Moneycontrol: डेटा में सेंध

Moneycontrol रिकॉर्ड में जिन डेटा प्रकारों की पुष्टि हुई है, वे हैं ईमेल पते, लिंग संबंधी जानकारी, भौगोलिक स्थान की जानकारी, पासवर्ड और फ़ोन नंबर। ईमेल पते का इस्तेमाल करके उपयोगकर्ता को खाते से जुड़ा फ़र्जी अलर्ट, बाज़ार की सूचना, पोर्टफ़ोलियो जाँच या पासवर्ड रीसेट का संदेश भेजा जा सकता है। फ़ोन नंबर से कॉल और SMS के ज़रिए सीधे संपर्क किए जाने का जोखिम बढ़ जाता है। भौगोलिक स्थान की जानकारी के आधार पर उपयोगकर्ता को उसके देश, शहर या क्षेत्रीय संदर्भ के अनुसार निशाना बनाया जा सकता है।

पासवर्ड फ़ील्ड इस रिकॉर्ड का सबसे संवेदनशील हिस्सा है। स्रोतों में प्लेन टेक्स्ट पासवर्ड का उल्लेख है, इसलिए यदि प्रभावित व्यक्ति ने किसी दूसरी सेवा पर भी वही पासवर्ड इस्तेमाल किया था, तो जोखिम केवल Moneycontrol खाते तक सीमित नहीं रहता। लिंग और स्थान की जानकारी से फ़र्जी निवेश सुझाव या व्यक्तिगत वित्त से जुड़े ठगी के संदेश अधिक विश्वसनीय लग सकते हैं। डेटा का यह संयोजन विशेष रूप से वित्तीय ऐप, शेयरों पर नज़र रखने वाले खातों, ईमेल खातों और भुगतान सेवाओं में अतिरिक्त सुरक्षा उपायों की ज़रूरत पैदा करता है।

• ईमेल और पासवर्ड एक साथ होने पर खातों पर अनधिकृत नियंत्रण हासिल करने के प्रयास आसान हो जाते हैं।
• फ़ोन नंबर का इस्तेमाल सहायता देने के नाम पर फ़र्जी कॉल करने और SMS के ज़रिए जाल में फँसाने के लिए किया जा सकता है।
• भौगोलिक स्थान की जानकारी से क्षेत्रीय संदर्भ वाले वित्तीय संदेश अधिक विश्वसनीय लग सकते हैं।
• लक्षित सोशल इंजीनियरिंग में लिंग संबंधी जानकारी किसी व्यक्ति की प्रोफ़ाइल को पूरा करने वाला फ़ील्ड हो सकती है।

यह रिकॉर्ड 7,62,874 प्रभावित खातों, moneycontrol.com डोमेन और डेटा की पाँच पुष्ट श्रेणियों तक सीमित था। हालांकि घटना में पहली बार अनधिकृत पहुँच का सटीक समय स्पष्ट रूप से नहीं बताया गया है, माना जाता है कि डेटा फ़ाइल का सुराग सितंबर 2017 तक जाता है और डेटा 2021 में सामने आया। इसलिए उल्लंघन की तारीख 2021 की बिक्री की तारीख के बजाय 7 सितंबर 2017 मानी गई, जैसा कि फ़ाइल के सुराग से संकेत मिलता है। रिकॉर्ड जोड़े जाने की तारीख सत्यापन सूचियों में इसकी 22 मई 2021 को हुई प्रविष्टि से जुड़ी है।

इस रिकॉर्ड में भुगतान कार्ड, बैंक खाते, पहचान संख्या, भौतिक पते, लेन-देन के इतिहास, पोर्टफ़ोलियो की जानकारी या निवेश खाते की शेष राशि को पुष्ट फ़ील्ड के रूप में शामिल नहीं किया गया है। हालांकि कुछ विवरणों में जन्मतिथि का उल्लेख है, इसे मुख्य फ़ील्ड सूची में नहीं जोड़ा गया, क्योंकि यह डेटा की पुष्ट श्रेणियों में नहीं है। यह अंतर उपयोगकर्ता को अनावश्यक रूप से चिंतित किए बिना वास्तविक जोखिम बताने में मदद करता है। शीर्षक, फ़ील्ड के नाम, तारीख, प्रभावित खातों की संख्या और डेटा की श्रेणियों के आधार पर जाँच की गई कि कहीं यह रिकॉर्ड पहले से मौजूद तो नहीं है।

मुख्य जोखिम समूह में वे उपयोगकर्ता आते हैं जिनका Moneycontrol खाता 2017 से पहले या उसके आसपास था और जो अब भी वित्त, निवेश, समाचार, शेयरों पर नज़र रखने, भुगतान या सोशल खातों में वही ईमेल पता इस्तेमाल करते हैं। पासवर्ड फ़ील्ड मौजूद होने के कारण उन लोगों को अधिक जोखिम है जो दूसरी जगहों पर भी वही पासवर्ड इस्तेमाल करते हैं। खास तौर पर शेयर बाज़ार और वित्तीय समाचारों पर नज़र रखने वाले उपयोगकर्ताओं को फ़र्जी निवेश सलाह, पोर्टफ़ोलियो जाँच या तत्काल खाता सत्यापन के संदेशों से निशाना बनाया जा सकता है।

वित्तीय सेवाओं में अपना फ़ोन नंबर इस्तेमाल करने वाले, लंबे समय तक एक ही ईमेल पता रखने वाले, पासवर्ड मैनेजर इस्तेमाल न करने वाले और वित्तीय ऐप में बहु-कारक प्रमाणीकरण सक्षम न करने वाले लोगों को अधिक सावधानी बरतनी चाहिए। संगठनों में वित्त, लेखा, निवेशक संबंध, मीडिया, शोध और बिक्री टीमों में काम करने वाले कर्मचारियों के निजी Moneycontrol डेटा में यदि उनके कामकाजी ईमेल पते या फ़ोन नंबर भी शामिल हों, तो फ़र्जी भुगतान, फ़र्जी बाज़ार रिपोर्ट या फ़र्जी ग्राहक अनुरोधों का जोखिम बढ़ सकता है।

• Moneycontrol के वे सदस्य जो कई खातों में एक ही पासवर्ड इस्तेमाल करते हैं
• वित्तीय सेवाओं में अपने फ़ोन नंबर और ईमेल की जानकारी दर्ज रखने वाले लोग
• शेयर बाज़ार, निवेश और बाज़ार समाचारों में रुचि रखने वाले सक्रिय उपयोगकर्ता
• कामकाजी और निजी वित्तीय खातों में मिलती-जुलती संपर्क जानकारी इस्तेमाल करने वाले कर्मचारी

जिस उपयोगकर्ता को Moneycontrol से जुड़ा परिणाम दिखाई दे, उसे सबसे पहले इस खाते में इस्तेमाल किए गए पासवर्ड का उपयोग पूरी तरह बंद कर देना चाहिए। जिन भी खातों में वही या मिलता-जुलता पासवर्ड इस्तेमाल हुआ हो, उनमें से प्रत्येक के लिए नया और अलग पासवर्ड चुनना चाहिए। सबसे पहले ईमेल खातों, वित्तीय ऐप, निवेश प्लेटफ़ॉर्म, भुगतान सेवाओं, सोशल मीडिया और क्लाउड स्टोरेज खातों की जाँच करनी चाहिए। पासवर्ड में केवल किसी एक अक्षर या चिह्न का छोटा-सा बदलाव करना सुरक्षित नहीं माना जाता; हर सेवा के लिए अलग और लंबा पासवर्ड रखना बेहतर है।

यदि फ़ोन नंबर लीक हुआ है, तो SMS से भेजे गए निवेश, ऋण, भुगतान, शेयर अलर्ट या खाता सत्यापन के लिंक की पुष्टि किसी स्वतंत्र माध्यम से करनी चाहिए। जहाँ संभव हो, खातों में बहु-कारक प्रमाणीकरण सक्षम करना चाहिए, सत्रों के इतिहास और जुड़े हुए डिवाइस की समीक्षा करनी चाहिए और अनजान सत्र बंद करने चाहिए। Moneycontrol या किसी वित्तीय सेवा का प्रतिनिधि होने का दावा करने वाले कॉलर के पासवर्ड, कोड या भुगतान माँगने पर उसकी माँग नहीं माननी चाहिए। कई जगह दोहराए गए पासवर्ड बदलने के लिए पासवर्ड मैनेजर इस्तेमाल करना सबसे व्यावहारिक तरीका है।

• अपना Moneycontrol पासवर्ड और उन सभी खातों के पासवर्ड बदलें जिनमें वही पासवर्ड इस्तेमाल हुआ है।
• ईमेल और वित्तीय खातों में बहु-कारक प्रमाणीकरण सक्षम करें।
• SMS और फ़ोन के ज़रिए मिले निवेश संबंधी संपर्कों की पुष्टि किसी स्वतंत्र माध्यम से करें।
• अपने सत्रों के इतिहास, जुड़े हुए डिवाइस और अप्रत्याशित लॉगिन अलर्ट की जाँच करें।

Moneycontrol जैसे वित्त-केंद्रित प्लेटफ़ॉर्म से लीक हुए डेटा का महत्व लंबे समय तक बना रहता है। ईमेल, फ़ोन, स्थान और पासवर्ड का संयोजन वर्षों बाद भी फ़िशिंग, फ़र्जी निवेश सलाह, बाज़ार में हेरफेर से जुड़े संदेशों या खातों तक पहुँच जाँचने के प्रयासों में इस्तेमाल किया जा सकता है। इसलिए उपयोगकर्ताओं को नियमित रूप से अपनी पासवर्ड सूची का रखरखाव करना चाहिए, उपयोग में न आने वाले खाते बंद करने चाहिए, इस्तेमाल के उद्देश्य के अनुसार अलग-अलग ईमेल पते रखने चाहिए और महत्वपूर्ण वित्तीय खातों में ऐप-आधारित प्रमाणीकरण को प्राथमिकता देनी चाहिए।

संगठनों के लिए यह रिकॉर्ड दिखाता है कि कर्मचारियों के निजी डेटा में सेंध का असर व्यावसायिक प्रक्रियाओं तक पहुँच सकता है। वित्तीय समाचार और बाज़ार डेटा के साथ काम करने वाली टीमों को फ़र्जी रिपोर्ट लिंक, निवेश फ़ाइल अटैचमेंट, भुगतान को दूसरी जगह भेजने के अनुरोधों और फ़ोन पर पुष्टि कराने के प्रयासों से बचने के लिए अतिरिक्त अनुमोदन की प्रक्रिया अपनानी चाहिए। सुरक्षा जागरूकता प्रशिक्षण, पासवर्ड के दोबारा इस्तेमाल को रोकने वाले नियंत्रण, सुरक्षित ईमेल गेटवे और जोखिम भरे लिंक के अलर्ट ऐसी घटनाओं का प्रभाव कम करते हैं।

LeakData.io पर Moneycontrol का परिणाम देखने वाले उपयोगकर्ता को मेल खाने वाले ईमेल पते और फ़ोन की जानकारी की तुलना अपने खाते के इतिहास से करनी चाहिए। परिणाम का मतलब यह नहीं है कि उस व्यक्ति का आज भी सक्रिय Moneycontrol खाता है; लेकिन यह दिखाता है कि 2017 की लीक हुई डेटा फ़ाइल में दर्ज खाता 2021 में सामने आया था। इसलिए सही कदम यह जाँचना है कि पुराना पासवर्ड आज किसी भी खाते में मान्य न हो और वित्तीय खातों पर सुरक्षा की एक अतिरिक्त परत इस्तेमाल की जाए।

इस रिकॉर्ड की स्थिति पुष्ट रखी गई है, लेकिन इसका दायरा बढ़ाकर उससे बाहर की जानकारी शामिल नहीं की गई है। यह मानकर कार्रवाई करने के बजाय कि भुगतान कार्ड, बैंक खाते, भौतिक पते या निवेश पोर्टफ़ोलियो का डेटा लीक हुआ है, ध्यान ईमेल, फ़ोन, स्थान, लिंग और पासवर्ड डेटा से पैदा होने वाले वास्तविक जोखिम पर होना चाहिए। मज़बूत पासवर्ड, बहु-कारक प्रमाणीकरण, स्वतंत्र माध्यम से पुष्टि और संदिग्ध संचार को अस्वीकार करने की आदत अपनाकर उपयोगकर्ता अपने मौजूदा खातों पर Moneycontrol उल्लंघन का प्रभाव काफ़ी हद तक कम कर सकते हैं।