Modern Business Solutions: 2016 का डेटा लीक

सत्यापित डेटा श्रेणियों में जन्मतिथियाँ, ईमेल पते, लिंग, IP पते, पदनाम, नाम, फ़ोन नंबर और भौतिक पते शामिल हैं। इन फ़ील्ड को एक साथ देखने पर व्यक्ति की वास्तविक पहचान, संपर्क के माध्यमों, स्थान और कामकाज के बारे में एक ठोस प्रोफ़ाइल बनती है। पते और फ़ोन नंबर का इस्तेमाल धोखाधड़ी वाले कॉल के लिए, ईमेल पतों का फ़िशिंग संदेशों के लिए, और जन्मतिथियों तथा भौतिक पतों का प्रमाणीकरण के सवालों का अनुमान लगाने के लिए किया जा सकता है।

पासवर्ड के शामिल होने की पुष्टि नहीं हुई है, इसलिए इस घटना को सीधे तौर पर पासवर्ड की सूची का लीक होना नहीं मानना चाहिए। फिर भी जोखिम कम नहीं हो जाता। जब व्यक्तिगत डेटा का मिलान दूसरे लीक से मिले पासवर्ड, उपयोगकर्ता नाम या भुगतान संबंधी जानकारी से होता है, तो हमलावर के पास मौजूद प्रोफ़ाइल और विस्तृत हो जाती है। जिन लोगों का पदनाम और नियोक्ता से जुड़ी जानकारी मौजूद है, उन्हें फ़र्ज़ी प्रस्ताव, बिल, डिलीवरी, भर्ती या ग्राहक सेवा संबंधी संदेश अधिक विश्वसनीय लग सकते हैं।

दायरा 8 अक्टूबर 2016 की घटना और 5,88,43,488 प्रभावित खातों तक सीमित है। डोमेन की पुष्टि modbsolutions.com के रूप में हुई है। रिकॉर्ड जोड़ने और उसमें अंतिम बदलाव की तारीख 12 अक्टूबर 2016 है। डेटा की श्रेणियाँ केवल सत्यापित फ़ील्ड तक सीमित हैं; इनमें पासवर्ड, भुगतान कार्ड, बैंक खाते, सामाजिक सुरक्षा नंबर, स्वास्थ्य संबंधी डेटा या आधिकारिक पहचान-पत्रों के फ़ील्ड शामिल नहीं हैं।

इस घटना का आकलन डेटा स्टोरेज और डेटाबेस होस्टिंग के संदर्भ में किया गया है। हर उपयोगकर्ता के लिए यह स्पष्ट रूप से तय नहीं किया जा सकता कि डेटा किसका है, किन ग्राहकों से आया है या किस व्यावसायिक संबंध के तहत रखा गया था। इसलिए यह विवरण व्यक्तिगत डेटा की दिखाई देने वाली श्रेणियों और उपयोगकर्ता के लिए उनसे पैदा होने वाले व्यावहारिक जोखिम पर केंद्रित है। इसमें डेटा के स्वामित्व से जुड़े अपुष्ट दावों को बढ़ा-चढ़ाकर नहीं बताया गया है।

जोखिम में पहला समूह उन लोगों का है जिनके ईमेल पते के साथ फ़ोन नंबर, भौतिक पता और जन्मतिथि भी मौजूद हैं। इन उपयोगकर्ताओं को डिलीवरी, बैंकिंग, बीमा, बिजली-पानी जैसी सेवाओं, ग्राहक सहायता या खाते के सत्यापन से जुड़े फ़र्ज़ी संदेश अधिक विश्वसनीय लग सकते हैं। जिन लोगों का पदनाम भी मौजूद है, उनके लिए आपूर्तिकर्ता के नाम से किए गए फ़र्ज़ी अनुरोध, व्यावसायिक संपर्क बनाने वाले संदेश या कंपनी के भुगतान विवरण बदलवाने के प्रयास एक अलग जोखिम हैं।

दूसरे समूह में वे उपयोगकर्ता आते हैं जो अलग-अलग सेवाओं पर एक ही ईमेल पता इस्तेमाल करते हैं और जिनकी व्यक्तिगत जानकारी पहले की अन्य घटनाओं में भी उजागर हो चुकी है। अलग-अलग डेटासेट को मिलाने पर जन्मतिथि, पता, फ़ोन नंबर और ईमेल एक साथ उपलब्ध हो जाते हैं। इससे खाता पुनर्प्राप्ति के सवालों से निपटना, फ़ोन सत्यापन के प्रयास करना और डेटा को किसी व्यक्ति की पहचान से जोड़ना आसान हो जाता है। डेटा पुराना होने का मतलब यह नहीं है कि वह सुरक्षित है, क्योंकि पता और जन्मतिथि जैसे फ़ील्ड लंबे समय तक मान्य रह सकते हैं।

जिन उपयोगकर्ताओं का डेटा इस घटना से मेल खाता है, उन्हें ईमेल या फ़ोन से मिले अनपेक्षित संपर्क, डिलीवरी, दस्तावेज़, भुगतान या खाते के सत्यापन संबंधी अनुरोधों की पुष्टि सीधे किसी दूसरे भरोसेमंद माध्यम से करनी चाहिए। बैंकों, शिपिंग कंपनियों, बीमा कंपनियों, सार्वजनिक सेवाओं या व्यावसायिक संपर्कों की ओर से आए प्रतीत होने वाले संदेशों में व्यक्तिगत जानकारी साझा नहीं करनी चाहिए। ईमेल खाते में साइन-इन का इतिहास, खाता पुनर्प्राप्ति के लिए दिए गए पते और संदेश अग्रेषित करने के नियम जाँचने चाहिए।

भले ही इस घटना में पासवर्ड के शामिल होने की पुष्टि नहीं हुई है, लेकिन अगर वही ईमेल दूसरी सेवाओं पर भी इस्तेमाल होता है, तो खाते की सुरक्षा और मज़बूत करनी चाहिए। हर खाते के लिए अलग पासवर्ड, पासवर्ड मैनेजर और बहु-कारक प्रमाणीकरण बुनियादी सावधानियाँ होनी चाहिए। जिन लोगों के फ़ोन नंबर और पते उजागर हुए हैं, उन्हें परिवार के सदस्यों और सहकर्मियों को भी फ़र्ज़ी कॉल और पते की जानकारी का इस्तेमाल करके की जाने वाली धोखाधड़ी की आशंका के बारे में सचेत करना चाहिए।

लंबे समय के लिए व्यक्तिगत डेटा की उपलब्धता कम करना महत्वपूर्ण है। उपयोगकर्ताओं को पुराने खातों और अनावश्यक प्रोफ़ाइल फ़ील्ड की सफ़ाई करनी चाहिए, अलग-अलग उद्देश्यों के लिए अलग ईमेल पते रखने चाहिए और जिन सेवाओं पर फ़ोन नंबर देना अनिवार्य नहीं है, वहाँ उसे साझा नहीं करना चाहिए। भौतिक पता, जन्मतिथि और काम से जुड़ी जानकारी जैसे लंबे समय तक उपयोगी रहने वाले फ़ील्ड बदलना कठिन होता है। इसलिए यह मानकर चलना चाहिए कि भविष्य में इस डेटा का इस्तेमाल सोशल इंजीनियरिंग के प्रयासों में किया जा सकता है।

संस्थानों के लिए इस घटना की सीख है कि केवल ज़रूरी डेटा रखा जाए और उसे रखने की अवधि का ऑडिट किया जाए। जब ग्राहकों, उम्मीदवारों, कर्मचारियों या तीसरे पक्षों के डेटासेट बिना आवश्यकता के रखे जाते हैं, तो डेटा लीक की एक ही घटना कई मिलियन लोगों को प्रभावित कर सकती है। पहुँच अधिकारों, बाहर से उपलब्ध सेवाओं के नियंत्रणों, डेटा की सूची, डेटा हटाने की नीतियों और घटनाओं की रिपोर्टिंग प्रक्रियाओं की नियमित समीक्षा करनी चाहिए।

अगर किसी उपयोगकर्ता को अपने डेटा का मिलान मिलता है, तो उसे देखना चाहिए कि कौन-से फ़ील्ड सूचीबद्ध हैं और प्राथमिकता के अनुसार उनका आकलन करना चाहिए। ईमेल पते का इस्तेमाल फ़िशिंग और खातों तक पहुँचने के प्रयासों के लिए, फ़ोन नंबर का फ़र्ज़ी कॉल के लिए, भौतिक पते और जन्मतिथि का डेटा को किसी व्यक्ति की पहचान से जोड़ने के लिए, और पदनाम का कंपनी से जुड़ी सोशल इंजीनियरिंग के लिए किया जा सकता है। इसलिए केवल एक खाते की नहीं, बल्कि उसी जानकारी से जुड़ी दूसरी सेवाओं की भी जाँच ज़रूरी है।

Modern Business Solutions की घटना व्यापक असर वाला डेटा लीक है, जिसमें पासवर्ड शामिल नहीं हैं, लेकिन बड़ी संख्या में ऐसे व्यक्तिगत फ़ील्ड एक साथ मौजूद हैं जो लंबे समय तक उपयोगी रहते हैं। हर खाते के लिए अलग पासवर्ड इस्तेमाल करने, ईमेल की सुरक्षा मज़बूत करने, बहु-कारक प्रमाणीकरण अपनाने, संदिग्ध संपर्कों की पुष्टि दूसरे माध्यम से करने और अनावश्यक प्रोफ़ाइल डेटा कम करने से उपयोगकर्ता इस घटना से पैदा होने वाले दीर्घकालिक जोखिम को काफ़ी कम कर सकते हैं।