Easypak 2026 डेटा सुरक्षा उल्लंघन

प्राथमिक स्रोत मैसाचुसेट्स के उपभोक्ता-सूचना अभिलेखागार में मौजूद आधिकारिक “महत्वपूर्ण जानकारी” पत्र है, जिसे Easypak नाम से कारोबार करने वाली G-Pak Holdings LLC ने जारी किया था। इसमें सीधे तौर पर 13 जनवरी को घटना का पता चलने, सिस्टम की सुरक्षा के उपायों, बाहरी विशेषज्ञों के साथ जाँच, 8 जून की डेटा समीक्षा के नतीजे, निःशुल्क क्रेडिट निगरानी और सहायता के लिए निर्धारित फ़ोन नंबर 978-537-5683, एक्सटेंशन 1003 का उल्लेख है।

Claim Depot आधिकारिक दस्तावेज़ को Easypak की कंपनी प्रोफ़ाइल से जोड़ता है और अपने सारांश में मैसाचुसेट्स के कम से कम 217 प्रभावित निवासियों के साथ पहचान, वित्तीय और चिकित्सा डेटा की रिपोर्ट की गई श्रेणियों का उल्लेख करता है। यह भी बताता है कि Akira रैंसमवेयर समूह ने 29 जनवरी को 67 GB डेटा लेने का दावा किया था। Easypak का सार्वजनिक पत्र न तो समूह के नाम की, न रैंसमवेयर की और न ही 67 GB मात्रा की पुष्टि करता है। इसलिए LeakData इन बातों को स्पष्ट रूप से हमलावर के दावे के रूप में ही प्रस्तुत करता है।

Easypak को 13 जनवरी को या उसके आसपास अपने कंप्यूटर नेटवर्क में अनधिकृत पहुँच का पता चला। संगठन ने अपने सिस्टम सुरक्षित करने के लिए कदम उठाए और अनुभवी बाहरी साइबर सुरक्षा पेशेवरों के साथ मिलकर घटना का पूरा दायरा तथा प्रभावित डेटा का दायरा निर्धारित करने का काम किया। 8 जून को जाँच में पाया गया कि व्यक्तिगत जानकारी वाली कुछ फ़ाइलों तक 13 जनवरी को अनधिकृत पहुँच हुई हो सकती है।

आधिकारिक पत्र में शुरुआती पहुँच का तरीका, उसकी सटीक अवधि, डेटा बाहर निकाले जाने की पुष्टि हुई थी या नहीं, हमलावर की पहचान, या सिस्टम एन्क्रिप्ट किए गए थे या नहीं, इन बातों का खुलासा नहीं किया गया है। द्वितीयक स्रोत में Akira और 67 GB से जुड़े बयान Easypak के नहीं, बल्कि हमलावर के दावे हैं। इसलिए सत्यापित प्रविष्टि केवल नेटवर्क में अनधिकृत पहुँच और फ़ाइलों तक संभावित पहुँच तक सीमित है; रैंसमवेयर के लिए किसी समूह को ज़िम्मेदार ठहराने की बात को स्थापित तथ्य के रूप में प्रस्तुत नहीं किया गया है।

आधिकारिक नमूना पत्र के अनुसार, प्रभावित फ़ाइलों में प्राप्तकर्ता का पूरा नाम और व्यक्तिगत पहचान योग्य जानकारी (PII) का एक अन्य फ़ील्ड था, जिसमें उस व्यक्ति की जानकारी अलग से भरी गई थी। स्रोत का लिंक देने वाला नियामकीय सारांश इन अलग-अलग श्रेणियों को सोशल सिक्योरिटी नंबर, ड्राइविंग लाइसेंस की जानकारी, वित्तीय खातों की जानकारी और चिकित्सा रिकॉर्ड के रूप में बताता है। पाठकों को यह नहीं मानना चाहिए कि हर प्राप्तकर्ता की जानकारी में ये सभी श्रेणियाँ एक साथ शामिल थीं; उस व्यक्ति को भेजा गया पत्र ही प्रभावित फ़ील्ड की प्रामाणिक सूची है।

सार्वजनिक रूप से उपलब्ध सामग्री में ईमेल पते, पासवर्ड, पासवर्ड हैश, उपयोगकर्ता नाम, बैंकों के नाम, राउटिंग नंबर, खाते की शेष राशि, भुगतान कार्ड, CVVs, PINs, रोग-निदान, उपचार, दवा के पर्चे, पॉलिसी नंबर या चिकित्सा रिकॉर्ड नंबर की अलग से पुष्टि नहीं की गई है। “वित्तीय खाता” और “चिकित्सा रिकॉर्ड” व्यापक श्रेणियाँ हैं। स्रोतों में मौजूद न होने वाले उप-फ़ील्ड जोड़ने से बताए गए जोखिम का दायरा अनावश्यक रूप से बढ़ जाएगा।

नाम के साथ SSN या ड्राइविंग लाइसेंस का विवरण होने पर नए खाते खोलकर धोखाधड़ी, कर-संबंधी पहचान के दुरुपयोग, या पहचान सत्यापन के नाम पर किसी व्यक्ति को निशाना बनाकर जानकारी माँगने में मदद मिल सकती है। जिन प्राप्तकर्ताओं की सूचना में वित्तीय खाते की जानकारी दर्ज है, उन्हें अनजान लेन-देन, नए भुगतान प्राप्तकर्ताओं या संपर्क विवरण में बदलाव पर नज़र रखनी चाहिए। घटना की समग्र सूची में किसी श्रेणी का उल्लेख होने से यह साबित नहीं होता कि हर व्यक्ति की उस श्रेणी की जानकारी प्रभावित हुई थी या उसका दुरुपयोग हुआ था।

चिकित्सा रिकॉर्ड की श्रेणी से स्वास्थ्य सेवा प्रदाता के नाम पर किए गए फ़र्ज़ी कॉल या बिल संबंधी संदेश अधिक विश्वसनीय लग सकते हैं। प्राप्तकर्ता को किसी अनजान सेवा, स्वास्थ्य सेवा प्रदाता, या लाभों के विवरण अथवा मरीज़ पोर्टल में हुए बदलाव की पुष्टि सीधे संबंधित संस्था से करनी चाहिए। अचानक संपर्क करने और Easypak, निगरानी सेवा प्रदाता या स्वास्थ्य सेवा संगठन का प्रतिनिधि होने का दावा करने वाले किसी व्यक्ति को पूरा SSN, खाते का विवरण या एक बार इस्तेमाल होने वाला कोड नहीं देना चाहिए।

Easypak ने कहा कि उसने अपने सिस्टम सुरक्षित किए, बाहरी साइबर सुरक्षा पेशेवरों के साथ गहन समीक्षा की और अपने सुरक्षा तथा गोपनीयता नियंत्रणों का मूल्यांकन और सुधार जारी रखा। पत्र जारी होने तक उसके पास ऐसा कोई प्रमाण नहीं था कि व्यक्तिगत जानकारी का उपयोग वित्तीय धोखाधड़ी या पहचान की चोरी के लिए किया गया हो। यह निष्कर्ष उस समय तक सीमित है और बाद में दुरुपयोग न होने की गारंटी नहीं है।

संगठन ने निःशुल्क क्रेडिट निगरानी की पेशकश की और धोखाधड़ी संबंधी अलर्ट, क्रेडिट फ़्रीज़ तथा निःशुल्क क्रेडिट रिपोर्ट के लिए निर्देश दिए। उसकी निर्धारित सहायता लाइन प्रत्येक पत्र की तारीख से 90 दिनों तक, कार्यदिवसों में ईस्टर्न टाइम के अनुसार सुबह 8 बजे से रात 8 बजे तक उपलब्ध है। परिशिष्ट में SSN और चिकित्सा पहचान से संबंधित सामान्य मार्गदर्शन एहतियात के तौर पर दिया गया है; इससे यह साबित नहीं होता कि हर प्राप्तकर्ता की जानकारी में हर श्रेणी शामिल थी।

नियामकीय स्रोत मैसाचुसेट्स के कम से कम 217 निवासियों के प्रभावित होने की पुष्टि करते हैं, लेकिन देश भर की कुल संख्या नहीं बताते। इसलिए यह आँकड़ा सत्यापित न्यूनतम संख्या है; प्रभावित व्यक्तियों की संख्या के स्थान पर Easypak के कर्मचारियों, ग्राहकों या आपूर्तिकर्ताओं की संख्या का उपयोग नहीं किया जाना चाहिए।

प्राप्तकर्ता को सबसे पहले अपने व्यक्तिगत पत्र में दर्ज सटीक फ़ील्ड की पहचान करनी चाहिए। यदि SSN या ड्राइविंग लाइसेंस का विवरण दर्ज है, तो क्रेडिट फ़्रीज़ और धोखाधड़ी संबंधी अलर्ट पर विचार करें। यदि वित्तीय खाते की जानकारी दर्ज है, तो संबंधित संस्था में अपने खाते पर नज़र रखें और चर्चा करें कि खाते में बदलाव करना उचित होगा या नहीं। जहाँ प्रासंगिक हो, अनजान चिकित्सा सेवाओं की समीक्षा करें। जिन लोगों को कोई सूचना नहीं मिली, उन्हें केवल सार्वजनिक प्रविष्टि के आधार पर खुद को प्रभावित नहीं मानना चाहिए। साथ ही, Akira के दावे को Easypak की ओर से हमलावर की पहचान की पुष्टि नहीं समझना चाहिए।