Covve: डेटा में सेंध

डेटा की सत्यापित श्रेणियाँ हैं: ईमेल पते, नाम, फ़ोन नंबर, भौतिक पते, पदनाम और सोशल मीडिया प्रोफ़ाइल। इन जानकारियों को मिलाकर लक्षित फ़िशिंग, फ़ोन पर धोखाधड़ी, फ़र्ज़ी व्यावसायिक पत्राचार और किसी व्यक्ति की ऑनलाइन प्रोफ़ाइलों को आपस में जोड़ने में मदद मिल सकती है। संपर्क सूची का डेटा केवल ऐप उपयोगकर्ता को ही नहीं, बल्कि उसके सहेजे हुए ग्राहकों, सहकर्मियों, दोस्तों या अन्य संपर्कों को भी प्रभावित कर सकता है। इस सेंध में पासवर्ड को डेटा की सत्यापित श्रेणी नहीं माना गया है, इसलिए इस घटना को सीधे पासवर्ड लीक होने, पासवर्ड क्रैक किए जाने या भुगतान संबंधी डेटा खोने की घटना के रूप में प्रस्तुत नहीं करना चाहिए। सोशल मीडिया प्रोफ़ाइल वाला फ़ील्ड प्रोफ़ाइल की पहचान या लिंक से संबंधित है; इससे यह साबित नहीं होता कि निजी संदेश या सोशल नेटवर्क के लॉगिन विवरण उजागर हुए थे।

कंपनी के खुलासे के अनुसार, इस्तेमाल से हटाए गए Covve वेब ऐप से जुड़ी एक प्रणाली को जनवरी 2020 की शुरुआत में पूरी तरह बंद किए जाने से पहले अनधिकृत पहुँच हुई थी। फ़रवरी में यह बड़ा डेटासेट एक क्लाउड प्रदाता द्वारा होस्ट किए गए Elasticsearch इंस्टेंस पर मिला, जिस तक बाहर से पहुँचा जा सकता था। शुरुआत में इसका स्रोत अज्ञात था, इसलिए रिकॉर्ड का नाम “db8151dd” पहचानकर्ता के आधार पर रखा गया, जो डेटा में बार-बार दिखाई देता था। इसकी मानक संदर्भ तिथि 20 फ़रवरी है। डेटासेट में 10.3 करोड़ से अधिक पंक्तियाँ थीं, लेकिन दोहराए गए ईमेल पते हटाने पर 2,28,02,117 अलग-अलग ईमेल पते मिले। बाद में पुष्टि हुई कि डेटा का स्रोत पुरानी Covve प्रणाली थी। कंपनी ने कहा कि उसे 15 मई को घटना का पता चला, जिसके बाद उसने जाँच शुरू की, नियामक से संपर्क किया और उपयोगकर्ताओं को सूचित किया; 19 मई को सेंध के स्रोत की जानकारी अपडेट करके Covve कर दी गई।

प्रभावित लोगों का दायरा केवल उन लोगों तक सीमित नहीं है जिन्होंने Covve खाता खोला था। कंपनी ने कहा कि लगभग 90,000 Covve उपयोगकर्ताओं के डेटा की सुरक्षा भंग हुई थी, जबकि 2.28 करोड़ अलग-अलग ईमेल पतों का आँकड़ा उन उपयोगकर्ताओं की संपर्क सूचियों में दर्ज लोगों के कहीं बड़े समूह को दर्शाता है। इसलिए, कोई ऐसा व्यक्ति भी डेटा में शामिल हो सकता है जिसने कभी ऐप इस्तेमाल नहीं किया, क्योंकि किसी दूसरे व्यक्ति ने उसे संपर्क के रूप में सहेजा था। पदनाम, सोशल प्रोफ़ाइल, फ़ोन नंबर और ईमेल पते को मिलाकर अधिकारियों, बिक्री कर्मचारियों और जनता से सीधे संपर्क वाले पदों पर काम करने वालों को सोशल इंजीनियरिंग के ऐसे संदेश भेजे जा सकते हैं जो अधिक विश्वसनीय लगें। भौतिक पते वाले रिकॉर्ड निजता और अनचाहे संपर्क का अतिरिक्त जोखिम पैदा करते हैं। चूँकि पासवर्ड और वित्तीय डेटा की पुष्टि नहीं हुई थी, इसलिए सीधे खातों पर नियंत्रण कर लेने और कार्ड धोखाधड़ी को इस घटना के पुष्ट परिणामों के रूप में प्रस्तुत नहीं करना चाहिए।

अप्रत्याशित नौकरी के प्रस्तावों, संपर्क जानकारी अपडेट करने के अनुरोधों, संपर्क सूची सिंक्रोनाइज़ करने के संकेतों और Covve से जुड़े संदेशों में दिए गए लिंक खोलने से पहले, किसी अलग भरोसेमंद माध्यम से उनकी पुष्टि करें। फ़ोन करने वाले को आपका नाम, पदनाम, फ़ोन नंबर या पता मालूम होने को उसकी विश्वसनीयता का प्रमाण न मानें। सोशल प्रोफ़ाइल पर सार्वजनिक रूप से दिखाई देने वाले फ़ोन, ईमेल और स्थान संबंधी फ़ील्ड की समीक्षा करें और वह जानकारी हटा दें जिसकी अब ज़रूरत नहीं है। यदि आप Covve इस्तेमाल करते हैं, तो मौजूदा ऐप को दी गई संपर्क संबंधी अनुमतियों की समीक्षा करें और ऐसी सिंक्रोनाइज़ की गई संपर्क सूचियाँ हटा दें जिनकी अब ज़रूरत नहीं है। यह घटना अपने-आप में पासवर्ड लीक नहीं है, इसलिए केवल इसके कारण पासवर्ड रीसेट करना ज़रूरी नहीं है। लेकिन अगर आपको संदिग्ध गतिविधि दिखे, तो संबंधित खाते का पासवर्ड उसकी आधिकारिक सेवा के ज़रिए बदलें और बहु-कारक प्रमाणीकरण चालू करें। धमकियों या किसी भौतिक पते के दुरुपयोग की सूचना उपयुक्त स्थानीय प्राधिकरण को दें।

संपर्क प्रबंधन ऐप उन लोगों का डेटा भी कॉपी कर सकते हैं जो उनके उपयोगकर्ता नहीं हैं, इसलिए अनुमतियों और डेटा रखने की अवधि की नियमित समीक्षा करनी चाहिए। पुराने और अप्रासंगिक संपर्कों को मिटाने, संपर्क सूची के सिंक्रोनाइज़ेशन को सीमित करने और पुराने ऐप कनेक्शन हटाने से भविष्य में डेटा उजागर होने का जोखिम कम होता है। ईमेल और सोशल मीडिया खातों पर बहु-कारक प्रमाणीकरण अब भी उपयोगी है, क्योंकि यह सोशल इंजीनियरिंग के बाद होने वाले नुकसान को सीमित करता है, भले ही इस घटना में कोई पासवर्ड उजागर न हुआ हो। सेवा संचालकों को केवल ऐप ही नहीं, बल्कि उसके डेटा स्टोर, बैकअप और क्लाउड तक पहुँच के रास्ते भी सेवा से हटाने चाहिए। डेटाबेस तक सार्वजनिक पहुँच रोकना, नेटवर्क पहुँच सीमित करना, रखा जाने वाला डेटा न्यूनतम करना, बाहर से सुलभ संसाधनों की लगातार सूची बनाए रखना और घटनाओं की जानकारी तुरंत देना लंबे समय तक सुरक्षा प्रदान करता है।

LeakData में अपना ईमेल पता खोजकर देखें कि क्या वह Covve/db8151dd सेंध के रिकॉर्ड से मेल खाता है। केवल अपना ईमेल पता या ऐसा पता खोजें जिसकी जाँच करने की आपको अनुमति है। मेल मिलने का अर्थ है कि वह पता सत्यापित डेटासेट में मौजूद है; इससे यह साबित नहीं होता कि आप Covve उपयोगकर्ता थे, कोई पासवर्ड उजागर हुआ था या सूचीबद्ध हर प्रकार का डेटा आपके रिकॉर्ड में मौजूद था। भले ही आपने कभी ऐप इस्तेमाल न किया हो, किसी दूसरे व्यक्ति की संपर्क सूची में सहेजे गए संपर्क के रूप में आपका पता मिल सकता है। अगर मेल मिलता है, तो आपकी व्यक्तिगत जानकारी के आधार पर तैयार किए गए ईमेल और फ़ोन संदेशों को लेकर विशेष सावधानी बरतें। इसके बाद समीक्षा करें कि आपकी सोशल प्रोफ़ाइल और सार्वजनिक संपर्क जानकारी में क्या-क्या दिखाई देता है।