MGM Resorts: 2019 का डेटा उल्लंघन

हालाँकि इस रिकॉर्ड में उजागर हुए डेटा में सीधे तौर पर खातों के पासवर्ड शामिल नहीं हैं, लेकिन यह जानकारी किसी व्यक्ति की पहचान करने और उसे निशाना बनाकर धोखाधड़ी करने के लिए एक प्रभावी संयोजन बनाती है। पूरा नाम, ईमेल पता, फ़ोन नंबर, भौतिक पता और जन्मतिथि को एक साथ देखकर हमलावर ऐसे संदेश तैयार कर सकता है जो व्यक्ति के लिए खास तौर पर भेजे गए लगें। इनमें होटल आरक्षण, लॉयल्टी कार्यक्रम की सूचनाएँ, भुगतान की पुष्टि, कमरे का अपग्रेड, रिफ़ंड या यात्रा योजनाओं से जुड़े संदेश हो सकते हैं। MGM Resorts जैसे ठहरने और मनोरंजन की सुविधाएँ देने वाले ब्रांड कई माध्यमों से अतिथियों से संपर्क करते हैं, इसलिए ईमेल, SMS और फ़ोन कॉल के ज़रिए सोशल इंजीनियरिंग का जोखिम बढ़ जाता है।

जन्मतिथि और पते की जानकारी का इस्तेमाल किसी व्यक्ति की पहचान को अन्य स्रोतों की जानकारी से मिलाने के लिए किया जा सकता है। फ़ोन नंबर से नकली सहायता कॉल या संदेश के ज़रिए सीधे संपर्क किया जा सकता है। भौतिक पता किसी व्यक्ति की प्रोफ़ाइल तैयार करने और उसे लक्षित विज्ञापन या धोखाधड़ी का निशाना बनाने के लिए अतिरिक्त संदर्भ देता है। इसलिए जोखिम केवल स्पैम तक सीमित नहीं है; फ़िशिंग, आरक्षण की नकली सूचनाएँ, लॉयल्टी खाते से जुड़ी धोखाधड़ी और अलग-अलग स्रोतों से निजी डेटा एकत्र करने जैसे जोखिम भी प्रमुख हैं। हालाँकि, इस रिकॉर्ड के बारे में उपयोगकर्ता को पासवर्ड या भुगतान कार्ड लीक होने के दावे नहीं बताए जाने चाहिए।

सत्यापित दायरे में mgmresorts.com डोमेन, डेटा उल्लंघन की तारीख 25 जुलाई 2019, रिकॉर्ड जोड़े जाने की तारीख 20 फ़रवरी 2020, 30,81,321 अलग-अलग ईमेल पते और अतिथियों से संबंधित 1 करोड़ 6 लाख रिकॉर्ड शामिल हैं। बताया गया है कि यह डेटासेट MGM Resorts द्वारा इस्तेमाल की जाने वाली क्लाउड सेवाओं में से एक से जुड़ा है। इसे बाद में एक फ़ोरम पर वितरित किया गया और फिर अलग-अलग स्रोतों से दोबारा साझा किया गया। 2022 में एक बड़े सुपरसेट पर भी नज़र रखी गई थी, जिसे इसी घटना से जुड़ा माना जाता है। इसलिए शुरुआती MGM Resorts रिकॉर्ड की संख्या को 2022 के सुपरसेट की संख्या नहीं समझना चाहिए।

इस रिकॉर्ड में क्रेडिट कार्ड, बैंक खाता, पासवर्ड, सामाजिक सुरक्षा नंबर, पासपोर्ट या ड्राइविंग लाइसेंस के फ़ील्ड नहीं जोड़े जाने चाहिए। हालाँकि कुछ आधिकारिक ऑडिट में विशिष्ट उपसमूहों के लिए कुछ प्रकार की पहचान संख्याओं का उल्लेख है, लेकिन उपयोगकर्ताओं के लिए उपलब्ध सार्वजनिक रिकॉर्ड में सत्यापित मानक डेटा श्रेणियाँ जन्मतिथि, ईमेल, पूरा नाम, फ़ोन नंबर और भौतिक पते तक सीमित हैं। MGM Resorts होटल, कैसीनो, ठहरने की सुविधाओं और मनोरंजन के उद्योग में काम करने वाली कंपनी है। इसलिए उद्योग वाले फ़ील्ड में इसे सामान्य प्रौद्योगिकी श्रेणी में रखना भ्रामक होगा। देश वाले फ़ील्ड में संयुक्त राज्य अमेरिका रखा जा सकता है।

सबसे अधिक जोखिम उन अतिथियों के लिए है जो MGM Resorts के किसी होटल या रिसॉर्ट में ठहरे हैं, आरक्षण करा चुके हैं, लॉयल्टी खाते का इस्तेमाल कर चुके हैं या ईमेल/फ़ोन के ज़रिए ब्रांड से संपर्क कर चुके हैं। नाम, पता, फ़ोन नंबर और जन्मतिथि का ऐसा संयोजन जिसे यात्रा के इतिहास से जोड़ा जा सके, व्यक्तिगत लगने वाले धोखाधड़ी के संदेशों को अधिक विश्वसनीय बना सकता है। व्यावसायिक यात्रा के लिए MGM के होटलों या रिसॉर्ट की सेवाएँ लेने वाले लोगों का जोखिम बढ़ सकता है, क्योंकि उनके कॉर्पोरेट ईमेल पते उनकी ठहरने से जुड़ी निजी जानकारी से जुड़े हो सकते हैं।

जिन लोगों के फ़ोन नंबर और ईमेल पते दोनों उपलब्ध हैं, उन्हें आरक्षण की नकली पुष्टि, लॉयल्टी पॉइंट की सूचनाओं, कैसीनो के प्रचार प्रस्तावों, ठहरने के रिफ़ंड या भुगतान सत्यापन के अनुरोधों के ज़रिए निशाना बनाया जा सकता है। जिन उपयोगकर्ताओं का भौतिक पता भी उपलब्ध है, उनके बारे में पहचान सत्यापन के सवालों में इस्तेमाल होने वाली निजी जानकारी का अनुमान लगाना आसान हो सकता है। इस रिकॉर्ड में पासवर्ड शामिल नहीं है, इसलिए यह मानना सही नहीं है कि इससे सीधे खाते पर कब्ज़ा हो गया है। हालाँकि, फ़िशिंग और सोशल इंजीनियरिंग संदेशों के ज़रिए उपयोगकर्ता से पासवर्ड या भुगतान संबंधी जानकारी हासिल करने की कोशिश एक वास्तविक जोखिम है।

जिन उपयोगकर्ताओं को MGM Resorts से जुड़ा मिलान दिखता है, उन्हें सबसे पहले ईमेल और फ़ोन पर मिले आरक्षण, रिफ़ंड, भुगतान, लॉयल्टी पॉइंट या प्रचार संबंधी संदेशों की सावधानी से जाँच करनी चाहिए। संदेश में दिए गए लिंक से लॉग इन करने के बजाय, उन्हें पता बार में संबंधित सेवा का पता डालकर सीधे वहाँ जाना चाहिए। अगर फ़ोन कॉल के दौरान जन्मतिथि, पता, भुगतान संबंधी जानकारी, सत्यापन कोड या कार्ड विवरण जैसी निजी जानकारी माँगी जाए, तो बातचीत समाप्त करके आधिकारिक संपर्क माध्यम से इसकी जाँच करनी चाहिए।

हालाँकि पासवर्ड इस रिकॉर्ड की सत्यापित डेटा श्रेणियों में शामिल नहीं है, फिर भी ईमेल खाते को सुरक्षित रखना चाहिए। ईमेल खाते के लिए मज़बूत और ऐसा पासवर्ड इस्तेमाल करना चाहिए जो किसी अन्य खाते में इस्तेमाल न हो, दो चरणों वाला सत्यापन चालू करना चाहिए और अपरिचित सत्र बंद कर देने चाहिए। MGM Rewards या ऐसे ही अन्य यात्रा/लॉयल्टी खातों में सुरक्षा सूचनाओं और पंजीकृत फ़ोन नंबर व ईमेल की जानकारी की समीक्षा करनी चाहिए। क्रेडिट कार्ड या बैंक संबंधी डेटा इस रिकॉर्ड का सत्यापित हिस्सा नहीं है; फिर भी संदिग्ध बुकिंग और भुगतान सूचनाओं की आधिकारिक माध्यमों से जाँच करनी चाहिए।

ठहरने, यात्रा और लॉयल्टी कार्यक्रमों से जुड़ी सेवाओं के लिए लंबे समय तक गोपनीयता का ध्यान रखना ज़रूरी है, क्योंकि वे पहचान संबंधी जानकारी के साथ-साथ संपर्क और पते का डेटा भी एकत्र करती हैं। उपयोगकर्ताओं को होटल और यात्रा खातों से अनावश्यक पुराने पते हटाने चाहिए, ऐसे लॉयल्टी खाते बंद करने चाहिए जो अब इस्तेमाल नहीं होते और जहाँ संभव हो, निजी व कामकाज के ईमेल अलग रखने चाहिए। यात्रा ब्रांडों से मिलने वाले प्रचार और आरक्षण संदेशों के लिए अलग ईमेल पता इस्तेमाल करने से जोखिम वाले संदेश पहचानना आसान हो सकता है।

कंपनी के नज़रिए से यह घटना दिखाती है कि अतिथियों का डेटा केवल मार्केटिंग डेटा नहीं है। क्लाउड सेवाओं, डेवलपरों को दी गई पहुँच, अस्थायी एक्सेस कुंजियों और बाहरी सेवाओं के खातों का कड़ाई से ऑडिट होना चाहिए। केवल आवश्यक न्यूनतम अनुमतियाँ देना, बहु-कारक प्रमाणीकरण और डेटा उल्लंघन का त्वरित आकलन मानक प्रक्रिया का हिस्सा बनने चाहिए। अतिथियों का डेटा उजागर होने पर सूचना देने की प्रक्रिया में देरी नहीं होनी चाहिए और स्पष्ट रूप से बताया जाना चाहिए कि कौन-से हिस्से प्रभावित हुए और कौन-से नहीं। भरोसा बनाए रखने के लिए केवल न्यूनतम आवश्यक डेटा एकत्र करना और समय पर सूचना देना तकनीकी उपायों जितना ही महत्वपूर्ण है।

अगर आपको LeakData पर MGM Resorts से जुड़ा मिलान दिखता है, तो इसे 2019 में होटल और कैसीनो के अतिथियों के डेटा से जुड़े उल्लंघन के रूप में समझें। यह मिलान बताता है कि आपका ईमेल पता, पूरा नाम, फ़ोन नंबर, भौतिक पता और जन्मतिथि इस रिकॉर्ड में शामिल हो सकते हैं। इसका मतलब यह नहीं है कि आपका पासवर्ड या भुगतान कार्ड संबंधी जानकारी उजागर हुई थी। मुख्य कदम हैं: आपको मिलने वाले यात्रा और आरक्षण संबंधी संदेशों की पुष्टि करना, अपने ईमेल खाते को सुरक्षित रखना और अपने लॉयल्टी खाते की जानकारी की समीक्षा करना।

अगर आपको आरक्षण, रिफ़ंड, पॉइंट के इस्तेमाल, कमरे के अपग्रेड या भुगतान सत्यापन के बारे में कोई संदिग्ध संदेश मिलता है, तो लिंक पर क्लिक किए बिना आधिकारिक वेबसाइट या कॉल सेंटर से इसकी जाँच करें। जन्मतिथि और पते जैसी जानकारी के आधार पर आपके लिए खास तौर पर बनाए गए संदेश भी नकली हो सकते हैं। कामकाज के ईमेल से पंजीकृत उपयोगकर्ताओं को अपनी संस्था की सुरक्षा टीम को सूचित करना चाहिए और अपने कामकाज के खाते में मिलने वाले यात्रा संबंधी फ़िशिंग संदेशों से सावधान रहना चाहिए। संगठनों के लिए भी सीख स्पष्ट है: कर्मचारियों के यात्रा और लॉयल्टी खातों में इस्तेमाल होने वाला निजी डेटा लक्षित ईमेल हमलों का प्रवेश बिंदु बन सकता है।