Eye4Fraud में 2023 की डेटा सेंध

सत्यापित डेटासेट में ईमेल पते, IP पते, नाम, क्रेडिट कार्ड का आंशिक डेटा, पासवर्ड, फ़ोन नंबर और भौतिक पते शामिल थे। 1,60,00,591 अलग-अलग ईमेल पते 147 तालिकाओं में ईमेल पतों का दोहराव हटाने के बाद प्राप्त हुए; इन तालिकाओं में पंक्तियों की संख्या इससे कहीं अधिक थी। यह संख्या न तो इतने ही अलग-अलग लोगों के होने की पुष्टि करती है, न ही यह बताती है कि हर व्यक्ति के लिए सभी प्रकार का डेटा मौजूद था। डेटासेट में दो मुख्य समूह शामिल थे: Eye4Fraud की सेवा सीधे इस्तेमाल करने वाले लोग और वे लोग जिन्होंने Eye4Fraud का इस्तेमाल करने वाले दूसरे ई-कॉमर्स व्यापारियों से ऑर्डर किए थे। सीधे सेवा इस्तेमाल करने वालों के खाता रिकॉर्ड में नाम और bcrypt पासवर्ड हैश शामिल थे, जबकि ऑर्डर की तालिकाओं में नाम, फ़ोन नंबर, भौतिक पते और कार्ड की आंशिक जानकारी थी। कार्ड के आंशिक डेटा का मतलब कार्ड का प्रकार और उसके अंतिम चार अंक हैं; पूरे कार्ड नंबरों और सुरक्षा कोडों के शामिल होने की पुष्टि नहीं हुई है।

Eye4Fraud ने आधिकारिक तौर पर पुष्टि की कि कुछ ग्राहकों से जुड़ी सीमित जानकारी वाली एक बैकअप फ़ाइल तक जनवरी 2023 में अनधिकृत पहुँच हुई थी। कंपनी ने कहा कि उसने साइबर सुरक्षा विशेषज्ञों और बाहरी सलाहकारों की सेवाएँ लीं, कानून प्रवर्तन एजेंसियों को सूचित किया और जाँच में सहयोग किया। फ़रवरी 2023 में, लगभग 65 GB डेटा एक आपराधिक फ़ोरम पर बिक्री के लिए पेश किया गया, जिसके बारे में दावा था कि वह Eye4Fraud से आया था। प्रकाशित सामग्री 147 तालिकाओं में फैली करोड़ों पंक्तियों में थी, और सत्यापन से 1,60,00,591 अलग-अलग ईमेल पतों की पहचान हुई। Bcrypt पासवर्ड हैश केवल सीधे सेवा इस्तेमाल करने वालों से जुड़े थे; उपलब्ध साक्ष्य यह नहीं दिखाते कि खरीदारों के ई-कॉमर्स खातों के पासवर्ड एकत्र किए गए थे। चूँकि डेटा तक पहुँचने के तकनीकी तरीके का खुलासा नहीं किया गया, इसलिए सॉफ़्टवेयर की खामी, फ़िशिंग या किसी अंदरूनी व्यक्ति की पहुँच को इस घटना का सिद्ध कारण नहीं बताया जाना चाहिए।

सीधे Eye4Fraud खाता रखने वालों के लिए मुख्य जोखिम यह है कि किसी कमज़ोर पासवर्ड या दूसरी जगह भी इस्तेमाल किए गए पासवर्ड का उसके bcrypt हैश से अनुमान लगाया जा सकता है। Eye4Fraud का इस्तेमाल करने वाले व्यापारियों से ऑर्डर करने वाले लोग भी रिकॉर्ड में मौजूद हो सकते हैं, भले ही उन्होंने कभी Eye4Fraud खाता न बनाया हो, क्योंकि लेनदेन की जाँच का डेटा इस सेवा से होकर गुज़रता था। नाम, फ़ोन नंबर, भौतिक पता, ईमेल, IP पता और कार्ड के अंतिम चार अंक एक साथ मिलने पर डिलीवरी, ऑर्डर रद्द करने, रिफ़ंड, भुगतान सत्यापन या बैंक के नाम पर फ़र्ज़ी कॉल से जुड़ी धोखाधड़ी को विश्वसनीय बनाया जा सकता है। केवल अंतिम चार अंक कार्ड से भुगतान करने के लिए पर्याप्त नहीं हैं, लेकिन वास्तविक लेनदेन से जुड़ी जानकारी लोगों को झाँसा देकर जानकारी देने या कोई कार्रवाई करने के लिए मनाने के प्रयासों को अधिक प्रभावी बना सकती है। ईमेल का मिलान यह साबित नहीं करता कि पूरा कार्ड नंबर उजागर हुआ था, पासवर्ड का पता लगा लिया गया था या सूचीबद्ध सभी प्रकार का डेटा एक ही व्यक्ति का था।

अगर आपका Eye4Fraud खाता था, तो उसका पासवर्ड बदलकर एक लंबा और अनूठा पासवर्ड रखें। हर उस दूसरे खाते का पासवर्ड भी बदलें जिसमें वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल हुआ हो। अपने मुख्य ईमेल खाते, व्यापारी प्रशासन पैनल, भुगतान सेवाओं और वित्तीय खातों को प्राथमिकता दें। हर दोबारा इस्तेमाल किए गए पासवर्ड को बदलें और बहु-कारक प्रमाणीकरण चालू करें; पुराने पासवर्ड में एक अंक जोड़ देने से वह पर्याप्त रूप से अलग नहीं हो जाता। अपने ईमेल खाते के सक्रिय सत्रों, खाता पुनर्प्राप्ति के लिए दिए गए पतों, फ़ॉरवर्डिंग नियमों और अनजान डिवाइसों की समीक्षा करें। अगर आपने Eye4Fraud का इस्तेमाल करने वाले किसी व्यापारी से खरीदारी की थी, तो कार्ड की गतिविधि और लेनदेन के अलर्ट जाँचें। किसी अपरिचित शुल्क की सूचना बैंक को उसके ज्ञात संपर्क माध्यम से दें। डिलीवरी, रिफ़ंड, ऑर्डर या कार्ड सत्यापन से जुड़े संदेशों के लिंक न खोलें; व्यापारी या बैंक का ऐप खुद खोलें। कॉल करने वाले को कार्ड के अंतिम चार अंक पता हों, तब भी कभी एक बार इस्तेमाल होने वाला कोड, पूरा कार्ड नंबर या सुरक्षा कोड न बताएँ।

हर खाते के लिए एक यादृच्छिक और अनूठा पासवर्ड बनाने के लिए पासवर्ड मैनेजर का इस्तेमाल करें, ताकि एक हैश से पासवर्ड का पता चलने पर दूसरी सेवाएँ प्रभावित न हों। ईमेल, वित्तीय सेवाओं और ई-कॉमर्स प्रशासन के लिए पासकी या फ़िशिंग-प्रतिरोधी बहु-कारक प्रमाणीकरण को प्राथमिकता दें। बैंक और कार्ड के अलर्ट चालू करें, और जहाँ उपलब्ध हों, ऑनलाइन खरीदारी के लिए वर्चुअल कार्ड या सीमित इस्तेमाल वाले कार्ड पर विचार करें। ई-कॉमर्स व्यवसायों को धोखाधड़ी रोकने वाली सेवाओं को भेजे जाने वाले डेटा को न्यूनतम रखना चाहिए, डेटा रखने की समय-सीमाएँ लागू करनी चाहिए और बैकअप को परिचालन प्रणालियों जैसी ही पहुँच सीमाओं के भीतर रखने से बचना चाहिए। प्रशासनिक पहुँच को न्यूनतम आवश्यक अधिकारों तक सीमित रखना, बैकअप एन्क्रिप्ट करना, पहुँच लॉग की निगरानी करना और घटना की सूचना देने की योजनाओं का अभ्यास करना अनधिकृत पहुँच का असर कम करता है। ऑर्डर की असली जानकारी होने को इस बात का प्रमाण न मानें कि कोई संदेश या कॉल करने वाला व्यक्ति वैध है।

इस पेज पर दिए गए सुरक्षित खोज फ़ील्ड का इस्तेमाल करके अपने हर मौजूदा और पुराने ईमेल पते की जाँच करें, जो किसी Eye4Fraud खाते या इस सेवा से जाँचे गए ऑर्डर में शामिल रहा हो सकता है। मिलान मिलने का मतलब है कि वह पता 1,60,00,591 सत्यापित अलग-अलग ईमेल पतों में शामिल है; इससे यह पता नहीं चलता कि वह किस तालिका से आया था। यह न तो साबित करता है कि उस पंक्ति में पासवर्ड हैश या कार्ड का आंशिक डेटा मौजूद था, न ही यह दिखाता है कि कार्ड की पूरी जानकारी लीक हुई थी। अगर आपको कोई परिणाम मिलता है, तो विचार करें कि क्या आप सीधे सेवा इस्तेमाल करते थे या आपने किन व्यापारियों से खरीदारी की थी। फिर उसी के अनुसार पासवर्ड, ईमेल खाते और भुगतान की जाँच को प्राथमिकता दें। पुराने दोबारा इस्तेमाल किए गए पासवर्ड बदलें, खातों के सत्र जाँचें और कार्ड के अलर्ट चालू करें। खोज फ़ील्ड में कभी पासवर्ड, पूरा कार्ड नंबर, सुरक्षा कोड, एक बार इस्तेमाल होने वाला कोड या भौतिक पता न डालें। कोई परिणाम न मिलना भी पूर्ण आश्वासन नहीं देता, क्योंकि आपका ईमेल पता अलग ढंग से दर्ज हो सकता है या आपका डेटा इस डेटासेट से बाहर के किसी ऑर्डर अथवा किसी दूसरी सेंध से जुड़ा हो सकता है। संदिग्ध संदेशों के लिंक इस्तेमाल करने के बजाय व्यापारी या वित्तीय संस्था का ज्ञात डोमेन सीधे खोलें।