IndiHome 2019 डेटा लीक

सत्यापित संग्रह में डिवाइस की जानकारी, ईमेल पते, लिंग, भौगोलिक स्थान, IP पते और नाम शामिल थे। 2.6 करोड़ से अधिक पंक्तियों में 1,26,29,245 अलग-अलग ईमेल पते होने से संकेत मिलता है कि एक ही व्यक्ति या पता गतिविधि के कई रिकॉर्ड में मौजूद हो सकता है; पंक्तियों की संख्या और अलग-अलग पतों की संख्या अलग माप हैं। नाम, ईमेल, IP पते और स्थान को एक साथ जोड़ने से पहचान का मिलान करने, लक्षित फ़िशिंग और उपयोगकर्ताओं की प्रोफ़ाइल बनाने का जोखिम बढ़ जाता है। ब्राउज़र, प्लेटफ़ॉर्म या स्क्रीन की विशेषताओं जैसी डिवाइस संबंधी जानकारी अपराधियों को संदेश अधिक विश्वसनीय दिखाने में मदद कर सकती है। रिपोर्टों में पासवर्ड, फ़ोन नंबर, पहचान दस्तावेज़ और ब्राउज़िंग इतिहास शामिल होने का दावा किया गया था, लेकिन इस डेटासेट में इन डेटा श्रेणियों का अलग से सत्यापन नहीं हुआ है और इन्हें इस रिकॉर्ड में शामिल नहीं किया गया है।

अगस्त 2022 में रिपोर्ट आई थी कि 2,67,30,798 पंक्तियों वाला एक संग्रह, जिसे IndiHome का बताया गया था, एक हैकिंग फ़ोरम पर पोस्ट किया गया है। उपलब्ध प्रति की समीक्षा में 1,26,29,245 अलग-अलग ईमेल पते मिले, जबकि उसके सबसे हाल के रिकॉर्ड पर नवंबर 2019 के टाइमस्टैम्प थे; इसलिए कैटलॉग 1 नवंबर 2019 को संदर्भ तिथि मानता है। इस तारीख से यह साबित नहीं होता कि डेटा तक पहुँच कब बनाई गई या घटना का खुलासा कब हुआ। यह संग्रह में दर्शाई गई सबसे हाल की अवधि को चिह्नित करती है। अगस्त 2022 में इंडोनेशिया के संचार प्राधिकरण ने घोषणा की कि वह ग्राहकों के डेटा के कथित लीक की जाँच कर रहा है, स्पष्टीकरण के लिए Telkom प्रबंधन को बुलाएगा और राष्ट्रीय साइबर सुरक्षा एजेंसी के साथ समन्वय करेगा। आधिकारिक सूचना में तब भी घटना को एक आरोप के रूप में ही बताया गया था। बाद के सत्यापन से डेटासेट की प्रामाणिकता को अधिक ठोस आधार मिलता है, लेकिन सार्वजनिक साक्ष्य यह स्थापित नहीं करते कि शुरुआत में डेटा तक पहुँच किस तरीके से बनाई गई थी।

सबसे अधिक जोखिम उन लोगों को है जिनके ईमेल पते संग्रह में दर्शाई गई अवधि के दौरान किसी IndiHome खाते या नेटवर्क प्रोफ़ाइल से जुड़े थे। नाम और ईमेल पते का मेल हमलावरों को नकली बिल, पैकेज अपग्रेड, मॉडेम बदलने के प्रस्ताव, तकनीकी सहायता कॉल या रिफ़ंड संदेश व्यक्ति के अनुरूप बनाने में मदद कर सकता है। IP पता अपने आप में घर का सटीक पता नहीं बताता, लेकिन उससे अनुमानित स्थान, इंटरनेट प्रदाता और सेवा क्षेत्र का संकेत मिल सकता है। भौगोलिक और डिवाइस संबंधी जानकारी के साथ मिलकर यह हमलावर को ऐसा दिखाने में मदद करता है जैसे वह संदेश पाने वाले का शहर, प्लेटफ़ॉर्म या ब्राउज़र जानता हो। इस रिकॉर्ड की सत्यापित डेटा श्रेणियों में पासवर्ड शामिल नहीं हैं, इसलिए सत्यापित डेटासेट सीधे पासवर्ड उजागर होने का प्रमाण नहीं देता। फिर भी इसका इस्तेमाल ऐसी फ़िशिंग में हो सकता है जिसका उद्देश्य लॉगिन विवरण जुटाना या खाता पुनर्प्राप्ति प्रक्रियाओं में हेरफेर करना हो। पूर्व ग्राहकों को यह नहीं मानना चाहिए कि सेवा बंद करने से जोखिम समाप्त हो गया, क्योंकि कॉपी किए गए डेटासेट वर्षों तक प्रसारित होते रह सकते हैं।

IndiHome से जुड़े ईमेल खाते में हाल के साइन-इन, सक्रिय सत्र, खाता पुनर्प्राप्ति के लिए दर्ज पते और फ़ॉरवर्डिंग नियमों की समीक्षा करें, फिर उन डिवाइस को साइन आउट करें जिन्हें आप नहीं पहचानते। पासवर्ड फ़ील्ड का सत्यापन न होने पर भी, सही पते पर भेजे गए नकली सहायता या बिलिंग संदेश खाते के लॉगिन विवरण जुटाने की कोशिश कर सकते हैं। ईमेल, ग्राहक और वित्तीय खातों पर बहु-कारक प्रमाणीकरण चालू करें। जहाँ संभव हो, SMS के बजाय ऑथेंटिकेटर ऐप या हार्डवेयर सुरक्षा कुंजी को प्राथमिकता दें। मॉडेम बदलने, गति बढ़ाने, बकाया निपटाने या सेवा बहाल करने का वादा करने वाले अप्रत्याशित संदेशों के लिंक न खोलें। ब्राउज़र में प्रदाता का पता खुद टाइप करें या अलग से किसी परिचित ग्राहक सेवा माध्यम से संपर्क करें। बिना अनुरोध के मिले एक बार इस्तेमाल होने वाले कोड और पासवर्ड रीसेट की सूचनाएँ खाते पर कब्ज़े की कोशिश का संकेत हो सकती हैं। अगर धोखाधड़ी वाला भुगतान हुआ है, तो बैंक से संपर्क करें, लेनदेन के सबूत सुरक्षित रखें और सक्रिय सत्रों की पहुँच रद्द करें।

पासवर्ड मैनेजर से हर सेवा के लिए एक अलग, यादृच्छिक पासवर्ड बनाएँ, ताकि फ़िशिंग की कोई सफल कोशिश आसानी से दूसरे खातों को प्रभावित न कर सके। अलग-अलग उद्देश्यों के लिए अलग ईमेल पते रखने से दूरसंचार, खरीदारी और सोशल मीडिया की सदस्यताएँ एक ही पते के ज़रिए आपस में जुड़ने से बचती हैं। पुराने ग्राहक प्रोफ़ाइल में संपर्क और खाता पुनर्प्राप्ति की जानकारी अपडेट करें। जिन खातों की अब ज़रूरत नहीं है, उन्हें हटाने या उनकी पहचान संबंधी जानकारी मिटाने का अनुरोध करें। मॉडेम का डिफ़ॉल्ट एडमिन पासवर्ड बदलें, डिवाइस का फ़र्मवेयर अपडेट रखें और जब तक वास्तव में ज़रूरत न हो, दूरस्थ प्रशासन बंद रखें। प्रदाताओं को ग्राहक डेटा तक पहुँच सीमित करनी चाहिए, उसे रखने की अवधि न्यूनतम करनी चाहिए और असामान्य रूप से बड़े पैमाने पर डेटा निर्यात की निगरानी करनी चाहिए। बहु-कारक प्रमाणीकरण के पुनर्प्राप्ति कोड ऑफ़लाइन रखें और खाते के अलर्ट चालू रहने दें। डेटा उल्लंघनों की लगातार निगरानी उपयोगी है, क्योंकि सेवा संबंध समाप्त होने के बहुत बाद भी पुराने संग्रह दोबारा पोस्ट किए जा सकते हैं या बाद के लीक के साथ जोड़े जा सकते हैं।

IndiHome के लिए इस्तेमाल किए गए ईमेल पते को किसी भरोसेमंद डेटा उल्लंघन खोज सेवा पर जाँचें, ताकि पता चल सके कि वह 1.26 करोड़ सत्यापित पतों में शामिल है या नहीं। पता मिलने का अर्थ यह नहीं है कि किसी डिवाइस की सुरक्षा अभी भंग है या पासवर्ड निश्चित रूप से उजागर हुआ था; यह पुष्टि करता है कि पता उस संग्रह में मौजूद है जिसे इस घटना से जुड़ा बताया गया है, और लक्षित संदेशों के प्रति अधिक सावधानी बरतने की ज़रूरत है। पता न मिलना भी पूरी गारंटी नहीं है, क्योंकि 2.67 करोड़ पंक्तियों में पते दोहराए गए हो सकते हैं, कुछ पंक्तियों में ईमेल फ़ील्ड नहीं हो सकता या किसी दूसरे पते का इस्तेमाल किया गया हो सकता है। डेटा उल्लंघन जाँचने वाले पेज पर कभी भी अपना ईमेल पासवर्ड दर्ज न करें और खोज के लिए केवल ज़रूरी जानकारी ही दें। अप्रत्याशित बिल, सहायता कॉल, मॉडेम संबंधी अनुरोध या ऐसे संदेश संदिग्ध मानें जिनमें आपके स्थान और डिवाइस की सटीक जानकारी हो। किसी स्वतंत्र माध्यम से भेजने वाले की पहचान सत्यापित करें, खाते की गतिविधि की समीक्षा करें और कुछ भी असामान्य दिखने पर सत्रों की पहुँच रद्द करें।