Dave: डेटा में सेंध

Dave के रिकॉर्ड में सूचीबद्ध डेटा वित्तीय ऐप से जुड़ा होने के कारण उच्च जोखिम वाला है। नाम, ईमेल पता, फ़ोन नंबर और भौतिक पता मिलकर उपयोगकर्ता की पहचान और उससे सीधे संपर्क करने का माध्यम बताते हैं। कुछ सेवाओं में जन्मतिथि का इस्तेमाल खाता पुनर्प्राप्ति या ग्राहक सहायता के दौरान सत्यापन के लिए किया जा सकता है। सोशल सिक्योरिटी नंबर के फ़ील्ड को एन्क्रिप्टेड बताया गया है; इसका अर्थ यह नहीं है कि पढ़ा जा सकने वाला नंबर लीक हुआ है, लेकिन रिकॉर्ड में इस फ़ील्ड की मौजूदगी ही घटना की संवेदनशीलता बढ़ाती है। पासवर्ड फ़ील्ड को भी सादे टेक्स्ट के बजाय bcrypt हैश मान के रूप में समझना चाहिए।

हालाँकि Bcrypt पासवर्ड सुरक्षित रखने का एक मज़बूत तरीका है, फिर भी पासवर्ड से जुड़ा जोखिम पूरी तरह समाप्त नहीं होता। कमज़ोर या पहले इस्तेमाल किए जा चुके पासवर्ड अधिक असुरक्षित हो सकते हैं। यदि किसी उपयोगकर्ता ने ईमेल, वित्तीय, खरीदारी, सोशल मीडिया या काम से जुड़े खातों पर एक ही पासवर्ड दोहराया है, तो हमलावर क्रैक किए गए या अनुमान से निकाले गए पासवर्ड को अलग-अलग प्लेटफ़ॉर्म पर आज़मा सकते हैं। भौतिक पता और फ़ोन नंबर सोशल इंजीनियरिंग के प्रयासों को अधिक विश्वसनीय बना सकते हैं, जैसे वित्तीय प्रतिनिधि बनकर किए गए फ़र्ज़ी कॉल, खाता सत्यापन के संदेश, नकद अग्रिम की सूचनाएँ, ऋण के प्रस्ताव या पहचान सत्यापन के बहाने।

इस रिकॉर्ड में दिखाई गई 29,64,182 की संख्या उन अलग-अलग ईमेल पतों का दायरा दर्शाती है जिनकी पुष्टि की गई है। घटना से जुड़े मूल डेटा में लगभग 75 लाख पंक्तियाँ होने की सूचना दी गई है; हालाँकि, इन पंक्तियों की संख्या अलग-अलग उपयोगकर्ताओं की संख्या के बराबर नहीं है। उपयोगकर्ताओं में अनावश्यक घबराहट से बचने और सेंध का वास्तविक दायरा सही ढंग से बताने, दोनों के लिए यह अंतर महत्वपूर्ण है। घटना का समय जून 2020 दर्ज है, और बाद में अलग-अलग फ़ोरम या डेटा इंडेक्स पर डेटा दिखाई देने से सेंध का वास्तविक समय नहीं बदलता। यह रिकॉर्ड Dave के उपयोगकर्ताओं के डेटा से संबंधित है; इसे तृतीय-पक्ष प्रदाता के अन्य ग्राहकों के डेटा से नहीं जोड़ना चाहिए।

डेटा फ़ील्ड के दायरे को समझने में भी सावधानी बरतनी चाहिए। इस रिकॉर्ड में जन्मतिथियों, ईमेल पतों, नामों, bcrypt पासवर्ड हैश, फ़ोन नंबरों, भौतिक पतों और एन्क्रिप्टेड सोशल सिक्योरिटी नंबर के फ़ील्ड की पुष्टि की गई है। फ़ील्ड के एन्क्रिप्टेड होने का अर्थ यह नहीं है कि नंबर सादे टेक्स्ट में पढ़ा जा सकता है। इसी तरह, घटना का वित्तीय ऐप से जुड़ा होना यह नहीं दर्शाता कि इस रिकॉर्ड में लेन-देन का विवरण या खाते तक सीधे पहुँच देने वाली जानकारी मौजूद है। उपयोगकर्ता को सही संदेश यह देना है कि व्यक्तिगत पहचान और संपर्क से जुड़े फ़ील्ड उच्च जोखिम वाले हैं, पासवर्ड के दोबारा इस्तेमाल की जाँच करनी चाहिए और वित्तीय विषयों का सहारा लेकर की जाने वाली धोखाधड़ी के प्रयासों से सावधान रहना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने Dave ऐप का इस्तेमाल किया है और अन्य वित्तीय या व्यक्तिगत खातों पर भी वही ईमेल या पासवर्ड इस्तेमाल किया है। वित्तीय ऐप के उपयोगकर्ताओं को फ़र्ज़ी खाता सत्यापन, भुगतान संबंधी समस्याओं, नकद अग्रिम से जुड़े अपडेट, क्रेडिट स्कोर, पहचान की जाँच या ग्राहक सहायता कॉल के बहाने निशाना बनाया जा सकता है। यदि हमलावर को व्यक्ति का नाम, फ़ोन नंबर, पता और जन्मतिथि पता हो, तो इस तरह के संपर्क अधिक विश्वसनीय लग सकते हैं। इसलिए उपयोगकर्ताओं को केवल आने वाले ईमेल ही नहीं, बल्कि फ़ोन कॉल और टेक्स्ट संदेशों को लेकर भी सतर्क रहना चाहिए।

जिन लोगों ने कंपनी के ईमेल पते से Dave खाता खोला है, उनके लिए जोखिम का दायरा अधिक व्यापक हो सकता है। किसी व्यक्तिगत वित्तीय ऐप में कर्मचारी का डेटा उजागर होने का अर्थ यह नहीं है कि संगठन की प्रणालियों में सेंध लग गई है; हालाँकि, यदि काम से जुड़े खातों पर भी वही पासवर्ड इस्तेमाल किया गया हो या हमलावर कंपनी के ईमेल पते पर संदेश भेजकर उसे निशाना बनाए, तो संगठन के लिए जोखिम हो सकता है। साझा पते, साझा फ़ोन या पारिवारिक खाते जैसी स्थितियों में जोखिम अन्य लोगों को भी प्रभावित कर सकता है। भौतिक पते की जानकारी का इस्तेमाल फ़र्ज़ी डाक, फ़र्ज़ी डिलीवरी या पहचान सत्यापन के बहाने की जाने वाली धोखाधड़ी के प्रयासों में भी किया जा सकता है।

जिन उपयोगकर्ताओं की जानकारी Dave के रिकॉर्ड से मेल खाती है, उनके लिए पहला कदम Dave खाते का पासवर्ड और उन सभी खातों के पासवर्ड बदलना है जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। सबसे पहले ईमेल खातों, वित्तीय ऐप, बैंकिंग सेवाओं, भुगतान प्लेटफ़ॉर्म, खरीदारी की साइटों और सोशल मीडिया खातों की जाँच करनी चाहिए। नए पासवर्ड अलग-अलग और मज़बूत होने चाहिए; संभव हो तो उन्हें पासवर्ड मैनेजर से बनाना चाहिए। महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण चालू करना चाहिए, अनजान सत्र समाप्त करने चाहिए और खाता पुनर्प्राप्ति के विकल्प अपडेट करने चाहिए।

दूसरा कदम वित्तीय विषयों का सहारा लेने वाले सोशल इंजीनियरिंग प्रयासों से बचाव करना है। उपयोगकर्ता को सत्यापन कोड, पासवर्ड, खाते तक पहुँच या अतिरिक्त व्यक्तिगत जानकारी साझा नहीं करनी चाहिए, भले ही कॉल करने वाला या संदेश भेजने वाला खुद को Dave, किसी वित्तीय संस्थान, सहायता टीम या प्रमाणीकरण इकाई का प्रतिनिधि बताए। खाते की स्थिति जाँचनी हो तो परिचित ऐप या आधिकारिक लॉगिन माध्यम का इस्तेमाल करना चाहिए। ईमेल खाते में फ़ॉरवर्डिंग के नियमों, पुनर्प्राप्ति के लिए दर्ज ईमेल पतों और हाल की लॉगिन गतिविधि की जाँच करनी चाहिए। यदि धोखाधड़ी वाले वित्तीय लेन-देन या पहचान के दुरुपयोग का संदेह हो, तो संबंधित सेवा प्रदाताओं से सीधे संपर्क करना चाहिए।

Dave की घटना दिखाती है कि वित्तीय ऐप में रखे व्यक्तिगत डेटा की सुरक्षा केवल पासवर्ड की सुरक्षा तक सीमित नहीं है। उपयोगकर्ताओं को वित्त, ईमेल और प्रमाणीकरण प्रक्रियाओं के लिए इस्तेमाल होने वाले सभी खातों पर अलग-अलग पासवर्ड और बहु-कारक सुरक्षा अपनानी चाहिए। यह नहीं भूलना चाहिए कि फ़ोन नंबर और भौतिक पते का इस्तेमाल धोखाधड़ी में किया जा सकता है। क्रेडिट और पहचान से जुड़ी गतिविधियों पर नज़र रखने की आदत अप्रत्याशित रूप से खोले गए खातों, फ़र्ज़ी आवेदनों या संदिग्ध वित्तीय सूचनाओं का पता लगाने में उपयोगी हो सकती है। यदि पुराने वित्तीय ऐप के खातों का इस्तेमाल नहीं हो रहा है, तो उन्हें बंद कर देना चाहिए या डेटा रखे जाने संबंधी सेटिंग की समीक्षा करनी चाहिए।

वित्तीय प्रौद्योगिकी कंपनियों के लिए सीख यह है कि तृतीय-पक्ष सेवा प्रदाता से जुड़ा जोखिम सीधे ग्राहकों की सुरक्षा को प्रभावित कर सकता है। विश्लेषण, विकास या सहायता के लिए इस्तेमाल किए जाने वाले आपूर्तिकर्ता ग्राहकों के डेटा के किन हिस्सों तक पहुँच सकते हैं, इसकी स्पष्ट सीमाएँ तय होनी चाहिए। पासवर्ड मज़बूत तरीकों से सुरक्षित रखे जाने चाहिए, पहचान से जुड़े संवेदनशील फ़ील्ड एन्क्रिप्टेड रखे जाने चाहिए, अनावश्यक डेटा साझा करना न्यूनतम होना चाहिए और तृतीय-पक्ष की पहुँच का नियमित ऑडिट होना चाहिए। सेंध के बाद उपयोगकर्ता को स्पष्ट रूप से बताना चाहिए कि किन हिस्सों पर असर पड़ा और किन हिस्सों पर स्पष्ट रूप से असर नहीं पड़ा।

यदि इस पेज पर सत्यापन का परिणाम Dave के रिकॉर्ड से मेल खाता है, तो उपयोगकर्ता को इस परिणाम को संवेदनशील मानना चाहिए। पहले अलग-अलग खातों में एक ही पासवर्ड का इस्तेमाल बंद करना चाहिए और फिर ईमेल व वित्तीय खातों पर अतिरिक्त सत्यापन चालू करना चाहिए। उपयोगकर्ता को Dave या किसी अन्य वित्तीय सेवा के नाम से आने वाले अप्रत्याशित लिंक, सत्यापन कोड की माँग, खाता लॉक होने के संदेश और पहचान की जानकारी अपडेट करने वाले फ़ॉर्म से सावधान रहना चाहिए। चूँकि भौतिक पता और फ़ोन संबंधी जानकारी भी जोखिम के दायरे में है, इसलिए केवल ईमेल ही नहीं, बल्कि कॉल और संदेशों पर भी नज़र रखनी चाहिए।

भले ही Dave के डेटा में सेंध की घटना पुरानी हो, व्यक्तिगत पहचान और संपर्क संबंधी डेटा लंबे समय तक उपयोगी बना रहता है। Bcrypt पासवर्ड हैश का सीधे यह अर्थ नहीं है कि पासवर्ड पढ़े जा सकते हैं; हालाँकि, कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के साथ जोखिम बना रहता है। एन्क्रिप्टेड सोशल सिक्योरिटी नंबर का फ़ील्ड भी सीधे यह नहीं दर्शाता कि नंबर पढ़ने योग्य रूप में उजागर हुआ है, लेकिन यह रिकॉर्ड को संवेदनशील बनाता है। उपयोगकर्ता को इस रिकॉर्ड को एक ठोस चेतावनी मानकर पासवर्ड इस्तेमाल करने के अपने तरीके बदलने, वित्तीय खातों की सुरक्षा करने, पहचान के दुरुपयोग के संकेतों पर नज़र रखने और वित्त से जुड़े अप्रत्याशित संपर्कों में अधिक कड़ा सत्यापन अपनाने की कार्रवाई करनी चाहिए।