Data & Leads: डेटा में सेंध

Data & Leads रिकॉर्ड में सत्यापित डेटा के प्रकार हैं: ईमेल पते, नियोक्ता, IP पते, पदनाम, नाम, फ़ोन नंबर और भौतिक पते। इनका संयोजन किसी व्यक्ति के संपर्क विवरण के साथ-साथ उसके कामकाज की पृष्ठभूमि और उस तक पहुँचने के तरीकों को भी उजागर करता है। कोई हमलावर या दुर्भावनापूर्ण मार्केटिंग नेटवर्क नाम, कंपनी, पदनाम और ईमेल पते को मिलाकर ऐसे संदेश तैयार कर सकता है जो खास तौर पर उस व्यक्ति के लिए लिखे गए लगें। फ़ोन नंबर और भौतिक पते की जानकारी धोखाधड़ी के प्रयासों को भी अधिक विश्वसनीय बना सकती है। वहीं, IP पते पिछले कनेक्शन की परिस्थितियों, क्षेत्र या नेटवर्क प्रदाता के बारे में अतिरिक्त संकेत दे सकते हैं।

Data & Leads डेटा लीक में पासवर्ड का कोई फ़ील्ड नहीं है। यह अंतर महत्वपूर्ण है, क्योंकि उपयोगकर्ता को सीधे यह नहीं बताया जाना चाहिए कि उसके खाते का पासवर्ड लीक हो गया है। इसके बावजूद, कार्यालय का ईमेल पता, फ़ोन नंबर और पदनाम जैसी जानकारी हमलावर के लिए उस व्यक्ति तक पहुँचना आसान बनाती है। प्रबंधन, बिक्री, वित्त, मानव संसाधन, खरीद या तकनीकी निर्णय लेने जैसी भूमिकाओं में काम करने वाले लोग नकली प्रस्तावों, भुगतान को किसी दूसरे खाते में भेजने के अनुरोधों, इनवॉइस में बदलावों, बैठक के निमंत्रणों या साझेदार का रूप धरकर किए जाने वाले हमलों के प्रति अधिक संवेदनशील हो सकते हैं। इसलिए, जोखिम का आकलन पासवर्ड बदलने की तुलना में संचार की सुरक्षा और सोशल इंजीनियरिंग के प्रति जागरूकता पर अधिक केंद्रित होना चाहिए।

Data & Leads डेटा लीक का सत्यापित दायरा 4,43,20,330 विशिष्ट ईमेल पतों पर आधारित है। घटना से जुड़ी समाचार रिपोर्टों में पंजीकरणों की मूल कुल संख्या इससे अधिक बताई जा सकती है; लेकिन डेटा की कुल पंक्तियों की संख्या, अलग-अलग व्यक्तियों या विशिष्ट ईमेल पतों की संख्या नहीं होती। एक ही व्यक्ति कई पंक्तियों में दर्ज हो सकता है, कुछ रिकॉर्ड अधूरे हो सकते हैं और कुछ पेशेवर जानकारी पुरानी हो सकती है। इसलिए, उपयोगकर्ता को दिखाई गई संख्या सत्यापित विशिष्ट ईमेल पतों की संख्या दर्शाती है। डेटासेट का मार्केटिंग और संभावित ग्राहक जुटाने से संबंधित होना यह भी संकेत देता है कि उसमें मौजूद जानकारी अलग-अलग स्रोतों से संकलित की गई हो सकती है।

डेटा फ़ील्ड का दायरा भी स्पष्ट रखा जाना चाहिए। Data & Leads रिकॉर्ड के सत्यापित फ़ील्ड में पासवर्ड और अत्यधिक संवेदनशील वित्तीय या चिकित्सा संबंधी जानकारी शामिल नहीं हैं। किसी व्यक्ति का पदनाम या नियोक्ता की जानकारी मौजूद होने का अर्थ यह नहीं है कि उस कंपनी के सिस्टम में सेंध लगी है। इसी तरह, भौतिक पते वाला फ़ील्ड हर व्यक्ति के लिए घर का पता नहीं दर्शाता; वह व्यावसायिक पता, कार्यालय का पता या मार्केटिंग सूची में रखा गया किसी अन्य प्रकार का पता हो सकता है। इसलिए, सत्यापित फ़ील्ड को स्पष्ट रूप से सूचीबद्ध करते समय यह दावा नहीं किया जाना चाहिए कि हर व्यक्ति के लिए सभी फ़ील्ड समान रूप से पूर्ण और अद्यतन हैं।

सबसे अधिक जोखिम उन पेशेवरों को है जिनका कार्यालय का ईमेल पता और सीधे संपर्क करने की जानकारी इस डेटासेट में शामिल है। बिक्री टीमों, प्रबंधकों, व्यवसाय के मालिकों, सलाहकारों, भर्ती टीमों, वित्त विभाग के कर्मचारियों और तकनीकी निर्णय लेने वालों को विशेष रूप से निशाना बनाया जा सकता है। जब हमलावर को किसी व्यक्ति की कंपनी और पदनाम की जानकारी होती है, तो वह अधिक विश्वसनीय लगने वाली कहानी बना सकता है। उदाहरण के लिए, वह ऐसे संदेश तैयार कर सकता है जो नए ग्राहक का अनुरोध, व्यावसायिक साझेदारी का प्रस्ताव, इनवॉइस में सुधार, बैठक का लिंक, प्रस्ताव की फ़ाइल या मानव संसाधन विभाग का पत्राचार लगें। ऐसे हमले पासवर्ड से स्वतंत्र रूप से उपयोगकर्ता को दुर्भावनापूर्ण लिंक पर ले जा सकते हैं या उस पर नई जानकारी देने का दबाव डाल सकते हैं।

छोटे व्यवसायों और स्वतंत्र पेशेवरों को भी सावधान रहना चाहिए। यदि निजी फ़ोन नंबर या पता व्यावसायिक संचार में इस्तेमाल होता है, तो हमले के संभावित रास्ते बढ़ जाते हैं। ऐसे लोगों के व्यावसायिक और निजी खाते आम तौर पर एक ही ईमेल पते या फ़ोन नंबर से प्रबंधित होते हैं, इसलिए मार्केटिंग सूची से शुरू हुआ डेटा लीक उनकी पहचान की अधिक व्यापक प्रोफ़ाइल बनाने का आधार बन सकता है। कॉर्पोरेट डोमेन नामों से जुड़े ईमेल पतों का जोखिम केवल व्यक्तिगत नहीं है; हमलावर एक ही कंपनी के कई लोगों की जानकारी जोड़कर उसकी संगठनात्मक संरचना का खाका बना सकते हैं और अधिक लक्षित संदेश अभियान तैयार कर सकते हैं।

जिन उपयोगकर्ताओं की जानकारी Data & Leads रिकॉर्ड से मेल खाती है, उन्हें सबसे पहले आने वाले नौकरी के प्रस्तावों, फ़ाइल साझा करने के निमंत्रणों, इनवॉइस संबंधी सूचनाओं, बैठक के लिंक और खाते को अपडेट करने वाले संदेशों की अधिक सावधानी से जाँच करनी चाहिए। संदेशों में दिए गए लिंक सीधे नहीं खोलने चाहिए, और फ़ाइल डाउनलोड करने या लॉगिन करने को कहने वाले पृष्ठों की पुष्टि किसी अलग माध्यम से करनी चाहिए। फ़ोन पर मिले अनुरोधों के मामले में, कॉल करने वाले की पहचान की पुष्टि संबंधित संस्था के किसी ज्ञात नंबर या पहले से सत्यापित संचार माध्यम से की जानी चाहिए। नियोक्ता या पदनाम की जानकारी का इस्तेमाल करके बनाए गए संदेश वास्तविक लग सकते हैं; इसलिए, केवल सही व्यक्तिगत विवरण मौजूद होने से कोई संदेश भरोसेमंद नहीं हो जाता।

उपयोगकर्ताओं को अपने व्यावसायिक ईमेल की सुरक्षा की भी समीक्षा करनी चाहिए। हालाँकि पासवर्ड Data & Leads डेटा लीक का हिस्सा नहीं है, लेकिन यदि वही व्यावसायिक ईमेल पता अन्य डेटा लीक में शामिल रहा हो, तो जोखिम बढ़ सकता है। इसलिए, महत्वपूर्ण खातों के लिए अलग-अलग पासवर्ड और बहु-कारक प्रमाणीकरण का इस्तेमाल करना चाहिए। ईमेल खाते में फ़ॉरवर्डिंग के नियमों, अपरिचित सत्रों और खाता पुनर्प्राप्ति के विकल्पों की जाँच करनी चाहिए। संगठन के स्तर पर, बिक्री, वित्त और प्रबंधन टीमों को सूचित करना चाहिए कि Data & Leads से जुड़े लक्षित संदेश आ सकते हैं। विशेष रूप से भुगतान को किसी दूसरे खाते में भेजने और आपूर्तिकर्ता की जानकारी में बदलाव करने जैसे अनुरोधों के लिए दूसरे अनुमोदन की प्रक्रिया लागू करनी चाहिए।

Data & Leads की घटना दिखाती है कि व्यक्तिगत सुरक्षा के लिहाज़ से मार्केटिंग और संभावित ग्राहकों के डेटासेट को कम महत्व नहीं देना चाहिए। पेशेवरों को नियमित रूप से समीक्षा करनी चाहिए कि वे अपने व्यावसायिक संपर्क विवरण कहाँ साझा करते हैं, अनावश्यक न्यूज़लेटर की सदस्यता समाप्त करनी चाहिए और डेटा प्रदाताओं के रिकॉर्ड से अपना नाम हटवाना चाहिए। काम से जुड़े फ़ॉर्म में निजी फ़ोन नंबर और पता जोड़ते समय भी सावधानी बरतनी चाहिए। कंपनियों को भी सार्वजनिक रूप से उपलब्ध स्रोतों पर कर्मचारियों के ईमेल पते और सीधे संपर्क के फ़ोन नंबर अत्यधिक फैलाने से बचना चाहिए। जहाँ संपर्क जानकारी का दिखाई देना अपरिहार्य हो, वहाँ धोखाधड़ी की पहचान और अनुरोधों की प्रामाणिकता जाँचने की प्रक्रियाओं को मजबूत करना चाहिए।

डेटा संसाधित करने वाली कंपनियों के लिए सीख यह है कि मार्केटिंग सूचियाँ भी व्यक्तिगत डेटा हैं, जिनकी सुरक्षा आवश्यक है। किसी सूची में पासवर्ड या भुगतान संबंधी जानकारी न होने से उसका जोखिम कम नहीं हो जाता। ईमेल, फ़ोन नंबर, नियोक्ता, पदनाम और पते का संयोजन लक्षित सोशल इंजीनियरिंग के लिए बहुत उपयोगी होता है। इसलिए, डेटाबेस की सुरक्षा के लिए पहुँच नियंत्रण, प्रमाणीकरण, नेटवर्क प्रतिबंध, लॉगिंग और अनावश्यक डेटा संग्रहीत न करने के सिद्धांतों का इस्तेमाल करना चाहिए। तृतीय-पक्ष डेटा प्रदाताओं के साथ काम करने वाले संगठनों को नियमित रूप से जाँच करनी चाहिए कि कौन-सा डेटा कहाँ और कितने समय तक रखा जाता है।

यदि इस पृष्ठ पर सत्यापन का परिणाम Data & Leads रिकॉर्ड से मेल खाता है, तो उपयोगकर्ता का ईमेल पता पेशेवर संपर्क या मार्केटिंग डेटा में शामिल रहा हो सकता है। पहला कदम इस ईमेल पते पर भेजे जाने वाले काम से संबंधित संदेशों की अधिक सख्ती से पुष्टि करना है। यदि किसी संदेश में व्यक्ति के नियोक्ता, पदनाम या फ़ोन नंबर की सही जानकारी दी गई हो, तब भी कोई लिंक क्लिक करने या फ़ाइल खोलने से पहले अलग माध्यम से अनुरोध की प्रामाणिकता की पुष्टि करनी चाहिए। चूँकि फ़ोन नंबर और पते की जानकारी भी लीक का हिस्सा हो सकती है, इसलिए अप्रत्याशित कॉल और डाक से आने वाली सूचनाओं का सावधानी से आकलन करना चाहिए।

चूँकि इस डेटा लीक में पासवर्ड शामिल नहीं थे, इसलिए केवल पासवर्ड बदलना पर्याप्त कदम नहीं है। मुख्य लक्ष्य पहचान संबंधी प्रोफ़ाइल बनाए जाने और संचार के ज़रिए होने वाली धोखाधड़ी का जोखिम कम करना है। उपयोगकर्ता को कार्यालय के ईमेल की सुरक्षा मजबूत करनी चाहिए, महत्वपूर्ण खातों पर अतिरिक्त सत्यापन का इस्तेमाल करना चाहिए, संदिग्ध संदेश संगठन की सुरक्षा टीम के साथ साझा करने चाहिए और भुगतान या दस्तावेज़ संबंधी अनुरोधों की दोबारा पुष्टि करने की आदत डालनी चाहिए। वहीं, संगठनों को प्रभावित डोमेन की निगरानी करनी चाहिए और कर्मचारियों को लक्षित हमलों के संभावित तरीकों के बारे में संक्षिप्त और स्पष्ट चेतावनियाँ देनी चाहिए।