Marquis Software Solutions में 2025 की डेटा सेंध

आयोवा के अटॉर्नी जनरल के पास दाखिल Marquis के नोटिस के अनुसार, कंपनी ने 14 अगस्त को नेटवर्क में संदिग्ध गतिविधि का पता लगाया और निर्धारित किया कि यह रैनसमवेयर हमला था। उसने बाहरी साइबर सुरक्षा विशेषज्ञों की सेवाएँ लीं और संघीय कानून प्रवर्तन एजेंसियों को सूचित किया। जाँच में पाया गया कि एक अनधिकृत पक्ष ने उस दिन नेटवर्क तक पहुँच बनाई थी और संभव है कि उसने कुछ फाइलें प्राप्त की हों।

व्यक्तिगत नोटिस के नमूने में अधिक स्पष्ट रूप से कहा गया है कि प्रभावित फाइलें कॉपी की गई थीं और Marquis ने 27 अक्टूबर को निर्धारित किया था कि उनमें प्राप्तकर्ता से संबंधित डेटा फ़ील्ड शामिल थे। यह साक्ष्य व्यक्तिगत और वित्तीय डेटा की चोरी की पुष्टि करता है; मामला केवल सेवा में व्यवधान या संभावित पहुँच का नहीं था। किसी रैनसमवेयर समूह ने सार्वजनिक रूप से जिम्मेदारी नहीं ली, इसलिए इस रिकॉर्ड में हमले के लिए किसी नामित हमलावर को जिम्मेदार नहीं बताया गया है।

शुरुआत में Marquis ने राज्यों और ग्राहकों के लिए खंडित रूप में अलग-अलग नोटिस जमा किए थे; बाद में दाखिल दस्तावेज़ों से कुल 6,72,075 लोगों के प्रभावित होने का पता चला। यह उन बैंक प्रणालियों की गिनती नहीं है जिन पर हमला हुआ था। यह उन व्यक्तियों की संख्या है जिनकी व्यक्तिगत जानकारी Marquis के ग्राहक संगठनों से मिली और सेवा-प्रदाता के परिवेश में रखी गई फाइलों में मौजूद थी।

शुरुआती सार्वजनिक सूचियों में 74 बैंकों, क्रेडिट यूनियनों और वित्तीय संस्थानों की पहचान की गई थी। चूँकि Marquis 700 से अधिक वित्तीय संगठनों को सेवाएँ देता है, इसलिए उसके सभी ग्राहकों को डेटा सेंध के दायरे में नहीं माना जा सकता।

इन फाइलों में शामिल जानकारी व्यक्ति-दर-व्यक्ति अलग हो सकती थी; इनमें नाम, भौतिक पते, फोन नंबर, सोशल सिक्योरिटी नंबर, करदाता पहचान संख्याएँ, जन्मतिथियाँ और वित्तीय खातों की जानकारी हो सकती थी। Marquis ने कहा कि वित्तीय खातों की जानकारी में सुरक्षा या एक्सेस कोड शामिल नहीं थे। यह नहीं माना गया है कि हर व्यक्ति के लिए हर डेटा फ़ील्ड मौजूद था; व्यक्तिगत पत्रों में बताया गया है कि संबंधित व्यक्ति की कौन-सी जानकारी शामिल थी।

इन जानकारियों का संयोजन पहचान की चोरी, नए खाते खोलकर धोखाधड़ी, कर संबंधी धोखाधड़ी और लक्षित बैंक फ़िशिंग का गंभीर जोखिम पैदा करता है। कंपनी ने PINs, पासवर्ड, एक बार उपयोग किए जाने वाले कोड और भुगतान कार्ड की पुष्टि नहीं की थी, इसलिए इन्हें डेटा की श्रेणियों में शामिल नहीं किया गया है। इस रिकॉर्ड में कर्मचारियों के नोट्स या खातों की शेष राशि के बारे में भी बिना साक्ष्य के व्यापक निष्कर्ष नहीं निकाले गए हैं।

राज्यों को दिए गए नोटिसों में घटना को रैनसमवेयर हमला बताया गया था। बाद में कंपनी के बयानों में कहा गया कि SonicWall फ़ायरवॉल के रास्ते Marquis के नेटवर्क में प्रवेश किया गया था। इसके बाद Marquis ने संबंधित सुरक्षा घटना और उत्पाद की सुरक्षा व्यवस्थाओं से जुड़े आरोपों के साथ SonicWall पर मुकदमा दायर किया।

प्रभावित ग्राहक बैंकों की प्रणालियाँ इस घटना का हिस्सा नहीं थीं। डेटा उन फाइलों से आया था जिन्हें इन संगठनों ने Marquis की मार्केटिंग और संचार सेवाओं में प्रसंस्करण के लिए दिया था। यह अंतर इस गलत निष्कर्ष से बचाता है कि 74 अलग-अलग बैंक हैक हुए थे। साथ ही, यह दिखाता है कि किसी एक बाहरी सेवा-प्रदाता की घटना का असर उसके कई संस्थागत ग्राहकों तक कैसे पहुँचा।

Marquis ने हमले को रोकने, अपने नेटवर्क को सुरक्षित करने और प्रभावित ग्राहक संगठनों तथा व्यक्तियों की पहचान करने के लिए विशेषज्ञों के साथ काम किया। उसने 27 अक्टूबर से 25 नवंबर के बीच व्यावसायिक ग्राहकों को सूचित करना शुरू किया और उनके निर्देश पर व्यक्तियों तथा नियामकों को नोटिस भेजने का काम संभाला। कंपनी ने कहा कि उसने अतिरिक्त सुरक्षा तकनीकें और प्रक्रियाएँ लागू कीं और कानून प्रवर्तन एजेंसियों से संपर्क किया।

पात्र प्राप्तकर्ताओं को क्रेडिट निगरानी और पहचान की सुरक्षा की सेवाओं की पेशकश की गई तथा खाते के विवरण और क्रेडिट रिपोर्ट की समीक्षा करने की सलाह दी गई। जिन लोगों के नोटिस में सोशल सिक्योरिटी नंबर या कर पहचान संख्या शामिल है, वे क्रेडिट फ्रीज़ या धोखाधड़ी अलर्ट पर विचार कर सकते हैं, किसी वित्तीय संस्थान के आधिकारिक माध्यम से अपरिचित लेन-देन की पुष्टि कर सकते हैं और बैंक के नाम से अचानक भेजे गए लिंक से बच सकते हैं।

यह रिकॉर्ड 14 अगस्त 2025 को Marquis के नेटवर्क में अनधिकृत पहुँच और रैनसमवेयर हमले, ग्राहक संगठनों से प्राप्त फाइलों की कॉपी किए जाने और 6,72,075 लोगों को शामिल करने वाले नोटिसों की पुष्टि करता है। घटना ने कई वित्तीय संस्थानों के ग्राहकों को प्रभावित किया, लेकिन इससे उन संस्थानों के अपने नेटवर्क में सेंध लगने की पुष्टि नहीं होती। एक तकनीकी घटना को एक ही सेवा-प्रदाता के रिकॉर्ड में समेकित किया गया है।

पुष्टि किए गए डेटा में नाम, पते, फोन नंबर, सोशल सिक्योरिटी नंबर, करदाता पहचान संख्याएँ, जन्मतिथियाँ और एक्सेस कोड के बिना वित्तीय खातों की जानकारी शामिल है। Marquis ने कहा कि नोटिस दाखिल किए जाने के समय उसके पास दुरुपयोग का कोई साक्ष्य नहीं था; इससे फाइलों की कॉपी किए जाने की पुष्टि निरस्त नहीं होती। हमलावर की पहचान, हमले में इस्तेमाल किया गया सटीक एक्सप्लॉइट, फिरौती के कथित भुगतान और प्रभावित लोगों की संख्या के अधिक ऊँचे अनुमानों को पर्याप्त प्राथमिक साक्ष्य के अभाव में इस रिकॉर्ड में शामिल नहीं किया गया है।