Coachella डेटा में सेंध

Coachella की घटना में जिन डेटा प्रकारों की पुष्टि हुई है, वे हैं ईमेल पते, उपयोगकर्ता नाम, IP पते, नाम, फ़ोन नंबर, डिलीवरी के भौतिक पते, जन्म तिथियाँ और पासवर्ड हैश। ईमेल पते और उपयोगकर्ता नाम से हमलावर सीधे उपयोगकर्ता तक पहुँच सकते हैं और खाते से जुड़ी पहचान का पता लगा सकते हैं। नाम, फ़ोन नंबर और डिलीवरी पता फ़ेस्टिवल में भाग लेने वालों को भेजे जाने वाले टिकट, शिपिंग, कैंपिंग स्थल, ठहरने की व्यवस्था या ग्राहक सेवा से जुड़े धोखाधड़ी वाले संदेशों को अधिक विश्वसनीय बना सकते हैं।

पासवर्ड फ़ील्ड को विशेष सावधानी से समझना चाहिए। इस मामले में, भले ही भुगतान संबंधी जानकारी की पुष्टि न हुई हो, फ़ोरम से जुड़े पासवर्ड हैश उन लोगों के लिए जोखिम पैदा कर सकते हैं जो एक ही पासवर्ड दोबारा इस्तेमाल करते हैं। अगर उपयोगकर्ता ने अपने ईमेल खाते, फ़ेस्टिवल खाते, टिकट बिक्री प्लेटफ़ॉर्म या सोशल मीडिया खातों पर वही पासवर्ड इस्तेमाल किया है, तो हमलावर इस जानकारी को अलग-अलग सेवाओं पर आज़मा सकते हैं। IP पता सीधे घर का पता नहीं बताता; हालाँकि, इससे कनेक्शन के अनुमानित क्षेत्र या सत्र के संदर्भ के बारे में अतिरिक्त संकेत मिल सकते हैं। इन डेटा प्रकारों का मेल लक्षित फ़िशिंग के लिए पर्याप्त संदर्भ देता है।

इस रिकॉर्ड में जिन प्रभावित खातों की पुष्टि हुई है, उनकी संख्या 5,99,802 है। घटना की तारीख 22 फ़रवरी 2017 दर्ज है। डेटा की श्रेणियों में ईमेल पते, IP पते, उपयोगकर्ता नाम, पासवर्ड हैश, नाम, फ़ोन नंबर, भौतिक पते और जन्म तिथियाँ शामिल मानी जानी चाहिए। यह नहीं मानना चाहिए कि हर उपयोगकर्ता के लिए ये सभी फ़ील्ड मौजूद हैं; कुछ फ़ील्ड फ़ेस्टिवल के वेब खातों से जुड़े डेटा में देखे गए, जबकि अन्य फ़ोरम या मैसेज बोर्ड से जुड़े डेटा में मिले। विवरण में इन अलग पहलुओं को पढ़े जा सकने वाले पासवर्ड या भुगतान डेटा से जुड़ी एक ही घटना के रूप में प्रस्तुत नहीं करना चाहिए।

इस रिकॉर्ड में भुगतान कार्ड नंबर, बैंक खाते, वित्तीय लेन-देन का इतिहास, टिकट खरीद का विवरण या आधिकारिक पहचान दस्तावेज़ सत्यापित डेटा नहीं माने गए हैं। फ़ेस्टिवल में भाग लेने वालों की जानकारी प्राप्त कर लेना सोशल इंजीनियरिंग का गंभीर जोखिम पैदा करता है; हालाँकि, इस जोखिम का सीधा अर्थ कार्ड डेटा या वित्तीय खातों तक पहुँच होना नहीं है। सही दायरा उपयोगकर्ता की संपर्क जानकारी, डिलीवरी विवरण, खाते की पहचान और फ़ोरम से जुड़े पासवर्ड हैश के आधार पर तय किया जाना चाहिए।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने Coachella वेब खाते या फ़ोरम खाते का ईमेल और पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। टिकट बिक्री और यात्रा की योजना के संदर्भ में फ़ेस्टिवल हमलावरों को लोगों को लुभाने का प्रभावी बहाना देता है। नकली टिकट ट्रांसफ़र, कैंपिंग स्थल के अपडेट, शिपिंग सूचनाएँ, ग्राहक सेवा अनुरोध, रिफ़ंड या प्रतीक्षा सूची संबंधी सूचनाओं जैसे संदेश वास्तविक लग सकते हैं। नाम, फ़ोन नंबर और पते की जानकारी इन संदेशों को अधिक विश्वसनीय बना सकती है।

दूसरे जोखिम समूह में वे लोग आते हैं जो टिकट बिक्री प्लेटफ़ॉर्म, भुगतान सेवाओं, सोशल मीडिया और यात्रा संबंधी खातों में एक ही ईमेल पता इस्तेमाल करते हैं। फ़ेस्टिवल खाते से मिली संपर्क जानकारी का अन्य प्लेटफ़ॉर्म पर मौजूद प्रोफ़ाइल से मिलान किया जा सकता है। IP पता और उपयोगकर्ता नाम भी इस मिलान में मदद कर सकते हैं। आयोजन उद्योग में उपयोगकर्ता अक्सर तृतीय-पक्ष विक्रेताओं, ठहरने की सुविधा देने वालों और परिवहन सेवाओं से संपर्क करते हैं, जिससे धोखाधड़ी वाले संदेशों को पहचानना कठिन हो जाता है। इसलिए इस घटना को केवल किसी पुराने फ़ेस्टिवल खाते की समस्या के रूप में नहीं देखना चाहिए।

अगर Coachella या उससे जुड़े फ़ोरम खाते का पासवर्ड अन्य खातों पर भी इस्तेमाल किया गया था, तो उसे तुरंत बदलना चाहिए। सबसे पहले ईमेल खातों, टिकट बिक्री खातों, सोशल मीडिया खातों और भुगतान सेवाओं की जाँच करनी चाहिए। हर सेवा के लिए अलग और मज़बूत पासवर्ड इस्तेमाल करना चाहिए, और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। किसी के पास पासवर्ड हैश होने का अर्थ यह नहीं है कि हर कोई पासवर्ड पढ़ सकता है; हालाँकि, कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के लिए जोखिम बना रहता है।

उपयोगकर्ताओं को Coachella, टिकट ट्रांसफ़र, कैंपिंग, शिपिंग, रिफ़ंड, ठहरने की व्यवस्था या ग्राहक सेवा से जुड़े संदेशों में मौजूद लिंक से सावधान रहना चाहिए। अगर कोई लेन-देन करना हो, तो फ़ेस्टिवल या टिकट प्लेटफ़ॉर्म का पता सीधे ब्राउज़र में टाइप करना चाहिए या किसी भरोसेमंद बुकमार्क का इस्तेमाल करना चाहिए। फ़ोन या ईमेल पर सत्यापन कोड, पासवर्ड, कार्ड की जानकारी या व्यक्तिगत पहचान संबंधी जानकारी माँगे जाने पर संदेह करना चाहिए। फ़ेस्टिवल की टीमें या वैध सेवा प्रदाता उपयोगकर्ताओं से उनका मौजूदा पासवर्ड नहीं माँगते।

आयोजन और फ़ेस्टिवल खातों से उपयोगकर्ताओं की यात्रा, पते, फ़ोन और सामाजिक जीवन की जानकारी जुड़ी हो सकती है। दीर्घकाल में उपयोगकर्ताओं को आयोजन संबंधी खातों से अनावश्यक पुराने पते और फ़ोन की जानकारी हटा देनी चाहिए, इस्तेमाल न किए जा रहे फ़ोरम खाते बंद कर देने चाहिए और टिकट प्लेटफ़ॉर्म पर अलग पासवर्ड इस्तेमाल करना चाहिए। कई आयोजन, यात्रा और भुगतान सेवाओं के लिए एक ही ईमेल पता इस्तेमाल करने से लक्षित संदेशों का जोखिम बढ़ता है। अलग ईमेल पता इस्तेमाल करने से कुछ उपयोगकर्ताओं के लिए जोखिम कम हो सकता है।

आयोजकों और आयोजन प्लेटफ़ॉर्म के दृष्टिकोण से, उपयोगकर्ता खातों और फ़ोरम खातों के लिए अलग-अलग सुरक्षा नियंत्रण होने चाहिए। पासवर्ड सहेजने के तरीके मज़बूत होने चाहिए, पुराने मैसेज बोर्ड सॉफ़्टवेयर को अद्यतन रखना चाहिए और उपयोगकर्ता जानकारी केवल आवश्यक अवधि तक ही रखनी चाहिए। घटना के बाद दी जाने वाली सूचनाओं में भुगतान डेटा, पासवर्ड हैश और संपर्क जानकारी जैसे हिस्सों का अलग-अलग खुलासा करने से उपयोगकर्ता सही कदम उठा सकते हैं। उपयोगकर्ताओं के लिए स्थायी रणनीति है कि वे अलग-अलग पासवर्ड और बहु-कारक प्रमाणीकरण का इस्तेमाल करें तथा फ़ेस्टिवल से जुड़े फ़िशिंग संदेशों से सावधान रहें।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि संबंधित ईमेल पता Coachella के डेटा में सेंध की घटना से जुड़े खातों में शामिल है। मिलान मिलने का अर्थ यह नहीं है कि भुगतान कार्ड या बैंक संबंधी जानकारी इस रिकॉर्ड के सत्यापित दायरे में शामिल है। सत्यापित जोखिम ईमेल, उपयोगकर्ता नाम, IP पते, नाम, फ़ोन नंबर, भौतिक पते, जन्म तिथि और फ़ोरम से जुड़े पासवर्ड हैश से संबंधित है। उपयोगकर्ता को सबसे पहले यह सुनिश्चित करना चाहिए कि वही पासवर्ड अन्य खातों पर इस्तेमाल नहीं किया जा रहा है।

अगला कदम अपने ईमेल खाते और टिकट/यात्रा संबंधी खातों की सुरक्षा जाँचना है। अपरिचित सत्र बंद कर देने चाहिए, बहु-कारक प्रमाणीकरण चालू करना चाहिए और टिकट ट्रांसफ़र या रिफ़ंड के संदिग्ध संदेशों की पुष्टि आधिकारिक माध्यमों से करनी चाहिए। फ़ोन नंबर और पते की जानकारी के कारण शिपिंग, डिलीवरी या ठहरने की व्यवस्था से जुड़े संदेशों पर भी नज़र रखनी चाहिए। भले ही यह घटना पुरानी हो, उसी संपर्क जानकारी के आधार पर वर्षों बाद भी फ़ेस्टिवल और टिकट से जुड़ी लक्षित धोखाधड़ी की जा सकती है।