LiveAuctioneers: डेटा में सेंध

इस सेंध में शामिल डेटा फ़ील्ड से मोटे तौर पर नीलामी खाते की पहचान और संपर्क संबंधी प्रोफ़ाइल तैयार की जा सकती है। खाते में प्रवेश के प्रयासों और फ़िशिंग संदेशों के लिए ईमेल पता और उपयोगकर्ता नाम प्रमुख संपर्क माध्यम हैं। पूरा नाम, फ़ोन नंबर और भौतिक पता होने से धोखाधड़ी के प्रयास अधिक विश्वसनीय लग सकते हैं। ऐसे प्रयास फ़र्ज़ी शिपिंग सूचनाओं, फ़र्ज़ी बिलों, भुगतान के फ़र्ज़ी अनुस्मारकों, खाते की सुरक्षा संबंधी चेतावनियों या महँगी संग्रहणीय वस्तुओं के बहाने किए जा सकते हैं। IP पते भी खाते की गतिविधियों और अनुमानित स्थान के संदर्भ में जोखिम बढ़ाते हैं।

पासवर्ड रिकॉर्ड को बिना सॉल्ट वाले MD5 हैश मानों से सुरक्षित किए जाने के कारण जोखिम का स्तर बढ़ जाता है। आधुनिक पासवर्ड भंडारण के लिए MD5 को कमज़ोर माना जाता है। विशेष रूप से छोटे, आसानी से अनुमान लगाए जा सकने वाले या अन्य लीक में सामने आ चुके पासवर्ड जल्दी क्रैक किए जा सकते हैं। यदि वही पासवर्ड ईमेल, भुगतान, सोशल मीडिया, मार्केटप्लेस या अन्य नीलामी खातों में दोबारा इस्तेमाल किया गया हो, तो डेटा में सेंध की एक घटना का असर कई खातों तक फैल सकता है। भौतिक पते और फ़ोन नंबर जैसे फ़ील्ड का इस्तेमाल ऑफ़लाइन धोखाधड़ी, फ़र्ज़ी डिलीवरी कॉल और व्यक्तिगत जानकारी के आधार पर दी जाने वाली धमकियों में भी किया जा सकता है।

इस रिकॉर्ड का सत्यापित दायरा 19 जून 2020 की घटना और लगभग 33,85,862 खातों पर आधारित है। LiveAuctioneers की सूचना के अनुसार, एक अनधिकृत तीसरे पक्ष ने डेटा प्रोसेसिंग साझेदार के माध्यम से कुछ उपयोगकर्ता खातों के डेटा तक पहुँच हासिल की थी। रिकॉर्ड में रखी जाने वाली मुख्य डेटा श्रेणियाँ ईमेल पते, IP पते, नाम, पासवर्ड, फ़ोन नंबर, भौतिक पते और उपयोगकर्ता नाम हैं। संभव है कि हर उपयोगकर्ता खाते में ये सभी फ़ील्ड मौजूद न हों। इसलिए विवरण में यह नहीं मानना चाहिए कि हर डेटा फ़ील्ड से सभी उपयोगकर्ता प्रभावित हुए थे।

इस घटना की एक महत्वपूर्ण सीमा भुगतान और नीलामी के इतिहास से जुड़ी है। कंपनी की सूचना में कहा गया था कि भुगतान कार्ड के पूरे नंबरों तक पहुँच हासिल किए जाने का कोई प्रमाण नहीं है और यह नहीं माना जाता कि नीलामी का इतिहास प्रभावित हुआ है। इसलिए रिकॉर्ड में कार्ड नंबरों या नीलामी के इतिहास की डेटा श्रेणी नहीं जोड़ी जानी चाहिए। घटना का कारण सेवा की नीलामी प्रक्रिया को सीधे नहीं, बल्कि आपूर्तिकर्ता की ओर मौजूद सुरक्षा की खामी को माना जाना चाहिए। यह अंतर उपयोगकर्ता के लिए अनावश्यक चिंता पैदा किए बिना जोखिम के सही क्षेत्र को स्पष्ट करता है।

सबसे अधिक जोखिम उन लोगों को है जो अपने LiveAuctioneers खाते का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। खास तौर पर यदि उसी ईमेल और पासवर्ड के संयोजन का इस्तेमाल ईमेल खातों, गैर-बैंक भुगतान सेवाओं, सोशल मीडिया, अन्य मार्केटप्लेस, शिपिंग खातों या नीलामी वेबसाइटों पर भी किया गया हो, तो खातों में प्रवेश के स्वचालित प्रयासों की आशंका रहती है। संग्रहणीय वस्तुएँ, प्राचीन वस्तुएँ, आभूषण या कलाकृतियाँ खरीदने वाले उपयोगकर्ता भी लक्षित धोखाधड़ी के लिए अधिक आकर्षक निशाना बन सकते हैं, क्योंकि उनके नाम, फ़ोन नंबर, पते और इस प्लेटफ़ॉर्म में उनकी रुचि की जानकारी का एक साथ इस्तेमाल किया जा सकता है।

जिन उपयोगकर्ताओं के भौतिक पते और फ़ोन नंबर रिकॉर्ड में शामिल हैं, उन्हें न केवल ऑनलाइन खतरों, बल्कि फ़ोन और डाक के माध्यम से आने वाले फ़र्ज़ी अनुरोधों से भी सावधान रहना चाहिए। हमलावर वैध नीलामी खाता होने का दिखावा कर सकते हैं और भुगतान की पुष्टि, शिपिंग शुल्क, सीमा शुल्क या खाते के सत्यापन के बहाने उपयोगकर्ताओं से संपर्क कर सकते हैं। IP पते और उपयोगकर्ता नाम जैसी अतिरिक्त जानकारी से हमले को किसी व्यक्ति के अनुरूप ढालने में मदद मिल सकती है। जो लोग अब अपने पुराने खातों का इस्तेमाल नहीं करते, वे भी जोखिम में हैं, क्योंकि पुराने पासवर्ड वर्षों तक दूसरे खातों पर इस्तेमाल होते रह सकते हैं।

यदि आपका ईमेल पता इस रिकॉर्ड में मिलता है, तो सबसे पहले LiveAuctioneers खाते पर इस्तेमाल किए गए पुराने पासवर्ड की तुलना अन्य खातों के पासवर्ड से करें। यदि वही या मिलता-जुलता पासवर्ड कहीं और भी इस्तेमाल हो रहा है, तो हर खाते के लिए नया, लंबा और अलग पासवर्ड तय करें। ईमेल खातों, भुगतान सेवाओं, मार्केटप्लेस, सोशल मीडिया और शिपिंग खातों को प्राथमिकता दें। पासवर्ड मैनेजर के इस्तेमाल से दोहराए गए पासवर्ड ढूँढ़ना और हर खाते के लिए मज़बूत पासवर्ड बनाना आसान होता है।

LiveAuctioneers खाते में सत्रों के इतिहास, दर्ज पतों, फ़ोन नंबरों और खाता पुनर्प्राप्ति की जानकारी की समीक्षा की जानी चाहिए। जिन खातों में सुविधा उपलब्ध हो, उनमें दो-कारक प्रमाणीकरण चालू किया जाना चाहिए, अनजान डिवाइसों के सत्र बंद किए जाने चाहिए और संदिग्ध ईमेल या SMS के लिंक पर क्लिक नहीं करना चाहिए। नीलामी, डिलीवरी, भुगतान, शिपिंग, खाते की सुरक्षा या विशेष ऑफ़र से जुड़े संदेशों की ध्यान से जाँच करनी चाहिए। भले ही कार्ड का पूरा नंबर इस रिकॉर्ड की सत्यापित डेटा श्रेणियों में शामिल न हो, उपयोगकर्ताओं को असामान्य गतिविधि का पता लगाने के लिए अपने भुगतान विवरण और खातों के लेन-देन पर नज़र रखनी चाहिए।

यह घटना दिखाती है कि नीलामी और मार्केटप्लेस खाते न केवल खरीदारी के इतिहास, बल्कि पहचान और संपर्क जानकारी के लिहाज़ से भी मूल्यवान होते हैं। लंबे समय में हर सेवा के लिए अलग पासवर्ड, दो-कारक प्रमाणीकरण, सत्रों की नियमित जाँच और अनावश्यक खातों को बंद करना सुरक्षा के बुनियादी उपाय हैं। उपयोगकर्ताओं को पुराने नीलामी खातों में दर्ज पतों और फ़ोन नंबरों की संख्या न्यूनतम रखनी चाहिए, जिन खातों का अब इस्तेमाल नहीं होता उन्हें बंद कर देना चाहिए और अलग-अलग सेवाओं पर एक ही उपयोगकर्ता नाम इस तरह इस्तेमाल करने से बचना चाहिए कि उनके बीच अनावश्यक संबंध स्थापित हो सकें।

सेवा प्रदाता की ओर से आपूर्तिकर्ताओं की पहुँच सीमित करना, मज़बूत पासवर्ड हैशिंग एल्गोरिदम अपनाना, सिस्टम की घटनाओं की निगरानी करना, नियमित सुरक्षा ऑडिट कराना और उपयोगकर्ताओं को तुरंत सूचित करना बेहद महत्वपूर्ण है। उपयोगकर्ता की ओर से केवल एक खाते का पासवर्ड बदलने से जोखिम समाप्त नहीं होता। ईमेल पता, फ़ोन नंबर, भौतिक पता और उपयोगकर्ता नाम एक साथ उपलब्ध होने पर सोशल इंजीनियरिंग का खतरा लंबे समय तक बना रह सकता है। इसलिए उपयोगकर्ताओं को नियमित रूप से खाते की सुरक्षा की समीक्षा करनी चाहिए और यह ध्यान रखना चाहिए कि पुराने डेटा लीक का इस्तेमाल धोखाधड़ी के नए संदेशों में फिर से किया जा सकता है।

यदि LeakData पर LiveAuctioneers के लिए सकारात्मक परिणाम दिखाई देता है, तो यह रिकॉर्ड 19 जून 2020 को डेटा प्रोसेसिंग साझेदार के माध्यम से हुई खातों के डेटा से जुड़ी घटना से संबंधित है। पहला कदम प्रभावित ईमेल पते और LiveAuctioneers खाते पर इस्तेमाल किए गए पुराने पासवर्ड की पहचान करना है। इसके बाद उन सभी खातों की सूची बनानी चाहिए जिनमें वही पासवर्ड इस्तेमाल हुआ हो सकता है। हर खाते का पासवर्ड बदलकर नया और अलग पासवर्ड रखना चाहिए और जहाँ संभव हो, दो-कारक प्रमाणीकरण चालू करना चाहिए। पासवर्ड में मामूली बदलाव करने के बजाय पूरी तरह अलग पासवर्ड को प्राथमिकता देनी चाहिए।

अगली जाँच में ऐसे लक्षित धोखाधड़ी के प्रयासों पर ध्यान देना चाहिए जिनमें फ़ोन नंबर, पते और पूरे नाम की जानकारी का इस्तेमाल किया जा सकता है। फ़र्ज़ी सहायता संदेशों, फ़र्ज़ी नीलामी परिणामों, भुगतान पूरा करने के अनुरोधों, डिलीवरी शुल्क या खाते की सुरक्षा संबंधी सूचनाओं जैसे संदेशों की जाँच सीधे आधिकारिक वेबसाइट पर जाकर करनी चाहिए। इस रिकॉर्ड की सत्यापित डेटा श्रेणियाँ ईमेल पते, IP पते, नाम, पासवर्ड, फ़ोन नंबर, भौतिक पते और उपयोगकर्ता नाम हैं। भुगतान कार्ड नंबर या नीलामी का इतिहास इस रिकॉर्ड में नहीं जोड़ा जाना चाहिए।