Eatigo: डेटा में सेंध

Eatigo के रिकॉर्ड में मौजूद ईमेल पते, फ़ोन नंबर और नाम-उपनाम की जानकारी से उपयोगकर्ता तक सीधे पहुँचना आसान हो जाता है। रेस्तराँ आरक्षण के संदर्भ में यह जानकारी सोशल इंजीनियरिंग के लिए भेजे गए फर्जी आरक्षण पुष्टिकरण, रद्द होने की सूचनाओं, छूट कूपन, खाता सत्यापन या ग्राहक सेवा संदेशों को अधिक विश्वसनीय बना सकती है। लिंग संबंधी जानकारी और सोशल मीडिया प्रोफ़ाइल भी उपलब्ध हों, तो हमलावर लक्षित व्यक्ति के बारे में मिली जानकारी के आधार पर संदेश को और व्यक्तिगत बना सकता है।

पासवर्ड वाला फ़ील्ड सबसे गंभीर जोखिमों में से एक है। बिना सॉल्ट वाला MD5 हैश, प्रत्येक पासवर्ड के लिए अलग सॉल्ट मान जोड़कर मज़बूत की गई आधुनिक पासवर्ड भंडारण विधियों की तुलना में कमज़ोर है। इसका अर्थ यह नहीं कि हर पासवर्ड तुरंत क्रैक किया जा सकता है, लेकिन आम पासवर्ड की सूचियों में मौजूद और कई खातों में इस्तेमाल किए गए पासवर्ड के लिए जोखिम काफ़ी बढ़ जाता है। फ़ोन नंबर के साथ मिलकर पासवर्ड से जुड़ा जोखिम न केवल ईमेल के ज़रिए फ़िशिंग, बल्कि फर्जी कॉल और SMS के ज़रिए धोखाधड़ी को भी अधिक प्रभावी बना सकता है।

इस रिकॉर्ड का मुख्य पुष्ट दायरा 27,89,609 खाते हैं। घटना की तकनीकी पृष्ठभूमि एक पुराने डेटाबेस से जुड़ी है, जिसका प्लेटफ़ॉर्म बदलने के बाद डेटा सूची में ठीक से हिसाब नहीं रखा गया और जो इंटरनेट से सुलभ बना रहा। हालाँकि डेटा की बिक्री पर ध्यान 2020 में गया, डेटाबेस का अंतिम अपडेट और घटना का संदर्भ 2018 की अवधि की ओर संकेत करते हैं। इसलिए उल्लंघन की तारीख और उसके सार्वजनिक रूप से सामने आने की तारीख को एक नहीं समझना चाहिए।

जिन डेटा श्रेणियों की पुष्टि हुई है, वे हैं ईमेल पते, लिंग संबंधी जानकारी, नाम, पासवर्ड, फ़ोन नंबर और सोशल मीडिया प्रोफ़ाइल। भुगतान कार्ड की जानकारी इस घटना के पुष्ट दायरे में नहीं है; कंपनी के बयानों के अनुसार, सिस्टम में क्रेडिट कार्ड की जानकारी संग्रहीत नहीं की जाती है। अलग-अलग स्रोतों में सोशल मीडिया से जुड़े फ़ील्ड के बारे में अधिक विस्तृत बयान मिलते हैं, लेकिन इस रिकॉर्ड में डेटा की श्रेणी को सोशल मीडिया प्रोफ़ाइल तक ही सीमित रखा जाना चाहिए। इससे जोखिम भी स्पष्ट होता है और अतिरिक्त अपुष्ट फ़ील्ड को उपयोगकर्ता के सामने निश्चित जानकारी के रूप में भी नहीं रखा जाता।

सबसे अधिक जोखिम उन लोगों को है जो अपने Eatigo खाते का पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल करते हैं। यदि वही ईमेल और पासवर्ड संयोजन सोशल मीडिया, ईमेल, भोजन डिलीवरी, खरीदारी या लॉयल्टी कार्यक्रम के खातों में भी इस्तेमाल किया गया हो, तो रेस्तराँ आरक्षण के किसी पुराने रिकॉर्ड से जुड़ा जोखिम अन्य खातों तक फैल सकता है। फ़ोन नंबर और नाम-उपनाम की जानकारी भी हमलावर को उपयोगकर्ता से सीधे संपर्क करके सुरक्षा या आरक्षण की फर्जी प्रक्रिया शुरू करने में मदद कर सकती है।

सिंगापुर, हांगकांग, थाईलैंड और आसपास के क्षेत्र में रेस्तराँ आरक्षण करने वाले उपयोगकर्ताओं को स्थानीय अभियानों और आरक्षण से जुड़ी भाषा के ज़रिए भी निशाना बनाया जा सकता है। यदि किसी व्यक्ति ने अपना Eatigo खाता अपनी सोशल मीडिया प्रोफ़ाइल से जोड़ा है, तो हमलावर उस प्रोफ़ाइल से और जानकारी जुटाकर संदेश को अधिक व्यक्तिगत बना सकता है। कॉर्पोरेट ईमेल पते से पंजीकरण करने वाले उपयोगकर्ताओं के लिए जोखिम उनके कामकाजी खाते तक बढ़ सकता है; रेस्तराँ आरक्षण या आयोजनों के बहाने आने वाले संदेश कर्मचारियों को निशाना बनाने वाले फ़िशिंग प्रयासों में बदल सकते हैं।

यदि आपका ईमेल पता Eatigo के रिकॉर्ड में है, तो सबसे पहले सुनिश्चित करें कि Eatigo खाते का पासवर्ड किसी अन्य खाते में इस्तेमाल नहीं किया गया है। यदि वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, तो ईमेल, सोशल मीडिया, भोजन डिलीवरी, खरीदारी और भुगतान से जुड़े खातों के पासवर्ड तुरंत बदलने चाहिए। नए पासवर्ड हर खाते के लिए अलग होने चाहिए और उन्हें पासवर्ड मैनेजर में सुरक्षित रखना चाहिए। पुराने पासवर्ड के अंत में केवल कोई संख्या जोड़ देना पर्याप्त नहीं है।

यह ध्यान में रखते हुए कि आपका फ़ोन नंबर और नाम-उपनाम की जानकारी भी लीक हुई हो सकती है, टेक्स्ट संदेशों और कॉल के प्रति सतर्क रहें। आरक्षण रद्द होने, रेस्तराँ की छूट, खाता सत्यापन या सुरक्षा जाँच के बहाने आने वाले लिंक पर सीधे क्लिक न करें। खाते में प्रवेश करने के लिए ब्राउज़र में पता स्वयं टाइप करें या आधिकारिक ऐप का इस्तेमाल करें। जिन खातों में दो-कारक प्रमाणीकरण उपलब्ध है, उनमें इसे सक्रिय करें और अपने ईमेल खाते में अनजान सत्रों की जाँच करें।

Eatigo की घटना दिखाती है कि प्लेटफ़ॉर्म बदलते समय पीछे छूट गए पुराने डेटाबेस और सिस्टम गंभीर जोखिम पैदा कर सकते हैं। संगठनों को अपनी डेटा सूची अद्यतन रखनी चाहिए, इस्तेमाल में न आने वाले डेटाबेस बंद करने चाहिए और पहुँच नियंत्रणों के ज़रिए बैकअप तथा पुराने सिस्टम के परिवेश को अलग रखना चाहिए। पासवर्ड संग्रहीत करने के लिए बिना सॉल्ट वाले MD5 जैसी पुरानी विधियों का इस्तेमाल नहीं किया जाना चाहिए; मज़बूत, सॉल्ट वाले और धीमे हैश एल्गोरिदम को प्राथमिकता दी जानी चाहिए। व्यक्तिगत डेटा केवल आवश्यक अवधि तक रखा जाना चाहिए और पुराने रिकॉर्ड नियमित रूप से हटाए जाने चाहिए।

उपयोगकर्ताओं की दीर्घकालिक रणनीति यह होनी चाहिए कि वे पासवर्ड का दोबारा इस्तेमाल न करें, अनावश्यक खातों में फ़ोन नंबर साझा न करें और सोशल मीडिया से खातों को जोड़ना सीमित रखें। यदि रेस्तराँ, यात्रा, खरीदारी और डिलीवरी के खातों के लिए अलग-अलग ईमेल पते इस्तेमाल किए जाएँ, तो किसी एक सेवा से लीक हुई जानकारी को अन्य प्रोफ़ाइल से जोड़ना कठिन होगा। संगठनों को भी कर्मचारियों द्वारा निजी सेवाओं पर कामकाजी ईमेल के इस्तेमाल को कम करना चाहिए और फ़िशिंग के प्रति जागरूकता बढ़ाने के साथ-साथ लीक हुए पासवर्ड की जाँच करनी चाहिए।

यदि आपका ईमेल पता इस रिकॉर्ड में है, तो केवल अपने Eatigo खाते की ही नहीं, बल्कि उन अन्य खातों की भी जाँच करें जिन्हें आप उसी अवधि में समान पासवर्ड या फ़ोन नंबर के साथ इस्तेमाल करते थे। पासवर्ड हैश के रूप में संग्रहीत होने पर भी, बिना सॉल्ट वाले MD5 की कमज़ोरी के कारण वही पासवर्ड कहीं और इस्तेमाल करना गंभीर जोखिम है। फ़ोन नंबर और सोशल मीडिया प्रोफ़ाइल के संयोजन का इस्तेमाल फर्जी सहायता संदेशों या व्यक्ति की जानकारी के आधार पर तैयार किए गए फ़िशिंग प्रयासों के लिए किया जा सकता है।

सही कदम हैं: हर खाते के लिए अलग पासवर्ड रखना, महत्वपूर्ण खातों में दो-चरणीय सत्यापन सक्रिय करना और संदिग्ध आरक्षण या सुरक्षा संदेशों की पुष्टि किए बिना उन पर कार्रवाई न करना। याद रखें कि इस रिकॉर्ड में भुगतान कार्ड की जानकारी की पुष्टि नहीं हुई है; फिर भी ईमेल, फ़ोन, नाम, सोशल मीडिया प्रोफ़ाइल और कमज़ोर हैशिंग वाले पासवर्ड का संयोजन अपने आप में गंभीर है। इन कदमों से Eatigo के डेटा उल्लंघन का असर अन्य खातों और आपकी मौजूदा पहचान की सुरक्षा तक पहुँचने का जोखिम कम होता है।