Drizly: डेटा में सेंध

Drizly खाते से जुड़े सत्यापित डेटा के प्रकारों में जन्मतिथियाँ, डिवाइस की जानकारी, ईमेल पते, IP पते, नाम, फ़ोन नंबर, भौतिक पते और bcrypt पासवर्ड हैश शामिल हैं। जन्मतिथि और पते की जानकारी किसी व्यक्ति की पहचान से जुड़ी प्रोफ़ाइल को अधिक पुख्ता बनाती है। फ़ोन नंबर और ईमेल पता एक साथ उपलब्ध हों, तो सहायता, डिलीवरी, उम्र के सत्यापन या खाते को अपडेट करने के नाम पर भेजे गए फर्जी संदेश अधिक भरोसेमंद लग सकते हैं। IP पते और डिवाइस की जानकारी से उपयोगकर्ता के अनुमानित नेटवर्क परिवेश और उसके द्वारा इस्तेमाल किए जा रहे डिवाइस के प्रकार के बारे में अतिरिक्त संकेत मिल सकते हैं।

पासवर्ड हैश का bcrypt से सुरक्षित होना, प्लेन टेक्स्ट में पासवर्ड लीक होने की तुलना में बेहतर स्थिति है। फिर भी कमजोर, छोटे या दोबारा इस्तेमाल किए गए पासवर्ड के लिए जोखिम बना रहता है। यदि वही ईमेल और पासवर्ड अन्य खरीदारी, डिलीवरी, ईमेल या सोशल खातों में इस्तेमाल किए गए हों, तो हमलावर इस संयोजन को आज़मा सकते हैं। मादक पेय ऑर्डर करने की सेवा होने के कारण गोपनीयता से जुड़ी चिंता भी बढ़ जाती है। उपयोगकर्ता की उम्र, पता और शराब के सेवन से जुड़ा संदर्भ, उसे खास तौर पर निशाना बनाने वाले संदेशों का आधार बन सकते हैं। इसलिए Drizly डेटा लीक का आकलन केवल पासवर्ड बदलने के संदर्भ में नहीं, बल्कि संचार और पते की सुरक्षा के लिहाज़ से भी किया जाना चाहिए।

यह सत्यापित घटना जुलाई 2020 की है और इससे 24,79,044 अद्वितीय ईमेल पते जुड़े हैं। अलग-अलग स्रोतों में लगभग 25 लाख ग्राहकों का उल्लेख मिल सकता है। यह पूर्णांकित संख्या रिकॉर्ड में मौजूद अद्वितीय ईमेल पतों की संख्या के अनुरूप है। नियामक दस्तावेज़ों में Drizly की पहले की सुरक्षा कमजोरियों और कर्मचारी खातों की सुरक्षा से जुड़ी कमियों का भी उल्लेख है। यह जानकारी तकनीकी संदर्भ देती है, लेकिन उपयोगकर्ता को बताए जाने वाले मुख्य जोखिम सत्यापित ग्राहक डेटा फ़ील्ड और उनके संभावित दुरुपयोग से जुड़े हैं।

इसका दायरा बढ़ाकर नहीं देखना चाहिए। इस रिकॉर्ड में पूरा क्रेडिट कार्ड नंबर, बैंक खाता, सरकारी पहचान संख्या, ऑर्डर में शामिल वस्तुओं का विवरण या प्लेन टेक्स्ट पासवर्ड सत्यापित डेटा श्रेणियों के रूप में नहीं दिखाए गए हैं। पासवर्ड से जुड़े जोखिम को bcrypt हैशिंग के संदर्भ में समझा जाता है। बाद में Drizly के बंद होने से 2020 के डेटा का असर समाप्त नहीं होता, क्योंकि ईमेल, फ़ोन नंबर, जन्मतिथि और पते जैसे फ़ील्ड लंबे समय तक अपरिवर्तित रह सकते हैं। यह रिकॉर्ड केवल Drizly की 2020 की ग्राहक डेटा संबंधी घटना तक सीमित है। इसे Uber की अन्य सेवाओं या बाद की अलग घटनाओं से नहीं जोड़ना चाहिए।

सबसे अधिक जोखिम उन ग्राहकों को है जिन्होंने 2020 से पहले Drizly खाता बनाया था या Drizly के ज़रिए मादक पेय ऑर्डर किए थे। अन्य डिलीवरी, किराना, खरीदारी या ईमेल खातों के लिए वही ईमेल पता इस्तेमाल करने वाले लोगों को अधिक आसानी से निशाना बनाया जा सकता है। जन्मतिथि और पते की जानकारी से धोखाधड़ी वाले संदेश किसी व्यक्ति के लिए खास तौर पर तैयार किए गए लग सकते हैं। जिन उपयोगकर्ताओं का फ़ोन नंबर उपलब्ध है, उन्हें डिलीवरी, उम्र के सत्यापन, खाते को अपडेट करने या प्रचार के नाम पर फर्जी कॉल आने की आशंका रहती है।

अलग-अलग सेवाओं में एक ही पासवर्ड दोबारा इस्तेमाल करने वाले उपयोगकर्ता भी जोखिम में हैं। bcrypt हैश सुरक्षा के कारण पासवर्ड को तुरंत पढ़ना मुश्किल होता है, लेकिन पुराने और कमजोर पासवर्ड के दुरुपयोग की कोशिशों का जोखिम बना रहता है। भले ही Drizly का अब एक स्वतंत्र सेवा के रूप में इस्तेमाल नहीं होता, आपका पुराना Drizly पासवर्ड अब भी आपके ईमेल खाते, Uber खाते, डिलीवरी प्लेटफ़ॉर्म या अन्य स्टोर खातों में इस्तेमाल हो रहा हो सकता है। भौतिक पते और जन्मतिथि जैसे न बदलने वाले फ़ील्ड का इस्तेमाल घटना के कई साल बाद भी व्यक्ति के अनुरूप तैयार किए गए फ़िशिंग संदेशों में किया जा सकता है।

यदि Drizly खाते का पासवर्ड अब भी कहीं और इस्तेमाल हो रहा है, तो उसे तुरंत बदलना चाहिए। यदि वही या उससे मिलता-जुलता पासवर्ड ईमेल, खरीदारी, डिलीवरी, भुगतान से जुड़े खातों या Uber खाते में इस्तेमाल किया गया है, तो हर खाते के लिए अलग पासवर्ड रखना चाहिए। ईमेल खाते को दो-कारक प्रमाणीकरण से सुरक्षित करना चाहिए। यदि पुराने Drizly खाते तक पहुँचना संभव नहीं है, तो उसी ईमेल पते से जुड़े अन्य खातों की जाँच करनी चाहिए और किसी भी संदिग्ध सत्र को बंद कर देना चाहिए।

फ़ोन और ईमेल पर मिलने वाले डिलीवरी, उम्र के सत्यापन, सदस्यता अपडेट या प्रचार अभियान से जुड़े संदेशों पर सावधानी बरतनी चाहिए। संदेश में व्यक्ति की जन्मतिथि, पता या फ़ोन नंबर सही होने पर भी उसे भरोसेमंद नहीं मानना चाहिए। लिंक पर क्लिक करने के बजाय संबंधित सेवा का वेब पता सीधे खोलना चाहिए। कार्ड नंबर, एक बार इस्तेमाल होने वाले कोड, बैंकिंग जानकारी या पासवर्ड माँगने वाले अनुरोधों को अस्वीकार कर देना चाहिए। भले ही इस रिकॉर्ड में वित्तीय डेटा सत्यापित न हो, लीक हुई व्यक्तिगत जानकारी का इस्तेमाल बाद में किसी को झाँसा देकर उससे वित्तीय जानकारी हासिल करने के लिए किया जा सकता है।

लंबी अवधि में डिलीवरी और खुदरा खरीदारी के खातों में सहेजे गए पते, फ़ोन नंबर और जन्मतिथि की जानकारी की नियमित समीक्षा करनी चाहिए। इस्तेमाल न होने वाले खाते बंद करने चाहिए, पुराने पते हटाने चाहिए और प्रचार अभियानों वाले खातों के लिए मुख्य ईमेल पते के बजाय अलग ईमेल पते इस्तेमाल करने चाहिए। पासवर्ड मैनेजर से यह जाँचना आसान हो जाता है कि पुराना Drizly पासवर्ड कहीं अन्य खातों में तो इस्तेमाल नहीं हो रहा। भौतिक पता और जन्मतिथि ऐसी जानकारी है जो बदलती नहीं है, इसलिए इस जानकारी से जुड़े, आपके लिए खास तौर पर तैयार किए गए संदेशों को कई साल बाद भी सावधानी से देखना चाहिए।

कंपनी के स्तर पर Drizly की घटना दिखाती है कि डेवलपर खाते और क्लाउड एक्सेस की जानकारी ग्राहक डेटाबेस के लिए सीधे जोखिम पैदा कर सकती है। न्यूनतम आवश्यक अधिकार देने का सिद्धांत, एक्सेस कुंजियों को नियमित रूप से बदलना, कर्मचारी खातों पर मजबूत प्रमाणीकरण, डेटा तक असामान्य पहुँच के अलर्ट और अनावश्यक ग्राहक डेटा को हटाना महत्वपूर्ण उपाय हैं। Drizly से जुड़े नियामक निर्णय भी न्यूनतम डेटा रखने और व्यक्तिगत जिम्मेदारी के महत्व पर ज़ोर देते हैं। ग्राहक डेटा कम से कम रखने पर डेटा लीक की स्थिति में उसका प्रभाव क्षेत्र भी सीमित रहता है।

यदि इस रिकॉर्ड में आपके ईमेल पते का मिलान मिलता है, तो वह Drizly डेटा लीक से जुड़े 24,79,044 अद्वितीय ईमेल पतों में शामिल हो सकता है। मिलान मिलने का मतलब यह नहीं है कि आपका पूरा कार्ड नंबर या प्लेन टेक्स्ट पासवर्ड लीक हुआ था। हालाँकि, यह संकेत देता है कि जन्मतिथि, पता, फ़ोन नंबर, डिवाइस की जानकारी, IP पता और bcrypt पासवर्ड हैश जैसे फ़ील्ड सुरक्षा जोखिम पैदा करते हैं। पहला कदम यह जाँचना है कि Drizly इस्तेमाल करते समय रखा गया पासवर्ड अब भी अन्य खातों में इस्तेमाल हो रहा है या नहीं।

भले ही Drizly अब एक स्वतंत्र ऐप न हो, लीक हुए डेटा का इस्तेमाल पुराने ईमेल, फ़ोन नंबर और पते की जानकारी के ज़रिए अब भी किया जा सकता है। डिलीवरी, उम्र के सत्यापन, खाते के अपडेट या प्रचार अभियान से जुड़े संदेशों से सावधान रहें। किसी संदेश में आपके बारे में जानकारी होने से वह भरोसेमंद नहीं हो जाता। अपने संबंधित ईमेल खाते, डिलीवरी खातों और भुगतान से जुड़े खातों को सुरक्षित करें। Drizly डेटा लीक को केवल बंद हो चुकी सेवा के पुराने रिकॉर्ड के रूप में देखना सही नहीं है। सही दृष्टिकोण यह स्वीकार करना है कि लंबे समय तक बनी रहने वाली व्यक्तिगत जानकारी का इस्तेमाल अब भी सोशल इंजीनियरिंग में किया जा सकता है।