Exactis: डेटा में सेंध

Exactis के रिकॉर्ड में ईमेल पते, पूरे नाम, फ़ोन नंबर, भौतिक पते, IP पते और जन्मतिथियाँ जैसी सीधे पहचान कराने वाली जानकारी शामिल है। इसके अलावा, प्रोफ़ाइल में क्रेडिट स्थिति, शिक्षा का स्तर, जातीय पृष्ठभूमि, पारिवारिक स्थिति, वित्तीय निवेश में रुचि, लिंग, घर का स्वामित्व, आय का स्तर, वैवाहिक स्थिति, शुद्ध संपत्ति का दायरा, पेशा, व्यक्तिगत रुचियाँ, धर्म और बोली जाने वाली भाषाओं की जानकारी भी दर्ज है। इन जानकारियों को मिलाकर हमलावर बिना किसी पासवर्ड के भी व्यक्ति के अनुरूप धोखाधड़ी की योजनाएँ, लक्षित संदेश, फ़र्ज़ी ग्राहक सेवा कॉल या फ़िशिंग के तरीके तैयार कर सकते हैं।

इस डेटा सेंध का सबसे गंभीर पहलू यह है कि इसमें ऐसी जानकारियों को एक साथ जोड़ा गया है, जिनका असर अलग-अलग देखने पर सीमित लग सकता है। ईमेल पता, फ़ोन नंबर और भौतिक पता किसी व्यक्ति तक पहुँचना आसान बनाते हैं; आय, परिवार और रुचियों की जानकारी से यह संकेत मिलता है कि कौन-से वादे या दबाव डालने के तरीके उस पर अधिक असर कर सकते हैं। इसलिए Exactis के डेटा का उजागर होना खाते पर अनधिकृत नियंत्रण के जोखिम से अधिक सोशल इंजीनियरिंग, लक्षित विज्ञापनों के दुरुपयोग, धोखाधड़ी और प्रोफ़ाइल के आधार पर भेदभाव के जोखिम बढ़ाता है।

सत्यापित दायरे में 13,15,77,763 अलग-अलग खाते माने जाने चाहिए। यह संख्या बड़े मूल डेटासेट से जुड़े दावों से अलग रखी गई है और उपयोगकर्ता नियंत्रण स्क्रीन पर इसी संख्या का इस्तेमाल किया जाता है। डेटा सेंध की तारीख 1 जून 2018 तय की गई है, जबकि रिकॉर्ड जोड़े जाने और अंतिम बार संशोधित किए जाने की तारीखें 25 जुलाई 2018 तय की गई हैं। Exactis का डोमेन exactis.com ही रखा गया है। कंपनी का देश संयुक्त राज्य अमेरिका है और उसका क्षेत्र डेटा ब्रोकरेज तथा मार्केटिंग डेटा माना गया है।

Exactis के मामले में पासवर्ड, भुगतान कार्ड, बैंक खाते या सामाजिक सुरक्षा नंबर जैसी जानकारी सत्यापित डेटा श्रेणियों में शामिल नहीं है। लेकिन इससे जोखिम कम नहीं हो जाता। क्रेडिट स्थिति, आय, पता, परिवार और मान्यताओं जैसी प्रोफ़ाइल जानकारी को एक साथ जोड़ने से व्यक्ति के सुरक्षा सवालों के जवाब का अनुमान लगाना आसान हो सकता है। इससे वह लक्षित धोखाधड़ी के तरीकों और संस्थाओं के नाम पर भेजे गए फ़र्ज़ी पत्राचार के प्रति भी अधिक असुरक्षित हो सकता है। इसलिए जोखिम के स्तर, रिकॉर्ड की संख्या और प्रोफ़ाइल में जानकारी के विस्तार को देखते हुए इसकी श्रेणी अत्यंत गंभीर रखी गई है।

इस घटना से सबसे अधिक प्रभावित होने की संभावना उन लोगों की है जो अमेरिका-आधारित उपभोक्ता प्रोफ़ाइलों या मार्केटिंग सूचियों में शामिल हैं। भले ही किसी व्यक्ति ने कभी Exactis का इस्तेमाल न किया हो, डेटा ब्रोकरेज मॉडल के कारण उसका नाम, ईमेल पता या पता तीसरे पक्ष की सूचियों से जुटाया गया हो सकता है। इसलिए यह जोखिम इस बात पर निर्भर नहीं करता कि व्यक्ति के पास पारंपरिक अर्थ में कोई वास्तविक उपयोगकर्ता खाता है या नहीं।

बिक्री, रियल एस्टेट, वित्त, स्वास्थ्य, शिक्षा या दान अभियानों से अक्सर जुड़ने वाले उपयोगकर्ता अधिक आसानी से पहचाने जाने वाले लक्ष्य बन सकते हैं। इसी तरह, जो लोग लंबे समय से एक ही फ़ोन नंबर और ईमेल पते का इस्तेमाल कर रहे हैं, उनकी पुरानी प्रोफ़ाइल जानकारी अब भी धोखाधड़ी के प्रयासों में इस्तेमाल की जा सकती है। वैवाहिक स्थिति, पेशा, आय और रुचियों जैसी जानकारी हमलावर को संदेश व्यक्तिगत और विश्वसनीय दिखाने में मदद कर सकती है। इसलिए फ़ोन कॉल, टेक्स्ट संदेशों और ईमेल के ज़रिए मिलने वाले अनुरोधों पर विशेष सावधानी बरतनी चाहिए।

Exactis के रिकॉर्ड में पासवर्ड वाली कोई डेटा श्रेणी सत्यापित नहीं हुई है, इसलिए शुरुआती कार्रवाई केवल पासवर्ड बदलने तक सीमित नहीं होनी चाहिए। उपयोगकर्ताओं को सबसे पहले अपने ईमेल, फ़ोन और भौतिक पते पर मिलने वाले अप्रत्याशित अनुरोधों की अधिक सख्ती से जाँच करनी चाहिए। वित्त, माल की डिलीवरी, सरकारी संस्थाओं, बीमा, स्कूल, चंदा अभियानों या सदस्यता नवीनीकरण के बहाने आने वाले संदेशों में किसी भी लिंक पर क्लिक करने से पहले संबंधित संस्था के आधिकारिक संचार माध्यम से पुष्टि करना ज़रूरी है।

ईमेल खाते के लिए मज़बूत और ऐसा पासवर्ड इस्तेमाल करना चाहिए जो किसी अन्य खाते में इस्तेमाल न हो। जहाँ संभव हो, बहु-कारक प्रमाणीकरण भी चालू करना चाहिए। मोबाइल ऑपरेटर के खाते में SIM बदलने, नंबर पोर्ट कराने और ग्राहक सेवा से जुड़े कामों के लिए अतिरिक्त PIN या सुरक्षा पासवर्ड सेट करना चाहिए। चूँकि Exactis के डेटा में पते और फ़ोन की जानकारी शामिल है, इसलिए फ़र्ज़ी डिलीवरी संदेशों, बकाया ऋण के नोटिस, निवेश प्रस्तावों या सर्वेक्षण कॉल के जवाब में सीधे जानकारी साझा नहीं करनी चाहिए। जन्मतिथि, आय और परिवार की जानकारी माँगने वाले फ़ॉर्म को सावधानी से परखना चाहिए।

ऐसे डेटा ब्रोकरों के ज़रिए जानकारी उजागर होने पर दीर्घकालिक रणनीति का लक्ष्य केवल किसी एक खाते को सुरक्षित करना नहीं, बल्कि व्यक्तिगत प्रोफ़ाइल का दोबारा इस्तेमाल कठिन बनाना होना चाहिए। उपयोगकर्ता सभी सेवाओं के लिए एक ही ईमेल पता इस्तेमाल करने के बजाय वित्तीय सेवाओं, खरीदारी, सोशल मीडिया और न्यूज़लेटर के लिए अलग-अलग पते इस्तेमाल कर सकते हैं। यदि किसी सेवा का इस्तेमाल केवल किसी अभियान या परीक्षण के लिए करना है, तो स्थायी मुख्य ईमेल पते के बजाय अलग पता इस्तेमाल करने से भविष्य में अलग-अलग रिकॉर्ड को आपस में जोड़ने का जोखिम कम होता है।

क्रेडिट रिपोर्ट और वित्तीय लेनदेन की नियमित अंतराल पर समीक्षा करनी चाहिए। नए खाते खुलने या संदिग्ध क्रेडिट पूछताछ की सूचना देने वाली सेवाएँ भी सक्रिय करनी चाहिए। डेटा ब्रोकरों की सूचियों से जानकारी हटाने का अनुरोध करने वाले आधिकारिक फ़ॉर्म पर विचार किया जा सकता है; हालाँकि, यह ध्यान रखना चाहिए कि इन प्रक्रियाओं से हमेशा स्थायी परिणाम नहीं मिलते। सबसे प्रभावी बचाव यह है कि अप्रत्याशित संपर्क होने पर जल्दबाज़ी में फैसले न लें, अनावश्यक फ़ॉर्म में अपनी प्रोफ़ाइल की जानकारी न भरें और अधिक मूल्य वाले खातों के लिए अतिरिक्त सत्यापन इस्तेमाल करें।

LeakData पर Exactis के परिणामों में दिखाई देने वाले उपयोगकर्ताओं को इस रिकॉर्ड को पासवर्ड लीक नहीं, बल्कि उनकी विस्तृत प्रोफ़ाइल उजागर होने के रूप में देखना चाहिए। ईमेल पते, फ़ोन नंबर, पते और जनसांख्यिकीय जानकारी एक साथ उपलब्ध होने से विश्वसनीय दिखने वाले फ़िशिंग संदेश भेजना, व्यक्ति के अनुरूप कॉल करना और सुरक्षा सवालों के जवाब का अनुमान लगाना आसान हो सकता है। इसलिए चेतावनी दिखने पर केवल संबंधित साइट की जाँच करने के बजाय उन सभी महत्वपूर्ण खातों की समीक्षा करनी चाहिए जिनमें वही ईमेल पता और फ़ोन नंबर इस्तेमाल किया गया है।

जाँच के बाद सबसे उपयुक्त कदम हैं: ईमेल खाते की सुरक्षा मज़बूत करना, बहु-कारक प्रमाणीकरण चालू करना, मोबाइल ऑपरेटर के खाते में अतिरिक्त सुरक्षा कोड जोड़ना, वित्तीय लेनदेन पर नज़र रखना और अप्रत्याशित संपर्कों से बचना। भौतिक पते पर भेजे गए आधिकारिक दिखने वाले पत्रों, फ़ोन पर सत्यापन कोड माँगने वाले अनुरोधों और व्यक्तिगत जानकारी पूछने वाले सर्वेक्षणों की भी जाँच करनी चाहिए। Exactis के रिकॉर्ड को गंभीर प्रभाव वाली डेटा सेंध माना जाना चाहिए। यह संकेत देता है कि किसी व्यक्ति के डिजिटल और भौतिक संपर्क माध्यमों को निशाना बनाया जा सकता है, भले ही प्रमाणीकरण संबंधी जानकारी लीक न हुई हो।