PDL ग्राहक के पास रखे संवर्धित डेटा का उजागर होना

सत्यापित डेटा प्रकारों में ईमेल पते, नियोक्ता की जानकारी, भौगोलिक स्थान, पदनाम, नाम, फ़ोन नंबर और सोशल मीडिया प्रोफ़ाइल शामिल हैं। इस घटना के सत्यापित फ़ील्ड में पासवर्ड, भुगतान कार्ड, सरकारी पहचान संख्या या खाते की पूरी सामग्री शामिल नहीं है। इसके बावजूद, नाम, नियोक्ता, पदनाम, फ़ोन नंबर और सोशल प्रोफ़ाइल को एक साथ देखने से हमलावरों को व्यक्ति की भूमिका और उसके संपर्क नेटवर्क के बारे में विस्तृत जानकारी मिलती है।

यह डेटा फ़िशिंग, भर्ती के फ़र्जी संदेशों, आपूर्तिकर्ता के नाम पर धोखाधड़ी, CEO का रूप धरकर धोखा देने, फ़र्जी बिलों, लक्षित विज्ञापन के दुरुपयोग और फ़ोन पर ठगी जैसे मामलों में उपयोगी हो सकता है। खास तौर पर जब काम का ईमेल पता और फ़ोन नंबर साथ दिखाई देते हैं, तो हमलावर व्यक्ति की संगठनात्मक भूमिका को आधार बनाकर उससे संपर्क कर सकता है। सोशल मीडिया प्रोफ़ाइल की मदद से फ़र्जी कनेक्शन अनुरोध या भरोसेमंद दिखने वाला संदेशों का आदान-प्रदान भी अधिक विश्वसनीय लग सकता है।

घटना की तारीख 16 अक्टूबर 2019 दर्ज की जानी चाहिए। यह रिकॉर्ड 22 नवंबर 2019 को विश्वसनीय लीक-जाँच सूचियों में जोड़ा गया था और इसके अंतिम संशोधन के लिए भी वही समय दर्ज है। प्रभावित खातों की संख्या 62,21,61,052 अलग-अलग ईमेल पतों के रूप में दर्ज है। मूल डेटा में प्रोफ़ाइल या पंक्तियों की अधिक संख्या को सीधे अलग-अलग उपयोगकर्ताओं की संख्या नहीं मानना चाहिए, क्योंकि डेटा दोहराया गया है और अलग-अलग डेटासेट को मिलाया गया है।

दायरा समझाते समय यह नहीं कहना चाहिए कि People Data Labs की आंतरिक प्रणालियों में निश्चित रूप से सेंध लगी थी। सही व्याख्या यह है कि किसी ग्राहक या तीसरे पक्ष के खुले छोड़ दिए गए डेटाबेस में People Data Labs से जुड़े डेटा संवर्धन फ़ील्ड मौजूद हैं। उपयोगकर्ता के लिए इसका अर्थ है कि उसका ईमेल पता इस पेशेवर प्रोफ़ाइल डेटासेट में दिखाई देता है और उससे जुड़े फ़ील्ड सोशल इंजीनियरिंग का जोखिम बढ़ाते हैं।

जोखिम खास तौर पर उन पेशेवरों को है जिनके काम के ईमेल पते, फ़ोन नंबर, पदनाम, नियोक्ता और सोशल मीडिया प्रोफ़ाइल का एक साथ मिलान हो जाता है। बिक्री, वित्त, मानव संसाधन, नेतृत्व, प्रौद्योगिकी, ग्राहक संबंध और आपूर्ति से जुड़ी भूमिकाओं में काम करने वाले लोग लक्षित संदेशों के लिए अधिक उपयोगी निशाने हो सकते हैं। फ़र्जी बैठक आमंत्रणों, प्रस्ताव की फ़ाइलों, भुगतान अनुरोधों या कथित व्यावसायिक संपर्कों के ज़रिए उन्हें धोखा देने की कोशिश की जा सकती है।

व्यक्तिगत उपयोगकर्ताओं के लिए जोखिम तब पैदा होता है जब निजी ईमेल और सोशल प्रोफ़ाइल को उनके काम के इतिहास से जोड़ दिया जाता है। हमलावर व्यक्ति के नियोक्ता, शहर, पुराने पदनाम या सार्वजनिक प्रोफ़ाइल लिंक का इस्तेमाल करके असली लगने वाले संदेश बना सकते हैं। संगठनों के लिए जोखिम कर्मचारियों की निजता तक सीमित नहीं है। कर्मचारी प्रोफ़ाइल का इस्तेमाल आपूर्तिकर्ता के नाम पर धोखाधड़ी, प्रबंधकों के फ़र्जी निर्देशों और भरोसेमंद दिखने वाले कनेक्शन अनुरोधों के लिए किया जा सकता है।

जिन उपयोगकर्ताओं की जानकारी इस डेटासेट से मेल खाती है, उन्हें सबसे पहले अपने ईमेल खाते, काम के खाते और सोशल मीडिया खातों की सुरक्षा जाँचनी चाहिए। मज़बूत और हर खाते के लिए अलग पासवर्ड इस्तेमाल करने चाहिए, दो-कारक प्रमाणीकरण चालू करना चाहिए और अनजान सत्र बंद कर देने चाहिए। इस मामले में सत्यापित फ़ील्ड में पासवर्ड शामिल नहीं है, फिर भी ईमेल खाते की सुरक्षा को प्राथमिकता देनी चाहिए, क्योंकि दूसरे खातों की पहुँच बहाल करने में इसकी केंद्रीय भूमिका होती है।

इनबॉक्स में आए नौकरी के प्रस्तावों, फ़ाइल साझा करने वाले संदेशों, बिलों, बैठक आमंत्रणों, कनेक्शन अनुरोधों, भर्ती संदेशों और भुगतान में बदलाव के अनुरोधों की भी अलग से जाँच करनी चाहिए। फ़ोन करने वाले व्यक्ति को आपका नाम, नियोक्ता, पदनाम या पुरानी प्रोफ़ाइल जानकारी पता होना उसके भरोसेमंद होने का प्रमाण नहीं है। भुगतान किसे या कहाँ भेजना है, इससे जुड़े निर्देशों, लॉगिन कोड, पासवर्ड या गोपनीय दस्तावेज़ माँगने वाले संदेशों की पुष्टि किसी दूसरे माध्यम से करना अनिवार्य होना चाहिए।

लंबी अवधि में उपयोगकर्ताओं को अपनी कामकाजी और व्यक्तिगत पहचान अधिक स्पष्ट रूप से अलग रखनी चाहिए। महत्वपूर्ण खातों के लिए अलग ईमेल पता या उपनाम इस्तेमाल करना, सोशल प्रोफ़ाइल पर फ़ोन नंबर और निजी ईमेल अनावश्यक रूप से साझा करना कम करना, पुराने काम के इतिहास का सीमित विवरण दिखाना और प्रोफ़ाइल के सार्वजनिक हिस्सों की नियमित समीक्षा करना जोखिम घटाते हैं। पासवर्ड मैनेजर और दो-कारक प्रमाणीकरण का इस्तेमाल बुनियादी सुरक्षा उपायों के रूप में जारी रखना चाहिए।

संगठनों को डेटा संवर्धन से जुड़ी ऐसी घटनाओं को कर्मचारी जागरूकता, ईमेल सुरक्षा और आपूर्तिकर्ता सत्यापन की कार्यप्रक्रियाओं में शामिल करना चाहिए। अधिक जोखिम वाले काम करने वाले लोगों के प्रशिक्षण में फ़र्जी बिलों, वरिष्ठ अधिकारियों के फ़र्जी निर्देशों, फ़र्जी भर्ती और फ़र्जी फ़ाइल साझाकरण जैसे मामलों को शामिल करना चाहिए। वित्तीय लेन-देन या पहुँच अधिकारों में बदलाव की आवश्यकता वाले अनुरोधों के लिए लिखित स्वीकृति के अलावा किसी दूसरे माध्यम से पुष्टि करना अनिवार्य होना चाहिए।

यदि LeakData के परिणाम में मेल मिलता है, तो इसका अर्थ है कि जाँच के लिए दिया गया ईमेल पता PDL ग्राहक के पास रखे संवर्धित डेटा के उजागर होने से जुड़े डेटासेट में मौजूद है। इस परिणाम का मतलब यह नहीं है कि व्यक्ति People Data Labs का ग्राहक है या किसी खास खाते का पासवर्ड लीक हुआ है। इसका मुख्य अर्थ यह है कि ईमेल पता नाम, नियोक्ता, पदनाम, फ़ोन नंबर, स्थान या सोशल प्रोफ़ाइल जैसे फ़ील्ड के साथ दिखाई दे सकता है और उसे लक्षित करके संपर्क किए जाने का जोखिम बढ़ जाता है।

यदि परिणाम में मेल नहीं मिलता है, तो इसका अर्थ है कि इस डेटासेट में कोई मिलान नहीं मिला। फिर भी, वही ईमेल पता डेटा संवर्धन से जुड़ी अन्य घटनाओं या दूसरे लीक में मौजूद हो सकता है। उपयोगकर्ता को नियमित जाँच जारी रखनी चाहिए, काम और व्यक्तिगत खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए, दो-कारक प्रमाणीकरण चालू रखना चाहिए और काम से जुड़े अप्रत्याशित संदेशों की पुष्टि किसी दूसरे माध्यम से करने की आदत बनाए रखनी चाहिए।