Dunzo: डेटा में सेंध

सत्यापित डेटा प्रकारों में डिवाइस की जानकारी, ईमेल पते, भौगोलिक स्थान की जानकारी, IP पते, नाम और फ़ोन नंबर शामिल हैं। फ़ोन और ईमेल दोनों उपलब्ध होने पर टेक्स्ट संदेश, कॉल और ईमेल के ज़रिए लक्षित धोखाधड़ी की जा सकती है। नाम की जानकारी से संदेश को व्यक्तिगत बनाया जा सकता है। IP पते और भौगोलिक स्थान के फ़ील्ड उपयोगकर्ता के अनुमानित इलाके या उस शहर के बारे में जानकारी दे सकते हैं जहाँ सेवा का इस्तेमाल किया जाता है। डिवाइस की जानकारी इस्तेमाल किए जा रहे डिवाइस के प्रकार या तकनीकी प्रोफ़ाइल के बारे में एक अतिरिक्त संकेत दे सकती है।

इस मामले में पासवर्ड लीक होने की पुष्टि नहीं हुई है, इसलिए पासवर्ड लीक की घटनाओं की तुलना में खाते पर कब्ज़ा होने का सीधा जोखिम अधिक सीमित है। हालाँकि, संपर्क और स्थान संबंधी डेटा सोशल इंजीनियरिंग के लिए काफी उपयोगी हो सकता है। हमलावर डिलीवरी का पता बदलने, भुगतान वापस करने, ऑर्डर में देरी, प्रचार कोड या खाता अपडेट का बहाना बनाकर उपयोगकर्ता से अतिरिक्त जानकारी माँग सकता है। जिन उपयोगकर्ताओं का फ़ोन नंबर उपलब्ध है, उनके लिए फ़र्जी कॉल और टेक्स्ट संदेशों का जोखिम अधिक है। भौगोलिक जानकारी के कारण संदेश उस इलाके के अनुरूप लग सकता है जहाँ उपयोगकर्ता रहता है या सेवाएँ प्राप्त करता है।

घटना की सत्यापित तारीख 19 जून 2020 दर्ज है, और इस रिकॉर्ड को 29 जुलाई 2020 को सत्यापित डेटा लीक की सूचियों में जोड़ा गया था। प्रभावित अलग-अलग ईमेल पतों की संख्या 34,65,259 है। कुछ समाचार रिपोर्टों में करीब 34 लाख, 35 लाख या इससे अधिक की संख्या बताई जा सकती है; यह पृष्ठ खोज में इस्तेमाल किए गए सत्यापित अलग-अलग ईमेल पतों की संख्या पर आधारित है। इस बात की पुष्टि हुई है कि डेटासेट ऑनलाइन फ़ोरम पर प्रसारित हुआ था और उसे Dunzo के डेटा से जोड़ा गया था।

इसका दायरा बढ़ाकर नहीं देखा जाना चाहिए। इस रिकॉर्ड में पासवर्ड, भुगतान कार्ड, बैंक खाते, आधिकारिक पहचान-पत्र, भौतिक पते, ऑर्डर में शामिल सामान, दवाओं की खरीद या डिलीवरी का विस्तृत इतिहास सत्यापित डेटा श्रेणियों में शामिल नहीं हैं। भौगोलिक स्थान वाले फ़ील्ड का अर्थ यह नहीं है कि हर उपयोगकर्ता के सटीक GPS निर्देशांक मौजूद हैं; यह फ़ील्ड किसी अधिक सीमित क्षेत्र या स्थान से जुड़ी सामान्य जानकारी भी दर्शा सकता है। इसलिए उपयोगकर्ताओं को यह धारणा नहीं दी जानी चाहिए कि डिलीवरी का सटीक पता या ऑर्डर का विस्तृत इतिहास सत्यापित दायरे में आता है। वास्तविक जोखिम संपर्क, डिवाइस, IP और स्थान संबंधी डेटा को एक साथ इस्तेमाल किए जाने से जुड़ा है।

सबसे अधिक जोखिम उन ग्राहकों को है जो Dunzo के ज़रिए डिलीवरी, किराने का सामान, पैकेज भेजने या शहर के भीतर की सेवाओं का इस्तेमाल करते हैं। जिन उपयोगकर्ताओं का फ़ोन नंबर और ईमेल पता उपलब्ध है, उन्हें फ़र्जी डिलीवरी अपडेट या ग्राहक सेवा कॉल के ज़रिए निशाना बनाया जा सकता है। नाम और स्थान संबंधी जानकारी से संदेश ऐसा लग सकता है मानो वह वास्तव में ली गई सेवाओं के इतिहास पर आधारित हो। जो लोग अलग-अलग डिलीवरी और खरीदारी खातों में एक ही फ़ोन नंबर इस्तेमाल करते हैं, उन्हें कई सेवाओं के नाम पर निशाना बनाए जाने का जोखिम बढ़ जाता है।

भारत के उन शहरों में सेवाएँ लेने वाले उपयोगकर्ता, जहाँ Dunzo सक्रिय है, हमलावरों की नज़र में अधिक आ सकते हैं। IP और डिवाइस की जानकारी किसी खास डिवाइस या क्षेत्र के अनुरूप संदेश तैयार करने में हमलावर की मदद कर सकती है। चूँकि पासवर्ड डेटा की पुष्टि नहीं हुई है, इसलिए शुरुआती ध्यान पासवर्ड बदलने के बजाय फ़र्जी संदेशों और कॉल को पहचानने पर होना चाहिए। हालाँकि, यदि Dunzo खाते में इस्तेमाल किया गया पासवर्ड अन्य प्लेटफ़ॉर्म पर भी कमजोर सुरक्षा का कारण बनता है, तो खाते की समग्र सुरक्षा के लिए एक अलग पासवर्ड और अतिरिक्त सत्यापन इस्तेमाल करने की सलाह दी जाती है। यह घटना खास तौर पर फ़ोन पर होने वाली ठगी और SMS के ज़रिए फ़िशिंग के लिहाज़ से महत्वपूर्ण है।

Dunzo के नाम से आने वाले अनपेक्षित डिलीवरी, सामान वापसी, प्रचार, खाता सत्यापन या भुगतान में सुधार संबंधी संदेशों को सावधानी से परखना चाहिए। संदेश में आपका नाम, फ़ोन नंबर या स्थान सही होने पर भी यह उसके सुरक्षित होने का प्रमाण नहीं है। लिंक पर क्लिक करने के बजाय आधिकारिक वेब पते या ऐप के ज़रिए सीधे संबंधित खाते में लॉग इन करें। यदि फ़ोन करने वाला व्यक्ति कार्ड नंबर, बैंक की जानकारी, एक बार इस्तेमाल होने वाला कोड, पासवर्ड या पहचान दस्तावेज़ माँगे, तो आगे की प्रक्रिया रोक दें।

ईमेल खाते पर दो-कारक प्रमाणीकरण चालू करना चाहिए और फ़ोन लाइन पर स्पैम तथा धोखाधड़ी रोकने वाले फ़िल्टर इस्तेमाल करने चाहिए। Dunzo खाते में दिखाई देने वाली जानकारी और संपर्क संबंधी प्राथमिकताओं की समीक्षा की जा सकती है। इस घटना में पासवर्ड लीक होने की पुष्टि नहीं हुई है, इसलिए केवल इस रिकॉर्ड के कारण घबराकर सभी पासवर्ड बदलना ज़रूरी नहीं है; फिर भी, उसी ईमेल का इस्तेमाल करने वाले महत्वपूर्ण खातों के लिए अलग-अलग पासवर्ड रखना एक अच्छा सुरक्षा उपाय है। डिलीवरी प्लेटफ़ॉर्म से जुड़े सभी संदेशों में भुगतान अनुरोधों और खाता सत्यापन के चरणों की भी अलग से जाँच करनी चाहिए।

लंबी अवधि में डिलीवरी और खरीदारी खातों में इस्तेमाल की जाने वाली फ़ोन और ईमेल जानकारी की नियमित समीक्षा करनी चाहिए। प्रचार ऑफ़र और डिलीवरी सेवाओं के लिए मुख्य ईमेल के बजाय अलग ईमेल पता इस्तेमाल करने से मुख्य खातों पर डेटा लीक का असर कम हो सकता है। अनावश्यक खातों में फ़ोन नंबर साझा नहीं करने चाहिए, पुराने खाते बंद कर देने चाहिए और प्रोफ़ाइल में दिखाई देने वाली जानकारी न्यूनतम रखनी चाहिए। यह नहीं भूलना चाहिए कि IP, डिवाइस और स्थान जैसे तकनीकी फ़ील्ड भी व्यक्तिगत डेटा हैं।

प्लेटफ़ॉर्म संचालकों के नज़रिए से Dunzo की घटना दिखाती है कि तीसरे पक्ष के सिस्टम को पहुँच देने से ग्राहक डेटा को सीधा जोखिम होता है। आपूर्तिकर्ताओं की पहुँच सीमित होनी चाहिए, ग्राहक डेटा तक पहुँच न्यूनतम आवश्यक अधिकार के सिद्धांत के अनुसार प्रबंधित की जानी चाहिए, बड़ी मात्रा में डेटा निर्यात की गतिविधियों की निगरानी होनी चाहिए और फ़ोन/ईमेल जैसे संपर्क डेटा को अनावश्यक रूप से नहीं रखा जाना चाहिए। भुगतान डेटा प्रभावित न होने पर भी संपर्क और स्थान संबंधी डेटा का दुरुपयोग उपयोगकर्ताओं के भरोसे को गंभीर नुकसान पहुँचाता है।

यदि इस रिकॉर्ड में आपके ईमेल का मिलान मिलता है, तो संभव है कि आपका ईमेल पता Dunzo डेटा लीक से जुड़े 34,65,259 अलग-अलग ईमेल पतों में पाया गया हो। मिलान मिलने का अर्थ यह नहीं है कि आपका पासवर्ड, भुगतान कार्ड या ऑर्डर का इतिहास लीक हुआ है। सत्यापित फ़ील्ड में डिवाइस की जानकारी, ईमेल, भौगोलिक स्थान, IP पता, नाम और फ़ोन नंबर शामिल हैं। पहला कदम इस ईमेल और फ़ोन नंबर पर आने वाले डिलीवरी संबंधी संदेशों को अधिक सावधानी से परखना है।

Dunzo या इसी तरह के डिलीवरी प्लेटफ़ॉर्म के नाम से भेजे गए लिंक सीधे न खोलें; आधिकारिक माध्यम से अपना खाता जाँचें। फ़ोन पर मिलने वाले भुगतान, रिफ़ंड या खाता सत्यापन के अनुरोधों में एक बार इस्तेमाल होने वाले कोड, कार्ड की जानकारी या पासवर्ड साझा न करें। Dunzo डेटा लीक के मामले में सही तरीका पासवर्ड या ऑर्डर के इतिहास से जुड़े अपुष्ट दावों पर घबराना नहीं, बल्कि यह समझना है कि संपर्क और स्थान संबंधी डेटा का इस्तेमाल लक्षित धोखाधड़ी में हो सकता है, और संदेशों से जुड़ी सुरक्षा को मजबूत करना है।