Lazada RedMart: डेटा में सेंध

Lazada RedMart लीक में जिन डेटा श्रेणियों की पुष्टि हुई है, उनमें ईमेल पते, नाम और उपनाम, फ़ोन नंबर, भौतिक पते, आंशिक क्रेडिट कार्ड डेटा और पासवर्ड हैश शामिल हैं। केवल इस डेटासेट का उपलब्ध होना, भुगतान करने की पूरी क्षमता मिलने के बराबर नहीं है। हालाँकि, ग्राहक का नाम, डिलीवरी पता, फ़ोन नंबर और ईमेल मिलाकर बहुत विश्वसनीय दिखने वाले फर्जी ऑर्डर, सहायता के फर्जी अनुरोध और खाते की सुरक्षा से जुड़े फर्जी संदेश तैयार किए जा सकते हैं। आंशिक कार्ड डेटा में पहले छह और अंतिम चार अंक, कार्डधारक का नाम, कार्ड की वैधता समाप्त होने की तारीख या बिलिंग संपर्क से जुड़ी जानकारी शामिल हो सकती है। इसलिए उपयोगकर्ताओं को अपने स्टेटमेंट और सूचनाओं पर अधिक ध्यान देना चाहिए।

• ईमेल पते: इनका इस्तेमाल RedMart और Lazada के नाम पर फ़िशिंग, फर्जी छूट, डिलीवरी की फर्जी सूचनाओं और खाता पुनर्प्राप्ति संदेशों के लिए किया जा सकता है।
• नाम, फ़ोन नंबर और पता: इनसे किसी व्यक्ति को खास तौर पर निशाना बनाना आसान हो जाता है। कोई ठग असली ऑर्डर और डिलीवरी में इस्तेमाल होने वाली भाषा की नकल करके उपयोगकर्ता को भरोसा दिलाने की कोशिश कर सकता है।
• पासवर्ड हैश: SHA-1 एक पुरानी विधि है, जिसके हैश को तेज़ी से क्रैक किया जा सकता है। अन्य खातों पर भी वही पासवर्ड इस्तेमाल करने वालों के खातों पर अनधिकृत नियंत्रण का जोखिम बढ़ जाता है।
• आंशिक क्रेडिट कार्ड डेटा: इसका अर्थ कार्ड की पूरी जानकारी उपलब्ध होना नहीं है। फिर भी, बैंक की ओर से होने का दावा करने वाली फर्जी कॉल, कार्ड नवीनीकरण के बहाने या भुगतान की नकली पुष्टि जैसी स्थितियों में इसका दुरुपयोग किया जा सकता है।
• भौतिक पते: डिलीवरी और बिलिंग जानकारी के साथ मिलने पर इनसे घर के पते के आधार पर उत्पीड़न, किसी व्यक्ति को निशाना बनाकर संदेश भेजने और पहचान सत्यापन को दरकिनार करने का जोखिम बढ़ता है।

डेटा में सेंध के सत्यापित रिकॉर्ड में 30 जुलाई 2020 की तारीख और 11,07,789 खातों/ईमेल पर प्रभाव दर्ज है। उस समय की रिपोर्टों में बताया गया था कि RedMart का डेटा बिक्री के लिए रखा गया था और रिकॉर्ड जुलाई 2020 तक के थे। सिंगापुर के आधिकारिक डेटा संरक्षण निर्णय में उल्लेख है कि डेटा 6 सितंबर 2020 को बाहर निकाला गया था और इससे 8,98,791 व्यक्ति प्रभावित हुए थे। ये दोनों संख्याएँ अलग-अलग स्तरों पर प्रभाव को मापती हैं: पहली, सूचकांक में खातों या ईमेल पर केंद्रित संख्या है; दूसरी, आधिकारिक समीक्षा में इस्तेमाल की गई प्रभावित व्यक्तियों की संख्या है। इसलिए रिकॉर्ड में कुल 11,07,789 प्रविष्टियाँ ही बनी रहनी चाहिए और आधिकारिक समीक्षा की व्यक्तियों की संख्या को विवरण में दायरे से जुड़ी एक अलग टिप्पणी के रूप में पढ़ा जाना चाहिए।

दायरा RedMart के पुराने ग्राहक और विक्रेता डेटा तक सीमित है। इसे इस सत्यापित दावे के रूप में प्रस्तुत नहीं किया जाना चाहिए कि Lazada के मौजूदा ग्राहक डेटा या पूरे क्षेत्र में उसके सभी खातों में सेंध लगी थी। Lazada द्वारा RedMart का अधिग्रहण किए जाने से दोनों नामों का संबंध स्पष्ट होता है। हालाँकि, लीक का सत्यापित डेटासेट RedMart की पुरानी प्रणालियों के रिकॉर्ड से संबंधित है। इसके अलावा, सत्यापित फ़ील्ड से बाहर की डेटा श्रेणियाँ, जैसे सामाजिक सुरक्षा संख्या, पासपोर्ट, स्वास्थ्य संबंधी जानकारी, पूरा कार्ड नंबर, CVV या बैंक खाता, इस रिकॉर्ड में नहीं जोड़ी जानी चाहिए।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने RedMart खाते का पासवर्ड ईमेल, खरीदारी, बैंकिंग, सोशल मीडिया या काम से जुड़े खातों पर भी इस्तेमाल करते हैं। पासवर्ड हैश सादे टेक्स्ट में नहीं हैं, फिर भी SHA-1 एक पुराना और तेज़ हैश प्रकार है, जिसके विरुद्ध पासवर्ड अनुमान तेज़ी से परखे जा सकते हैं। इसलिए कमज़ोर, छोटे या पहले लीक हो चुके पासवर्ड का जल्दी अनुमान लगाया जा सकता है। एक ही ईमेल पते से कई सेवाओं में लॉग इन करने वालों के लिए यह रिकॉर्ड, केवल एक खरीदारी खाते की समस्या से कहीं आगे बढ़कर खाते की सुरक्षा के लिए व्यापक समस्या बन सकता है।

जिन उपयोगकर्ताओं के पते और फ़ोन की जानकारी लीक हुई है, वे भी लक्षित धोखाधड़ी के प्रति अधिक संवेदनशील हैं। ठग असली नाम, वास्तविक डिलीवरी पते और आंशिक कार्ड जानकारी मिलाकर फर्जी ग्राहक सेवा, फर्जी रिटर्न, फर्जी डिलीवरी शुल्क, खाता निलंबन या कार्ड सत्यापन के बहाने बना सकते हैं। लंबे समय से RedMart पर खरीदारी न करने वालों को भी जोखिम से मुक्त नहीं माना जाना चाहिए, क्योंकि पुराने डेटासेट का इस्तेमाल कई साल बाद भी फ़िशिंग और प्रोफ़ाइल मिलान के लिए किया जा सकता है।

अपने RedMart या Lazada खाते पर पहले इस्तेमाल किया गया पासवर्ड तुरंत बदलकर एक मज़बूत पासवर्ड रखें, जिसका इस्तेमाल किसी अन्य खाते पर न हो। यदि आपने अन्य सेवाओं पर भी वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया है, तो उन खातों के पासवर्ड भी अलग-अलग बदलें। ईमेल खातों, वित्तीय सेवाओं, खरीदारी खातों, सोशल मीडिया और काम से जुड़े खातों को प्राथमिकता दें। पासवर्ड में केवल छोटा-सा बदलाव करना पर्याप्त नहीं है। यदि पुराने पासवर्ड में कोई ऐसा पैटर्न है जिसका अनुमान लगाया जा सकता है, तो हमलावर उसके ऐसे बदले हुए रूप भी आज़मा सकते हैं।

1. बहु-कारक प्रमाणीकरण चालू करें: जिन खातों पर यह सुविधा उपलब्ध हो, वहाँ ऐप-आधारित प्रमाणीकरण या सुरक्षा कुंजी का इस्तेमाल करें।
2. स्टेटमेंट पर नज़र रखें: आंशिक कार्ड डेटा उजागर होने के कारण कार्ड पर होने वाले छोटे और अपरिचित लेन-देन पर ध्यान दें।
3. सहायता के फर्जी संदेशों पर भरोसा न करें: यदि आपसे पासवर्ड, एक बार इस्तेमाल होने वाला कोड, पूरा कार्ड नंबर या CVV माँगा जाए, तो प्रक्रिया रोक दें।
4. पते और फ़ोन से जुड़े जोखिम कम करें: डिलीवरी, रिटर्न या करों के बहाने भेजे गए लिंक आधिकारिक ऐप या आधिकारिक वेबसाइट के बाहर न खोलें।
5. खाते के सत्रों की जाँच करें: यदि कोई अपरिचित डिवाइस, नया डिलीवरी पता, पंजीकृत कार्ड में बदलाव या ऑर्डर करने का संदिग्ध प्रयास दिखे, तो खाते को लॉक कर दें।

यह घटना दिखाती है कि ई-कॉमर्स खातों में केवल खरीदारी का इतिहास ही नहीं, बल्कि पहचान, पते, फ़ोन और भुगतान से जुड़ी जानकारी भी होती है। लंबे समय की सुरक्षा के लिए हर खरीदारी साइट पर अलग पासवर्ड इस्तेमाल करना, पासवर्ड मैनेजर से यादृच्छिक पासवर्ड बनाना और ईमेल खाते को अलग से उच्च स्तर की सुरक्षा देना ज़रूरी है। पुराने खातों की नियमित समीक्षा, इस्तेमाल न किए जाने वाले पंजीकरण बंद करना और सहेजे गए कार्डों की संख्या घटाना व्यक्तिगत जोखिम कम करता है।

पते और फ़ोन की जानकारी के दुरुपयोग को रोकने के लिए उपयोगकर्ताओं को मिलने वाले संदेशों का संदर्भ समझकर उनका आकलन करना चाहिए। केवल इसलिए किसी संदेश को भरोसेमंद नहीं मानना चाहिए कि उसमें आपका असली नाम, डिलीवरी का इलाका या कार्ड के अंतिम चार अंक दिए गए हैं। कंपनियों के लिए भी सीख स्पष्ट है: पुरानी प्रणालियों से बचा हुआ ग्राहक डेटा एक सक्रिय जोखिम बना रहता है और उसकी सुरक्षा ज़रूरी है, भले ही वह मौजूदा ग्राहक डेटा के प्रवाह से अलग हो। अधिकारों की सीमाएँ तय करना, अलग प्रमाणीकरण, अनावश्यक डेटा संग्रह से बचना, मज़बूत लॉगिंग और तेज़ सूचना प्रक्रियाएँ ऐसी घटनाओं का प्रभाव कम करती हैं।

यदि आपका ईमेल पता इस रिकॉर्ड से मेल खाता है, तो पहले RedMart/Lazada पर अपना इतिहास और वे अन्य खाते जाँचें जहाँ आप वही पासवर्ड इस्तेमाल करते हैं। मेल मिलने का अर्थ यह नहीं है कि आपके कार्ड की पूरी जानकारी या आपके पूरे Lazada खाते में सेंध लगी है। सत्यापित दायरे में RedMart से जुड़ा पुराना ग्राहक डेटा, आंशिक कार्ड डेटा और पासवर्ड हैश शामिल हैं। फिर भी, फ़िशिंग, खाते पर अनधिकृत नियंत्रण और लक्षित धोखाधड़ी के जोखिमों से बचने के लिए कदम उठाने चाहिए।

यदि कोई रिकॉर्ड न मिले, लेकिन आपने पहले RedMart का इस्तेमाल किया हो, तो भी बुनियादी सावधानियाँ बरतना समझदारी है: अलग पासवर्ड, बहु-कारक प्रमाणीकरण, स्टेटमेंट की निगरानी, संदिग्ध संदेशों से सावधानी और अनावश्यक सहेजे गए कार्ड हटाना। यदि आपका ईमेल पता इस लीक में दिखता है, तो घबराने की ज़रूरत नहीं है। हालाँकि, अन्य जगहों पर वही पासवर्ड इस्तेमाल करते रहना जोखिम बढ़ाता है। सुरक्षित तरीका यह है कि प्रभावित खाते को अलग रखें, उसका पासवर्ड अन्य खातों के पासवर्ड से अलग करें और आपके फ़ोन या पते की जानकारी का इस्तेमाल करने वाले सोशल इंजीनियरिंग प्रयासों के प्रति अधिक सतर्क रहें।