MyPertamina में 2022 का डेटा लीक

MyPertamina रिकॉर्ड में प्रमुख रूप से जन्मतिथियाँ, ईमेल पते, लिंग संबंधी जानकारी, नाम, फ़ोन नंबर, भौतिक पते और खरीदारी के रिकॉर्ड शामिल हैं। इस रिकॉर्ड की सत्यापित डेटा श्रेणियों में पासवर्ड का फ़ील्ड शामिल नहीं है; इसलिए, इस घटना को सीधे पासवर्ड के उजागर होने की घटना के रूप में प्रस्तुत नहीं किया जाना चाहिए। फिर भी, जोखिम कम नहीं होता; केवल उसका स्वरूप बदलता है। ईमेल, फ़ोन नंबर, नाम, पता और जन्मतिथि एक साथ उपलब्ध होने पर हमलावर लक्षित फ़िशिंग, फ़र्ज़ी सहायता कॉल, डिलीवरी या भुगतान के बहाने धोखाधड़ी और प्रमाणीकरण के लिए पूछे जाने वाले सवालों को दरकिनार करने के प्रयासों को अधिक विश्वसनीय बना सकता है।

खरीदारी के डेटा से व्यवहार संबंधी जोखिम भी पैदा होते हैं। ईंधन या सेवाओं के इस्तेमाल की आदतें इस बात के अप्रत्यक्ष संकेत दे सकती हैं कि उपयोगकर्ता किन जगहों पर जाता है, वाहन का इस्तेमाल कैसे करता है और भुगतान कब करता है। भौतिक पते और फ़ोन नंबर के साथ मिलकर यह जानकारी न केवल डिजिटल खातों से जुड़ी समस्याओं, बल्कि वास्तविक जीवन में उत्पीड़न, प्रचार अभियानों के नाम पर धोखाधड़ी वाले कॉल और सोशल इंजीनियरिंग के प्रयासों का आधार भी बन सकती है। इसलिए, पासवर्ड शामिल न होने के बावजूद MyPertamina डेटा लीक को एक गंभीर रिकॉर्ड माना जाना चाहिए, जिसमें किसी व्यक्ति की प्रोफ़ाइल तैयार करने के लिए डेटा का प्रभावी संयोजन मौजूद है।

व्यक्तियों की असत्यापित संख्या, असत्यापित डेटा फ़ील्ड और हमलावरों के दावों को इस घटना के सार्वजनिक रूप से दर्ज दायरे का हिस्सा नहीं माना जाता। कच्चे डेटा में 4.4 करोड़ से अधिक पंक्तियाँ होने का दावा सामने आया है; हालाँकि, कच्चे डेटा की पंक्तियों की संख्या अलग-अलग व्यक्तियों की संख्या के बराबर नहीं होती। लेनदेन का इतिहास, दोहराए गए रिकॉर्ड, एक ही उपयोगकर्ता से जुड़ी कई पंक्तियाँ या निर्यात किए गए डेटा में अलग-अलग तालिकाएँ कच्चे डेटा की पंक्तियों की संख्या बढ़ा सकती हैं।

घटना की तारीख नवंबर 2022 के रूप में दर्ज की जानी चाहिए और सिस्टम में इसे जोड़े जाने की तारीख जनवरी 2024 ही रखी जानी चाहिए। यदि पिछले तकनीकी अद्यतन की तारीख या एक साथ बड़ी मात्रा में डेटा आयात किए जाने का समय डेटा लीक की तारीख के रूप में दिखाया जाए, तो उपयोगकर्ताओं को लग सकता है कि लीक 2025 या 2026 में हुआ था। इस रिकॉर्ड में यह भ्रम दूर कर दिया गया है: डेटा लीक की तारीख 1 नवंबर 2022 है, सत्यापित सूची में दर्ज किए जाने की तारीख 27 जनवरी 2024 है और प्रभावित अलग-अलग ईमेल पतों की संख्या 59,70,416 मानी गई है। कंपनी से जुड़ी संदर्भ जानकारी भी अद्यतन की जानी चाहिए, ताकि उसमें देश के रूप में इंडोनेशिया और सेवा के रूप में ऊर्जा तथा ईंधन भुगतान का उल्लेख हो।

पहले जोखिम समूह में वे लोग आते हैं जिन्होंने MyPertamina खाता खोला है और ईंधन भुगतान या लॉयल्टी लेनदेन के लिए अपने ईमेल और फ़ोन की जानकारी इस्तेमाल की है। जब इन लोगों का नाम, फ़ोन नंबर, पता और खरीदारी से जुड़ी जानकारी एक साथ सामने आती है, तो फ़र्ज़ी ग्राहक सेवा कॉल अधिक विश्वसनीय लग सकते हैं। हमलावर ईंधन सब्सिडी, भुगतान सत्यापन, रिवॉर्ड पॉइंट, प्रचार अभियान या खाते के नवीनीकरण से जुड़े संदेशों के ज़रिए उपयोगकर्ता को किसी लिंक पर क्लिक करने या अतिरिक्त व्यक्तिगत जानकारी देने के लिए प्रेरित कर सकता है।

दूसरे जोखिम समूह में वे लोग आते हैं जो बैंकिंग, ई-वॉलेट, डिलीवरी और सार्वजनिक सेवाओं के लिए एक ही फ़ोन नंबर का इस्तेमाल करते हैं। कुछ सेवाओं में पहचान सत्यापन के दौरान होने वाली बातचीत को आसान बनाने के लिए फ़ोन नंबर और जन्मतिथि सहायक जानकारी के रूप में इस्तेमाल की जा सकती है। तीसरे जोखिम समूह में वे कर्मचारी आते हैं जो अपनी कंपनी के ईमेल पते से व्यक्तिगत MyPertamina खाता खोलते हैं। ऐसा मेल मिलने का मतलब कंपनी के सिस्टम तक सीधी पहुँच मिलना नहीं है; हालाँकि, यदि लक्षित फ़िशिंग संदेशों में कर्मचारी के वास्तविक नाम, फ़ोन नंबर या पते से जुड़ी जानकारी का इस्तेमाल किया जाए, तो सुरक्षा जोखिम बढ़ जाता है।

MyPertamina के पंजीकरण रिकॉर्ड में शामिल उपयोगकर्ताओं को सबसे पहले ईंधन, भुगतान, रिवॉर्ड पॉइंट, सब्सिडी या खाता सत्यापन से जुड़े उन संदेशों की सावधानी से समीक्षा करनी चाहिए जो उन्हें ईमेल और फ़ोन पर मिलते हैं। संदेश में दिए गए लिंक से लॉग इन करने के बजाय सेवा के ज्ञात आधिकारिक पते या मोबाइल ऐप का इस्तेमाल करना चाहिए। फ़ोन पर आने वाले कॉल में व्यक्तिगत पहचान संख्या, जन्मतिथि, पता, एक बार इस्तेमाल होने वाले कोड या भुगतान संबंधी जानकारी साझा नहीं करनी चाहिए। वास्तविक ग्राहक सेवा टीमों को सुरक्षा कोड नहीं माँगने चाहिए।

पासवर्ड लीक होने की पुष्टि न होने पर भी, उसी ईमेल पते का इस्तेमाल करने वाले महत्वपूर्ण खातों के लिए मज़बूत सुरक्षा उपाय अपनाने चाहिए। ईमेल खातों, ई-वॉलेट, बैंकिंग, डिलीवरी और सार्वजनिक सेवाओं में बहु-कारक प्रमाणीकरण चालू करना चाहिए; खाता पुनर्प्राप्ति के लिए दर्ज फ़ोन नंबर और ईमेल पतों की जाँच करनी चाहिए। उपयोगकर्ता को संदिग्ध सत्र बंद करने, अनजान डिवाइस हटाने और सेवाओं से पुराने पते या फ़ोन की जानकारी हटाने की ज़रूरत है। जन्मतिथि और पते की जानकारी को अब ऐसा मानना चाहिए जिसका आसानी से अनुमान लगाया जा सकता है, और इन विवरणों का इस्तेमाल पासवर्ड या PINs में नहीं करना चाहिए।

MyPertamina डेटा लीक दिखाता है कि पासवर्ड के अलावा अन्य व्यक्तिगत डेटा का भी सुरक्षा पर दीर्घकालिक असर पड़ता है। उपयोगकर्ताओं को हर सेवा के लिए न्यूनतम डेटा देने की आदत विकसित करनी चाहिए। फ़ोन नंबर, पता या जन्मतिथि जैसे अनावश्यक फ़ील्ड खाली छोड़ने चाहिए; जहाँ संभव हो, ईमेल पता छिपाने की सुविधा, अलग-अलग संपर्क पते और हर सेवा के लिए अलग सूचना प्राथमिकताओं का इस्तेमाल करना चाहिए। एक बार व्यक्तिगत डेटा फैल जाने के बाद उसे पूरी तरह वापस नहीं लिया जा सकता; इसलिए, प्राथमिक बचाव यह है कि एक ही डेटा को अलग-अलग खातों की सुरक्षा की एकमात्र कुंजी बनने से रोका जाए।

खरीदारी का इतिहास, फ़ोन और पते के फ़ील्ड केवल मार्केटिंग के लिए ही उपयोगी नहीं होते; अनुचित तरीके से हासिल किए जाने पर वे एक संवेदनशील प्रोफ़ाइल का रूप ले लेते हैं जो लक्षित धोखाधड़ी को बढ़ावा देती है। व्यवसायों को अनावश्यक फ़ील्ड एकत्र नहीं करने चाहिए, पुराने रिकॉर्ड नियमित रूप से हटाने चाहिए, ग्राहक सहायता टीमों को सोशल इंजीनियरिंग के प्रयासों से बचाव का प्रशिक्षण देना चाहिए और डेटा तक संदिग्ध पहुँच पर तुरंत निगरानी रखनी चाहिए।

चूँकि रिकॉर्ड में पासवर्ड नहीं है, इसलिए शुरुआती कार्रवाई केवल पासवर्ड बदलने तक सीमित नहीं होनी चाहिए। फ़ोन नंबर, पते, जन्मतिथि और खरीदारी की जानकारी का इस्तेमाल करके किए जा सकने वाले संभावित फ़र्ज़ी कॉल, फ़र्ज़ी संदेश और फ़र्ज़ी प्रचार अभियानों के प्रति अधिक सावधानी बरतनी चाहिए।

सही क्रम यह है कि पहले ईमेल और फ़ोन की सुरक्षा मज़बूत की जाए, फिर ई-वॉलेट, बैंकिंग, डिलीवरी और सार्वजनिक सेवाओं की खाता पुनर्प्राप्ति सेटिंग की जाँच की जाए। उपयोगकर्ता को उन सेवाओं पर अनजान लॉगिन की समीक्षा करनी चाहिए जिनमें MyPertamina वाला ईमेल पता इस्तेमाल होता है, और अनावश्यक खातों से पुरानी व्यक्तिगत जानकारी हटा देनी चाहिए। कंपनी का ईमेल इस्तेमाल करने वाले लोगों को यह परिणाम सुरक्षा टीम के साथ साझा करना चाहिए; कंपनी की ओर से डोमेन निगरानी, जोखिम भरे लॉगिन के अलर्ट और कर्मचारियों की सुरक्षा जागरूकता की जाँच लागू की जानी चाहिए।