Locally: डेटा में सेंध

इस रिकॉर्ड में सत्यापित मुख्य डेटा प्रकार हैं: ईमेल पते, फ़ोन नंबर, भौतिक पते, खरीदारी के रिकॉर्ड, क्रेडिट कार्ड की आंशिक जानकारी और पासवर्ड डेटा। कार्ड की आंशिक जानकारी का मतलब कार्ड के प्रकार और अंतिम चार अंकों जैसे सीमित फ़ील्ड से है; पूरा कार्ड नंबर या कार्ड का सुरक्षा कोड इस रिकॉर्ड में सत्यापित फ़ील्ड नहीं है। पासवर्ड डेटा bcrypt हैश के रूप में मौजूद है। मज़बूत हैश फ़ॉर्मेट का मतलब सीधे तौर पर सादे टेक्स्ट में पासवर्ड होना नहीं है, लेकिन कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के लिए जोखिम बना रहता है।

एक ही रिकॉर्ड में ईमेल, फ़ोन नंबर और भौतिक पता मौजूद होने से लक्षित सोशल इंजीनियरिंग की आशंका बढ़ती है। खरीदारी की जानकारी से हमलावर समझ सकता है कि उपयोगकर्ता को किस उत्पाद, स्टोर या ऑर्डर से जुड़ी स्थिति से जोड़ा जा सकता है। केवल कार्ड की आंशिक जानकारी भुगतान करने के लिए पर्याप्त न हो, फिर भी फ़र्ज़ी बैंक या रिफ़ंड संबंधी बातचीत में भरोसा दिलाने के लिए इसका इस्तेमाल किया जा सकता है। इसलिए जोखिम का आकलन खाते पर कब्ज़ा, फ़िशिंग, कार्ड से होने वाले लेन-देन की निगरानी और पते के आधार पर धोखाधड़ी की श्रेणियों में किया जाना चाहिए।

सत्यापित दायरे में अक्टूबर 2022 की Locally घटना और 3,62,619 प्रभावित खाते शामिल हैं। जुलाई 2023 में इस रिकॉर्ड को डेटा सेंध से जुड़े बड़े डेटासेटों में सत्यापित रिकॉर्ड के रूप में शामिल किया गया था। डेटा श्रेणियों की सूची में छह मुख्य क्षेत्र हैं: ईमेल पते, क्रेडिट कार्ड का आंशिक डेटा, पासवर्ड, फ़ोन नंबर, भौतिक पते और खरीदारी के रिकॉर्ड। यह बताया गया है कि कंपनी ने डेटा सेंध की बात स्पष्ट रूप से स्वीकार की थी, लेकिन यह साफ़ तौर पर ज्ञात नहीं है कि प्रभावित ग्राहकों को सूचनाएँ भेजी गई थीं या नहीं।

पूरे क्रेडिट कार्ड नंबर, कार्ड के सुरक्षा कोड, बैंक खाते, आधिकारिक पहचान संख्याएँ या स्वास्थ्य संबंधी डेटा को इस रिकॉर्ड के सत्यापित फ़ील्ड में शामिल नहीं किया जाना चाहिए। घटना में इस्तेमाल हुए तकनीकी प्रवेश बिंदु की भी पुष्टि नहीं हुई है; किसी सुरक्षा खामी, मैलवेयर या कर्मचारी के खाते से जुड़े विशिष्ट दावों को निश्चित तथ्य के रूप में प्रस्तुत नहीं किया जाना चाहिए। इस रिकॉर्ड को ग्राहक खातों और लेन-देन के डेटा पर केंद्रित रखकर देखा जाना चाहिए। इससे उपयोगकर्ता अपुष्ट परिस्थितियों के बजाय वास्तव में देखे गए डेटा फ़ील्ड से पैदा होने वाले जोखिमों के आधार पर कार्रवाई कर सकता है।

सबसे अधिक जोखिम उन लोगों के लिए है जो Locally के ज़रिए स्थानीय स्टोरों में उत्पाद खोजते हैं, ऑर्डर देते हैं और डिलीवरी या स्टोर से सामान लेने का विकल्प इस्तेमाल करते हैं। यदि वही ईमेल और फ़ोन संबंधी जानकारी अन्य खरीदारी खातों में भी इस्तेमाल की जाती है, तो हमलावर अलग-अलग सेवाओं में उस व्यक्ति की पहचान को जोड़ने की कोशिश कर सकता है। भौतिक पता उपयोगकर्ता को किसी खास शहर, स्टोर के क्षेत्र या डिलीवरी मार्ग से जोड़ सकता है। खरीदारी का इतिहास भी लक्षित संदेशों को अधिक वास्तविक बनाता है।

खुदरा क्षेत्र के कर्मचारियों, स्टोर प्रतिनिधियों, अक्सर खरीदारी करने वालों, कई खातों में एक ही पासवर्ड इस्तेमाल करने वालों और कार्ड से होने वाले लेन-देन की नियमित निगरानी न करने वालों को अधिक सावधान रहना चाहिए। कार्ड की आंशिक जानकारी का इस्तेमाल खास तौर पर फ़र्ज़ी सहायता कॉल में किया जा सकता है, जहाँ उपयोगकर्ता से कार्ड के बाकी अंक बताने को कहा जाता है। हालाँकि Bcrypt पासवर्ड हैश मज़बूत सुरक्षा देते हैं, फिर भी छोटे, आसानी से अनुमान लगाए जा सकने वाले या पहले इस्तेमाल किए गए पासवर्ड अतिरिक्त जोखिम पैदा करते हैं। इसलिए एक ही पासवर्ड वाले खातों की जाँच प्राथमिकता से की जानी चाहिए।

यदि आपका Locally पर खाता है, तो उसका पासवर्ड बदलकर ऐसा लंबा पासवर्ड रखें जो किसी अन्य खाते में इस्तेमाल न हो। यदि वही या उससे मिलता-जुलता पासवर्ड अन्य खरीदारी, ईमेल, सोशल मीडिया या भुगतान खातों में इस्तेमाल होता है, तो हर खाते के लिए अलग नया पासवर्ड चुनें। जिन खातों में दो-कारक प्रमाणीकरण की सुविधा है, उनमें इसे चालू करें और दर्ज लॉगिन सत्रों तथा खाता पुनर्प्राप्ति के विकल्पों की जाँच करें। पासवर्ड हैश के रूप में दिखाई देने पर भी, यदि वही पासवर्ड दोबारा इस्तेमाल हुआ है, तो हमलावर उसे अलग-अलग साइटों पर आज़माने की कोशिश कर सकता है।

अपने क्रेडिट कार्ड के लेन-देन की समीक्षा करें और ऐसे कॉल, SMS या ईमेल से सावधान रहें जिनमें कार्ड का प्रकार या उसके अंतिम चार अंक बताए गए हों। यदि बैंक या स्टोर के नाम से कोई संदेश ऑर्डर, डिलीवरी, सामान वापसी या कार्ड सत्यापन का अनुरोध करता है, तो लिंक पर क्लिक करने के बजाय आधिकारिक ऐप या वेबसाइट का जाना-पहचाना पता इस्तेमाल करें। चूँकि पता और फ़ोन संबंधी जानकारी भी दिखाई दे रही है, इसलिए अचानक आने वाली शिपिंग, स्टोर से सामान लेने या ग्राहक सहायता संबंधी कॉल की पुष्टि किसी दूसरे माध्यम से करें। यदि कोई संदिग्ध भुगतान या ऑर्डर गतिविधि दिखे, तो कार्ड जारीकर्ता और संबंधित स्टोर से सीधे संपर्क करें।

लंबी अवधि में खरीदारी खातों के लिए अलग ईमेल उपनाम, ऐसा पासवर्ड जो किसी अन्य खाते में इस्तेमाल न हो और, जहाँ संभव हो, भुगतान सूचनाओं का इस्तेमाल करना चाहिए। ब्राउज़र या स्टोर के खातों में अनावश्यक रूप से कार्ड, पुराने पते और पुरानी फ़ोन संबंधी जानकारी सहेजकर न रखने से डेटा के उजागर होने की गुंजाइश कम होती है। ऑर्डर और डिलीवरी की जानकारी वाले संदेशों की हमेशा आधिकारिक खातों के ज़रिए जाँच करें; किसी व्यक्ति को केवल इसलिए बैंक या स्टोर का कर्मचारी न मानें कि उसे कार्ड के अंतिम चार अंक पता हैं।

पासवर्ड मैनेजर के इस्तेमाल से कई जगह इस्तेमाल हो रहे पासवर्ड ढूँढ़ना और हर सेवा के लिए मज़बूत पासवर्ड बनाना आसान होता है। ईमेल खाते की भूमिका केंद्रीय होती है, इसलिए उसकी सुरक्षा भी मज़बूत की जानी चाहिए। कार्ड जारीकर्ता की तत्काल सूचनाओं, खर्च की सीमाओं और वर्चुअल कार्ड के विकल्पों को प्राथमिकता दी जा सकती है। खुदरा खरीदारी के पुराने रिकॉर्ड का इस्तेमाल वर्षों बाद भी धोखाधड़ी वाले संदेशों में किया जा सकता है; इसलिए खातों से अनावश्यक जानकारी नियमित रूप से हटाना और लेन-देन पर नज़र रखना सुरक्षा की स्थायी दिनचर्या होनी चाहिए।

यदि LeakData पर Locally का परिणाम सकारात्मक दिखता है, तो यह रिकॉर्ड अक्टूबर 2022 में Locally के ग्राहकों और उनकी खरीदारी का डेटा उजागर होने से जुड़ा है। पहला कदम उस खाते को ढूँढ़ना होना चाहिए जिसमें संबंधित ईमेल पते का इस्तेमाल Locally या उससे जुड़े स्टोर की सेवा के लिए किया गया था। इसके बाद एक-एक करके जाँचें कि क्या पासवर्ड कहीं और इस्तेमाल हुआ है, क्या खाते में दर्ज फ़ोन और पते की जानकारी अद्यतन है और क्या कार्ड के लेन-देन में कोई असामान्य गतिविधि है।

इस डेटा सेंध रिकॉर्ड की सत्यापित डेटा श्रेणियाँ हैं: ईमेल पते, क्रेडिट कार्ड का आंशिक डेटा, पासवर्ड संबंधी जानकारी, फ़ोन नंबर, भौतिक पते और खरीदारी के रिकॉर्ड। पासवर्ड डेटा को bcrypt हैश के रूप में समझना चाहिए; पूरे कार्ड नंबर, कार्ड के सुरक्षा कोड, बैंक खाता नंबर या आधिकारिक पहचान संख्याएँ इस रिकॉर्ड के सत्यापित फ़ील्ड नहीं हैं। उपयोगकर्ताओं को पासवर्ड के दोबारा इस्तेमाल, लक्षित फ़िशिंग, पते के आधार पर सोशल इंजीनियरिंग और कार्ड से होने वाले लेन-देन की निगरानी पर ध्यान देना चाहिए।