NapsGear में 2015 का डेटा उल्लंघन

इस डेटा उल्लंघन में ईमेल पते, नाम, फ़ोन नंबर और भौतिक पतों के साथ जन्मतिथि, लिंग, खरीदारी संबंधी जानकारी और पासवर्ड हैश भी शामिल थे। ईमेल और पासवर्ड हैश के कारण खातों पर अनधिकृत नियंत्रण का जोखिम पैदा होता है। सॉल्ट किए गए MD5 को आधुनिक पासवर्ड भंडारण मानकों के अनुसार कमज़ोर तरीका माना जा सकता है। कमज़ोर या कई जगह इस्तेमाल किए गए पासवर्ड समय के साथ क्रैक किए जा सकते हैं और दूसरी सेवाओं पर आज़माए जा सकते हैं।

पता, फ़ोन नंबर और खरीदारी का इतिहास हमलावरों को व्यक्ति के हिसाब से हमले तैयार करने के अधिक अवसर देते हैं। हमलावर नकली डिलीवरी सूचनाएँ, भुगतान पुष्टियाँ, ऑर्डर रद्द होने या उत्पाद वापस करने से जुड़े संदेश, या धमकी भरे संदेश तैयार करते समय ग्राहकों की वास्तविक जानकारी का इस्तेमाल कर सकते हैं। जन्मतिथि और लिंग जैसी अतिरिक्त जानकारी सोशल इंजीनियरिंग वाले संदेशों को अधिक विश्वसनीय बना सकती है। इसलिए बेहतर नतीजे के लिए केवल पासवर्ड बदलना पर्याप्त नहीं है; इसके साथ संचार और गोपनीयता की सुरक्षा पर भी ध्यान देना चाहिए।

इस रिकॉर्ड में घटना की तारीख 21 अक्टूबर 2015, डेटासेट में जोड़े जाने की तारीख 10 सितंबर 2018 और प्रभावित खातों की संख्या 2,87,071 दर्ज है। सत्यापित फ़ील्ड में जन्मतिथियाँ, ईमेल पते, लिंग, नाम, पासवर्ड, फ़ोन नंबर, भौतिक पते और खरीदारी संबंधी जानकारी शामिल हैं। रिकॉर्ड को सत्यापित और संवेदनशील चिह्नित करना चाहिए, क्योंकि व्यक्तिगत संपर्क संबंधी फ़ील्ड और खरीदारी का संदर्भ इसमें एक साथ मौजूद हैं।

इस घटना के सत्यापित फ़ील्ड में बैंक खाते, आधिकारिक पहचान संख्या, स्वास्थ्य रिकॉर्ड, भुगतान कार्ड का पूरा डेटा या निजी संदेशों की सामग्री शामिल नहीं हैं। खरीदारी संबंधी जानकारी और भुगतान कार्ड का डेटा एक ही चीज़ नहीं हैं। खरीदारी संबंधी जानकारी से आशय यह है कि उपयोगकर्ता ने क्या खरीदा या ऑर्डर का संदर्भ क्या था। पासवर्ड फ़ील्ड को भी सादे टेक्स्ट में उपलब्ध पासवर्ड नहीं बताना चाहिए। इन सीमाओं का ध्यान रखने से उपयोगकर्ता वास्तविक जोखिम समझ पाता है और बिना प्रमाण वाले दावों के कारण अनावश्यक घबराहट में नहीं पड़ता।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने NapsGear खाते का पासवर्ड ईमेल, सोशल मीडिया, खरीदारी, फ़ोरम या वित्तीय खातों में भी बार-बार इस्तेमाल करते हैं। पासवर्ड हैश क्रैक हो जाने पर उसी पासवर्ड को दूसरी सेवाओं पर आज़माया जा सकता है। यदि एक ही ईमेल पते से कई खाते खोले गए हैं, तो हमलावर इस जानकारी का इस्तेमाल स्वचालित लॉगिन प्रयासों और नकली सुरक्षा सूचनाओं के लिए कर सकते हैं।

जिन उपयोगकर्ताओं का पता, फ़ोन नंबर और खरीदारी का इतिहास दिखाई देता है, उनकी गोपनीयता भी जोखिम में है। NapsGear की उत्पाद श्रेणी के कारण कुछ लोगों को नुकसान हो सकता है, यदि उनकी खरीदारी संबंधी जानकारी उनके परिवार, कार्यस्थल या स्थानीय समुदाय से जोड़ दी जाए। डिलीवरी के पते और फ़ोन नंबर से व्यक्ति के ठिकाने का पता लगाया जा सकता है या सीधे फ़ोन करके उस पर दबाव डाला जा सकता है। कॉर्पोरेट ईमेल इस्तेमाल करने वाले ग्राहकों के मामले में यह जानकारी उनकी पेशेवर पहचान से भी जोड़ी जा सकती है।

जिन उपयोगकर्ताओं का डेटा मिलान में मिलता है, उन्हें सबसे पहले यह सुनिश्चित करना चाहिए कि उनके NapsGear खाते में इस्तेमाल किया गया पुराना पासवर्ड किसी दूसरे खाते में मान्य न हो। यदि वही या उससे मिलता-जुलता पासवर्ड कहीं और इस्तेमाल हो रहा है, तो उसे किसी संक्रमण से मुक्त डिवाइस से बदलकर एक अलग पासवर्ड रखना चाहिए। सबसे पहले ईमेल खातों, पासवर्ड मैनेजरों, वित्तीय खातों और खरीदारी वाले खातों की जाँच करनी चाहिए। जहाँ भी संभव हो, बहु-कारक सुरक्षा सक्षम करनी चाहिए।

फ़ोन या ईमेल से आने वाले ऑर्डर, डिलीवरी, भुगतान, उत्पाद वापसी, सीमा शुल्क, सुरक्षा या धमकियों से जुड़े संदेशों पर सावधानी से ध्यान देना चाहिए। संदेश में दिए लिंक पर क्लिक करने के बजाय परिचित डोमेन को खुद टाइप करना चाहिए। भुगतान या सत्यापन कोड माँगने वाले अनुरोधों की जाँच किसी स्वतंत्र माध्यम से करनी चाहिए। यह देखते हुए कि भौतिक पता लीक हुआ हो सकता है, अप्रत्याशित शिपिंग सूचनाओं और किसी व्यक्ति पर दबाव डालने के प्रयासों को गंभीरता से लेना चाहिए।

NapsGear की घटना दिखाती है कि खरीदारी वाले खातों में रखा डेटा केवल भुगतान की सुरक्षा के लिए ही नहीं, बल्कि गोपनीयता और व्यक्तिगत सुरक्षा के लिए भी महत्वपूर्ण है। उपयोगकर्ताओं को संवेदनशील उत्पाद श्रेणियों के लिए अलग ईमेल पते इस्तेमाल करने को प्राथमिकता देनी चाहिए, फ़ोन नंबर और पते अनावश्यक रूप से बार-बार साझा करने से बचना चाहिए, पुराने खाते बंद करने चाहिए और खरीदारी की सूचनाओं की नियमित समीक्षा करनी चाहिए। पासवर्ड मैनेजर की मदद से हर सेवा के लिए अलग पासवर्ड रखना सुरक्षा का एक बुनियादी उपाय है।

खुदरा सेवाओं के लिए बुनियादी सीख यह है कि डेटा का संग्रह और भंडारण न्यूनतम रखा जाए। ऑर्डर पूरा होने के बाद अनावश्यक व्यक्तिगत फ़ील्ड लंबे समय तक रखने से उपयोगकर्ता पर पड़ने वाला प्रभाव बढ़ता है। पासवर्ड हैश को मज़बूत और अद्यतन तरीकों से सुरक्षित रखना चाहिए, आवश्यकता समाप्त होने पर पुराने ऑर्डर और डिलीवरी संबंधी डेटा को कम करना चाहिए, और ग्राहकों को सूचना देने की योजना तैयार रखनी चाहिए। संवेदनशील उत्पाद श्रेणियों में रिकॉर्ड रखने की सुरक्षित नीति का सीधा संबंध उपयोगकर्ता की सुरक्षा से है।

यदि LeakData पर किसी ईमेल पते से NapsGear की खोज करने पर मिलान मिलता है, तो इसका अर्थ है कि संबंधित पता 2,87,071 खातों वाले डेटासेट में शामिल है। मिलान मिलने से ईमेल, नाम, फ़ोन नंबर, भौतिक पता, जन्मतिथि, लिंग, खरीदारी संबंधी जानकारी और पासवर्ड हैश के संबंध में जोखिम का संकेत मिलता है। मिलान न मिलने का अर्थ केवल यह है कि इस विशेष डेटासेट में कोई मिलान नहीं मिला। इससे अन्य खुदरा सेवाओं या फ़ोरम में हुए डेटा उल्लंघनों की संभावना खारिज नहीं होती।

सही कदम हैं: पुराने पासवर्ड का इस्तेमाल बंद करना, कई जगह इस्तेमाल किए गए पासवर्ड बदलना, ईमेल खाते की मज़बूत सुरक्षा सुनिश्चित करना, फ़ोन और डिलीवरी से जुड़े नकली संदेशों से सावधान रहना, पते की जानकारी के दुरुपयोग पर नज़र रखना और गोपनीयता को लेकर दबाव डालने वाले संदेशों का जवाब न देना। इस रिकॉर्ड को खुदरा सेवा से जुड़े सत्यापित और संवेदनशील डेटा उल्लंघन के रूप में देखना चाहिए। इसमें उपयोगकर्ता को खाते की सुरक्षा और व्यक्तिगत सुरक्षा, दोनों के लिए स्पष्ट कदम बताए जाने चाहिए।