Chowbus: डेटा में सेंध

Chowbus खाते में नाम, ईमेल पता, फ़ोन नंबर और भौतिक पता एक साथ दिखाई दे सकते हैं। ये चार फ़ील्ड हमलावर को उपयोगकर्ता से सीधे और व्यक्तिगत स्तर पर संपर्क करने में सक्षम बनाते हैं। फ़ूड डिलीवरी और स्थानीय रेस्तराँ के संदर्भ में भौतिक पता खास तौर पर महत्वपूर्ण है, क्योंकि उपयोगकर्ताओं को डिलीवरी, ऑर्डर, कूरियर, सामान की वापसी या पते के सत्यापन से जुड़े संदेश मिलने की आदत होती है। यह आदत फ़र्ज़ी संदेशों को अधिक विश्वसनीय बना सकती है। वहीं, फ़ोन नंबर टेक्स्ट संदेशों और कॉल के ज़रिए धोखाधड़ी का जोखिम बढ़ाता है।

इस घटना में पासवर्ड और भुगतान कार्ड के लीक होने की पुष्टि नहीं हुई है, इसलिए सीधे तौर पर पासवर्ड बदलने की आवश्यकता उतनी प्रबल नहीं है जितनी लॉगिन विवरण लीक होने वाली घटनाओं में होती है। हालांकि, ईमेल और फ़ोन पर मिले लिंक के ज़रिए उपयोगकर्ताओं को फ़र्ज़ी लॉगिन पेजों पर ले जाया जा सकता है। नाम और पते की जानकारी के साथ तैयार किए गए संदेश वास्तविक डिलीवरी सूचना जैसे लग सकते हैं। यदि अन्य स्रोतों से रेस्तराँ का नाम, इलाके की जानकारी या डिलीवरी संबंधी आदतों जैसी अतिरिक्त जानकारी मिल जाए, तो हमले को उपयोगकर्ता के अनुरूप और अधिक ढाला जा सकता है। इसलिए सत्यापित फ़ील्ड सीमित होने के बावजूद जोखिम वास्तविक है और ऐसे हमले व्यवहार में किए जा सकते हैं।

इस रिकॉर्ड में प्रभावित खातों की सत्यापित संख्या 4,44,224 अलग-अलग ईमेल पतों पर आधारित है। रिपोर्टों के अनुसार, घटना से जुड़े बड़े डेटासेट में 8,00,000 से अधिक ग्राहक रिकॉर्ड थे। इस संख्या को अलग-अलग उपयोगकर्ताओं की संख्या नहीं समझना चाहिए, क्योंकि इसमें दोहराए गए रिकॉर्ड या एक ही व्यक्ति से जुड़ी अलग-अलग पंक्तियाँ शामिल हो सकती हैं। Chowbus की घटना में रेस्तराँ के डेटा का भी उल्लेख था; हालांकि, इस रिकॉर्ड में उपयोगकर्ताओं से जुड़ी डेटा श्रेणियाँ नाम, ईमेल पता, फ़ोन नंबर और भौतिक पता ही रखी गई हैं।

दायरे की सीमाएँ विशेष रूप से स्पष्ट होनी चाहिए। इस रिकॉर्ड में पासवर्ड, भुगतान कार्ड, बैंक खाते, आधिकारिक पहचान संख्याएँ, ऑर्डर का विवरण, भुगतान का इतिहास या भोजन संबंधी पसंद सत्यापित डेटा श्रेणियों में शामिल नहीं हैं। भौतिक पते की मौजूदगी बताती है कि उपयोगकर्ता को उसके स्थान और डिलीवरी के संदर्भ में निशाना बनाया जा सकता है; हालांकि, इसका अर्थ यह नहीं है कि भुगतान संबंधी जानकारी की सुरक्षा भी भंग हुई है। विवरण में संपर्क और पते से जुड़े वास्तविक जोखिम स्पष्ट होने चाहिए, लेकिन उपयोगकर्ता में अनावश्यक घबराहट नहीं पैदा होनी चाहिए।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जिन्होंने Chowbus के ज़रिए अपना डिलीवरी पता और फ़ोन नंबर साझा किया है। इन लोगों को डिलीवरी की स्थिति, पते के सत्यापन, कूरियर से संपर्क, रेस्तराँ के कूपन या सामान की वापसी से जुड़ी फ़र्ज़ी सूचनाओं के ज़रिए निशाना बनाया जा सकता है। जब एक ही रिकॉर्ड में ईमेल पता और फ़ोन नंबर मौजूद हों, तो हमलावर कई माध्यमों से संपर्क कर सकता है। पहले ईमेल भेजना और फिर उसी सिलसिले में टेक्स्ट संदेश या कॉल करना धोखाधड़ी वाले संदेश को अधिक वास्तविक बना सकता है।

स्थानीय रेस्तराँ की सेवाओं का अक्सर उपयोग करने वाले लोग इलाके से जुड़े प्रचार अभियानों और ऑर्डर संबंधी संदेशों पर भी अधिक आसानी से भरोसा कर सकते हैं। भौतिक पता उजागर होने से निजता का जोखिम पैदा होता है, खास तौर पर उन लोगों के लिए जो अपने घर का पता इस्तेमाल करते हैं। कॉर्पोरेट दृष्टिकोण से देखें तो निजी फ़ोन नंबर और ईमेल जानकारी के साथ फ़ूड डिलीवरी प्लेटफ़ॉर्म इस्तेमाल करने वाले कर्मचारियों को काम के समय या काम में इस्तेमाल होने वाले उपकरणों पर सोशल इंजीनियरिंग संदेश मिल सकते हैं। इसलिए डेटा लीक की ऐसी घटना, जो केवल किसी व्यक्ति के खाते से जुड़ी लगती है, उसे संगठन की सुरक्षा के नज़रिए से भी देखा जाना चाहिए।

उपयोगकर्ताओं को Chowbus या फ़ूड डिलीवरी से जुड़े ईमेल और टेक्स्ट संदेशों में दिए गए लिंक पर सीधे क्लिक नहीं करना चाहिए। डिलीवरी की स्थिति, रिफ़ंड, पते के सत्यापन या कूपन की सूचना वास्तविक लगे, तब भी संबंधित लेन-देन की जाँच आधिकारिक ऐप या किसी ज्ञात डोमेन के ज़रिए करनी चाहिए। कॉल करने वाला व्यक्ति कूरियर, रेस्तराँ या ग्राहक सेवा से होने का दावा करे, तब भी एक बार इस्तेमाल होने वाले कोड, पासवर्ड, भुगतान संबंधी जानकारी या अतिरिक्त व्यक्तिगत जानकारी साझा नहीं करनी चाहिए। नाम और पता सही बता देना इस बात का प्रमाण नहीं है कि कॉल भरोसेमंद है।

यदि Chowbus खाते का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल होता है, तो उसे बदलना चाहिए। इस मामले में पासवर्ड सत्यापित डेटा की श्रेणी में शामिल न होने पर भी एक ही पासवर्ड का दोबारा इस्तेमाल हमेशा एक अलग जोखिम रहता है। ईमेल खाते के सुरक्षा अलर्ट चालू रखने चाहिए और अनपेक्षित लॉगिन पर नज़र रखनी चाहिए। फ़ोन नंबर से जुड़े खातों के लिए केवल SMS-आधारित सत्यापन पर निर्भर रहने के बजाय सत्यापन ऐप को प्राथमिकता देनी चाहिए। उपयोगकर्ता को अपने पते की जानकारी वाले शिपिंग, डिलीवरी और भुगतान संबंधी संदेशों को लेकर भी अधिक सावधान रहना चाहिए।

फ़ूड डिलीवरी और स्थानीय सेवाओं के प्लेटफ़ॉर्म रोज़मर्रा की ज़िंदगी में अक्सर इस्तेमाल होते हैं, लेकिन उनके पास बड़ी मात्रा में पते और संपर्क जानकारी होती है। लंबी अवधि में उपयोगकर्ताओं को अनावश्यक पुराने पते हटाने चाहिए, इन प्लेटफ़ॉर्म पर ऐसे खाते बंद करने चाहिए जिनका वे उपयोग नहीं करते, और जहाँ संभव हो, डिलीवरी निर्देशों में ज़रूरत से ज़्यादा व्यक्तिगत जानकारी देने से बचना चाहिए। प्रचार और ऑर्डर संबंधी सूचनाओं के लिए अलग ईमेल पता इस्तेमाल करने से मुख्य ईमेल खाते की बेहतर सुरक्षा हो सकती है। यदि फ़ोन नंबर साझा करना ज़रूरी हो, तो अनजान कॉल और संदेशों को लेकर अधिक सावधानी बरतनी चाहिए।

प्लेटफ़ॉर्म प्रदाताओं के नज़रिए से यह घटना दिखाती है कि ग्राहक डेटा को बड़ी फ़ाइलों में निर्यात करने पर उपयोगकर्ताओं का भरोसा कितनी जल्दी खो सकता है। पहुँच अनुमतियों, फ़ाइल साझा करने, ग्राहक डेटा निर्यात करने और घटना के बाद सूचना देने की प्रक्रियाओं पर कड़ा नियंत्रण होना चाहिए। संगठनों को अपने कर्मचारियों को यह भी बताना चाहिए कि डिलीवरी, कूरियर, भोजन वाउचर और पते के सत्यापन से जुड़े फ़र्ज़ी संदेशों का इस्तेमाल फ़िशिंग के लिए किया जा सकता है। प्रशिक्षण में रोज़मर्रा की ज़िंदगी से जुड़े संदेशों को भी शामिल करना चाहिए, क्योंकि वे बैंक या ईमेल से जुड़े पारंपरिक अलर्ट की तुलना में कम संदिग्ध लग सकते हैं।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि संबंधित ईमेल पता Chowbus डेटा लीक से जुड़ी अलग-अलग ईमेल पतों की सूची में मौजूद है। मिलान मिलने का यह अर्थ नहीं है कि पासवर्ड या भुगतान कार्ड के फ़ील्ड इस रिकॉर्ड के सत्यापित दायरे में शामिल हैं। सत्यापित जोखिम नाम, ईमेल, फ़ोन और भौतिक पते के फ़ील्ड तक सीमित है। उपयोगकर्ताओं को यह समझकर कदम उठाने चाहिए कि इन फ़ील्ड का इस्तेमाल फ़र्ज़ी डिलीवरी और ग्राहक सेवा से जुड़ी धोखाधड़ी में किया जा सकता है।

पहला व्यावहारिक कदम Chowbus खाते में संपर्क और पते की जानकारी की जाँच करना, अनावश्यक पुराने पते हटाना और खाते के लिए ऐसा पासवर्ड रखना है जो किसी अन्य खाते में इस्तेमाल न हो। इसके बाद ईमेल और फ़ोन पर मिलने वाले डिलीवरी संबंधी संदेशों का सत्यापन आधिकारिक माध्यम से करना चाहिए। जहाँ निजी पते उजागर हुए हो सकते हैं, वहाँ उपयोगकर्ता को अनपेक्षित कैश-ऑन-डिलीवरी, सामान की वापसी या कूरियर संबंधी अनुरोधों से सावधान रहना चाहिए। भले ही जोखिम में सीधे भुगतान कार्ड का लीक होना शामिल न हो, पते के आधार पर होने वाली धोखाधड़ी और सोशल इंजीनियरिंग को वास्तविक संभावनाएँ मानना चाहिए।