DoorDash: डेटा में सेंध

DoorDash रिकॉर्ड में सत्यापित डेटा के प्रकार हैं: ईमेल पते, नाम, फ़ोन नंबर, डिलीवरी पते या पोस्टल कोड, ऑर्डर की बुनियादी जानकारी और भुगतान कार्ड का आंशिक डेटा। ईमेल पता, नाम और फ़ोन नंबर एक साथ उपलब्ध होने पर फ़र्ज़ी सहायता संदेश, डिलीवरी में समस्या की सूचनाएँ या खाते के सत्यापन के अनुरोध अधिक विश्वसनीय लग सकते हैं। डिलीवरी पता और पोस्टल कोड से उस इलाके का संदर्भ मिलता है जहाँ व्यक्ति रहता है या अक्सर ऑर्डर मँगाता है। केवल यह जानकारी अपने आप में पूरी पहचान की चोरी नहीं है, लेकिन इससे धोखाधड़ी वाले संदेशों को व्यक्ति के हिसाब से तैयार करना आसान हो जाता है।

कार्ड की आंशिक जानकारी सीमित होने के बावजूद पूरी तरह बेकार नहीं है। कार्ड के प्रकार और अंतिम चार अंकों का दुरुपयोग फ़र्ज़ी ग्राहक सेवा बातचीत में उपयोगकर्ता का भरोसा जीतने के लिए किया जा सकता है। चूँकि इस रिकॉर्ड में पूरा कार्ड नंबर या बैंक खाता उपलब्ध नहीं है, इसलिए इसके आधार पर कार्ड से सीधे पैसे निकालने का जोखिम स्थापित नहीं किया जा सकता। हालाँकि, उपयोगकर्ता को अतिरिक्त जानकारी देने के लिए मनाने वाले संदेश आने की आशंका है। यदि किसी छोटे समूह के ऑर्डर की बुनियादी जानकारी तक पहुँच बनाई गई हो, तो सामान लौटाने, डिलीवरी न मिलने, कूपन या शुल्क में बदलाव के फ़र्ज़ी दावे अधिक वास्तविक लग सकते हैं।

सत्यापित घटना अगस्त 2022 की है और आपूर्तिकर्ता नेटवर्क के माध्यम से शुरू हुए फ़िशिंग अभियान से जुड़ी है। DoorDash ने बताया कि असामान्य गतिविधि दिखने के बाद उसने आपूर्तिकर्ता की पहुँच बंद कर दी और घटना को आगे फैलने से रोक दिया। इस रिपोर्ट में प्रभावित व्यक्तियों की संख्या 3,67,476 अलग-अलग व्यक्तिगत ईमेल पतों के रूप में दर्ज है। आधिकारिक बयान में यह नहीं कहा गया है कि DoorDash के सभी उपयोगकर्ता प्रभावित हुए थे; उसमें बताया गया है कि उपयोगकर्ताओं के एक छोटे प्रतिशत का डेटा प्रभावित हुआ था। प्रभावित डेटा फ़ील्ड भी हर व्यक्ति के लिए अलग हो सकते हैं।

इस घटना की सीमाओं को समझना विशेष रूप से महत्वपूर्ण है। जिन डेटा तक पहुँच बनाए जाने की सूचना दी गई थी, उनमें पासवर्ड, भुगतान कार्ड के पूरे नंबर, बैंक खाता नंबर, सोशल सिक्योरिटी नंबर और सोशल इंश्योरेंस नंबर शामिल नहीं थे। इसलिए उपयोगकर्ता के मामले को पासवर्ड लीक या कार्ड का पूरा डेटा लीक होने जैसा नहीं मानना चाहिए। कार्ड के आंशिक डेटा का मतलब केवल कार्ड की पहचान से जुड़ी सीमित जानकारी है। इसके अलावा, यह रिकॉर्ड 2019 में लगभग 49 लाख लोगों को प्रभावित करने वाली DoorDash की घटना से अलग है। 2022 की आपूर्तिकर्ता-संबंधी घटना का दायरा छोटा है, लेकिन डिलीवरी और आंशिक भुगतान जानकारी के संदर्भ के कारण इस अलग डेटा उल्लंघन पर ध्यान देना ज़रूरी है।

सबसे अधिक जोखिम उन उपभोक्ताओं को है जिनकी जानकारी 2022 में DoorDash के पास थी और जिन्हें इस घटना के संबंध में सूचना मिली थी। जिन व्यक्तियों के फ़ोन नंबर और डिलीवरी पते उपलब्ध हैं, उन्हें डिलीवरी ड्राइवर या ग्राहक सेवा के नाम पर फ़र्ज़ी संदेशों अथवा ऑर्डर के रिफ़ंड संबंधी संदेशों से निशाना बनाया जा सकता है। कार्ड की आंशिक जानकारी या ऑर्डर की बुनियादी जानकारी वाले छोटे समूह के उपयोगकर्ताओं को मिलने वाले संदेश अधिक विश्वसनीय लग सकते हैं, क्योंकि हमलावर कार्ड के अंतिम चार अंक या पुराने ऑर्डर के संदर्भ जैसी जानकारी का इस्तेमाल करके बातचीत को भरोसेमंद बनाने की कोशिश कर सकता है।

Dashers कहलाने वाले डिलीवरी कर्मी भी इस घटना में शामिल हो सकते हैं। आधिकारिक बयान में कहा गया था कि इस समूह के लोगों के नाम, फ़ोन नंबर या ईमेल पते प्रभावित हुए हो सकते हैं। इन व्यक्तियों को भुगतान, कमाई के हस्तांतरण या खाते के सत्यापन के फ़र्ज़ी संदेशों अथवा सहायता प्रतिनिधि के नाम पर किए गए फ़ोन कॉल से निशाना बनाया जा सकता है। रेस्तराँ और विक्रेता पक्ष का डेटा इस रिकॉर्ड का मुख्य विषय नहीं है। फिर भी, DoorDash के तंत्र में अलग-अलग भूमिकाएँ होने के कारण उपयोगकर्ताओं को ध्यान से जाँचना चाहिए कि संदेश किस प्रकार के खाते से संबंधित है। DoorDash डेटा उल्लंघन विशेष रूप से फ़ोन और टेक्स्ट संदेशों के माध्यम से की जाने वाली सोशल इंजीनियरिंग का जोखिम बढ़ाता है।

DoorDash से जुड़े अप्रत्याशित ईमेल, टेक्स्ट संदेशों या फ़ोन कॉल में बताए गए लिंक पर क्लिक नहीं करना चाहिए और एक बार इस्तेमाल होने वाले कोड साझा नहीं करने चाहिए। डिलीवरी पते, ऑर्डर वापस करने, खाते के सत्यापन या भुगतान में सुधार से संबंधित होने का दावा करने वाले संदेशों की जाँच सीधे आधिकारिक ऐप या वेब खाते के माध्यम से करनी चाहिए। केवल इसलिए फ़ोन करने वाले व्यक्ति पर भरोसा नहीं करना चाहिए कि उसे कार्ड की आंशिक जानकारी पता है। असली सहायता टीमों को पूरा कार्ड नंबर, बैंक खाता, पासवर्ड या एक बार इस्तेमाल होने वाला सत्यापन कोड नहीं माँगना चाहिए।

अपने DoorDash खाते के लिए मज़बूत और अनूठा पासवर्ड इस्तेमाल करना अब भी सुरक्षा का एक अच्छा उपाय है। हालाँकि, इस घटना में पासवर्ड तक पहुँच बनाए जाने की सूचना नहीं दी गई थी, इसलिए तुरंत उठाया जाने वाला मुख्य कदम सोशल इंजीनियरिंग के जोखिम से सावधान रहना है। यदि फ़ोन नंबर पर स्पैम बढ़ता है, तो डिवाइस और दूरसंचार सेवा प्रदाता के स्तर पर फ़िल्टर इस्तेमाल करने चाहिए। सुरक्षा की सामान्य आदत के तौर पर कार्ड स्टेटमेंट में असामान्य लेन-देन पर नज़र रखना जारी रखना चाहिए, लेकिन इस रिकॉर्ड के सत्यापित दायरे में पूरे कार्ड नंबर या बैंक खाते शामिल नहीं हैं। Dashers को कमाई के हस्तांतरण, बैंक खाते में बदलाव या सहायता संबंधी कॉल के अनुरोधों की अतिरिक्त पुष्टि करनी चाहिए।

लंबी अवधि में डिलीवरी और खरीदारी के खातों में सहेजे गए पते, फ़ोन नंबर और भुगतान के तरीकों की जानकारी की नियमित समीक्षा करनी चाहिए। जिन पतों का अब इस्तेमाल नहीं होता, उन्हें मिटा देना चाहिए, अनावश्यक भुगतान के तरीके हटा देने चाहिए और प्रचार अभियानों के लिए बनाए गए खातों में मुख्य ईमेल के बजाय अलग ईमेल पते इस्तेमाल करने चाहिए। उपयोगकर्ताओं को अलग-अलग डिलीवरी प्लेटफ़ॉर्म पर एक ही ढंग से बने पासवर्ड इस्तेमाल नहीं करने चाहिए। ईमेल खाते को मज़बूत सुरक्षा देनी चाहिए, क्योंकि डिलीवरी खातों की पहुँच बहाल करने वाले लिंक अक्सर ईमेल से आते हैं।

कंपनियों के दृष्टिकोण से DoorDash की घटना दिखाती है कि तीसरे पक्ष के आपूर्तिकर्ताओं को दी गई पहुँच ग्राहक डेटा के लिए सीधा जोखिम पैदा करती है। आपूर्तिकर्ताओं के लिए न्यूनतम आवश्यक अधिकार का सिद्धांत, अस्थायी पहुँच, मज़बूत प्रमाणीकरण, असामान्य पहुँच के अलर्ट और कर्मचारियों के सत्यापन की फ़िशिंग-प्रतिरोधी व्यवस्था आवश्यक हैं। डिलीवरी प्लेटफ़ॉर्म को उपयोगकर्ता डेटा की सुरक्षा केवल अपने सिस्टम में ही नहीं, बल्कि अपने आपूर्तिकर्ताओं के माध्यम से भी सुनिश्चित करनी चाहिए। कार्ड की आंशिक जानकारी और ऑर्डर का डेटा सीमित लगने पर भी ग्राहक के भरोसे और धोखाधड़ी के जोखिम पर उनका असर महत्वपूर्ण है।

यदि इस रिकॉर्ड में आपकी जानकारी का मिलान मिलता है, तो आपका ईमेल पता DoorDash के 2022 डेटा उल्लंघन से जुड़े 3,67,476 अलग-अलग ईमेल पतों में मिला हो सकता है। मिलान मिलने का मतलब यह नहीं है कि आपका पासवर्ड या पूरा कार्ड नंबर लीक हुआ है। हालाँकि, यह संकेत देता है कि आपके नाम, ईमेल, फ़ोन नंबर, डिलीवरी पते या छोटे समूह के लिए ऑर्डर की बुनियादी जानकारी और कार्ड की आंशिक जानकारी जैसे फ़ील्ड जोखिम पैदा कर सकते हैं। पहला कदम आधिकारिक माध्यम से अपने DoorDash खाते की जाँच करना और अप्रत्याशित संदेशों को संदेह की नज़र से देखना है।

संभव है कि आपके डिलीवरी पते, फ़ोन नंबर या भुगतान से जुड़ी आंशिक जानकारी का इस्तेमाल किसी धोखाधड़ी वाले संदेश में किया जाए। इसलिए सहायता प्रतिनिधि होने का दावा करने वाले किसी भी व्यक्ति को एक बार इस्तेमाल होने वाले कोड, पूरे कार्ड नंबर, बैंक की जानकारी या पासवर्ड नहीं देने चाहिए। Dashers के लिए कमाई के हस्तांतरण और खाते के सत्यापन के अनुरोधों की पुष्टि सीधे आधिकारिक ऐप से करनी चाहिए। DoorDash डेटा उल्लंघन के प्रति सही प्रतिक्रिया यह है कि इसे संपूर्ण वित्तीय जानकारी का लीक बताकर बढ़ा-चढ़ाकर न पेश किया जाए, लेकिन यह स्वीकार किया जाए कि आपूर्तिकर्ता से जुड़े सत्यापित डेटा फ़ील्ड का इस्तेमाल सोशल इंजीनियरिंग में हो सकता है। साथ ही, खाते और संचार की सुरक्षा मज़बूत की जानी चाहिए।