Kemper 2026 डेटा उल्लंघन

हमलावर ने दावा किया कि उसने Kemper के Salesforce परिवेश से प्राप्त 29 GB से अधिक डेटा और 13 मिलियन से अधिक रिकॉर्ड प्रकाशित किए हैं। स्वतंत्र शोधकर्ताओं ने एक नमूने में SharePoint, Azure, Salesforce और Stripe लेबल वाले फ़ोल्डर देखे। उसमें आंतरिक दस्तावेज़, कर्मचारियों के नाम और ईमेल पते तथा लेन-देन के लॉग भी थे। कंपनी का बयान घटना की जाँच की पुष्टि करता है, लेकिन वह दावे में बताई गई 13 मिलियन पंक्तियों, डेटा की मात्रा या शुरुआती पहुँच के तरीके की पुष्टि नहीं करता।

2,69,299 का आँकड़ा प्रकाशित बाहरी डेटासेट में अलग-अलग ईमेल पतों की संख्या बताता है। हमलावर का 13 मिलियन से अधिक पंक्तियों का दावा लोगों या खातों की संख्या नहीं है और इस दावे की पूरी तरह स्वतंत्र पुष्टि नहीं हुई है। लॉग की दोहराई गई पंक्तियों और अलग-अलग ईमेल पतों की मापन इकाइयाँ अलग हैं, इसलिए इन आँकड़ों को न तो जोड़ा जाता है और न ही एक-दूसरे के बराबर माना जाता है। 15 अप्रैल बाहरी कैटलॉग में दर्ज किए जाने और डेटा प्रकाशित होने की तारीख है; सिस्टम तक शुरुआती पहुँच की तारीख का खुलासा नहीं किया गया है।

सत्यापित बाहरी सूचकांक में छह संरचित श्रेणियाँ सूचीबद्ध हैं: ईमेल पते, नाम, फ़ोन नंबर, भौतिक पते, खरीदारी और भुगतान कार्ड का आंशिक डेटा। सूचकांक के विवरण के अनुसार, कार्ड के आंशिक डेटा वाले फ़ील्ड में अंतिम चार अंक, समाप्ति तिथियाँ और कार्ड ब्रांड शामिल हैं। यह नहीं मानना चाहिए कि हर ईमेल पते के लिए हर फ़ील्ड मौजूद था या ये फ़ील्ड एक ही व्यक्ति से संबंधित थे।

स्वतंत्र शोधकर्ताओं ने यह भी बताया कि Stripe के जिस नमूने की वे जाँच कर सके, उसमें किसी कार्ड का स्पष्ट नंबर या बैंक खाते की जानकारी नहीं थी। सीमित नमूने से मिला यह निष्कर्ष, व्यापक बाहरी डेटासेट में सूचीबद्ध कार्ड के आंशिक डेटा की श्रेणी से अलग माप है। पूरे कार्ड नंबर, बैंक खाते, सोशल सिक्योरिटी नंबर, पासवर्ड और पॉलिसी नंबर सत्यापित संरचित श्रेणियों में शामिल नहीं हैं।

स्रोत इस घटना को सैकड़ों Salesforce ग्राहकों के विरुद्ध चलाए गए एक व्यापक सोशल इंजीनियरिंग अभियान से जोड़ते हैं। Kemper का सार्वजनिक बयान उसके अपने परिवेश में शुरुआती प्रवेश के तरीके की पुष्टि नहीं करता। कंपनी का सक्रिय डोमेन उसकी बीमा-सेवा प्रदाता के रूप में पहचान की पुष्टि करता है, लेकिन केवल उससे तकनीकी आधार पर हमले की ज़िम्मेदारी की पुष्टि नहीं होती।

प्रोडक्शन सिस्टम में Kemper के डेटा को इम्पोर्ट करने का कोई जॉब नहीं है और हर स्थानीय व्यक्ति-डेटा संग्रह में लिंक की संख्या शून्य है। इसलिए ये 2,69,299 अलग-अलग ईमेल पते स्थानीय खोज के दायरे में नहीं आते। जिन लोगों को घटना से संबंधित सूचना मिली है, वे पहले से मौजूद पॉलिसी खाते या अलग से प्राप्त आधिकारिक संपर्क माध्यम के ज़रिए अप्रत्याशित भुगतान या पॉलिसी संबंधी संदेशों की प्रामाणिकता जाँच सकते हैं। किसी संदेश में संपर्क की कुछ सही जानकारी होना उसके भरोसेमंद होने का प्रमाण नहीं है।