतिहास, क्रेडिट कार्ड की आंशिक जानकारी, पासवर्ड और पुराने पासवर्ड। कार्ड के आंशिक डेटा में कार्ड का प्रकार, कार्ड पर लिखा नाम, वैधता समाप्त होने की तारीख और अंतिम चार अंक जैसे भुगतान संबंधी विवरण शामिल हो सकते हैं। ये फ़ील्ड पूरे कार्ड नंबर की जगह नहीं ले सकते; फिर भी, इनका इस्तेमाल फ़िशिंग संदेशों को अधिक विश्वसनीय बनाने के लिए किया जा सकता है।

खरीदारी का इतिहास और पते की जानकारी एक साथ उपलब्ध होने पर उपयोगकर्ता के अनुरूप तैयार किए गए फ़र्ज़ी शिपिंग, रिटर्न, बिल, प्रचार अभियान या खाता सत्यापन के संदेश बनाना आसान हो जाता है। पासवर्ड को सॉल्ट का उपयोग करके बनाए गए SHA-512 हैश के रूप में रखना सुरक्षा की एक महत्वपूर्ण परत देता है; फिर भी, पुराने या दोबारा इस्तेमाल किए गए पासवर्ड का अन्य डेटा सेट से मिलान किए जाने पर जोखिम बना रहता है। पुराने पासवर्ड का शामिल होना भी महत्वपूर्ण है, क्योंकि उनसे उपयोगकर्ता के पहले इस्तेमाल किए गए पासवर्ड के पैटर्न का पता चल सकता है।

इस रिकॉर्ड का सत्यापित दायरा 28,11,929 अलग-अलग ईमेल पतों का है। रिकॉर्ड की डेटा श्रेणियों में ईमेल पते, पुराने पासवर्ड, IP पते, नाम, क्रेडिट कार्ड का आंशिक डेटा, पासवर्ड, फ़ोन नंबर, भौतिक पते और खरीदारी की जानकारी शामिल हैं। पूरे क्रेडिट कार्ड नंबर, कार्ड सुरक्षा कोड या बैंक खाते की जानकारी इस रिकॉर्ड के सत्यापित फ़ील्ड में शामिल नहीं हैं। इस अंतर को स्पष्ट रखना ज़रूरी है, ताकि न तो जोखिम को कम करके आँका जाए और न ही असत्यापित फ़ील्ड जोड़कर उसे बढ़ा-चढ़ाकर बताया जाए।

यह घटना Bonobos के ग्राहक डेटा से संबंधित है। उसी कंपनी समूह के अन्य खुदरा ब्रांडों में भी अतिरिक्त डेटा उल्लंघन हुआ है, ऐसा अपने आप नहीं मान लेना चाहिए। रिकॉर्ड में दी गई संख्या प्रभावित अलग-अलग ईमेल पतों को दर्शाती है; ऑर्डर की अलग-अलग प्रविष्टियों, कार्ड रिकॉर्ड या पते के रिकॉर्ड की गिनती करने पर संख्या अलग हो सकती है। उपयोगकर्ता को दिखाए जाने वाले मुख्य प्रभाव का आकलन सत्यापित अलग-अलग खातों की संख्या और सूचीबद्ध डेटा श्रेणियों के आधार पर किया जाना चाहिए।

सबसे अधिक जोखिम उन ग्राहकों को है जिनका Bonobos खाता है, जिन्होंने पहले खरीदारी की है और जिन्होंने वही पासवर्ड दूसरे ई-कॉमर्स या ईमेल खातों में भी इस्तेमाल किया है। जिन उपयोगकर्ताओं के पते, फ़ोन नंबर और ऑर्डर इतिहास उपलब्ध हैं, उन्हें फ़र्ज़ी डिलीवरी, रिटर्न, भुगतान अपडेट या ग्राहक सेवा के संदेशों से निशाना बनाया जा सकता है। कार्ड की आंशिक जानकारी से हमलावरों को ऐसे विवरण मिल सकते हैं जो इस बात का आभास अधिक विश्वसनीय बनाते हैं कि उपयोगकर्ता वास्तव में Bonobos का ग्राहक है।

पुराने पासवर्ड के फ़ील्ड शामिल होने के कारण केवल उल्लंघन के समय इस्तेमाल किया जा रहा पासवर्ड ही नहीं, बल्कि पहले इस्तेमाल किए गए पासवर्ड के पैटर्न भी जोखिमपूर्ण माने जाने चाहिए। यदि उपयोगकर्ता को लगता है कि उनके पुराने पासवर्ड मामूली बदलावों के साथ दूसरे खातों में अब भी इस्तेमाल हो रहे हैं, तो उन्हें उन खातों के पासवर्ड बदलने को प्राथमिकता देनी चाहिए। विशेष रूप से ईमेल खाते, खरीदारी की साइटें, भुगतान सेवाएँ, शिपिंग खाते और सोशल मीडिया खाते डेटा के ऐसे संयोजन से सीधे प्रभावित हो सकते हैं।

जिन उपयोगकर्ताओं को इस रिकॉर्ड में अपनी जानकारी का मिलान मिलता है, उन्हें सबसे पहले अपने Bonobos खाते और उन सभी अन्य खातों के पासवर्ड बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल हुआ हो सकता है। पासवर्ड मैनेजर की मदद से हर खाते के लिए अलग, लंबा और ऐसा पासवर्ड बनाना चाहिए जिसका अनुमान लगाना कठिन हो। पुराने पासवर्ड भी उजागर हुए हो सकते हैं, इसलिए पुराने पासवर्ड पैटर्न पर वापस नहीं जाना चाहिए और न ही उनसे मिलते-जुलते रूपों का इस्तेमाल करना चाहिए। ईमेल खातों और भुगतान से जुड़े खातों की सुरक्षा को प्राथमिकता देनी चाहिए।

उपयोगकर्ताओं को फ़र्ज़ी शिपिंग सूचनाओं, रिटर्न फ़ॉर्म, भुगतान सत्यापन, कार्ड अपडेट या विशेष छूट के संदेशों से सावधान रहना चाहिए। प्राप्त लिंक से लॉग इन करने के बजाय संबंधित सेवा पर सीधे जाना चाहिए, अप्रत्याशित अटैचमेंट नहीं खोलने चाहिए और कार्ड से होने वाले लेन-देन की नियमित निगरानी करनी चाहिए। यदि बैंक या कार्ड प्रदाता असामान्य लेन-देन के लिए अलर्ट की सुविधा देता है, तो उसे चालू करना चाहिए। महत्वपूर्ण खातों में दो-कारक प्रमाणीकरण का इस्तेमाल अतिरिक्त सुरक्षा देता है।

Bonobos की घटना दिखाती है कि ई-कॉमर्स खाते केवल खरीदारी की सुविधा ही नहीं देते, बल्कि उनमें व्यक्तिगत डेटा की एक विस्तृत प्रोफ़ाइल भी मौजूद होती है। उपयोगकर्ताओं को अपने खरीदारी के खातों में संग्रहीत पतों, भुगतान संबंधी रिकॉर्ड और पुराने ऑर्डर की जानकारी की नियमित समीक्षा करनी चाहिए। जिन खातों का अब इस्तेमाल नहीं होता, उन्हें बंद कर देना चाहिए, संभव हो तो सहेजे गए भुगतान के तरीके हटा देने चाहिए और डिलीवरी के पते केवल मौजूदा ज़रूरतों तक सीमित रखने चाहिए। सभी खरीदारी साइटों पर एक ही ईमेल पते का इस्तेमाल करने से लक्षित फ़िशिंग का जोखिम भी बढ़ सकता है।

कंपनी की सुरक्षा के दृष्टिकोण से, खुदरा व्यापार के डेटा की रक्षा के लिए बैकअप प्रबंधन, पहुँच नियंत्रण, पासवर्ड संग्रहण, भुगतान डेटा को अलग रखने की व्यवस्था और घटना की रिपोर्टिंग प्रक्रियाओं को एक साथ सुरक्षित रखना आवश्यक है। उपयोगकर्ताओं को भी अलग-अलग पासवर्ड, बहु-कारक प्रमाणीकरण, कार्ड गतिविधि की निगरानी और खातों से अनावश्यक जानकारी हटाने की नियमित प्रक्रिया को साथ अपनाना चाहिए। पासवर्ड हैश मज़बूत होने पर भी संपर्क और खरीदारी के डेटा का संयोजन लंबे समय तक सोशल इंजीनियरिंग का जोखिम बनाए रखता है।

इस रिकॉर्ड में ईमेल पते का मिलान मिलने से पता चलता है कि उपयोगकर्ता Bonobos डेटा सेट में शामिल है। उपयोगकर्ता को पहले यह आकलन करना चाहिए कि Bonobos खाते में कौन-सा पासवर्ड इस्तेमाल किया गया था, किन खातों में पहले यही पासवर्ड दोबारा इस्तेमाल हुआ था और खरीदारी के खाते में कौन-सी व्यक्तिगत जानकारी दर्ज है। इसके बाद पासवर्ड बदलने चाहिए, विशेष रूप से ईमेल, भुगतान, खरीदारी और शिपिंग से जुड़े खातों के।

मिलान मिलने से यह साबित नहीं होता कि पूरा कार्ड नंबर उजागर हुआ है; फिर भी, कार्ड की आंशिक जानकारी, पता, फ़ोन नंबर, खरीदारी का इतिहास और पासवर्ड हैश एक साथ मौजूद होना एक गंभीर चेतावनी है। उपयोगकर्ताओं को हर खाते के लिए अलग पासवर्ड रखना चाहिए, दो-कारक प्रमाणीकरण का इस्तेमाल करना चाहिए, कार्ड गतिविधि की निगरानी करनी चाहिए और किसी विश्वसनीय माध्यम से सीधे संदेशों की पुष्टि करनी चाहिए। ये कदम Bonobos उल्लंघन से उत्पन्न हो सकने वाले खाते पर अनधिकृत कब्ज़े, लक्षित धोखाधड़ी और फ़िशिंग के जोखिमों को काफ़ी कम करते हैं।