Minted में डेटा सेंध की 2020 की घटना

Minted के डेटा में सेंध की घटना में जिन डेटा श्रेणियों की पुष्टि हुई है, वे हैं ईमेल पते, नाम, पासवर्ड, फ़ोन नंबर और भौतिक पते। ईमेल पते और नाम की जानकारी के आधार पर उपयोगकर्ता को ऐसे संदेश भेजे जा सकते हैं जो उसके Minted खाते, पिछले ऑर्डर या व्यक्तिगत डिज़ाइन वाले उत्पादों में उसकी रुचि का संदर्भ देकर विश्वसनीय लगें। पासवर्ड हैश और सॉल्ट से सुरक्षित होने पर भी कमज़ोर पासवर्ड डिक्शनरी अटैक से तोड़े जा सकते हैं; अगर वही पासवर्ड दूसरे खातों में भी इस्तेमाल हुआ था, तो जोखिम Minted तक सीमित नहीं रहता। फ़ोन नंबर SMS धोखाधड़ी, फ़र्ज़ी ग्राहक सेवा कॉल और डिलीवरी के बहाने की जाने वाली फ़िशिंग की कोशिशों के लिए एक अतिरिक्त माध्यम उपलब्ध कराते हैं।

भौतिक पते से जुड़ी जानकारी भी महत्वपूर्ण है, क्योंकि बिलिंग और डिलीवरी पतों का इस्तेमाल फ़र्ज़ी शिपिंग सूचनाओं, फ़र्ज़ी भुगतान पुष्टियों, फ़र्ज़ी वापसी प्रक्रियाओं और परिवार के सदस्यों को निशाना बनाने वाले सोशल इंजीनियरिंग संदेशों में किया जा सकता है। इस घटना में भुगतान कार्ड नंबर या बैंक खातों जैसी वित्तीय जानकारी के प्रभावित होने की पुष्टि नहीं हुई है। इसी तरह, पता पुस्तिकाओं और डिज़ाइन फ़ाइलों में जोड़ी गई निजी सामग्री के प्रसार की भी पुष्टि नहीं हुई है। जोखिम का आकलन करते समय इन सीमाओं को ध्यान में रखना चाहिए और वास्तविक खतरों को बढ़ा-चढ़ाकर बताए बिना उन कदमों पर ध्यान देना चाहिए जो उपयोगकर्ता को उठाने की ज़रूरत है।

इस घटना की पुष्ट तारीख 6 मई 2020 मानी गई है; इसलिए Minted से जुड़े नतीजे को 2025 की कोई नई घटना नहीं समझना चाहिए। बाद में बड़े डेटा संग्रहों में इन रिकॉर्डों के प्रसार या अलग-अलग सुरक्षा निगरानी सूचियों में उनके दोबारा दिखाई देने से घटना की तारीख नहीं बदलती। LeakData पर दर्ज अलग-अलग खातों की संख्या 44,18,182 है। यह संख्या ऑफ़लाइन बाज़ारों में Minted के ग्राहक डेटा को साझा किए जाने के बाद पुष्ट दायरे को दर्शाती है।

डेटा की श्रेणियाँ ईमेल पते, नाम, पासवर्ड, फ़ोन नंबर और भौतिक पते तक सीमित हैं। यह दृष्टिकोण अनावश्यक घबराहट से बचाता है और उपयोगकर्ता को ऐसे सुरक्षा कदमों की ओर ले जाता है जिन पर वह वास्तव में अमल कर सकता है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने Minted खाते का पासवर्ड दूसरे ई-कॉमर्स, ईमेल, सोशल मीडिया या वित्तीय खातों में भी इस्तेमाल करते हैं। पासवर्ड हैश किए गए होने पर भी कमज़ोर या पहले लीक हो चुके पासवर्ड तोड़े जा सकते हैं और दूसरी साइटों पर आज़माए जा सकते हैं। दूसरा महत्वपूर्ण समूह उन ग्राहकों का है जिन्होंने अपना डिलीवरी पता और फ़ोन नंबर साझा किया है। इन लोगों को फ़र्ज़ी शिपिंग संदेश, ऑर्डर रद्द होने की चेतावनियाँ, खाते के सत्यापन के अनुरोध या सामान की वापसी के बहाने भुगतान संबंधी जानकारी माँगने वाले धोखाधड़ीपूर्ण फ़ॉर्म मिल सकते हैं।

तीसरे जोखिम समूह में वे ग्राहक आते हैं जो परिवार के कार्यक्रमों, शादियों, जन्मदिनों, शिशु के जन्म की घोषणाओं या घर की सजावट जैसे निजी संदर्भों में अपने Minted खाते का उपयोग करते हैं। लीक हुए डेटा की श्रेणियों में डिज़ाइन सामग्री की पुष्टि नहीं हुई है; फिर भी, ऑर्डर और संवाद का संदर्भ हमलावर के संदेश को अधिक व्यक्तिगत बना सकता है। ईमेल पते, नाम, फ़ोन नंबर और पते का संयोजन ऐसी धोखाधड़ी की कोशिशों की गुंजाइश बनाता है जो सामान्य स्पैम संदेशों से अधिक विश्वसनीय लगती हैं। इसलिए केवल पासवर्ड बदलने से जोखिम समाप्त नहीं मानना चाहिए।

Minted खाते में इस्तेमाल किया गया पासवर्ड तुरंत बदलना चाहिए। अगर वही पासवर्ड दूसरे खातों में भी इस्तेमाल हुआ था, तो उन सभी खातों के लिए भी नए और अलग-अलग पासवर्ड चुनने चाहिए। ईमेल खाते की सुरक्षा को प्राथमिकता देनी चाहिए, क्योंकि पासवर्ड रीसेट करने के लिंक अक्सर ईमेल के ज़रिए मिलते हैं। जहाँ संभव हो, सभी महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण चालू करना चाहिए और SMS के बजाय सुरक्षा ऐप या हार्डवेयर कुंजी जैसे हमलों के विरुद्ध अधिक मज़बूत तरीकों को प्राथमिकता देनी चाहिए। पासवर्ड मैनेजर हर खाते के लिए मज़बूत और अलग पासवर्ड बनाने में मदद करता है।

Minted या शिपिंग कंपनी के नाम से आने वाले ईमेल और SMS संदेशों में दिए गए लिंक सीधे नहीं खोलने चाहिए। ऑर्डर, डिलीवरी, वापसी या खाते की सुरक्षा से जुड़ी सूचना मिलने पर उपयोगकर्ताओं को ब्राउज़र में पता स्वयं लिखकर जाँच करनी चाहिए। फ़ोन पर सहायता के लिए आने वाली कॉल में पासवर्ड, सत्यापन कोड या भुगतान संबंधी जानकारी नहीं देनी चाहिए। जिन उपयोगकर्ताओं का भौतिक पता प्रभावित हुआ है, उन्हें डिलीवरी सूचनाओं और फ़र्ज़ी बिल संबंधी अनुरोधों को लेकर अधिक सावधान रहना चाहिए। उसी पते पर रहने वाले परिवार के सदस्यों को भी ऐसे संदेशों के बारे में जानकारी देनी चाहिए।

लंबी अवधि में ई-कॉमर्स खातों के लिए अलग ईमेल उपनाम और अलग-अलग पासवर्ड इस्तेमाल करने तथा नियमित रूप से खातों की समीक्षा करने की आदत से जोखिम कम होता है। उपयोगकर्ता पुराने खरीदारी खातों में सहेजे गए फ़ोन नंबर, डिलीवरी पते और अनावश्यक व्यक्तिगत डेटा को कम कर सकते हैं। किसी सेवा में सेंध से मिले डेटा का इस्तेमाल वर्षों बाद भी धोखाधड़ी अभियानों में दोबारा हो सकता है, इसलिए केवल घटना के समय पासवर्ड बदल देना पर्याप्त नहीं है। यह मानकर चलना चाहिए कि लीक हुई संपर्क जानकारी लंबे समय तक प्रचलन में रह सकती है।

Minted में सेंध की घटना दिखाती है कि ई-कॉमर्स प्लेटफ़ॉर्म पर पासवर्ड की सुरक्षा और ग्राहकों की संपर्क जानकारी की गोपनीयता को साथ-साथ देखना चाहिए। पासवर्ड हैश से सुरक्षित होने पर भी फ़ोन नंबर और पते जैसे फ़ील्ड धोखाधड़ी को व्यक्तिगत रूप देने में मदद करते हैं। उपयोगकर्ताओं को अलग-अलग खातों में एक ही पासवर्ड का इस्तेमाल बंद करना चाहिए, पुराने खातों से अनावश्यक डेटा हटाना चाहिए, फ़र्ज़ी डिलीवरी और वापसी संदेशों पर संदेह करना चाहिए तथा अपने ईमेल खाते को सभी खातों की सुरक्षा के मुख्य केंद्र के रूप में सुरक्षित रखना चाहिए।

LeakData पर जिन उपयोगकर्ताओं के रिकॉर्ड का Minted से मिलान होता है, उन्हें इस नतीजे को 6 मई 2020 को ग्राहक खातों और संपर्क डेटा में हुई सेंध के रूप में देखना चाहिए। इस मिलान का यह अर्थ ज़रूरी नहीं है कि भुगतान कार्ड की जानकारी निश्चित रूप से लीक हुई है; फिर भी, ईमेल, नाम, पासवर्ड हैश, फ़ोन और पते वाले फ़ील्ड के कारण खाते की सुरक्षा और सोशल इंजीनियरिंग से जुड़ा जोखिम मौजूद है। पहला कदम Minted का पासवर्ड और उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों के पासवर्ड बदलना होना चाहिए। इसके बाद ईमेल खाते, फ़ोन लाइन और शिपिंग सूचनाओं पर अधिक ध्यान से नज़र रखनी चाहिए।

इस घटना में सही सुरक्षा तरीका है कि हर खाते का पासवर्ड अलग रखा जाए और यह मानकर चला जाए कि संपर्क जानकारी का इस्तेमाल धोखाधड़ी में हो सकता है। उपयोगकर्ता को Minted के अलावा उन सभी सेवाओं की एक-एक करके समीक्षा कर आवश्यक सुधार करने चाहिए जहाँ उसने वही ईमेल-पासवर्ड संयोजन इस्तेमाल किया था। उसे एक मज़बूत पासवर्ड मैनेजर अपनाना चाहिए, बहु-कारक प्रमाणीकरण चालू करना चाहिए और खाते की रिकवरी के विकल्प अद्यतन रखने चाहिए। फ़ोन या ईमेल से मिले तुरंत कार्रवाई करने के अनुरोधों की पुष्टि सीधे आधिकारिक साइट पर जाकर करनी चाहिए।