DriveSure: डेटा में सेंध

सत्यापित डेटा के प्रकारों में ईमेल पते, नाम, फ़ोन नंबर, भौतिक पते, वाहन की जानकारी और सीमित संख्या में पासवर्ड हैश शामिल हैं। वाहन की जानकारी से आशय उसके ब्रांड, मॉडल, VIN नंबर और कुछ रिकॉर्ड में उसके द्वारा तय की गई दूरी या उसकी सर्विस से जुड़े विवरणों से है। VIN नंबर और वाहन का इतिहास किसी व्यक्ति को उसके स्वामित्व वाले या उसके इस्तेमाल किए जाने वाले वाहन से सीधे जोड़ सकते हैं। इस जानकारी का इस्तेमाल बीमा, सर्विस, वारंटी, वाहन वापस बुलाए जाने की सूचनाओं, क्षति संबंधी रिकॉर्ड या वाहन की खरीद-बिक्री से जुड़े धोखाधड़ी वाले संदेशों को भरोसेमंद दिखाने के लिए किया जा सकता है।

पासवर्ड फ़ील्ड के मामले में सबसे महत्वपूर्ण अंतर यह है कि डेटा को सामान्य पाठ में मौजूद पासवर्ड बताया गया है या bcrypt पासवर्ड हैश। Bcrypt के कारण पासवर्ड को सीधे पढ़ना कठिन होता है; फिर भी, कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के लिए जोखिम पूरी तरह खत्म नहीं होता। पता, फ़ोन और वाहन की जानकारी मिलकर फ़िशिंग और फ़ोन पर धोखाधड़ी के लिए एक विस्तृत प्रोफ़ाइल तैयार करती है। हमलावर आपके वाहन के ब्रांड या सर्विस इतिहास की जानकारी का इस्तेमाल करके वारंटी बढ़ाने, रखरखाव पर छूट, बीमा नवीनीकरण या वाहन की सुरक्षा संबंधी फ़र्ज़ी सूचनाएँ तैयार कर सकता है।

घटना की सत्यापित तारीख 19 दिसंबर 2020 के रूप में दर्ज है। दिसंबर 2020 में अनधिकृत पहुँच का पता चला था और जनवरी 2021 में यह पता चला कि डेटा को अनधिकृत पक्षों को बेचने का प्रयास किया गया था। इस रिकॉर्ड में 36,75,099 अलग-अलग ईमेल पते हैं। कुछ समाचार रिपोर्ट में लगभग 32 लाख या 37 लाख लोगों का उल्लेख हो सकता है। यह अंतर डेटा की पंक्तियों की संख्या, अलग-अलग ईमेल पतों की संख्या और पूर्णांकित आँकड़ों के इस्तेमाल में भिन्नता के कारण है। इस रिकॉर्ड में इस्तेमाल किया गया मुख्य आँकड़ा अलग-अलग ईमेल पतों की संख्या है।

इस घटना का दायरा बढ़ाकर नहीं समझना चाहिए। कंपनी के बयान के अनुसार, अनधिकृत पक्ष की ऐसी जानकारी तक पहुँच नहीं थी जिसका इस्तेमाल क्रेडिट खाता खोलने के लिए किया जा सके। यह रिकॉर्ड भी क्रेडिट कार्ड, बैंक खाते या आधिकारिक पहचान संख्याओं को डेटा की श्रेणी में शामिल नहीं करता। फिर भी, नाम, पता, फ़ोन, ईमेल, VIN और वाहन के विवरण पहचान की चोरी के अलावा अन्य प्रकार की धोखाधड़ी के लिए उपयोगी हैं। पासवर्ड हैश की संख्या कम होने के कारण सभी रिकॉर्ड के लिए पासवर्ड से जुड़ा जोखिम एक जैसा नहीं है। इसके बावजूद, इस संभावना को नज़रअंदाज़ नहीं करना चाहिए कि वही पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल किया गया हो।

सबसे अधिक जोखिम उन ग्राहकों को है जो DriveSure का इस्तेमाल करने वाली डीलरशिप से वाहन खरीदते हैं, सर्विस लेते हैं या रखरखाव/लॉयल्टी कार्यक्रम में शामिल हैं। संभव है कि इन लोगों ने कभी DriveSure का नाम भी न देखा हो; उनका पंजीकरण डीलरशिप की सेवाओं के ज़रिए किया गया हो सकता है। वाहन के पूर्व मालिक, पुराने वाहन खरीदने वाले लोग, ऐसे ग्राहक जिनकी वारंटी पर नज़र रखी जा रही है और कुछ सर्विस अभियानों में भाग लेने वाले व्यक्ति भी जोखिम में हो सकते हैं। वाहन की जानकारी होने से हमलावर सामान्य फ़िशिंग हमलों के बजाय वाहन से जुड़े अधिक विश्वसनीय लगने वाले बहाने तैयार कर सकते हैं।

जिन लोगों के पते और फ़ोन की जानकारी अब पुरानी हो चुकी है, उनके लिए भी जोखिम पूरी तरह खत्म नहीं होता। पुराने पतों को पिछले निवास, वाहन के पूर्व स्वामित्व या सर्विस इतिहास से जोड़ा जा सकता है। मौजूदा ईमेल पते के साथ जुड़ने पर वाहन की पुरानी जानकारी भी उपयोगकर्ता को वारंटी, रखरखाव, वाहन वापस बुलाए जाने या बीमा से जुड़े फ़र्ज़ी संदेशों का निशाना बना सकती है। जिन थोड़े से लोगों के पासवर्ड हैश मौजूद हैं, उनके लिए अतिरिक्त जोखिम यह है कि वही पासवर्ड दूसरे खातों पर आज़माया जा सकता है। इसलिए, DriveSure डेटा उल्लंघन से जुड़े वाहन सेवा संबंधी धोखाधड़ी और खाते की सुरक्षा, दोनों जोखिमों पर नज़र रखनी चाहिए।

DriveSure, कार डीलरशिप, वारंटी, सर्विस अपॉइंटमेंट या बीमा नवीनीकरण से जुड़े अप्रत्याशित ईमेल और फ़ोन कॉल के प्रति सावधानी बरतनी चाहिए। केवल इसलिए कॉल करने वाले को भरोसेमंद नहीं मानना चाहिए कि उसे वाहन के ब्रांड, मॉडल या VIN की जानकारी है। जिन अनुरोधों में भुगतान, कार्ड की जानकारी, एक बार इस्तेमाल किए जाने वाले कोड, बैंक खाते के विवरण या पहचान के दस्तावेज़ माँगे जाएँ, उन पर आगे न बढ़ें। संबंधित डीलरशिप या सेवा से उसके ज्ञात फ़ोन नंबरों पर सीधे संपर्क करें। संदिग्ध लिंक के ज़रिए अपॉइंटमेंट तय न करें और वारंटी नवीनीकरण का लेन-देन न करें।

यदि DriveSure या संबंधित डीलरशिप खाते के लिए इस्तेमाल किया गया पासवर्ड आपको पता है, तो उसे बदल देना चाहिए। यदि वही पासवर्ड वाहन, बीमा, ईमेल या खरीदारी से जुड़े अन्य खातों में भी इस्तेमाल किया गया है, तो उन खातों के लिए भी अलग-अलग पासवर्ड रखने चाहिए। ईमेल खाते की सुरक्षा मज़बूत करनी चाहिए, दो-कारक प्रमाणीकरण चालू करना चाहिए और खाता वापस पाने के विकल्प अद्यतन करने चाहिए। वाहन से जुड़े दस्तावेज़ों, सर्विस रिकॉर्ड और बीमा संदेशों की नियमित जाँच करनी चाहिए; वारंटी या रखरखाव के किसी अपरिचित भुगतान की पड़ताल करनी चाहिए। फ़ोन के स्पैम फ़िल्टर और ईमेल नियम भी सोशल इंजीनियरिंग का जोखिम कम करते हैं।

लंबी अवधि में यह पूछना चाहिए कि वाहन खरीदने और उसकी सर्विस कराने की प्रक्रियाओं में किन तृतीय-पक्ष सेवाओं को डेटा तक पहुँच मिलती है। डीलरशिप को दी गई अनावश्यक विपणन अनुमतियाँ बंद करनी चाहिए और संभव हो तो वाहन तथा पते की पुरानी जानकारी अद्यतन करनी या हटानी चाहिए। वाहन संबंधी सेवाओं में मुख्य ईमेल पते के बजाय अलग संपर्क ईमेल पता इस्तेमाल करने से मुख्य खातों पर डेटा लीक का असर कम हो सकता है। वाहन से जुड़े संवेदनशील दस्तावेज़ और VIN की जानकारी सार्वजनिक प्रोफ़ाइल पर साझा नहीं करनी चाहिए; इस जानकारी का इस्तेमाल सर्विस और बीमा से जुड़े फ़र्ज़ी संदेशों में किया जा सकता है।

कंपनियों के स्तर पर, DriveSure की घटना दिखाती है कि डीलर और सेवा प्रदाता की शृंखला में मौजूद ग्राहक डेटा की सुरक्षा ज़रूरी है। वाहन की जानकारी केवल तकनीकी रिकॉर्ड नहीं है; यह व्यक्तिगत डेटा है जो किसी व्यक्ति को उसके भौतिक पते, सर्विस इतिहास और खरीदारी के व्यवहार से जोड़ता है। डेटा रखने की अवधि घटानी चाहिए, पुराने ग्राहक रिकॉर्ड की सफ़ाई करनी चाहिए, बड़ी मात्रा में डेटा निर्यात करने की गतिविधियों पर नज़र रखनी चाहिए और आपूर्तिकर्ताओं की पहुँच सीमित करनी चाहिए। पासवर्ड हैश की सुरक्षा के लिए मज़बूत तरीके इस्तेमाल करने चाहिए और ग्राहकों को स्पष्ट सूचनाएँ समय पर देनी चाहिए।

यदि इस रिकॉर्ड में आपकी जानकारी का मिलान मिलता है, तो हो सकता है कि आपका ईमेल पता DriveSure डेटा उल्लंघन से जुड़े 36,75,099 अलग-अलग ईमेल पतों में पाया गया हो। मिलान मिलने का मतलब यह ज़रूरी नहीं है कि आपने सीधे DriveSure खाता खोला था; आपकी जानकारी किसी कार डीलरशिप या सर्विस से जुड़े संबंध के ज़रिए DriveSure सिस्टम में पहुँची हो सकती है। इसलिए, आपको अपने वाहन के इतिहास, डीलरशिप से रहे पुराने संबंधों और संबंधित ईमेल पते की एक साथ जाँच करनी चाहिए। हालाँकि पासवर्ड हैश का जोखिम सीमित संख्या में रिकॉर्ड पर लागू होता है, फिर भी दोबारा इस्तेमाल किए गए पासवर्ड बदल देने चाहिए।

पता, फ़ोन नंबर, ईमेल और वाहन की जानकारी का संयोजन धोखाधड़ी वाले संदेशों में भरोसा पैदा करने के एक प्रभावी साधन के रूप में इस्तेमाल किया जा सकता है। अपने वाहन के संबंध में मिलने वाले अप्रत्याशित सर्विस, वारंटी या बीमा प्रस्तावों की पुष्टि संबंधित संस्था के आधिकारिक संपर्क माध्यम से सीधे करें। भले ही क्रेडिट खाता खोलने के लिए पर्याप्त वित्तीय डेटा न हो, फ़िशिंग और वाहन से जुड़ी धोखाधड़ी का जोखिम वास्तविक है। DriveSure डेटा उल्लंघन से निपटने का सही तरीका इसे केवल पासवर्ड बदलने का मामला मानना नहीं है; वाहन, पते और संपर्क जानकारी के लंबे समय तक संभावित दुरुपयोग को भी ध्यान में रखना ज़रूरी है।