LBB: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ब्राउज़र user-agent जानकारी, ईमेल पते, IP पते, नाम संबंधी जानकारी और भौतिक पते शामिल हैं। केवल इन फ़ील्ड से वित्तीय खातों तक पहुँच नहीं मिलती; लेकिन खरीदारी और जीवनशैली से जुड़े प्लेटफ़ॉर्म के संदर्भ के साथ मिलकर ये किसी व्यक्ति को उसके बारे में उपलब्ध जानकारी के आधार पर झाँसा देने के प्रयासों को अधिक प्रभावी बनाते हैं। हमलावर ईमेल पते और नाम का इस्तेमाल करके उपयोगकर्ता को ऐसे संदेश भेज सकता है जो किसी ब्रांड के असली संदेश लगें। वह भौतिक पते के आधार पर डिलीवरी या किसी आयोजन के निमंत्रण का बहाना बना सकता है और IP तथा ब्राउज़र की जानकारी से संदेश के तकनीकी विवरणों को अधिक विश्वसनीय दिखा सकता है।

• ईमेल पते: इनका इस्तेमाल फ़र्जी प्रचार अभियानों, फ़र्जी कूपन, खाते से जुड़ी सूचनाओं और ब्रांड के साथ सहयोग के संदेशों के लिए किया जा सकता है।
• नाम संबंधी जानकारी: इससे संदेशों को व्यक्ति के अनुरूप बनाया जा सकता है। उपयोगकर्ता का भरोसा बढ़ाने के उद्देश्य से की जाने वाली सोशल इंजीनियरिंग में यह जानकारी उपयोगी होती है।
• भौतिक पते: डिलीवरी, सामान लौटाने, आयोजन में पंजीकरण या बिल बनाने के बहाने इनका दुरुपयोग किया जा सकता है।
• IP पते: इनसे अनुमानित स्थान और इंटरनेट सेवा प्रदाता का संकेत मिल सकता है; ठग किसी खास भौगोलिक क्षेत्र को निशाना बनाने वाले संदेशों को अधिक प्रभावी बनाने के लिए इनका इस्तेमाल कर सकते हैं।
• ब्राउज़र user-agent जानकारी: इससे डिवाइस, ब्राउज़र और ऑपरेटिंग सिस्टम का संकेत मिल सकता है, जिससे फ़र्जी तकनीकी सहायता या सुरक्षा सूचना का बहाना अधिक विश्वसनीय लग सकता है।

सत्यापित दायरा 14 फ़रवरी 2019 की LBB घटना और 39,288 अलग-अलग ईमेल खातों तक ही रखा जाना चाहिए। स्रोत रिकॉर्ड के अनुसार, डेटा अगस्त 2022 के दौरान एक फ़ोरम पर साझा किया गया था, सबसे हाल का डेटा 2019 की शुरुआत का है और इसमें 30 लाख से अधिक पंक्तियाँ हैं। पंक्तियों की यह संख्या अलग-अलग व्यक्तियों या अलग-अलग ईमेल पतों की संख्या के बराबर नहीं है। इसलिए रिकॉर्ड की संख्या वाले फ़ील्ड में अलग-अलग खातों का विश्वसनीय आँकड़ा रखा गया है; विवरण में पंक्तियों की अधिक संख्या को दायरे से जुड़ी एक अलग टिप्पणी के रूप में दर्ज किया गया है।

LBB की ओर से बताए गए आकलन के अनुसार, डेटा एक तृतीय-पक्ष सेवा के ज़रिए उजागर हुआ था और ग्राहकों के बारे में LBB द्वारा रखे जाने वाले कुछ फ़ील्ड के साथ डेटा के अतिरिक्त विवरण मिला दिए गए थे। यह अंतर महत्वपूर्ण है: ऐसा नहीं बताया जाना चाहिए मानो सभी फ़ील्ड सीधे LBB खाते से आए हों। इसके अलावा, पासवर्ड, पासवर्ड हैश, फ़ोन नंबर, भुगतान कार्ड, CVV, बैंक खाते, सरकारी पहचान, पासपोर्ट या स्वास्थ्य संबंधी डेटा इस रिकॉर्ड की सत्यापित डेटा श्रेणियों में शामिल नहीं हैं। उपयोगकर्ताओं के जोखिम को प्रोफ़ाइल और संपर्क जानकारी से पैदा होने वाले फ़िशिंग और लक्षित हमलों के प्रभाव तक सीमित बताया जाना चाहिए।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो खरीदारी, ब्रांड खोजने, शहर की मार्गदर्शिकाओं, आयोजनों, प्रचार अभियानों या उत्पाद सुझावों के लिए LBB पर खाते या संपर्क की जानकारी देते हैं। इन्हें फ़र्जी छूट, फ़र्जी प्रतियोगिता, ब्रांड के फ़र्जी प्रस्ताव, फ़र्जी डिलीवरी और खाते के फ़र्जी सत्यापन वाले संदेशों से निशाना बनाया जा सकता है। डेटा में भौतिक पता मौजूद होने से ठग संदेश को उपयोगकर्ता के शहर या डिलीवरी की जानकारी से जोड़ सकता है। इससे साधारण स्पैम संदेशों की तुलना में हमले का अधिक विश्वसनीय आधार बनता है।

जिन उपयोगकर्ताओं के IP पते और ब्राउज़र user-agent जानकारी लीक हुई है, उनके लिए अतिरिक्त जोखिमों में तकनीकी सहायता या डिवाइस सुरक्षा के बहाने किए जाने वाले फ़िशिंग प्रयास शामिल हैं। उदाहरण के लिए, उपयोगकर्ता को भेजे गए किसी संदेश में उसके ब्राउज़र या डिवाइस की विशिष्ट जानकारी हो, तो वह वास्तविक सुरक्षा चेतावनी जैसा लग सकता है। चूँकि इस रिकॉर्ड में पासवर्ड नहीं है, इसलिए पासवर्ड लीक वाली घटनाओं की तुलना में खाते पर सीधे कब्ज़े का जोखिम अधिक सीमित है। फिर भी, यदि ईमेल पते को दूसरे लीक से मिले पासवर्ड से मिलाया जाए, तो हमलावर अलग-अलग स्रोतों के डेटा को जोड़ सकते हैं।

यदि आपका ईमेल पता LBB रिकॉर्ड में मिलता है, तो सबसे पहले LBB और उससे जुड़े खरीदारी खातों में संदिग्ध संदेशों, अपरिचित प्रचार लिंक, अप्रत्याशित डिलीवरी सूचनाओं और पता सत्यापित करने के अनुरोधों की जाँच करें। इस घटना में पासवर्ड सत्यापित डेटा फ़ील्ड नहीं है; फिर भी, जिन महत्वपूर्ण खातों में आप यही ईमेल पता इस्तेमाल करते हैं, उनमें मज़बूत और हर खाते के लिए अलग पासवर्ड तथा बहु-कारक प्रमाणीकरण का उपयोग करें। ईमेल पते को दूसरे डेटा सेट से मिलाए जाने पर जोखिम बढ़ सकता है।

1. संदिग्ध लिंक से बचें: कूपन, धनवापसी, सामान भेजने, आयोजन या खाते से जुड़ी सूचनाओं वाले संदेशों की जाँच स्वयं आधिकारिक साइट पर जाकर करें।
2. पते से जुड़े अनुरोधों की जाँच करें: ऐसे संदेशों से सावधान रहें जो आपका भौतिक पता दोबारा माँगते हों, डिलीवरी शुल्क की माँग करते हों या भुगतान सत्यापित करने को कहते हों।
3. ईमेल की सुरक्षा बढ़ाएँ: अपने ईमेल खाते के लिए अलग पासवर्ड और बहु-कारक प्रमाणीकरण इस्तेमाल करें; खाता बहाल करने के लिए दर्ज ईमेल पतों की जाँच करें।
4. डिवाइस की जानकारी वाले संदेशों पर भरोसा न करें: केवल ब्राउज़र या ऑपरेटिंग सिस्टम की जानकारी होने से कोई संदेश विश्वसनीय नहीं हो जाता।
5. स्पैम और फ़िशिंग फ़िल्टर मज़बूत करें: अज्ञात भेजने वालों, छोटे किए गए लिंक और तुरंत कार्रवाई करने का दबाव डालने वाले संदेशों को चिह्नित करें।

लंबे समय तक सुरक्षा के लिए खरीदारी और जीवनशैली से जुड़े प्लेटफ़ॉर्म पर अनावश्यक व्यक्तिगत डेटा साझा करना कम करना ज़रूरी है। इस्तेमाल न किए जाने वाले खाते बंद करना, दर्ज पतों को अद्यतन और सीमित रखना, प्रचार अभियानों से जुड़ी अनुमतियों की समीक्षा करना और ईमेल मास्क का उपयोग करना आपको निशाना बनाए जाने की संभावना कम करता है। खासकर जब भौतिक पता और ईमेल एक ही प्रोफ़ाइल में हों, तो लीक हुआ डेटा वर्षों बाद भी सोशल इंजीनियरिंग में उपयोगी रह सकता है।

ब्रांड खोजने, फ़ैशन, घर, सौंदर्य और शहर की मार्गदर्शिकाओं से जुड़ी सेवाओं में उपयोगकर्ताओं को अक्सर प्रचार अभियानों, निमंत्रणों और सुझावों के संदेश मिलते हैं। संदेशों का यह सामान्य आदान-प्रदान हमलावरों के लिए लाभकारी होता है। इसलिए हर संदेश में ब्रांड की भाषा, भेजने वाले के डोमेन, लिंक के गंतव्य और भुगतान की माँग की जाँच की जानी चाहिए। कंपनियों को ग्राहकों की जानकारी वाले उन फ़ील्ड की नियमित सूची बनानी चाहिए जिन्हें तृतीय-पक्ष सेवाओं के साथ साझा किया जाता है। अतिरिक्त जानकारी जोड़कर तैयार किए गए डेटा सेट की अलग जोखिमों के रूप में निगरानी की जानी चाहिए और अनावश्यक फ़ील्ड को स्थायी रूप से कम किया जाना चाहिए।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि LBB से जुड़ा आपका ईमेल पता सत्यापित डेटा सेट में मौजूद है। मिलान मिलने का अर्थ यह नहीं है कि इस घटना में आपका पासवर्ड या भुगतान कार्ड लीक हुआ था। सत्यापित फ़ील्ड ईमेल, नाम, भौतिक पता, IP पता और ब्राउज़र user-agent जानकारी तक सीमित हैं। फिर भी, फ़र्जी प्रचार अभियानों, फ़र्जी डिलीवरी, ब्रांड के नाम से फ़र्जी संदेशों और आपकी जानकारी के आधार पर तैयार किए गए फ़िशिंग प्रयासों से सावधान रहना चाहिए।

जाँच के बाद सबसे उपयुक्त कदम हैं: अपने ईमेल खाते की सुरक्षा मज़बूत करना, LBB और ऐसी ही खरीदारी सेवाओं में दर्ज पतों की समीक्षा करना, संदिग्ध संदेश खोलने से बचना और अनधिकृत लिंक के ज़रिए भुगतान या जानकारी न देना। यदि आप कई सेवाओं के लिए एक ही ईमेल पता इस्तेमाल करते हैं, तो याद रखें कि अलग-अलग डेटा लीक की जानकारी को जोड़ा जा सकता है। इसलिए, भले ही किसी एक घटना में पासवर्ड शामिल न हो, खाते की सुरक्षा, ईमेल के सुरक्षित इस्तेमाल और व्यक्तिगत डेटा को न्यूनतम रखने पर एक साथ ध्यान दिया जाना चाहिए।