Estante Virtual: डेटा में सेंध

इस घटना में जिन डेटा प्रकारों की पुष्टि हुई है, उनमें नाम, यूज़रनेम, ईमेल पते, भौतिक पते, फ़ोन नंबर, जन्मतिथियाँ और पासवर्ड शामिल हैं। पासवर्ड को बिना सॉल्ट वाले SHA-1 प्रारूप में संग्रहीत करने से जोखिम बढ़ता है। इस प्रकार का पासवर्ड हैश सैद्धांतिक रूप से मज़बूत, अद्वितीय और लंबे पासवर्ड को भी सुरक्षा देता है, लेकिन कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के मामले में यह अनुमान लगाने और मिलान करने वाले हमलों को आसान बना सकता है। ईमेल पते और यूज़रनेम का संयोजन हमलावरों को अलग-अलग खातों पर एक ही व्यक्ति की पहचान करने में मदद कर सकता है। वहीं, फ़ोन नंबर और भौतिक पते की जानकारी का इस्तेमाल लक्षित धोखाधड़ी में किया जा सकता है, जैसे नकली डिलीवरी सूचनाएँ, फ़र्ज़ी ग्राहक सेवा कॉल, भुगतान नवीनीकरण के बहाने या खाते के सत्यापन के जाल।

केवल जन्मतिथि वित्तीय पहचान का प्रमाण नहीं है। लेकिन जब इसे पते, फ़ोन और ईमेल की जानकारी के साथ जोड़ा जाता है, तो जोखिम अधिक ठोस हो जाता है। हमलावर इस संयोजन का इस्तेमाल किसी व्यक्ति की खरीदारी की आदतों से मेल खाते दिखने वाले संदेश तैयार करने, पासवर्ड रीसेट करने वाले सवालों के जवाब का अनुमान लगाने या उसी जानकारी से अन्य मंचों पर खातों का नियंत्रण हासिल करने की कोशिश में कर सकता है। पुस्तक बाज़ार के संदर्भ में, उपयोगकर्ताओं की पढ़ने की पसंद, विक्रेता-खरीदार संबंध और डिलीवरी का इतिहास भी सोशल इंजीनियरिंग के तरीकों को अधिक विश्वसनीय बना सकते हैं। इसलिए केवल Estante Virtual खाते की सुरक्षा की ही नहीं, बल्कि उसी संपर्क जानकारी से खोले गए अन्य खातों की सुरक्षा की भी समीक्षा करनी चाहिए।

इस रिकॉर्ड का आधार प्रभावित खातों की सत्यापित संख्या 54,12,603 है, और उल्लंघन की तारीख 28 फरवरी 2019 दर्ज है। कुछ डेटा सूचियों में कच्चे डेटा की पंक्तियों की संख्या इससे अधिक दिखाई दे सकती है। लेकिन कच्चे डेटा की पंक्तियों की संख्या हमेशा अलग-अलग व्यक्तियों या ग्राहकों की संख्या नहीं होती। एक ही उपयोगकर्ता, विक्रेता प्रोफ़ाइल, पते के किसी हिस्से, खाते के फ़ील्ड या बार-बार आने वाले डेटा तत्व से जुड़ी कई पंक्तियाँ अलग-अलग रिकॉर्ड के रूप में गिनी जा सकती हैं। इसलिए सार्वजनिक रूप से उपलब्ध रिकॉर्ड में खातों पर प्रभाव बताने के लिए 54 लाख के स्तर की सत्यापित संख्या को आधार बनाना चाहिए। पंक्तियों की अधिक संख्या के दावों को अलग-अलग पीड़ितों की संख्या के रूप में प्रस्तुत नहीं करना चाहिए।

डेटा प्रकारों का आकलन नाम, यूज़रनेम, ईमेल पता, भौतिक पता, फ़ोन नंबर, जन्मतिथि और पासवर्ड जैसे फ़ील्ड तक सीमित रखा जाना चाहिए। इस रिकॉर्ड में सत्यापित डेटा श्रेणियाँ ऊपर दी गई व्यक्तिगत संपर्क जानकारी, खाते के पहचानकर्ताओं और पासवर्ड फ़ील्ड तक ही सीमित रहनी चाहिए। पासवर्ड की जानकारी मौजूद होने के बावजूद यह नहीं मानना चाहिए कि सभी उपयोगकर्ताओं के पासवर्ड एक ही तरह से उजागर हुए थे या सभी पासवर्ड सादे पाठ (प्लेनटेक्स्ट) में थे। रिकॉर्ड का वर्णन सुरक्षित ढंग से सॉल्ट किए गए SHA-1 पासवर्ड हैश से जुड़े जोखिम के संदर्भ में किया जाना चाहिए। उपयोगकर्ता को जोखिम का सही स्तर समझाने और घटना के दायरे को बढ़ा-चढ़ाकर बताने से बचने के लिए यह अंतर महत्वपूर्ण है।

सबसे अधिक जोखिम उन लोगों को है जो अपने Estante Virtual खाते का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। यदि वही पासवर्ड ईमेल खाते, खरीदारी की वेबसाइटों, सोशल मीडिया प्रोफ़ाइल या भुगतान से जुड़े मंचों पर दोहराया जाता है, तो हमलावर पुराने डेटा सेट से मिली जानकारी का इस्तेमाल स्वचालित लॉगिन प्रयासों में कर सकते हैं। खासकर ईमेल खाते का नियंत्रण हमलावर के हाथ में चले जाने पर, पासवर्ड रीसेट लिंक के ज़रिए उससे जुड़े कई और खाते प्रभावित हो सकते हैं। इसलिए उल्लंघन के बाद समय बीत जाने से जोखिम समाप्त नहीं होता। यदि पुराना पासवर्ड अब भी कहीं और इस्तेमाल हो रहा है, तो खतरा बना रहता है।

विक्रेताओं, नियमित खरीदारों, पुस्तक संग्रहकर्ताओं और लंबे समय से मंच पर अपना भौतिक पता अपडेट न करने वाले उपयोगकर्ताओं को भी अलग तरह का जोखिम है। कारोबारी संवाद, डिलीवरी पतों और ग्राहक संबंधों के कारण विक्रेता प्रोफ़ाइल को अधिक लक्षित संदेश मिल सकते हैं। वहीं, खरीदारों को नकली ऑर्डर सूचनाओं, वापसी अनुरोधों, शिपिंग अपडेट या खाता दोबारा सक्रिय करने के बहानों से धोखा दिया जा सकता है। जिन उपयोगकर्ताओं का फ़ोन नंबर मौजूद है, उन्हें SMS और कॉल के ज़रिए होने वाली धोखाधड़ी से अधिक सावधान रहना चाहिए। जिनकी जन्मतिथि मौजूद है, उन्हें पहचान सत्यापन के सवालों को निशाना बनाने वाले प्रयासों से अधिक सतर्क रहना चाहिए। वर्षों से एक ही ईमेल पता इस्तेमाल करने वाले लोगों के लिए, इस डेटा को अन्य पुराने लीक से जोड़ने पर उनकी प्रोफ़ाइल तैयार किए जाने का जोखिम बढ़ जाता है।

सबसे पहले यह पता लगाना चाहिए कि Estante Virtual खाते पर इस्तेमाल किया गया पासवर्ड अब भी कहीं और इस्तेमाल हो रहा है या नहीं। यदि वही या उससे मिलता-जुलता पासवर्ड किसी अन्य खाते के लिए मान्य है, तो हर सेवा के लिए अलग, लंबा और मज़बूत पासवर्ड सेट करना चाहिए। पासवर्ड बदलना केवल Estante Virtual तक सीमित नहीं रहना चाहिए। खरीदारी, ईमेल, भुगतान, सोशल मीडिया और क्लाउड के उन खातों के पासवर्ड भी बदलने चाहिए जहाँ वही ईमेल और पासवर्ड का संयोजन इस्तेमाल होता है। पासवर्ड मैनेजर का इस्तेमाल करने से दोहराए गए पासवर्ड पहचानना और मज़बूत पासवर्ड बनाना आसान होता है।

ईमेल खाते के लिए बहु-कारक प्रमाणीकरण सक्षम करना चाहिए और हाल के सत्रों तथा पासवर्ड रीसेट गतिविधियों की जाँच करनी चाहिए। चूँकि फ़ोन नंबर और पते की जानकारी लीक हुई हो सकती है, इसलिए अचानक मिलने वाले शिपिंग संदेशों, फ़र्ज़ी ग्राहक सेवा कॉल, खाता सत्यापन लिंक और भुगतान जानकारी अपडेट करने के अनुरोधों को ध्यान से जाँचना चाहिए। जन्मतिथि या पते जैसी व्यक्तिगत जानकारी का इस्तेमाल पासवर्ड, PIN या सुरक्षा सवालों के जवाब के रूप में नहीं करना चाहिए। खाता पुनर्प्राप्ति के विकल्प अपडेट करने चाहिए और पुराने पुनर्प्राप्ति ईमेल पते तथा फ़ोन नंबर हटा देने चाहिए जो अब इस्तेमाल में नहीं हैं।

ऐसे पुराने डेटा उल्लंघन, जिनका असर अब भी बना हुआ है, उपयोगकर्ताओं के लिए पासवर्ड संबंधी आदतों में स्थायी बदलाव की ज़रूरत दिखाते हैं। हर खाते के लिए अलग पासवर्ड इस्तेमाल करना, जहाँ संभव हो बहु-कारक प्रमाणीकरण सक्षम करना और नियमित रूप से पुराने खाते बंद करना बुनियादी सुरक्षा कदम हैं। सभी सेवाओं पर एक ही ईमेल पता इस्तेमाल करने के बजाय, उपयोगकर्ता महत्वपूर्ण खातों के लिए अलग पते या ईमेल पता छिपाने वाले समाधानों को प्राथमिकता दे सकते हैं। इससे खरीदारी के किसी मंच के डेटा सेट का वित्तीय या निजी संचार वाले खातों से सीधे मिलान नहीं किया जा सकता।

संस्थागत दृष्टि से, Estante Virtual की घटना पासवर्ड संग्रहीत करने के तरीकों और डेटा को न्यूनतम रखने के महत्व को उजागर करती है। पासवर्ड हैश को आधुनिक, धीमे और सॉल्ट वाले एल्गोरिदम से सुरक्षित करना चाहिए। पते, फ़ोन नंबर और जन्मतिथि जैसे डेटा की ज़रूरत समाप्त होने पर उन्हें हटा देना चाहिए। विक्रेता और खरीदार डेटा को अलग-अलग पहुँच नियंत्रणों से सुरक्षित करना चाहिए। उपयोगकर्ताओं के लिए पुराने खातों की सूची रखना, इस्तेमाल न होने वाले खाते बंद करना, ईमेल उपनाम इस्तेमाल करना और सुरक्षा सूचनाओं की नियमित समीक्षा करना लंबे समय तक नुकसान होने की आशंका कम करता है।

यदि आपने Estante Virtual इस्तेमाल किया है या पहले estantevirtual.com.br पर खाता खोला है, तो पंजीकरण सत्यापन के दौरान आपको जाँचना चाहिए कि आपका ईमेल पता इस घटना से जुड़ा है या नहीं। यदि कोई मिलान दिखाई दे, तो पहले उन अन्य खातों की पहचान करें जिनमें वही पासवर्ड इस्तेमाल होता है। फिर इन खातों के लिए अलग-अलग पासवर्ड सेट करें। पुराने पासवर्ड में छोटे बदलाव करके उसे दोबारा इस्तेमाल करना पर्याप्त नहीं है। हमलावर पासवर्ड के सामान्य बदलावों को स्वचालित रूप से आज़मा सकते हैं। अपने ईमेल खाते को प्राथमिकता दें, क्योंकि अन्य खातों की पुनर्प्राप्ति प्रक्रिया आमतौर पर ईमेल के ज़रिए होती है।

फ़ोन नंबर, पता और जन्मतिथि जैसे फ़ील्ड भी घटना के प्रभाव को व्यापक बनाते हैं, इसलिए केवल पासवर्ड बदलकर संतुष्ट न हों। शिपिंग, पुस्तक ऑर्डर, वापसी, भुगतान, खाता सत्यापन और ग्राहक सहायता से जुड़े संदेशों में लिंक पर क्लिक करने से पहले डोमेन नाम जाँचें। यदि बातचीत के दौरान कोई आपकी जानकारी माँगे, तो कॉल समाप्त करें और आधिकारिक वेबसाइट स्वयं खोलकर कार्रवाई करें। यह रिकॉर्ड Estante Virtual डेटा उल्लंघन में खातों पर पड़े सत्यापित प्रभाव और लीक हुए डेटा के प्रकारों के आधार पर उपयोगकर्ताओं को कदम उठाने में मदद देने के लिए तैयार किया गया है। इसका उद्देश्य जोखिम को बिना बढ़ा-चढ़ाकर स्पष्ट करना और पासवर्ड दोबारा इस्तेमाल करने तथा लक्षित धोखाधड़ी की संभावना पर ध्यान दिलाना है।