Market Moveis: डेटा में सेंध

इस प्रविष्टि में दिखाई देने वाले डेटा के प्रकार ईमेल पते और नाम हैं। पासवर्ड, फ़ोन, पता या भुगतान कार्ड से जुड़े फ़ील्ड सत्यापित नहीं थे। भुगतान कार्ड, बैंक खाते, निजी संदेश, सरकारी पहचान-पत्र, स्वास्थ्य रिकॉर्ड या प्रोफ़ाइल के अतिरिक्त फ़ील्ड, जिनकी पुष्टि नहीं हुई थी, उन्हें डेटा श्रेणियों की सूची में नहीं जोड़ा गया; केवल वे फ़ील्ड रखे गए जिनके समर्थन में साक्ष्य थे।

नाम और ईमेल के मिलान का इस्तेमाल फ़र्ज़ी प्रचार अभियानों, ऑर्डर की सूचनाओं या ग्राहक सेवा संदेशों में किया जा सकता है। अकेला ईमेल पता भी स्पैम का जोखिम पैदा करता है; जब उसे फ़ोन नंबर, पते, IP, जन्मतिथि, फ़ोटो, पहचान-पत्र संख्या या डिवाइस ट्रैकिंग डेटा से जोड़ा जाता है, तो हमलावर के लिए उपयोगकर्ता के अनुरूप संदेश बनाना आसान हो जाता है। इसलिए जोखिम का आकलन केवल रिकॉर्ड की संख्या से नहीं, बल्कि इस बात से भी किया जाता है कि डेटा को आपस में कितना जोड़ा जा सकता है।

अगस्त 2023 के 28,220 रिकॉर्ड के आधार पर दायरे की पुष्टि की गई। सत्यापित फ़ील्ड रखे गए, जबकि जिन फ़ील्ड की पुष्टि नहीं हुई थी, उन्हें छोड़ दिया गया। इस घटना को अन्य ब्रांडों, मिलते-जुलते नाम वाली प्रविष्टियों या इसी कंपनी की अलग-अलग अवधियों की घटनाओं के साथ नहीं मिलाया गया।

घटना का दायरा marketmoveis.pt डोमेन तक सीमित रखा गया और ग्राहकों के अतिरिक्त डोमेन डेटा श्रेणी में नहीं जोड़े गए। इस तरीके से एक ही डेटा लीक को दोबारा जोड़ने से बचा जाता है और उपयोगकर्ता को गलत संगठन की ज़िम्मेदारी नहीं दिखाई जाती। डोमेन, कंपनी के नाम और क्षेत्र की जानकारी को यथासंभव सीमित और सटीक संदर्भ में रखा गया; जहाँ अनिश्चितता थी, वहाँ सत्यापन का फ़्लैग या वेबसाइट डोमेन उसी के अनुसार निर्धारित किया गया।

जोखिम में वे ग्राहक हो सकते हैं जिन्होंने Market Moveis की साइट पर खाता खोला हो, उत्पादों की समीक्षा की हो या संपर्क फ़ॉर्म भरा हो। जिन उपयोगकर्ताओं के डेटा का मिलान होता है, उन्हें संबंधित खाते के अलावा उन दूसरे खातों का भी आकलन करना चाहिए जहाँ वे उसी ईमेल, फ़ोन, उपयोगकर्ता नाम या पासवर्ड के पैटर्न का इस्तेमाल करते हैं।

घर की सजावट या ऑर्डर से जुड़े संदेशों का इस्तेमाल उपयोगकर्ता को फ़र्ज़ी लिंक पर ले जाने के लिए किया जा सकता है। यदि कॉर्पोरेट ईमेल, बच्चे या परिवार का खाता, सार्वजनिक रिकॉर्ड, गेमिंग पहचान, साक्षरता समुदाय, निगरानी सॉफ़्टवेयर या पेशेवर सेवा का संदर्भ जुड़ा हो, तो सोशल इंजीनियरिंग का जोखिम बढ़ सकता है। उपयोगकर्ताओं को अपने बारे में सही लगने वाली जानकारी को भरोसे का संकेत नहीं मानना चाहिए।

प्रभावित उपयोगकर्ताओं को Market Moveis के नाम से मिले प्रचार अभियान, ऑर्डर या खाते में बदलाव से जुड़े संदेशों की पुष्टि आधिकारिक वेबसाइट पर जाकर करनी चाहिए। जिन खातों में पासवर्ड फ़ील्ड है, उनके लिए उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों के पासवर्ड बदले जाने चाहिए; जिन खातों में पासवर्ड फ़ील्ड नहीं है, उनके लिए फ़ोन, ईमेल, फ़र्ज़ी सूचनाओं और पहचान के मिलान से जुड़े जोखिमों पर ध्यान देना चाहिए।

संदेश में दिए गए लिंक पर क्लिक करने के बजाय संबंधित सेवा का पता खुद टाइप करना चाहिए या किसी भरोसेमंद पासवर्ड मैनेजर में सहेजी गई प्रविष्टि का इस्तेमाल करना चाहिए। माल की ढुलाई, सहायता, गेम के पुरस्कारों, खाते की चेतावनियों, सार्वजनिक रिकॉर्ड, सुरक्षा सूचनाओं, दस्तावेज़ साझा करने या सदस्यता के नवीनीकरण से जुड़े संदेशों को किसी स्वतंत्र माध्यम से पुष्टि किए बिना सही नहीं मानना चाहिए।

खुदरा खरीदारी के खातों में मार्केटिंग की अनुमतियाँ कम करनी चाहिए और केवल ज़रूरी संपर्क जानकारी साझा करनी चाहिए। उपयोगकर्ताओं को नियमित रूप से पुराने खाते, प्रोफ़ाइल के अनावश्यक फ़ील्ड, दोहराए गए उपयोगकर्ता नाम और पुराने फ़ोन नंबर व पते हटाने चाहिए। हर सेवा के लिए अलग पासवर्ड और जहाँ संभव हो, दो-चरणीय सत्यापन को बुनियादी नियम बनाना चाहिए।

सेवा प्रदाताओं के लिए डेटा संग्रह को न्यूनतम रखना, पासवर्ड की मज़बूत सुरक्षा, एक्सेस लॉग की निगरानी, अनावश्यक फ़ील्ड हटाना और उपयोगकर्ताओं को सूचित करने की प्रक्रियाएँ तैयार रखना आवश्यक है। नाम और ईमेल जैसा सीमित डेटा भी किसी ब्रांड के नाम पर फ़र्ज़ी संदेश भेजने के लिए पर्याप्त हो सकता है। दायरे का सटीक विवरण देना भी सुरक्षा के काम का हिस्सा है; बढ़ा-चढ़ाकर दी गई या अधूरी जानकारी उपयोगकर्ता को गलत कदम उठाने के लिए प्रेरित कर सकती है।

उपयोगकर्ता को सबसे पहले अपने ईमेल पते से इस प्रविष्टि में मिलान जाँचना चाहिए। यदि मिलान मिलता है, तो यह मानना चाहिए कि नाम और ईमेल की जानकारी का इस्तेमाल लक्षित संदेशों में किया जा सकता है, और स्टोर के लिंक की पुष्टि खुद करनी चाहिए। मिलान न मिलने से यह संभावना पूरी तरह समाप्त नहीं होती कि किसी दूसरे ईमेल का इस्तेमाल हुआ हो या पुराने पासवर्ड का दोबारा इस्तेमाल किया गया हो; महत्वपूर्ण खातों की भी समीक्षा करनी चाहिए।

यह प्रविष्टि सत्यापित बनी रही; संवेदनशीलता का फ़्लैग और अतिरिक्त डेटा फ़ील्ड नहीं जोड़े गए, क्योंकि वे सत्यापित नहीं थे। इस संपादन में डेटा फ़ील्ड को अंग्रेज़ी की मानक श्रेणियों के रूप में ही रखा गया, उपयोगकर्ता को दिखाई देने वाला विवरण तुर्की भाषा में मौलिक रूप से लिखा गया, असत्यापित फ़ील्ड नहीं जोड़े गए और संवेदनशीलता के फ़्लैग का इस्तेमाल केवल तभी किया गया जब जोखिम का संदर्भ उसका समर्थन करता था।