CTARS: डेटा में सेंध

CTARS में दर्ज डेटा कई स्तरों पर संवेदनशील है: ईमेल पते और उपयोगकर्ता नाम खाते तक पहुँच से जुड़े हैं, पासवर्ड पहचान संबंधी जोखिम से, फ़ोन नंबर और भौतिक पते सीधे संपर्क और स्थान की जानकारी से, जन्मतिथि और लिंग संबंधी जानकारी प्रमाणीकरण प्रक्रियाओं से, तथा नाम और संबोधन संबंधी जानकारी व्यक्ति की वास्तविक पहचान से जुड़ी है। व्यक्तिगत स्वास्थ्य डेटा सबसे संवेदनशील क्षेत्रों में से एक है। देखभाल सेवाओं के संदर्भ में स्वास्थ्य की स्थिति, सहायता की ज़रूरतों, उपचार की प्रक्रिया या देखभाल योजना की जानकारी सीधे किसी व्यक्ति की निजता को प्रभावित कर सकती है। ऐसे डेटा के उजागर होने पर जोखिम केवल खाते पर कब्ज़ा होने तक सीमित नहीं रहता; भेदभाव, लक्षित धोखाधड़ी, ब्लैकमेल और सोशल इंजीनियरिंग के जोखिम भी पैदा हो सकते हैं।

पासवर्ड और उपयोगकर्ता नाम वाले फ़ील्ड की मौजूदगी से यह जोखिम बढ़ जाता है कि प्रभावित व्यक्तियों या देखभाल सेवा प्रदाताओं के कर्मचारियों के खातों की जानकारी का इस्तेमाल अन्य सेवाओं में लॉगिन की कोशिश करने के लिए किया जाएगा। फ़ोन और पते की जानकारी का इस्तेमाल ऐसे संपर्कों के लिए किया जा सकता है जो अधिक विश्वसनीय लगें, जैसे फ़र्ज़ी सहायता कॉल, डिलीवरी की सूचनाएँ, देखभाल सेवा की मुलाक़ातें तय करने के संदेश या आधिकारिक संस्थाओं के नाम पर किया गया संपर्क। कुछ ग्राहक सेवा प्रक्रियाओं में जन्मतिथि और नाम की जानकारी पहचान की पुष्टि के सवालों से जुड़ी होती है, इसलिए यह किसी हमलावर को अन्य खातों की सुरक्षा जाँच पार करने में मदद कर सकती है। स्वास्थ्य संबंधी डेटा सबसे संवेदनशील स्तर है; इसलिए इस रिकॉर्ड को ऐसी घटना नहीं माना जाना चाहिए जिसका समाधान केवल पासवर्ड बदलने से हो जाए।

इस रिकॉर्ड में दी गई संख्या 12,314 सत्यापित अलग-अलग ईमेल पतों के दायरे को दर्शाती है। यह घटना ऑस्ट्रेलिया के देखभाल सेवा प्रदाताओं को प्रभावित करने वाली CTARS की एक व्यापक घटना से जुड़ी है; कुछ सूचनाओं में संकेत दिया गया है कि बड़ी संख्या में संस्थान और अलग-अलग ग्राहक समूह प्रभावित हो सकते हैं। फिर भी, इस पृष्ठ पर दी गई संख्या उन खातों के दायरे को दर्शाती है जिनकी जाँच की जा सकी थी। यह ज़रूरी नहीं कि यह प्रभावित व्यक्तियों की सटीक कुल संख्या हो। यह नहीं मानना चाहिए कि हर व्यक्ति के लिए वही फ़ील्ड मौजूद हैं; कुछ लोगों के लिए केवल संपर्क जानकारी हो सकती है, जबकि अन्य लोगों के लिए देखभाल या स्वास्थ्य से जुड़ी अधिक संवेदनशील जानकारी शामिल हो सकती है।

रिकॉर्ड में तारीख़ को सुधारकर मई 2022 कर दिया गया है। रिपोर्टों के अनुसार, अनधिकृत पहुँच का पता मई 2022 के मध्य में चला था और बाद में यह समझ में आया कि कुछ डेटा अनधिकृत प्राप्तकर्ताओं के साथ साझा किया गया था। पहले दर्ज वर्ष की गलत जानकारी को इसलिए सुधारा गया क्योंकि वह इस घटना के सत्यापित घटनाक्रम से मेल नहीं खाती थी। यह सुधार महत्वपूर्ण है, क्योंकि डेटा सुरक्षा उल्लंघन की गलत तारीख़ दिखाने से उपयोगकर्ता इस बात को लेकर भ्रमित हो सकता है कि उसे किस लेखा अवधि और किस सेवा संबंध की जाँच करनी चाहिए। रिकॉर्ड संवेदनशील है, इसलिए परिणाम केवल संबंधित ईमेल पते के स्वामी या डोमेन के लिए अधिकृत व्यक्ति को दिखाए जाने चाहिए।

सबसे अधिक जोखिम वाले समूहों में CTARS का उपयोग करने वाले देखभाल सेवा प्रदाताओं से सेवाएँ प्राप्त करने वाले NDIS प्रतिभागी, दिव्यांगजन सेवाएँ प्राप्त करने वाले लोग, बाल और परिवार सेवाओं से जुड़े व्यक्ति, वृद्ध देखभाल केंद्रों के निवासी, देखभाल करने वाले, रिश्तेदार और इन सेवाओं में काम करने वाले कर्मचारी शामिल हैं। सहायता की ज़रूरत या संवेदनशील जीवन-परिस्थितियों के कारण ये समूह पहले से ही धोखाधड़ी और दबाव डालने के प्रयासों के प्रति अधिक असुरक्षित हो सकते हैं। हमलावर वास्तविक नाम, संपर्क जानकारी और देखभाल के संदर्भ को मिलाकर ऐसी कॉल, संदेश या ईमेल तैयार कर सकते हैं जो भरोसेमंद लगें। आधिकारिक संस्थाओं, देखभाल सेवा प्रदाताओं, सहायता समन्वयकों या पहचान की पुष्टि करने वाली इकाइयों के नाम पर किए गए संपर्कों पर विशेष ध्यान देना चाहिए।

संस्थानों के कर्मचारियों और सेवा प्रदाताओं के लिए भी जोखिम अधिक है। यदि कर्मचारियों के उपयोगकर्ता नाम और पासवर्ड अन्य प्रणालियों में दोबारा इस्तेमाल किए जाते हैं, तो हमलावर संस्थान के ईमेल, मामलों के प्रबंधन की प्रणाली, क्लाउड स्टोरेज या दूरस्थ पहुँच वाले खातों को निशाना बना सकते हैं। रखरखाव सेवा प्रदाताओं के पुराने CTARS रिकॉर्ड भी प्रभावित हो सकते हैं, भले ही अब सेवाओं का उपयोग न किया जा रहा हो। इसलिए केवल मौजूदा ग्राहकों पर ही नहीं, बल्कि उन व्यक्तियों पर भी विचार करना चाहिए जिनके रिकॉर्ड पहले इस प्रणाली में थे। परिवार के सदस्य और कानूनी प्रतिनिधि भी जोखिम में हैं, क्योंकि संपर्क व्यक्तियों के रूप में रखी गई उनकी जानकारी का इस्तेमाल धोखाधड़ी के प्रयासों में किया जा सकता है।

जिन उपयोगकर्ताओं की जानकारी CTARS रिकॉर्ड से मेल खाती है, उनका पहला कदम उन सभी खातों के पासवर्ड बदलना होना चाहिए जिनमें वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। ईमेल खातों, स्वास्थ्य सेवा पोर्टलों, सार्वजनिक सेवा खातों, बैंकिंग, क्लाउड स्टोरेज और रखरखाव सेवा प्रदाताओं की प्रणालियों की समीक्षा को प्राथमिकता देनी चाहिए। हर खाते का पासवर्ड अलग होना चाहिए और महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण चालू करना चाहिए। ईमेल खाते में फ़ॉरवर्डिंग नियमों, खाता पुनर्प्राप्ति के विकल्पों और हाल की लॉगिन गतिविधियों की जाँच करनी चाहिए। यदि संदिग्ध लॉगिन, अनजान डिवाइस या पासवर्ड रीसेट करने के अप्रत्याशित संदेश दिखें, तो संबंधित सेवा प्रदाता से सीधे संपर्क करना चाहिए।

दूसरा कदम पहचान की चोरी और धोखाधड़ी के जोखिम को कम करना है। फ़ोन करने वाले या टेक्स्ट संदेश भेजने वाले ऐसे लोगों के साथ स्वास्थ्य, देखभाल, भुगतान, पहचान दस्तावेज़ या खाते की जानकारी साझा नहीं करनी चाहिए जिनकी पहचान की पुष्टि नहीं हुई है। यदि कोई संपर्क किसी आधिकारिक संस्था या देखभाल सेवा प्रदाता की ओर से किया गया लगता है, तो संदेश में दिए गए लिंक का उपयोग किए बिना संस्था के ज्ञात संपर्क माध्यम से जवाब देना चाहिए। यदि प्रभावित व्यक्ति NDIS प्रतिभागी, देखभाल सेवा प्राप्तकर्ता या कानूनी प्रतिनिधि है, तो सहायता समन्वयक या सेवा प्रदाता को सूचित करना चाहिए। ज़रूरत होने पर पहचान संबंधी निःशुल्क सहायता सेवाओं का उपयोग करना चाहिए और संदिग्ध संपर्कों का रिकॉर्ड रखना चाहिए।

यह घटना दिखाती है कि देखभाल और स्वास्थ्य सेवाओं में दर्ज डेटा कितना संवेदनशील होता है। उपयोगकर्ताओं को लंबे समय के लिए ईमेल और फ़ोन से आने वाले अनुरोधों की अधिक कड़ाई से पुष्टि करने की आदत विकसित करनी चाहिए। पासवर्ड प्रबंधक का उपयोग अलग-अलग सेवाओं में एक ही पासवर्ड दोबारा इस्तेमाल करने से बचाता है। महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण, सत्रों के इतिहास की जाँच और खाता पुनर्प्राप्ति की जानकारी को अद्यतन रखना दीर्घकालिक सुरक्षा प्रदान करते हैं। स्वास्थ्य और देखभाल सेवाएँ प्राप्त करने वाले व्यक्तियों के लिए परिवार के सदस्यों, कानूनी प्रतिनिधियों या सहायता कर्मचारियों के साथ मिलकर संपर्कों की पुष्टि करने की साझा योजना बनाना भी उपयोगी है।

देखभाल सेवा प्रदाताओं और सॉफ़्टवेयर आपूर्तिकर्ताओं के लिए दीर्घकालिक रणनीति का दायरा अधिक व्यापक है। संवेदनशील स्वास्थ्य और देखभाल डेटा को न्यूनतम आवश्यक अधिकार के सिद्धांत के अनुसार रखना चाहिए, पुराने रिकॉर्ड अनावश्यक रूप से नहीं रखने चाहिए, पहुँच के लॉग की नियमित समीक्षा करनी चाहिए और उच्च जोखिम वाले खातों के लिए मज़बूत प्रमाणीकरण अनिवार्य होना चाहिए। घटना पर कार्रवाई करते समय केवल तकनीकी स्तर पर प्रणाली बंद कर देना पर्याप्त नहीं है; प्रभावित व्यक्तियों को स्पष्ट रूप से बताना चाहिए कि किन क्षेत्रों में जोखिम है, किन सहायता माध्यमों का उपयोग करना है और धोखाधड़ी की किन संभावित स्थितियों से सावधान रहना है। आपूर्तिकर्ताओं का उपयोग करने वाले संस्थानों को अपने डेटा की सूची और तीसरे पक्षों से जुड़े जोखिमों की जानकारी भी नियमित रूप से अद्यतन करनी चाहिए।

यदि इस पृष्ठ पर जाँच का परिणाम CTARS रिकॉर्ड से मेल खाता है, तो उपयोगकर्ता को परिणाम संवेदनशील मानना चाहिए और जानकारी उन लोगों के साथ साझा नहीं करनी चाहिए जिन्हें इसकी आवश्यकता नहीं है। सबसे पहले ईमेल खाते और उन अन्य खातों को सुरक्षित करना चाहिए जिनमें वही पासवर्ड इस्तेमाल किया गया हो सकता है। इसके बाद सत्यापित संपर्क माध्यम से रखरखाव सेवा प्रदाता, सहायता समन्वयक या संबंधित संस्था से संपर्क करके पूछना चाहिए कि कौन-सा डेटा प्रभावित हुआ हो सकता है। यदि कोई संदिग्ध कॉल, संदेश या ईमेल मिले, तो उसका सीधे जवाब नहीं देना चाहिए; किसी विश्वसनीय माध्यम से उस संपर्क की अलग से पुष्टि करनी चाहिए।

स्वास्थ्य और देखभाल के संदर्भ के कारण CTARS डेटा सुरक्षा उल्लंघन पर लंबे समय तक ध्यान देना आवश्यक है। प्रभावित व्यक्ति या उनके प्रतिनिधि को पहचान के दुरुपयोग के संकेतों, अप्रत्याशित सेवा अनुरोधों, खाता पुनर्प्राप्ति की सूचनाओं और संदिग्ध आधिकारिक पत्राचार पर नज़र रखनी चाहिए। जब पासवर्ड की सुरक्षा, प्रमाणीकरण और धोखाधड़ी के प्रति जागरूकता पर एक साथ ध्यान नहीं दिया जाता, तो ऐसे संवेदनशील डेटा सुरक्षा उल्लंघनों का असर वर्षों तक रह सकता है। इसलिए इस रिकॉर्ड को केवल एक बार की पासवर्ड चेतावनी न मानकर व्यक्तिगत सुरक्षा और निजता के लिए व्यापक कार्रवाई का आधार मानना चाहिए।