Kroll में 2023 का डेटा सुरक्षा उल्लंघन

Kroll के बयान के अनुसार, हमलावर ने एक कर्मचारी का T-Mobile फ़ोन नंबर बिना अनुमति दूसरे SIM पर स्थानांतरित करवा दिया। इसके बाद नंबर पर नियंत्रण का इस्तेमाल कर्मचारी के खाते तक पहुँचने के लिए किया गया।

हमलावर ने बाद में उन फ़ाइलों तक पहुँच बनाई जिनमें BlockFi, FTX और Genesis के दिवालियापन मामलों के कुछ दावेदारों की निजी जानकारी थी। प्रकाशित निष्कर्षों से यह संकेत नहीं मिलता कि इन कंपनियों के ट्रेडिंग प्लेटफ़ॉर्म में सेंध लगी थी।

स्वतंत्र रिपोर्टों के अनुसार, जिन फ़ाइलों तक पहुँच बनाई गई थी, उनमें नाम, डाक पते, संपर्क विवरण तथा देनदारों और दावों से जुड़ी जानकारी थी। जानकारी की सटीक श्रेणियाँ व्यक्ति और दिवालियापन मामले के अनुसार अलग-अलग हो सकती हैं।

Kroll और प्रभावित कंपनियों ने कहा कि खातों के पासवर्ड और ग्राहकों की धनराशि इस घटना से प्रभावित नहीं हुए थे। हालांकि, इससे अलग-अलग दावेदारों की जानकारी के आधार पर तैयार किए गए विश्वसनीय लगने वाले भ्रामक संदेशों का जोखिम खत्म नहीं होता।

Kroll ने ऐसी कुल संख्या सार्वजनिक नहीं की है जिसमें प्रत्येक प्रभावित व्यक्ति को केवल एक बार गिना गया हो। जिन लोगों की पहचान प्रभावित व्यक्तियों के रूप में हुई, उन्हें सूचनाएँ भेजी गईं। FTX, BlockFi और Genesis के सभी ग्राहकों या दावेदारों की कुल संख्या को इस उल्लंघन से प्रभावित लोगों की संख्या नहीं माना गया है।

दिवालियापन के दावों से जुड़ी सही जानकारी का इस्तेमाल करके धन निकासी के नकली नोटिस या दावों के भुगतान के झूठे वादों को विश्वसनीय बनाया जा सकता है। घटना के बाद FTX के नाम पर भेजे गए फ़िशिंग संदेशों की रिपोर्टें सामने आई थीं।

किसी संदेश में सही नाम, पता या दावे का विवरण होने से यह साबित नहीं होता कि भेजने वाला अधिकृत है। धन हस्तांतरण, वॉलेट कनेक्ट करने या पहचान दस्तावेज़ देने के अप्रत्याशित अनुरोधों को सावधानी से देखना चाहिए।

Kroll ने कहा कि उसने तीनों प्रभावित खातों को सुरक्षित किया, घटना को आगे बढ़ने से रोका और प्रभावित व्यक्तियों को सूचित किया। FTX और BlockFi ने भी अपने संचार माध्यमों से ग्राहकों को चेतावनी दी।

दिवालियापन से जुड़े किसी नोटिस की पुष्टि ईमेल में दिए गए लिंक के बजाय संबंधित मामले के लिए Kroll के आधिकारिक पुनर्गठन पोर्टल पर करनी चाहिए। पासवर्ड, सत्यापन कोड, वॉलेट की कुंजियाँ या भुगतान माँगने वाले अप्रत्याशित अनुरोधों का जवाब नहीं देना चाहिए।

दावेदार अपने खाते की गतिविधियों पर नज़र रख सकते हैं, हर सेवा के लिए अलग पासवर्ड इस्तेमाल कर सकते हैं और जहाँ उपलब्ध हो, SMS के बजाय ऐप या हार्डवेयर कुंजी पर आधारित बहु-कारक प्रमाणीकरण को प्राथमिकता दे सकते हैं।