MyFHA डेटा में सेंध

इस रिकॉर्ड में जिन डेटा प्रकारों की पुष्टि हुई है, उनमें आवास वित्त के आवेदनों में इस्तेमाल होने वाली संवेदनशील जानकारी शामिल है। ईमेल पते, पूरे नाम, IP पते और भौतिक पते को सीधे उपयोगकर्ता की पहचान और संपर्क जानकारी से जोड़ा जा सकता है। क्रेडिट स्थिति, आय का स्तर और क्रेडिट संबंधी जानकारी से किसी व्यक्ति की वित्तीय ज़रूरतों, भुगतान करने की क्षमता या कर्ज़ लेने के रुझान का संकेत मिल सकता है। व्यक्तिगत विवरण वाले फ़ील्ड और भी अधिक संवेदनशील हैं; कुछ रिकॉर्ड में कानूनी मामलों, तलाक़, स्वास्थ्य की स्थिति या पारिवारिक परिस्थितियों जैसे निजी जीवन के विवरण होने की सूचना मिली है। पासवर्ड फ़ील्ड मौजूद होने से खाते पर अनधिकृत नियंत्रण का जोखिम बढ़ जाता है, यदि वही या मिलता-जुलता पासवर्ड अन्य सेवाओं पर भी इस्तेमाल किया गया हो। इसलिए इस घटना को गंभीर प्रभाव वाले डेटा उल्लंघन के रूप में देखा जाना चाहिए, जो क्रेडिट धोखाधड़ी और सोशल इंजीनियरिंग के लिए उपयोगी पृष्ठभूमि उपलब्ध कराता है।

घटना की सत्यापित तारीख़ 18 फरवरी 2015, रिकॉर्ड जोड़े जाने की तारीख़ 9 अगस्त 2018 और प्रभावित खातों की संख्या 9,72,629 दर्ज की जानी चाहिए। डोमेन नाम myfha.net के रूप में सत्यापित है। डेटा श्रेणियों में क्रेडिट स्थिति की जानकारी, ईमेल पते, आय के स्तर, IP पते, क्रेडिट संबंधी जानकारी, नाम, पासवर्ड, व्यक्तिगत विवरण और भौतिक पते शामिल हैं। इस रिकॉर्ड में सामाजिक सुरक्षा संख्या, भुगतान कार्ड, बैंक खाता संख्या या आधिकारिक पहचान दस्तावेज़ों वाले फ़ील्ड सत्यापित नहीं हुए हैं, इसलिए ऐसा डेटा इसमें शामिल नहीं है। पासवर्ड किस तकनीकी प्रारूप में संग्रहीत किए गए थे, इसकी कोई निर्णायक सार्वजनिक पुष्टि नहीं है; इसलिए इस विवरण में केवल पासवर्ड फ़ील्ड का उल्लेख किया गया है। हालाँकि घटना को संवेदनशील प्लेटफ़ॉर्म की श्रेणी में चिह्नित नहीं किया गया है, वित्तीय जानकारी और निजी परिस्थितियों के विवरणों के कारण उपयोगकर्ताओं पर इसका प्रभाव गंभीर है।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने आवास ऋण, कर्ज़ की स्थिति सुधारने, क्रेडिट स्कोर बेहतर करने या वित्तपोषण पाने के लिए MyFHA पर अपनी जानकारी दी थी। अपना वास्तविक पता, आय का स्तर और क्रेडिट स्थिति साझा करने वाले उपयोगकर्ताओं को फ़र्ज़ी क्रेडिट सलाहकारों की योजनाओं, कर्ज़ निपटाने के वादों, अग्रिम शुल्क की धोखाधड़ी या बैंक प्रतिनिधि बनकर किए जाने वाले छल का निशाना बनाया जा सकता है। यदि निजी विवरणों में कानूनी कार्यवाही, तलाक़, स्वास्थ्य समस्याओं या पारिवारिक दबाव जैसी बातें शामिल हों, तो हमलावर इस जानकारी का इस्तेमाल अधिक विश्वसनीय लगने वाले और भावनात्मक दबाव डालने वाले संदेशों के लिए कर सकता है। अन्य वित्तीय, ईमेल, रियल एस्टेट या सोशल मीडिया खातों पर वही ईमेल पता और पासवर्ड इस्तेमाल करने वालों का जोखिम बढ़ जाता है। कॉर्पोरेट ईमेल से आवेदन करने वाले उपयोगकर्ताओं को उनके कार्यस्थल के खाते पर भी लक्षित फ़िशिंग संदेश मिल सकते हैं।

जिस उपयोगकर्ता के विवरण इस रिकॉर्ड से मेल खाते पाए जाएँ, उसे सबसे पहले अपने MyFHA खाते का पासवर्ड और उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। ईमेल खातों, बैंकिंग ऐप्लिकेशन, क्रेडिट निगरानी सेवाओं, रियल एस्टेट प्लेटफ़ॉर्म और सोशल मीडिया खातों की जाँच को प्राथमिकता देनी चाहिए। नए पासवर्ड लंबे, हर खाते के लिए अलग और पासवर्ड मैनेजर से बनाए गए होने चाहिए। जिन खातों में दो-चरणीय सत्यापन की सुविधा हो, उन सभी पर इसे चालू करना चाहिए। क्रेडिट मंज़ूरी, कर्ज़ चुकाने, कम ब्याज, कर बकाया, बंधक संपत्ति की जब्ती टालने या फ़ाइल शुल्क से जुड़े संदेशों के प्रति सावधानी बरतनी चाहिए। किसी व्यक्ति को आपकी निजी परिस्थितियों से जुड़े नोट्स या पुराने पते की जानकारी है, तो केवल इस आधार पर उसके अनुरोध को भरोसेमंद नहीं मानना चाहिए। भुगतान करने या पहचान दस्तावेज़, सत्यापन कोड अथवा अतिरिक्त वित्तीय जानकारी साझा करने से पहले संगठन के आधिकारिक संचार माध्यम से अनुरोध की पुष्टि करनी चाहिए।

यह घटना दिखाती है कि वित्तीय आवेदन वाली साइटों पर जुटाया गया डेटा, सामान्य खाता जानकारी की तुलना में अधिक व्यापक जोखिम पैदा करता है। उपयोगकर्ताओं को क्रेडिट, रियल एस्टेट या ऋण परामर्श सेवाओं पर अनावश्यक निजी विवरण नहीं देने चाहिए। अपनी वित्तीय ज़रूरतों का विस्तार से लिखित वर्णन करते समय उन्हें यह संभावना ध्यान में रखनी चाहिए कि उसे तीसरे पक्ष भी देख सकते हैं। पुराने क्रेडिट आवेदन खातों को बंद कर देना चाहिए या कम से कम उनके पासवर्ड बदल देने चाहिए। वित्तीय सेवाओं के लिए अलग ईमेल पता रखना चाहिए और किसी भी खाते पर एक ही पासवर्ड दोबारा इस्तेमाल नहीं करना चाहिए। संस्थानों के लिए मुख्य सीख यह है कि वे आवेदन फ़ॉर्म में मुक्त-पाठ वाले फ़ील्ड सीमित रखें, वित्तीय जानकारी और निजी परिस्थितियों से जुड़े नोट्स कम समय तक रखें, सख़्त पहुँच नियंत्रण बनाए रखें और घटना के बाद उपयोगकर्ताओं को पासवर्ड के दोबारा इस्तेमाल, क्रेडिट धोखाधड़ी और लक्षित फ़िशिंग के जोखिमों की स्पष्ट जानकारी दें।

इस रिकॉर्ड में MyFHA से जुड़ा मिलान दिखने का अर्थ है कि संबंधित ईमेल पता 2015 के आवास वित्त डेटा में शामिल हो सकता है। यह मिलान साबित नहीं करता कि सामाजिक सुरक्षा संख्या या भुगतान कार्ड की जानकारी उजागर हुई है। जोखिम सत्यापित क्रेडिट स्थिति, आय के स्तर, क्रेडिट संबंधी जानकारी, भौतिक पते, व्यक्तिगत विवरण और पासवर्ड फ़ील्ड के एक साथ मौजूद होने से जुड़ा है, क्योंकि इनका संयुक्त रूप से लक्षित धोखाधड़ी में इस्तेमाल किया जा सकता है। उपयोगकर्ता को उसी ईमेल पते से जुड़े वित्तीय खातों और पुराने क्रेडिट आवेदनों की समीक्षा करनी चाहिए, पासवर्ड का दोबारा इस्तेमाल बंद करना चाहिए, दो-चरणीय सत्यापन को मज़बूत करना चाहिए और क्रेडिट दिलाने या कर्ज़ की समस्या हल करने का वादा करने वाले अप्रत्याशित संदेशों की स्वतंत्र रूप से पुष्टि करनी चाहिए। संस्थागत दृष्टि से, रिकॉर्ड पुराना होने पर भी इसके बारे में उपयोगकर्ताओं को चेतावनी देना उच्च प्राथमिकता का काम है, क्योंकि इसमें वित्तीय प्रोफ़ाइल और निजी परिस्थितियों से जुड़ा डेटा मौजूद है।