Fashion Nexus: डेटा में सेंध

इस रिकॉर्ड में सत्यापित डेटा प्रकारों में ईमेल पते, पूरे नाम, फ़ोन नंबर, भौतिक पते, खरीदारी का इतिहास, जन्मतिथियाँ, लिंग संबंधी जानकारी, IP पते, ब्राउज़र की user-agent जानकारी और पासवर्ड डेटा शामिल हैं। इन जानकारियों के एक साथ उपलब्ध होने से जोखिम केवल सामान्य फ़िशिंग संदेश भेजे जाने तक सीमित नहीं रहता। यदि किसी व्यक्ति ने किसी खास अवधि में फ़ैशन स्टोर से खरीदारी की थी, किसी विशेष डिलीवरी पते का इस्तेमाल किया था या कोई संपर्क जानकारी साझा की थी, तो इन विवरणों का दुरुपयोग करके सामान लौटाने के फर्जी अनुरोध, डिलीवरी संबंधी अपडेट, प्रचार प्रस्ताव, शिपिंग शुल्क, खाते के सत्यापन या ऑर्डर रद्द करने से जुड़े संदेशों को विश्वसनीय बनाया जा सकता है।

पासवर्ड डेटा का हैश रूप में होना यह नहीं दर्शाता कि मूल पासवर्ड तुरंत सभी को दिखाई दे रहा है; फिर भी, सुरक्षा की मौजूदा अपेक्षाओं के अनुसार MD5 और SHA-1 को कमज़ोर माना जाता है। अनसॉल्टेड MD5 मान खास तौर से जोखिम भरे हैं, क्योंकि उनकी तुलना पहले से तैयार पासवर्ड सूचियों से अपेक्षाकृत तेज़ी से की जा सकती है। MD5 और SHA-1 मानों में सॉल्ट जोड़ने से हमला कठिन हो जाता है, लेकिन छोटे, दोबारा इस्तेमाल किए गए या शब्दकोश पर आधारित पासवर्ड के लिए जोखिम बना रहता है। इसलिए, यदि Fashion Nexus या उससे जुड़े स्टोर पर इस्तेमाल किया गया पासवर्ड अन्य साइटों पर भी इस्तेमाल हुआ है, तो उन सभी खातों पर वह पासवर्ड बदल देना चाहिए।

इस रिकॉर्ड में 12,79,263 अलग-अलग ईमेल पते सत्यापित हैं। घटना की तारीख 9 जुलाई 2018 दर्ज है, और इसके दायरे में Fashion Nexus के नाम से जाने जाने वाले खुदरा समूह से संबंधित, White Room Solutions द्वारा विकसित कई ई-कॉमर्स साइटें शामिल हैं। इस संदर्भ में उदाहरण के तौर पर बताए गए ब्रांडों में Jaded London और AX Paris शामिल हैं। इसलिए, भले ही उपयोगकर्ता को Fashion Nexus का नाम सीधे याद न हो, संभव है कि उसने उससे जुड़े किसी फ़ैशन स्टोर पर खाता बनाया हो, ऑर्डर दिया हो या डिलीवरी की जानकारी साझा की हो।

इस रिकॉर्ड में सत्यापित फ़ील्ड ऊपर बताए गए व्यक्तिगत और खाता संबंधी डेटा तक सीमित हैं। पूरा भुगतान कार्ड नंबर, कार्ड सुरक्षा कोड, बैंक खाता, आधिकारिक पहचान दस्तावेज़ या निजी संदेशों की सामग्री इस रिकॉर्ड के सत्यापित डेटा फ़ील्ड में शामिल नहीं हैं। हालाँकि, खरीदारी का इतिहास और पते की जानकारी भुगतान कार्ड डेटा न होने पर भी उपयोगकर्ता की वास्तविक खरीदारी की आदतों, डिलीवरी के स्थान और संपर्क के माध्यमों का संकेत दे सकते हैं। इसलिए इस दायरे का आकलन वित्तीय कार्ड डेटा के बजाय पहचान संबंधी जानकारियों के मिलान, खाते की सुरक्षा और लक्षित सोशल इंजीनियरिंग के जोखिम के लिहाज़ से अधिक किया जाना चाहिए।

सबसे अधिक जोखिम उन ग्राहकों को है जो Fashion Nexus नेटवर्क से जुड़े स्टोर पर एक ही ईमेल पते और एक ही पासवर्ड का इस्तेमाल करते हैं। यदि वही पासवर्ड किसी ईमेल, सोशल मीडिया, शॉपिंग, शिपिंग, गैर-बैंक भुगतान या काम से जुड़े खाते में भी इस्तेमाल होता है, तो हमलावर पासवर्ड आज़माने की सूचियों के सहारे अन्य सेवाओं को निशाना बना सकते हैं। खास तौर से उन उपयोगकर्ताओं को अधिक सावधानी बरतनी चाहिए जिन्होंने वर्षों से पुराने पासवर्ड नहीं बदले हैं, जो कई साइटों पर एक ही पासवर्ड इस्तेमाल करते हैं और जिनके ईमेल खाते पर दो-कारक प्रमाणीकरण सक्षम नहीं है।

जिन ग्राहकों के पते और फ़ोन नंबर की जानकारी शामिल है, उनके लिए जोखिम केवल ऑनलाइन खातों में घुसने के प्रयासों तक सीमित नहीं है। हमलावर शिपिंग कंपनी, स्टोर की ग्राहक सेवा, सामान वापसी विभाग या प्रचार अभियान की टीम बनकर ऐसे संदेश तैयार कर सकते हैं जो व्यक्ति की पिछली खरीदारी की जानकारी से मेल खाते हों। जन्मतिथि और लिंग जैसी अतिरिक्त जानकारी से पहचान सत्यापित करने वाले प्रश्नों के उत्तर का अनुमान लगाना या व्यक्तिगत लगने वाले संदेश तैयार करना भी आसान हो सकता है। जो लोग कई फ़ैशन साइटों पर एक ही संपर्क जानकारी इस्तेमाल करते हैं, उन्हें ज़रूरी जाँच करनी चाहिए, भले ही उन्हें स्पष्ट रूप से याद न हो कि किस ब्रांड के माध्यम से वे इस घटना से प्रभावित हुए थे।

पहला कदम उन स्टोर पर इस्तेमाल किए गए पासवर्ड को तुरंत बदलना है जो Fashion Nexus नेटवर्क से जुड़े हो सकते हैं। यदि वही पासवर्ड किसी दूसरे खाते पर भी इस्तेमाल हुआ है, तो उन खातों के लिए भी अलग और मज़बूत पासवर्ड रखना चाहिए। पासवर्ड मैनेजर का इस्तेमाल करने से हर साइट के लिए अलग और लंबा पासवर्ड तय करना आसान होता है। ईमेल खाते की सुरक्षा को प्राथमिकता देनी चाहिए, क्योंकि शॉपिंग खातों के पासवर्ड रीसेट लिंक आम तौर पर ईमेल से आते हैं। यदि ईमेल खाते पर दो-कारक प्रमाणीकरण सक्षम नहीं है, तो उसे तुरंत सक्रिय करना चाहिए।

दूसरा कदम पुराने ऑर्डर, डिलीवरी और सामान वापसी से जुड़े संदेशों को लेकर सावधान रहना है। यदि उपयोगकर्ता से किसी लिंक पर क्लिक करने, अटैचमेंट खोलने, दोबारा भुगतान करने, पते की पुष्टि करने या पहचान संबंधी जानकारी दर्ज करने को कहा जाए, तो संबंधित स्टोर के आधिकारिक डोमेन के माध्यम से सीधे संदेश की प्रामाणिकता जाँचनी चाहिए। फ़ोन करने वाले लोगों को पिछले ऑर्डर का विवरण पता होने पर भी यह अपने आप में उनकी विश्वसनीयता का प्रमाण नहीं है। शिपिंग, सामान वापसी या ग्राहक सेवा के बहाने आने वाले तत्काल कार्रवाई के अनुरोधों की बिना हड़बड़ी के पुष्टि करनी चाहिए।

यह घटना दिखाती है कि पुराने ई-कॉमर्स खाते लंबे समय तक जोखिम पैदा करते रह सकते हैं। उपयोगकर्ताओं को नियमित रूप से उन शॉपिंग खातों को बंद करना चाहिए जिनका वे अब इस्तेमाल नहीं करते, संग्रहीत पते और फ़ोन संबंधी जानकारी कम करनी चाहिए और हर स्टोर के लिए अलग पासवर्ड इस्तेमाल करना चाहिए। खास तौर से वर्षों पहले बनाए गए खातों में छोटे पासवर्ड, कई जगह इस्तेमाल किए गए पासवर्ड या ऐसे ईमेल पते हो सकते हैं जिन तक अब पहुँच नहीं है। ऐसे खाते भुला दिए जाने पर डेटा लीक के बाद पैदा हुए जोखिमों का पता देर से चल सकता है।

कंपनियों के स्तर पर, खुदरा कारोबारों को अपने पासवर्ड संग्रहण के तरीकों को मौजूदा मज़बूत एल्गोरिदम के साथ अपडेट करना, अनावश्यक व्यक्तिगत डेटा रखने से बचना, ग्राहक रिकॉर्ड की निगरानी अलग-अलग सेवा प्रदाताओं के हिसाब से कर पाना और घटनाओं के बाद पारदर्शी संवाद करना ज़रूरी है। MD5 और SHA-1 जैसे पुराने तरीके पर्याप्त सुरक्षा नहीं देते, भले ही पासवर्ड डेटा हैश रूप में हो। यदि ग्राहक डेटा कई ब्रांडों और तकनीकी सेवा प्रदाताओं के बीच साझा होता है, तो ज़िम्मेदारी की सीमाओं और रिकॉर्ड के जीवनचक्र का स्पष्ट प्रबंधन आवश्यक है।

इस रिकॉर्ड में दर्ज ईमेल पता Fashion Nexus या उससे जुड़े किसी फ़ैशन स्टोर पर इस्तेमाल किए गए ग्राहक खाते से मेल खा सकता है। यदि मिलान मिलता है, तो उपयोगकर्ता को पुराना पासवर्ड बदलना चाहिए, उन अन्य खातों के पासवर्ड भी बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल होता है, और ईमेल खाते का लॉगिन इतिहास जाँचना चाहिए। यदि कोई संदिग्ध लॉगिन, अनपेक्षित पासवर्ड रीसेट सूचना, अनजान ऑर्डर या डिलीवरी में बदलाव दिखाई दे, तो संबंधित सेवाओं के सहायता माध्यमों से संपर्क करें।

Fashion Nexus डेटा उल्लंघन को समझने का सही तरीका यह है कि इसे केवल किसी पुरानी शॉपिंग साइट की समस्या न माना जाए। जब ईमेल, फ़ोन, पता, खरीदारी का इतिहास और पासवर्ड डेटा एक साथ लीक होते हैं, तो वर्षों बाद भी फ़िशिंग, खातों में लॉगिन आज़माने और पहचान संबंधी जानकारियों का मिलान करने जैसी स्थितियों में जोखिम फिर उभर सकता है। उपयोगकर्ताओं को हर खाते के लिए अलग पासवर्ड रखने, मज़बूत दो-कारक प्रमाणीकरण अपनाने, लिंक की सावधानी से जाँच करने और अनावश्यक पुराने खातों की संख्या कम करने को अपनी नियमित सुरक्षा आदतों का हिस्सा बनाना चाहिए।