Experian (2015) डेटा उजागर होने का कथित मामला

इस रिकॉर्ड की डेटा श्रेणियों में क्रेडिट स्थिति की जानकारी, जन्मतिथियां, ईमेल पते, जातीय पृष्ठभूमि की जानकारी, पारिवारिक संरचना, लिंग, घर के स्वामित्व की स्थिति, आय का स्तर, IP पते, नाम, फोन नंबर, भौतिक पते और खरीदारी की आदतें शामिल हैं। इन जानकारियों को एक साथ जोड़ने पर न केवल संचार से जुड़ा जोखिम पैदा होता है, बल्कि उपभोक्ता की विस्तृत प्रोफ़ाइल बनाए जाने का जोखिम भी रहता है। नाम, पता, फोन नंबर और ईमेल के आधार पर पहचान और संपर्क के लिए किसी व्यक्ति को निशाना बनाया जा सकता है; वहीं क्रेडिट स्थिति, आय का स्तर, घर का स्वामित्व और खरीदारी की आदतें सोशल इंजीनियरिंग वाले संदेशों को अधिक विश्वसनीय बना सकती हैं।

जातीय मूल, पारिवारिक संरचना और लिंग जैसी जनसांख्यिकीय जानकारियां भी निजता की दृष्टि से महत्वपूर्ण हैं। वित्तीय प्रस्तावों, क्रेडिट मंजूरी, फर्जी कर्ज वसूली, मोबाइल सेवा प्रदाता से जुड़े धोखाधड़ी वाले आवेदनों या पहचान सत्यापन के बहाने इन जानकारियों का दुरुपयोग हो सकता है। दूसरी ओर, IP पता स्थान का निर्णायक प्रमाण नहीं है; हालांकि, इससे खाते के उपयोग के संदर्भ या अनुमानित क्षेत्र के बारे में संकेत मिल सकते हैं। इसलिए Experian (2015) रिकॉर्ड को पासवर्ड के जरिए खाते पर कब्जा किए जाने के मामले के बजाय पहचान, क्रेडिट, संचार और उपभोक्ता प्रोफ़ाइल संबंधी डेटा के संयोजन के रूप में देखा जाना चाहिए।

इस रिकॉर्ड में दर्ज खातों की संख्या 71,96,890 है और घटना की तारीख 16 सितंबर 2015 दर्ज है। 2015 के आधिकारिक T-Mobile/Experian बयानों के अनुसार, लगभग 1.5 करोड़ लोग प्रभावित हो सकते थे। ये वे लोग थे जिन्होंने 1 सितंबर 2013 से 16 सितंबर 2015 के बीच T-Mobile की सेवा या डिवाइस के वित्तपोषण के लिए क्रेडिट जांच का आवेदन किया था। हालांकि, इस खोज रिकॉर्ड में लगभग 72 लाख वाले डेटासेट के सटीक स्रोत की पूरी तरह पुष्टि नहीं हुई है। इसलिए विवरण में इन दोनों संख्याओं को जोड़कर प्रभावित लोगों की एक ही संख्या नहीं बतानी चाहिए; 1.5 करोड़ घटना के आधिकारिक दायरे को दर्शाता है, जबकि 71,96,890 को इस रिकॉर्ड में खोजे जा सकने वाले खातों के दायरे के रूप में अलग रखा जाना चाहिए।

आधिकारिक बयानों में बताया गया था कि T-Mobile की प्रणालियों और नेटवर्क में सीधे सेंध नहीं लगी थी और घटना Experian के पास मौजूद ग्राहक डेटा से संबंधित थी। इसके अलावा, इस रिकॉर्ड के लिए वित्तीय खातों या भुगतान कार्ड के डेटा को पुष्ट श्रेणी के रूप में नहीं दिखाया जाना चाहिए। हालांकि, आधिकारिक घटना के बारे में बताया गया था कि पहचान संख्या वाले फ़ील्ड एन्क्रिप्टेड रूप में रखे गए थे और यह सुरक्षा कमजोर पड़ सकती थी, लेकिन इस खोज रिकॉर्ड की डेटा श्रेणियां ऊपर बताए गए उपभोक्ता प्रोफ़ाइल फ़ील्ड तक ही सीमित रहनी चाहिए। यह सीमा उपयोगकर्ता को वास्तविक जोखिम बताने और ऐसे पहलुओं को निश्चित तथ्य के रूप में पेश करने से बचने के लिए आवश्यक है, जिनके स्रोत की निर्णायक पुष्टि नहीं हुई है।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2013-2015 की अवधि में T-Mobile की सेवा या डिवाइस के वित्तपोषण के लिए क्रेडिट जांच का आवेदन किया था। इन लोगों के नाम, पते, जन्मतिथियां और क्रेडिट आकलन की जानकारी एक साथ मिलने पर फर्जी क्रेडिट प्रस्तावों, मोबाइल सेवा प्रदाता की ओर से आने वाली फर्जी सहायता कॉल, पहचान सत्यापन के बहानों या कर्ज वसूली से जुड़ी धोखाधड़ी अधिक विश्वसनीय लग सकती है। फोन और ईमेल फ़ील्ड से हमलावर के लिए सीधे संपर्क करना आसान हो जाता है; वहीं भौतिक पते से फर्जी दस्तावेजों, डाक या डिलीवरी के जरिए सोशल इंजीनियरिंग का जोखिम बढ़ सकता है।

जिन व्यक्तियों के आय स्तर, घर के स्वामित्व की स्थिति, पारिवारिक संरचना और खरीदारी की आदतों जैसे प्रोफ़ाइल फ़ील्ड मौजूद हैं, उन्हें अधिक लक्षित अभियानों का सामना करना पड़ सकता है। इस डेटा से ऐसे वित्तीय प्रस्ताव या क्रेडिट नवीनीकरण संदेश तैयार किए जा सकते हैं, जो व्यक्ति की आर्थिक स्थिति के अनुरूप लगें। वहीं जनसांख्यिकीय फ़ील्ड की मौजूदगी से भेदभाव, अनचाही प्रोफ़ाइलिंग और निजता खोने का जोखिम बढ़ता है। इसलिए इस रिकॉर्ड को केवल पुरानी ग्राहक फ़ाइल नहीं, बल्कि पहचान की चोरी और उपभोक्ता प्रोफ़ाइलिंग का जोखिम पैदा करने वाले संवेदनशील डेटासेट के रूप में भी देखा जाना चाहिए।

यदि इस रिकॉर्ड में आपकी जानकारी का मिलान मिलता है, तो सबसे पहले अपनी क्रेडिट रिपोर्ट और वित्तीय खातों में किसी असामान्य आवेदन, नया खाता खोले जाने या पता बदले जाने की जांच करें। यदि आपके देश में उपलब्ध हों, तो क्रेडिट फ्रीज या धोखाधड़ी अलर्ट जैसे सुरक्षा विकल्पों पर विचार करें। ईमेल या फोन से प्राप्त क्रेडिट मंजूरी, मोबाइल सेवा प्रदाता के खाते, डिवाइस के वित्तपोषण, कर्ज के पुनर्गठन या पहचान सत्यापन से जुड़े अनुरोधों को लेकर सावधान रहें। संदेश असली लगने पर भी किसी लिंक पर क्लिक करने से पहले संबंधित संस्था की आधिकारिक वेबसाइट पर स्वयं जाकर उसकी पुष्टि करें।

पते, जन्मतिथि, फोन नंबर और ईमेल की जानकारी का इस्तेमाल करके की गई कॉल अधिक विश्वसनीय लग सकती हैं; इसलिए कॉल करने वाला पहले से ज्ञात आपकी निजी जानकारी को प्रमाण के रूप में पेश करे, तब भी उस पर भरोसा न करें। क्रेडिट आवेदन, SIM बदलने, डिवाइस की किस्तों या खाते के सत्यापन जैसे मामलों में जल्दबाजी में निर्णय न लें। अपने ईमेल खाते के लिए मजबूत पासवर्ड और बहु-कारक प्रमाणीकरण का इस्तेमाल करें। यदि आपके पास पुराने मोबाइल सेवा प्रदाता या क्रेडिट आवेदनों से जुड़े दस्तावेज हैं, तो जांचें कि आपकी पहचान संबंधी जानकारी कहां-कहां साझा की गई है।

लंबे समय में वित्तीय और मोबाइल सेवा प्रदाता से जुड़े आवेदनों में इस्तेमाल होने वाली निजी जानकारी की नियमित निगरानी आवश्यक है। क्रेडिट ब्यूरो, मोबाइल सेवा प्रदाता और डेटा मध्यस्थ किसी उपयोगकर्ता के बारे में बड़ी संख्या में सत्यापन और प्रोफ़ाइल फ़ील्ड रख सकते हैं, इसलिए एक ही घटना कई तरह की लगातार होने वाली धोखाधड़ियों का रास्ता खोल सकती है। उपयोगकर्ताओं को नियमित अंतराल पर अपनी क्रेडिट रिपोर्ट देखनी चाहिए, पता बदलने की सूचनाओं पर नजर रखनी चाहिए, पुराने फोन नंबरों को खाता पुनर्प्राप्ति के विकल्प के रूप में नहीं छोड़ना चाहिए और महत्वपूर्ण खातों में लेनदेन की सूचनाएं चालू करनी चाहिए।

संस्थाओं के दृष्टिकोण से, Experian (2015) घटना दिखाती है कि तीसरे पक्ष की डेटा प्रोसेसिंग कंपनियों की सुरक्षा का ग्राहकों की सुरक्षा पर सीधा असर पड़ता है। मोबाइल सेवा प्रदाता को क्रेडिट, वित्तपोषण और पहचान सत्यापन की प्रक्रियाओं में इस्तेमाल किए गए डेटा को आवश्यकता से अधिक समय तक नहीं रखना चाहिए; एन्क्रिप्शन, पहुंच नियंत्रण और विस्तृत लॉगिंग का कार्य तथा आपूर्तिकर्ताओं का ऑडिट नियमित रूप से किया जाना चाहिए। उपयोगकर्ताओं के लिए अनावश्यक प्लेटफ़ॉर्म पर निजी जानकारी साझा न करना, किन संस्थाओं के पास उनकी वित्तीय प्रोफ़ाइल का डेटा है इसका ध्यान रखना और क्रेडिट देने वाली संस्था या मोबाइल सेवा प्रदाता के नाम से किए गए फर्जी संपर्कों को पहचानना लंबे समय तक जोखिम कम करने में मदद करता है।

जिन उपयोगकर्ताओं की जानकारी Experian (2015) रिकॉर्ड से मेल खाती है, उन्हें इस परिणाम को पहचान की चोरी का निर्णायक प्रमाण नहीं, बल्कि विशेष ध्यान देने की जरूरत वाला जोखिम संकेत मानना चाहिए। रिकॉर्ड की स्थिति अपुष्ट है; फिर भी, मेल खाने वाला ईमेल पता, नाम, पता, फोन नंबर या वित्तीय प्रोफ़ाइल का संदर्भ अन्य स्रोतों की जानकारी के साथ जुड़ने पर धोखाधड़ी का जोखिम बढ़ जाता है। इसलिए क्रेडिट रिपोर्ट की निगरानी, वित्तीय खातों के अलर्ट, मोबाइल सेवा प्रदाता के खाते की सुरक्षा और ईमेल की सुरक्षा पर एक साथ ध्यान दिया जाना चाहिए।

यह रिकॉर्ड Experian (2015) घटना को बिना बढ़ा-चढ़ाकर बताए और संख्याओं में भ्रम पैदा किए बिना समझाने के लिए तैयार किया गया है: आधिकारिक T-Mobile/Experian घटना लगभग 1.5 करोड़ आवेदकों को प्रभावित करने वाले एक अलग दायरे से संबंधित है, जबकि इस रिकॉर्ड में खोजे जा सकने वाले खातों की संख्या 71,96,890 है। डेटासेट के स्रोत की पुष्टि न हो पाने के कारण इसे अपुष्ट रखा गया है। उपयोगकर्ताओं को क्रेडिट और पहचान से जुड़ी गतिविधियों पर नजर रखनी चाहिए, मोबाइल सेवा प्रदाता या वित्तीय संस्था के नाम से आए संदिग्ध संदेशों की पुष्टि करनी चाहिए, संचार के लिए इस्तेमाल किए जाने वाले खातों की सुरक्षा मजबूत करनी चाहिए और निजी प्रोफ़ाइल डेटा के दुरुपयोग पर लंबे समय तक निगरानी रखनी चाहिए।