Condo.com: डेटा में सेंध

सत्यापित डेटा प्रकारों में ईमेल पते, नाम, फोन नंबर और भौतिक पते शामिल हैं। ईमेल पते का इस्तेमाल उपयोगकर्ता के दूसरे ऑनलाइन खातों से उसका संबंध जोड़ने के लिए किया जा सकता है। नाम और फोन नंबर फर्जी ग्राहक सेवा कॉल, लिस्टिंग के सत्यापन संबंधी संदेशों, रियल एस्टेट एजेंट बनकर संपर्क करने या भुगतान को किसी दूसरे खाते में भेजने के प्रयासों में उपयोगी हो सकते हैं। जिन रिकॉर्ड में भौतिक पता है, उनसे उपयोगकर्ता के रहने की जगह या उसकी रुचि वाले स्थान के बारे में अधिक प्रत्यक्ष जानकारी मिल सकती है।

इस रिकॉर्ड में पासवर्ड सत्यापित डेटा श्रेणी नहीं है। इसलिए जोखिम का मुख्य केंद्र खाते के पासवर्ड के बजाय फ़िशिंग, फोन पर धोखाधड़ी और रियल एस्टेट के बहाने की जाने वाली सोशल इंजीनियरिंग है। नाम, ईमेल और फोन नंबर का संयोजन किसी व्यक्ति तक पहुँचने के पर्याप्त माध्यम उपलब्ध कराता है। यदि कोई हमलावर यह मान ले कि उपयोगकर्ता घर खोजने, किराए पर लेने, खरीदने या किसी अपार्टमेंट में रुचि रखता है, तो वह उसी संदर्भ के अनुसार संदेश तैयार कर सकता है। ऐसे संदेश सामान्य विज्ञापनों या बड़े पैमाने पर भेजे जाने वाले फ़िशिंग संदेशों की तुलना में अधिक विश्वसनीय लग सकते हैं।

इस रिकॉर्ड में 14,81,555 प्रभावित खाते शामिल हैं और घटना की तारीख 1 जून 2019 दर्ज है। माना जाता है कि बाद में यह डेटा कई डेटा उल्लंघनों के एक बड़े संकलन में फिर से प्रसारित हुआ। इसका अर्थ है कि घटना पुरानी होने के बावजूद ईमेल और फोन की जानकारी का मौजूदा धोखाधड़ी सूचियों में दोबारा इस्तेमाल किया जा सकता है। रिकॉर्ड का दायरा अलग-अलग खातों की संख्या के आधार पर आँका जाना चाहिए। यह नहीं मानना चाहिए कि हर पंक्ति किसी मौजूदा, सक्रिय या पूर्ण उपयोगकर्ता प्रोफ़ाइल को दर्शाती है।

सत्यापित फ़ील्ड में ईमेल पता, नाम, फोन नंबर और थोड़े से भौतिक पते शामिल हैं। इस रिकॉर्ड में पासवर्ड, भुगतान कार्ड, बैंक खाता, सोशल सिक्योरिटी नंबर, जन्मतिथि, पहचान दस्तावेज़ या रियल एस्टेट लेन-देन के दस्तावेज़ सत्यापित डेटा प्रकार नहीं हैं। साथ ही, भौतिक पते वाला फ़ील्ड सभी रिकॉर्ड में नहीं, बल्कि केवल एक छोटे हिस्से में दिखाई देता है। यह अंतर महत्वपूर्ण है। उपयोगकर्ता को वास्तविक जोखिम समझाते समय न तो संपर्क जानकारी के महत्व को कम आँकना चाहिए और न ही असत्यापित डेटा प्रकारों को ऐसे प्रस्तुत करना चाहिए मानो वे रिकॉर्ड में मौजूद हों।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने Condo.com पर अपना वास्तविक नाम, मुख्य ईमेल पता और सक्रिय फोन नंबर इस्तेमाल किया है। रियल एस्टेट की तलाश कर रहे उपयोगकर्ता आम तौर पर घर बदलने, निवेश करने, किराए पर लेने या खरीदने जैसे बड़े आर्थिक महत्व वाले फैसलों में लगे होते हैं। इसलिए हमलावर फर्जी परामर्श, फर्जी लिस्टिंग, जमा राशि को किसी दूसरे खाते में भेजने, ऋण की पूर्व-मंजूरी, संपत्ति मूल्यांकन शुल्क, रखरखाव शुल्क की सूचनाओं या घर बदलने की सेवाओं के बहाने उन्हें निशाना बना सकते हैं।

जिन उपयोगकर्ताओं के रिकॉर्ड में भौतिक पता भी है, उनके लिए जोखिम अधिक व्यक्तिगत हो जाता है। यदि पते की जानकारी सही है, तो हमलावर मोहल्ले, इमारत, डिलीवरी, रखरखाव, सदस्यता या प्रबंधन की घोषणाओं जैसे विवरणों का इस्तेमाल करके संदेश पर भरोसा दिलाने की कोशिश कर सकता है। जिन उपयोगकर्ताओं का फोन नंबर मौजूद है, उन्हें टेक्स्ट संदेशों और कॉल के माध्यम से सीधे निशाना बनाया जा सकता है। कार्यस्थल के ईमेल पते से पंजीकरण करने वालों को कॉर्पोरेट फ़िशिंग का भी जोखिम है, क्योंकि रियल एस्टेट और परिसर प्रबंधन से जुड़े संदेश कार्यस्थल के संदर्भ में स्वाभाविक लग सकते हैं।

जिस उपयोगकर्ता को इस रिकॉर्ड में अपनी जानकारी का मिलान मिलता है, उसे सबसे पहले ईमेल और फोन के माध्यम से आने वाले रियल एस्टेट संबंधी संदेशों को लेकर सावधान रहना चाहिए। अनपेक्षित लिस्टिंग प्रस्तावों, जमा राशि के अनुरोधों, तुरंत भुगतान करने के निर्देशों, ऋण आवेदन के लिंक, किरायानामे की फ़ाइलों या खाते के सत्यापन संबंधी संदेशों को सीधे भरोसेमंद नहीं मानना चाहिए। रियल एस्टेट का कोई लेन-देन करने से पहले दूसरे पक्ष की पहचान, लिस्टिंग के स्रोत, भुगतान की जानकारी और संपर्क के माध्यम की स्वतंत्र रूप से पुष्टि करनी चाहिए।

ईमेल खाते पर बहु-कारक प्रमाणीकरण चालू करना चाहिए और संदिग्ध सत्रों की जाँच करनी चाहिए। रिकॉर्ड में पासवर्ड का सत्यापित फ़ील्ड न होने पर भी ईमेल खाता धोखाधड़ी वाले संदेशों का प्रमुख निशाना बन सकता है। फोन नंबर पर भेजे गए एक बार इस्तेमाल होने वाले कोड, पहचान दस्तावेज़ के अनुरोध, जमा राशि के भुगतान के निर्देश या रिमोट एक्सेस के अनुरोध साझा नहीं करने चाहिए। जिन उपयोगकर्ताओं का भौतिक पता लीक हुआ हो सकता है, उन्हें पते के सत्यापन या डिलीवरी के बहाने आने वाले संदेशों को भी संदिग्ध मानना चाहिए।

Condo.com की घटना दिखाती है कि संपर्क जानकारी में पासवर्ड शामिल न होने पर भी उससे सुरक्षा और निजता पर गंभीर असर पड़ सकता है। उपयोगकर्ताओं को रियल एस्टेट, लिस्टिंग, सदस्यता और खरीदारी की सेवाओं के लिए जहाँ संभव हो, अलग ईमेल पते या असली ईमेल पता छिपाने वाले समाधानों का इस्तेमाल करना चाहिए। फोन नंबर साझा करना अनिवार्य न हो तो उसे साझा नहीं करना चाहिए। यदि यह अनिवार्य हो, तो भविष्य में संभावित मार्केटिंग, धोखाधड़ी और फ़िशिंग संदेशों को लेकर सतर्क रहना चाहिए। भौतिक पता केवल उन्हीं लेन-देन के लिए साझा करना चाहिए जहाँ इसकी वास्तव में आवश्यकता हो।

लंबी अवधि में उपयोगकर्ताओं को अपने पुराने रियल एस्टेट खातों और लिस्टिंग प्रोफ़ाइलों की समीक्षा करनी चाहिए। इस्तेमाल न होने वाले खाते बंद करने चाहिए, सार्वजनिक प्रोफ़ाइल में मौजूद जानकारी कम करनी चाहिए और इस पर नज़र रखनी चाहिए कि किन सेवाओं पर एक ही संपर्क जानकारी से पंजीकरण किया गया है। रियल एस्टेट लेन-देन में बड़ी रकम शामिल होती है, इसलिए भुगतान कभी भी केवल ईमेल या टेक्स्ट संदेश से मिले निर्देशों के आधार पर नहीं करना चाहिए। दूसरे पक्ष के लाइसेंस, लिस्टिंग के स्वामित्व, बैंक की जानकारी और अनुबंध के विवरण की अलग माध्यमों से पुष्टि करनी चाहिए।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि संबंधित ईमेल पता Condo.com लीक से जुड़े रिकॉर्ड में मौजूद है। यह मिलान दर्शाता है कि सत्यापित दायरा संपर्क और पहचान संबंधी जानकारी तक सीमित है। पासवर्ड या भुगतान की जानकारी इस रिकॉर्ड की सत्यापित डेटा श्रेणियों में शामिल नहीं है। फिर भी, ईमेल, नाम और फोन नंबर को एक साथ जोड़ने पर ऐसे संदेश तैयार करने के लिए पर्याप्त डेटा मिल सकता है जो उपयोगकर्ता के लिए खास तौर पर बनाए गए लगें। इसलिए रिकॉर्ड पुराना होने पर भी सावधानी जरूरी है।

उपयोगकर्ता को सबसे पहले अपना ईमेल खाता सुरक्षित करना चाहिए, रियल एस्टेट और घर बदलने से जुड़े अनपेक्षित संदेशों की अलग माध्यम से पुष्टि करनी चाहिए और फोन पर मिले भुगतान या पहचान संबंधी अनुरोधों को अस्वीकार करना चाहिए। जिन उपयोगकर्ताओं को लगता है कि उनका भौतिक पता किसी को मालूम हो सकता है, उन्हें डिलीवरी, रखरखाव, भवन प्रबंधन या सदस्यताओं से जुड़े संदेशों की ध्यान से जाँच करनी चाहिए। रियल एस्टेट लेन-देन में कोई भी पैसा भेजने से पहले लिस्टिंग, व्यक्तियों, कंपनियों और खाते की जानकारी की स्वतंत्र स्रोतों से पुष्टि करनी चाहिए।