EatStreet: डेटा में सेंध

EatStreet रिकॉर्ड में कई तरह के डेटा का एक साथ मौजूद होना अनेक स्तरों पर जोखिम पैदा करता है। ईमेल पता, फ़ोन नंबर, पूरा नाम और भौतिक पता एक साथ मिलने पर हमलावर उपयोगकर्ता से सीधे संपर्क कर सकता है और डिलीवरी, ऑर्डर, वापसी या कार्ड सत्यापन के फ़र्जी संदेश भेज सकता है। जन्मतिथि और लिंग संबंधी जानकारी अतिरिक्त संदर्भ देती है, जिसका दुरुपयोग खाता पुनर्प्राप्ति की प्रक्रियाओं या पहचान सत्यापन से जुड़े सवालों में किया जा सकता है। वहीं, सोशल मीडिया प्रोफ़ाइल किसी व्यक्ति को उसके अन्य ऑनलाइन खातों से जोड़ने में मदद कर सकती हैं।

पासवर्ड वाला फ़ील्ड bcrypt हैश के रूप में होने पर भी जोखिम बना रहता है। Bcrypt एक आधुनिक और धीमा हैश एल्गोरिदम है, लेकिन कमज़ोर या कई खातों में इस्तेमाल किए गए पासवर्ड फिर भी हमलावरों के निशाने पर आ सकते हैं। यह ज़रूरी नहीं कि क्रेडिट कार्ड के आंशिक डेटा से होने वाला वित्तीय जोखिम कार्ड की पूरी जानकारी से होने वाले जोखिम जितना निश्चित हो। फिर भी, कार्ड के अंतिम अंकों, बिलिंग पते या फ़ोन नंबर के साथ मिलकर यह जानकारी बैंक के नाम पर किए जाने वाले फ़र्जी कॉल और भुगतान सत्यापन के बहाने की जाने वाली धोखाधड़ी को अधिक विश्वसनीय बना सकती है। साझेदारों के मामले में बैंक खाते और रूटिंग जानकारी से जुड़े जोखिम को भी ध्यान में रखना चाहिए।

इस रिकॉर्ड के मुख्य सत्यापित दायरे में 63,53,564 खाते शामिल हैं। घटना की तारीख 3 मई 2019 दर्ज है; बताया गया है कि अनधिकृत पहुँच का पता 17 मई 2019 को चला और उसी दिन उसे रोक दिया गया। डेटा की श्रेणियाँ व्यापक हैं, लेकिन यह नहीं मानना चाहिए कि हर उपयोगकर्ता के लिए हर फ़ील्ड मौजूद है। ग्राहकों, रेस्तराँ साझेदारों और डिलीवरी साझेदारों के रिकॉर्ड में अलग-अलग फ़ील्ड हो सकते हैं। इसलिए विवरण में ऐसे निश्चित कथन नहीं होने चाहिए जिनसे यह संकेत मिले कि सभी उपयोगकर्ताओं के बैंक खाते का डेटा या कार्ड के पूरे नंबर लीक हुए थे।

सार्वजनिक खोज के दायरे में सत्यापित मुख्य डेटा श्रेणियों में जन्मतिथि, ईमेल, लिंग, नाम, क्रेडिट कार्ड का आंशिक डेटा, पासवर्ड, फ़ोन, भौतिक पता और सोशल मीडिया प्रोफ़ाइल शामिल हैं। साझेदारों को भेजी गई सूचनाओं में डिलीवरी सेवा का नाम, साझेदार का नाम, ईमेल, फ़ोन और बैंक/रूटिंग जानकारी जैसे फ़ील्ड दिखाई देते हैं। इन फ़ील्ड का आकलन प्रत्येक साझेदार के मामले में अलग से किया जाना चाहिए। ग्राहकों के मामले में कार्ड का आंशिक डेटा और बिलिंग/डिलीवरी से जुड़ा संदर्भ सोशल इंजीनियरिंग का जोखिम बढ़ाते हैं। यह अंतर समझना ज़रूरी है, ताकि उपयोगकर्ता को अनावश्यक रूप से चिंतित किए बिना सही सावधानियाँ बरती जा सकें।

सबसे अधिक जोखिम उन ग्राहकों को है जो EatStreet से ऑर्डर करते हैं और वही पासवर्ड अन्य खातों में भी इस्तेमाल करते हैं। ईमेल, फ़ोन, पता और ऑर्डर से जुड़ा संदर्भ हमलावर को ऐसे डिलीवरी या भुगतान संदेश तैयार करने में मदद करते हैं जो असली लगें। यदि कार्ड का आंशिक डेटा भी शामिल हो, तो बैंक या कार्ड सत्यापन के नाम पर किए गए फ़र्जी कॉल के दौरान उपयोगकर्ता को अधिक आसानी से विश्वास दिलाया जा सकता है। जन्मतिथियों की मदद से खाता पुनर्प्राप्ति की प्रक्रियाओं में इस्तेमाल होने वाले कमज़ोर सत्यापन सवालों के जवाब का अनुमान लगाना आसान हो सकता है।

रेस्तराँ और डिलीवरी साझेदारों को भी अधिक जोखिम है। साझेदारों को भेजी गई सूचनाओं में बैंक खाता नंबर और रूटिंग नंबर जैसे वित्तीय विवरण शामिल हैं, इसलिए इस समूह की सावधानियाँ केवल पासवर्ड या ईमेल की सुरक्षा तक सीमित नहीं होनी चाहिए। व्यावसायिक खातों से होने वाले भुगतान, बैंक लेन-देन और अनधिकृत धन हस्तांतरण के प्रयासों पर नज़र रखनी चाहिए। कंपनी के ईमेल पते से पंजीकरण करने वाले रेस्तराँ कर्मचारियों या व्यवसाय मालिकों को फ़र्जी बिल, भुगतान में बदलाव की सूचनाओं और प्लेटफ़ॉर्म सहायता के नाम पर भेजे गए संदेशों के ज़रिए निशाना बनाया जा सकता है।

यदि EatStreet खाते का पासवर्ड किसी दूसरे खाते में भी इस्तेमाल किया गया है, तो उसे तुरंत बदलना चाहिए। Bcrypt हैश का इस्तेमाल एक अच्छा तकनीकी सुरक्षा उपाय है, लेकिन इससे कई खातों में इस्तेमाल किया गया एक ही पासवर्ड सुरक्षित नहीं हो जाता। ईमेल, सोशल मीडिया, खाने की डिलीवरी, खरीदारी और भुगतान से जुड़े खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए और दो-कारक प्रमाणीकरण चालू करना चाहिए। पासवर्ड के मूल हिस्से भी एक जैसे या मिलते-जुलते नहीं होने चाहिए; हमलावर लीक हुए पासवर्ड से मिले संकेतों के आधार पर उनके अलग-अलग रूप आज़मा सकते हैं।

ग्राहकों को कार्ड के लेन-देन, संदिग्ध डिलीवरी संदेशों और खाता सत्यापन के अनुरोधों पर सावधानी से नज़र रखनी चाहिए। कार्ड प्रदाता से मिलने वाले संदिग्ध लेन-देन के अलर्ट चालू करना उपयोगी है। पते और फ़ोन की जानकारी लीक हुई हो सकती है, इसलिए केवल ईमेल ही नहीं, टेक्स्ट संदेशों और कॉल पर भी ध्यान देना चाहिए। रेस्तराँ और डिलीवरी साझेदारों को बैंक खाते के लेन-देन की जाँच करनी चाहिए, देखना चाहिए कि भुगतान निर्देशों में कोई अप्रत्याशित बदलाव तो नहीं हुआ है, और व्यावसायिक खातों के अधिकृत उपयोगकर्ताओं की समीक्षा करनी चाहिए।

EatStreet की घटना दिखाती है कि खाना ऑर्डर करने और डिलीवरी की व्यवस्था में ग्राहकों के डेटा और साझेदारों के वित्तीय डेटा को एक ही सुरक्षा ढाँचे के तहत संरक्षित किया जाना चाहिए। संगठनों को डेटाबेस तक पहुँच की बारीकी से निगरानी करनी चाहिए, अनावश्यक फ़ील्ड नहीं रखने चाहिए, पुराने रिकॉर्ड नियमित रूप से हटाने चाहिए और जहाँ संभव हो, कार्ड के डेटा को टोकन या अंतिम अंकों तक सीमित रखना चाहिए। पासवर्ड संग्रहीत करने के लिए bcrypt जैसे मज़बूत तरीकों का इस्तेमाल होना चाहिए। साथ ही, मज़बूत पासवर्ड नीति और बहु-कारक प्रमाणीकरण भी लागू किया जाना चाहिए।

उपयोगकर्ताओं के लिए दीर्घकालिक उपाय यह है कि खाना ऑर्डर करने, खरीदारी और भुगतान के खातों में अलग-अलग पासवर्ड रखें और प्रोफ़ाइल की जानकारी अनावश्यक रूप से साझा न करें। पता, फ़ोन नंबर और जन्मतिथि जैसी जानकारी बदलना मुश्किल होता है, इसलिए एक बार लीक होने पर लंबे समय तक इसका इस्तेमाल लक्षित धोखाधड़ी में किया जा सकता है। व्यवसायों और साझेदारों को वित्तीय खातों की जानकारी रखने वाले प्लेटफ़ॉर्म पर भूमिका-आधारित पहुँच, लेन-देन की मंज़ूरी और बैंक खातों में धन की आवाजाही की निगरानी की प्रक्रियाएँ मज़बूत करनी चाहिए।

यदि आपका ईमेल पता इस रिकॉर्ड में दिखाई देता है, तो केवल अपने EatStreet खाते की ही नहीं, बल्कि उन सभी खातों की भी जाँच करें जिनमें वही पासवर्ड इस्तेमाल किया गया है। खाने के संदिग्ध ऑर्डर, डिलीवरी, वापसी और बैंक या कार्ड सत्यापन के संदेशों से सावधान रहें। क्रेडिट कार्ड का आंशिक डेटा और पते की जानकारी फ़र्जी ग्राहक सेवा बातचीत को विश्वसनीय बना सकते हैं। यदि आपको अपने कार्ड पर कोई अपरिचित लेन-देन दिखाई दे, तो सीधे अपने कार्ड प्रदाता से संपर्क करें और संदेश में दिए गए लिंक पर क्लिक न करें।

यदि आप रेस्तराँ या डिलीवरी साझेदार हैं, तो वित्तीय खाते के लेन-देन और भुगतान सेटिंग की भी समीक्षा करें। बैंक खाते या रूटिंग जानकारी वाली सूचनाएँ साझेदारों से संबंधित हैं; इसलिए यह सत्यापित करना महत्वपूर्ण है कि व्यावसायिक खातों में कोई अनधिकृत बदलाव नहीं हुआ है। EatStreet में डेटा सेंध की घटना दिखाती है कि ग्राहक की प्रोफ़ाइल का डेटा, आंशिक वित्तीय डेटा और पासवर्ड हैश एक साथ मिलकर लंबे समय तक सोशल इंजीनियरिंग और खाते की सुरक्षा से जुड़े जोखिम पैदा कर सकते हैं।