CDEK का असत्यापित डेटा लीक डेटासेट (2022)

उपलब्ध साक्ष्य के आधार पर इस रिकॉर्ड में डेटा की श्रेणियों को ईमेल पतों, नामों और फ़ोन नंबरों तक ही सीमित रखा जा सकता है। दर्ज किया गया आँकड़ा 1,92,18,203 अलग-अलग ईमेल पतों का है; इसे CDEK के ग्राहक खातों, डिलीवरी रिकॉर्ड या व्यक्तियों की पुष्ट संख्या नहीं माना जाना चाहिए। एक व्यक्ति के कई संपर्क विवरण हो सकते हैं, और यह दावा स्वतंत्र रूप से स्थापित नहीं हुआ है कि डेटा CDEK की प्रणालियों से आया था। ईमेल पतों का इस्तेमाल फ़िशिंग और खातों का पता लगाने में हो सकता है, फ़ोन नंबरों के ज़रिए धोखाधड़ी वाले संदेश भेजे जा सकते हैं और कॉल किए जा सकते हैं, और नामों के इस्तेमाल से संदेश अधिक व्यक्तिगत लग सकते हैं। किसी कूरियर ब्रांड से जुड़ाव होने पर डिलीवरी, सीमा-शुल्क, पता बदलने या सामान लौटाने के बहाने की जाने वाली धोखाधड़ी अधिक विश्वसनीय लग सकती है। इस रिकॉर्ड में पासवर्ड, भौतिक पते, पासपोर्ट विवरण, भुगतान डेटा, शिपमेंट का इतिहास और पैकेज में रखी वस्तुएँ सत्यापित डेटा श्रेणियाँ नहीं हैं; इन्हें शामिल करना उपलब्ध साक्ष्य से आगे जाना होगा।

मार्च 2022 में एक हैक्टिविस्ट समूह ने 30 GB से अधिक डेटा प्रकाशित किया और दावा किया कि यह रूसी कूरियर और लॉजिस्टिक्स ब्रांड CDEK से आया था। रिकॉर्ड की तारीख, 9 मार्च 2022, प्रकाशित डेटासेट से संबंधित है; इससे यह साबित नहीं होता कि उसी दिन CDEK के नेटवर्क में प्रवेश किया गया था या डेटा निकाला गया था। सामग्री को 17 मार्च को अनुक्रमित किया गया और उसकी प्रामाणिकता का आकलन “असत्यापित” ही रहा। स्वतंत्र सार्वजनिक साक्ष्य से यह स्थापित नहीं हुआ है कि डेटा सीधे CDEK से आया, किसी तीसरे पक्ष के माध्यम से आया या अन्य स्रोतों को मिलाकर तैयार किया गया था। शुरुआती पहुँच का तरीका, प्रभावित प्रणालियाँ, नेटवर्क में बिताया गया समय और रिकॉर्ड बनाए जाने की तारीखें विश्वसनीय रूप से उजागर नहीं की गई थीं। इसलिए इस घटना को कंपनी की आंतरिक प्रणालियों में हुई पुष्ट डेटा लीक, आपूर्तिकर्ता से जुड़ी घटना या किसी खास भेद्यता के दुरुपयोग के रूप में वर्गीकृत नहीं किया जा सकता। स्रोत के लिए दिया गया “अज्ञात” मान साक्ष्य की इस सीमा को दर्शाता है; यह बिना आधार के किसी तकनीकी कारण को जिम्मेदार नहीं ठहराता।

जिन लोगों का ईमेल, नाम या फ़ोन नंबर डेटासेट में मौजूद है, उन्हें सोशल इंजीनियरिंग का जोखिम हो सकता है। लेकिन किसी विवरण का मेल मिलना यह साबित नहीं करता कि वे CDEK के ग्राहक थे या जानकारी CDEK से आई थी। हमलावर संपर्क विवरणों को जोड़कर पार्सल में देरी, डिलीवरी न हो पाने, पते की कमी, सामान लौटाने, सीमा-शुल्क या ग्राहक सेवा कॉल से जुड़े संदेश बना सकते हैं। फ़ोन नंबर के ज़रिए टेक्स्ट संदेशों, कॉल और मैसेजिंग ऐप से निशाना बनाया जा सकता है; ईमेल का इस्तेमाल नकली साइन-इन पेज, दुर्भावनापूर्ण अटैचमेंट और खातों का पता लगाने के लिए किया जा सकता है। चूँकि पासवर्ड की कोई श्रेणी सत्यापित नहीं है, इसलिए विवरण का मेल मिलने का मतलब यह नहीं है कि पासवर्ड उजागर हुआ था या किसी खाते पर कब्ज़ा कर लिया गया था। 1.92 करोड़ का आँकड़ा यह भी स्थापित नहीं करता कि हर पंक्ति में तीनों श्रेणियाँ मौजूद हैं या हर विवरण अब भी वर्तमान है। डेटा का संभावित रूप से उजागर होना, धोखाधड़ी का सफल होना और सुरक्षा भंग होने की पुष्टि, ये अलग-अलग परिणाम हैं।

पार्सल से जुड़े किसी अनपेक्षित संदेश के लिंक पर जाने से पहले, कूरियर सेवा के ऐप से या उसका वेब पता खुद टाइप करके शिपमेंट की स्थिति जाँचें और किसी आधिकारिक माध्यम से इसकी पुष्टि करें। संदेश में दिए गए नंबर के बजाय कंपनी की वेबसाइट पर मौजूद संपर्क विवरणों का इस्तेमाल करें। पता ठीक करने, सीमा-शुल्क चुकाने, दोबारा डिलीवरी कराने या सामान लौटाने के नाम पर कार्ड विवरण, पासवर्ड या एक बार इस्तेमाल होने वाले कोड माँगे जाएँ तो ऐसी माँगें अस्वीकार करें। ईमेल पर बहु-कारक प्रमाणीकरण चालू करें, खाता वापस पाने के विवरण और सत्रों की समीक्षा करें, और अनजान फ़ॉरवर्डिंग नियम या ऐप पासवर्ड हटा दें। चूँकि यहाँ पासवर्ड सत्यापित नहीं हैं, केवल इस मिलान से यह साबित नहीं होता कि CDEK का कोई पासवर्ड लीक हुआ था; अन्य घटनाओं से जुड़े खातों में दोबारा इस्तेमाल किए गए पासवर्ड बदलें। संदिग्ध टेक्स्ट संदेशों और धोखाधड़ी वाले पेजों की शिकायत करें, और बिना अनुमति कोई भुगतान होने पर तुरंत अपने बैंक से संपर्क करें।

खरीदारी और डिलीवरी के लिए अलग-अलग ईमेल उपनाम रखने से पता चल सकता है कि कोई संदेश किस पंजीकरण से संबंधित है, और धोखाधड़ी पहचानना आसान हो सकता है। हर सेवा के लिए अलग पासवर्ड रखना और उसे पासवर्ड मैनेजर में सहेजना, अन्य घटनाओं के कारण खाते पर कब्ज़ा होने का जोखिम सीमित करता है, भले ही यहाँ ऐसी किसी घटना की पुष्टि नहीं हुई है। ईमेल और महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण इस्तेमाल करें, बेहतर होगा कि इसके लिए ऑथेंटिकेटर ऐप या हार्डवेयर कुंजी का उपयोग करें। SIM-स्वैप का जोखिम घटाने के लिए अपने मोबाइल सेवा प्रदाता के खाते में PIN और नंबर ट्रांसफ़र की सूचनाएँ चालू करें। कूरियर प्रोफ़ाइल से पुराने पते और फ़ोन नंबर हटाएँ, अनावश्यक मार्केटिंग अनुमतियाँ बंद करें और इस्तेमाल न होने वाले खाते हटाने पर विचार करें। दिखाए गए नाम पर भरोसा करने के बजाय प्रेषक का वास्तविक डोमेन जाँचें, क्योंकि फ़िल्टर हर धोखाधड़ी को नहीं रोक सकते। संपर्क विवरण वर्षों तक उपयोगी रहते हैं, इसलिए डेटा के उजागर होने की स्थिति और खाते की सुरक्षा की समय-समय पर समीक्षा करते रहें।

किसी ईमेल का मेल मिलने का अर्थ है कि वह मार्च 2022 में प्रकाशित उस असत्यापित डेटासेट में मौजूद था, जिसे CDEK का बताया गया था। इससे यह साबित नहीं होता कि वह व्यक्ति CDEK का ग्राहक था, डेटा कंपनी की प्रणालियों से बाहर गया था, किसी खाते की सुरक्षा भंग हुई थी या कोई पासवर्ड उजागर हुआ था। इसे चेतावनी मानें: डिलीवरी से जुड़े ईमेल और फ़ोन पर आए संदेशों की सावधानी से जाँच करें, और महत्वपूर्ण खातों के सत्रों तथा खाता वापस पाने के विकल्पों की समीक्षा करें। मेल न मिलना पूरी तरह सुरक्षित होने की गारंटी नहीं है, क्योंकि हो सकता है कि आपने कोई दूसरा ईमेल पता इस्तेमाल किया हो, केवल फ़ोन या नाम वाले फ़ील्ड में आपका विवरण मौजूद हो, या आप किसी अन्य असत्यापित डेटासेट से प्रभावित हुए हों। जाँच सेवाएँ केवल अनुक्रमित सामग्री को ही कवर करती हैं। “CDEK का बताया गया” और “असत्यापित” शब्दों को बनाए रखें; नतीजे को कंपनी में हुई पुष्ट डेटा लीक के रूप में साझा न करें। संदिग्ध संदेशों का आकलन करते समय प्रेषक का वास्तविक डोमेन, लिंक का गंतव्य, तुरंत कार्रवाई करने का दबाव और भुगतान या सत्यापन कोड की माँग, इन सबको साथ में देखें।