MediaWorks: डेटा में सेंध

जब ईमेल पते के साथ जन्मतिथि, फ़ोन नंबर और भौतिक पते जैसी जानकारी भी मौजूद हो, तो फ़िशिंग का जोखिम बढ़ जाता है। मीडिया कंपनियाँ प्रतियोगिताओं, अभियानों और पुरस्कारों के लिए आवेदन लेती हैं, इसलिए उपयोगकर्ताओं को ऐसे संदेश मिलने की आदत होती है। हमलावर फ़र्ज़ी पुरस्कारों, प्रतियोगिता के नतीजों, डेटा मिटाने के अनुरोधों या अभियान के सत्यापन के बहाने उपयोगकर्ता से संपर्क कर सकते हैं।

जब नाम, ईमेल, फ़ोन नंबर या पते जैसी जानकारी एक साथ उपलब्ध हो, तो हमलावर उपयोगकर्ता से ऐसे संपर्क कर सकते हैं मानो वे किसी ऐसी सेवा से जुड़े हों जिसका उपयोगकर्ता वास्तव में ग्राहक है। केवल यह जानकारी किसी खाते पर कब्ज़ा होने का प्रमाण नहीं है; हालाँकि, यह फ़र्ज़ी सहायता संदेशों, डिलीवरी सूचनाओं, पासवर्ड रीसेट के प्रयासों और व्यक्ति के अनुरूप तैयार की गई धोखाधड़ी के लिए एक ठोस आधार देती है। रिकॉर्ड में पासवर्ड या भुगतान कार्ड का डेटा सूचीबद्ध नहीं है। फिर भी, जन्मतिथि और भौतिक पते से उपयोगकर्ता के पहचान सत्यापन से जुड़े सवालों या व्यक्तिगत सुरक्षा सवालों के जवाबों का अनुमान लगाना आसान हो सकता है। खास तौर पर पैसे माँगने वाले संदेशों को धोखाधड़ी माना जाना चाहिए।

घटना की तारीख 15 मार्च 2023 दर्ज है; डेटा को सार्वजनिक किए जाने और उल्लंघन के रिकॉर्ड में जोड़े जाने की प्रक्रिया 2024 के दौरान हुई। विश्वसनीय समाचार रिपोर्टों के अनुसार, MediaWorks ने घटना की जाँच की और हमलावरों ने कुछ लोगों को उनका डेटा मिटाने के बदले भुगतान करने के संदेश भेजे। मौजूदा डेटा श्रेणियाँ प्रतियोगिता के फ़ॉर्म से जुड़ी संपर्क और जनसांख्यिकीय जानकारी पर केंद्रित हैं।

इसमें कई मिलियन पंक्तियाँ शामिल होने के दावे हो सकते हैं; LeakData रिकॉर्ड में अलग-अलग ईमेल पतों की संख्या 1,62,710 ही दर्ज है। पंक्तियों की कुल संख्या, अलग-अलग व्यक्तियों या ईमेल पतों की संख्या के बराबर नहीं होती। उपयोगकर्ता को यह बताना उचित है कि कोई विशेष ईमेल पता इस रिकॉर्ड में मौजूद है या नहीं, और साथ ही फिरौती माँगने वाले संदेशों के बारे में चेतावनी दी जानी चाहिए।

जोखिम में वे उपयोगकर्ता हो सकते हैं जिन्होंने MediaWorks की प्रतियोगिताओं, अभियानों या ऑनलाइन फ़ॉर्म में भाग लिया हो। अपने फ़ोन नंबर और पते साझा करने वाले उपयोगकर्ता फ़र्ज़ी पुरस्कार, डिलीवरी, पहचान सत्यापन या डेटा मिटाने से जुड़े संदेशों के प्रति अधिक संवेदनशील हो जाते हैं।

जन्मतिथि और लिंग संबंधी जानकारी के इस्तेमाल से संदेशों को अधिक व्यक्तिगत बनाया जा सकता है। हमलावर यह संकेत देकर भरोसा जीतने की कोशिश कर सकते हैं कि उपयोगकर्ता ने किसी प्रतियोगिता में भाग लिया है। खास तौर पर क्रिप्टोकरेंसी या तुरंत भुगतान के बदले डेटा मिटाने के वादों को भरोसेमंद लेन-देन नहीं माना जाना चाहिए।

जिन उपयोगकर्ताओं की जानकारी का इस रिकॉर्ड से मिलान होता है, उन्हें जाँचना चाहिए कि MediaWorks या उससे जुड़ी प्रतियोगिताओं के खातों में वही पासवर्ड दोबारा इस्तेमाल तो नहीं किया गया है। भले ही रिकॉर्ड में कोई पासवर्ड न मिले, इस ईमेल पते को दूसरे डेटा उल्लंघनों में मिले पासवर्ड के साथ जोड़ा जा सकता है। पैसे माँगने वाले संदेशों का जवाब नहीं देना चाहिए और उनमें दिए गए लिंक नहीं खोलने चाहिए।

मिले हुए लिंक सीधे खोलने के बजाय, उपयोगकर्ता को संबंधित सेवा के परिचित वेब पते या ऐप के ज़रिए लॉग इन करना चाहिए। कॉल करने वाले को नाम, ईमेल, पता या पिछले लेन-देन की जानकारी होना इस बात का प्रमाण नहीं है कि वह भरोसेमंद है। सहायता के लिए होने वाली किसी भी बातचीत में एक बार इस्तेमाल होने वाले सत्यापन कोड, भुगतान कार्ड की जानकारी या खाते के पासवर्ड साझा नहीं करने चाहिए।

लंबी अवधि में पासवर्ड मैनेजर का इस्तेमाल करना, हर खाते के लिए अलग पासवर्ड रखना, जिन खातों में उपलब्ध हो उनमें दो-कारक प्रमाणीकरण अपनाना और खातों से अनावश्यक व्यक्तिगत जानकारी हटाना, ये सभी उपाय जोखिम कम करते हैं। अलग-अलग प्लेटफ़ॉर्म पर एक ही ईमेल पता इस्तेमाल करने से अलग-अलग डेटा उल्लंघनों की जानकारी को जोड़ना आसान हो जाता है; इसलिए महत्वपूर्ण खातों के लिए अलग ईमेल पते या ईमेल एलियस का इस्तेमाल करने पर विचार किया जा सकता है।

प्रतियोगिता और अभियान के फ़ॉर्म में केवल ज़रूरी जानकारी साझा करने से दीर्घकालिक जोखिम कम होता है। उपयोगकर्ताओं को अनावश्यक फ़ोन नंबर और पते साझा करने से बचना चाहिए, अभियानों से जुड़े खातों के लिए अलग ईमेल पते इस्तेमाल करने चाहिए और डेटा मिटाने के अनुरोध केवल आधिकारिक गोपनीयता माध्यमों से भेजने चाहिए।

LeakData की जाँच बताती है कि खोजा गया ईमेल पता इस रिकॉर्ड में मिला है या नहीं। ईमेल पता मिलने से यह निश्चित नहीं होता कि सभी डेटा फ़ील्ड उसी उपयोगकर्ता के हैं; हालाँकि, एहतियाती कदम उठाने के लिए इसे पर्याप्त चेतावनी माना जाना चाहिए। ईमेल पता न मिलने का परिणाम केवल यह बताता है कि इस डेटा सेट में कोई मिलान नहीं है; इससे दूसरे डेटा उल्लंघनों में उस पते के मौजूद होने की संभावना समाप्त नहीं होती।

ईमेल पता मिलने पर प्रतियोगिताओं और अभियानों के बहाने भेजे जाने वाले फ़र्ज़ी संदेशों से अधिक सावधान रहना ज़रूरी है। ईमेल पता न मिलने का अर्थ है कि इस रिकॉर्ड में कोई मिलान नहीं है; अन्य मीडिया, अभियान या प्रतियोगिता से जुड़े रिकॉर्ड में नियमित जाँच जारी रखनी चाहिए।