NetProspex स्पैम डेटा सूची

NetProspex लीक में सत्यापित फ़ील्ड हैं: ईमेल पते, नियोक्ता संबंधी जानकारी, पदनाम, नाम, फ़ोन नंबर और भौतिक पते। भले ही इन फ़ील्ड में अपने आप में पासवर्ड न हों, फिर भी व्यावसायिक पहचान के लिहाज़ से ये बहुत मूल्यवान हैं। जब किसी व्यक्ति का नाम, कंपनी, पद और संपर्क जानकारी एक साथ उपलब्ध हों, तो हमलावर विश्वसनीय दिखने वाले बिक्री संदेश, खुद को वरिष्ठ अधिकारी बताकर भेजे गए अनुरोध, नकली बैठक निमंत्रण या आपूर्तिकर्ता के नाम से पत्राचार तैयार कर सकते हैं।

इस डेटासेट का मार्केटिंग सूची होना विशेष रूप से महत्वपूर्ण है। ऐसी सूचियों का इस्तेमाल बड़े पैमाने पर ईमेल अभियान चलाने के लिए किया जाता है, लेकिन दुरुपयोग होने पर इनसे लक्षित फ़िशिंग और व्यक्ति की भूमिका के आधार पर हमले भी किए जा सकते हैं। पदनाम वाले रिकॉर्ड से वित्त, मानव संसाधन, सूचना प्रौद्योगिकी, खरीद और प्रबंधन जैसी भूमिकाओं में कार्यरत ऐसे लोगों की पहचान करना आसान हो जाता है, जिन्हें निशाना बनाने से व्यापक असर पड़ सकता है। जिन व्यक्तियों के फ़ोन नंबर और पते उपलब्ध हैं, उनके लिए कॉल के ज़रिए सोशल इंजीनियरिंग और डाक के ज़रिए धोखाधड़ी का जोखिम भी बढ़ जाता है।

डेटा उल्लंघन की तारीख सितंबर 2016 के रूप में दर्ज है। सत्यापित खाता समूह में 3,36,98,126 अलग-अलग व्यक्तियों के रिकॉर्ड हैं। यह घटना कारोबारी पेशेवरों के डेटा के ऑनलाइन लीक होने से जुड़ी है, जो मुख्य रूप से अमेरिका के कॉर्पोरेट क्षेत्र से संबंधित था। यह संकेत दिया गया है कि व्यावसायिक डेटा प्रदाता से प्राप्त मार्केटिंग डेटा किसी तृतीय-पक्ष ग्राहक के परिवेश से बाहर निकल गया हो सकता है। यह अंतर महत्वपूर्ण है, क्योंकि इस घटना का आकलन किसी सामान्य सदस्यता डेटाबेस के उल्लंघन के रूप में नहीं, बल्कि व्यावसायिक निर्देशिका के डेटा पर नियंत्रण खोने के मामले के रूप में किया जाना चाहिए।

इस पेज पर डेटा की श्रेणियाँ सत्यापन योग्य मुख्य फ़ील्ड तक सीमित हैं: ईमेल पते, नियोक्ता, पदनाम, नाम, फ़ोन नंबर और भौतिक पते। NetProspex परिणाम के लिए पासवर्ड, भुगतान कार्ड या पहचान संख्या जैसे फ़ील्ड मुख्य डेटा श्रेणियों के रूप में नहीं दिखाए गए हैं। इससे उपयोगकर्ता खाता हैक हो जाने की गलत धारणा बनाने के बजाय व्यावसायिक पहचान और संपर्क जानकारी से पैदा होने वाले वास्तविक जोखिमों पर ध्यान दे सकता है।

NetProspex परिणामों के अनुसार, कंपनियों के कर्मचारियों, प्रबंधकों, सार्वजनिक संस्थानों के कर्मियों, बिक्री टीमों, वित्त विभागों, मानव संसाधन टीमों और खरीद संबंधी भूमिकाओं में कार्यरत लोगों के लिए अधिक जोखिम दिखाई देता है। जब कामकाजी ईमेल, पदनाम और कंपनी का नाम एक साथ उपलब्ध हों, तो हमलावर संगठन में व्यक्ति की भूमिका के अनुकूल संदेश भेजकर उसे निशाना बना सकते हैं। इससे विशेष रूप से वे हमले अधिक प्रभावी हो जाते हैं जिनमें चालान की मंज़ूरी, आपूर्तिकर्ता में बदलाव, बैठक के अनुरोध या फ़ाइल साझा करने का बहाना बनाया जाता है।

प्रमुख कंपनियों या सार्वजनिक संस्थानों में काम करने वाले व्यक्तियों के लिए जोखिम अधिक है। कंपनी के पदानुक्रम और पदनामों की जानकारी से यह समझने में मदद मिलती है कि किन मामलों पर कौन निर्णय लेता है। जिन लोगों के फ़ोन नंबर उपलब्ध हैं, उन्हें नकली सहायता कॉल से निशाना बनाया जा सकता है; जिनके भौतिक पते उपलब्ध हैं, उन्हें डाक, सामान की डिलीवरी या कार्यालय आने के बहाने निशाना बनाया जा सकता है। पुराने कामकाजी ईमेल पते भी बाहरी धोखाधड़ी, किसी ब्रांड की पहचान का झूठा इस्तेमाल करने और खातों के बारे में जानकारी जुटाने के प्रयासों के लिए उपयोगी बने रह सकते हैं।

NetProspex परिणामों में दिखाई देने वाले उपयोगकर्ताओं को फ़िशिंग के जोखिम को गंभीरता से लेना चाहिए, खासकर कामकाजी ईमेल के मामले में। संदिग्ध बैठक निमंत्रणों, चालान संबंधी अनुरोधों, आपूर्तिकर्ता के खाते में बदलाव की सूचनाओं, पासवर्ड रीसेट संदेशों और फ़ाइल साझा करने वाले लिंक की सावधानी से जाँच करनी चाहिए। संदेश कंपनी के भीतर से आया हुआ लगे, तब भी भेजने वाले का पता, लिंक का डोमेन और अनुरोध का संदर्भ जाँचना चाहिए।

संगठन के खातों पर बहु-कारक प्रमाणीकरण सक्षम करना चाहिए, ईमेल सुरक्षा अलर्ट चालू रखने चाहिए और संवेदनशील अनुरोधों का सत्यापन किसी दूसरे माध्यम से करना चाहिए। फ़ोन पर मिले सहायता या भुगतान संबंधी अनुरोधों के लिए, कॉल करने वाले की पहचान कंपनी की निर्देशिका से अलग किसी स्वतंत्र माध्यम से सत्यापित करनी चाहिए। व्यक्तिगत स्तर पर, उसी कामकाजी ईमेल से खोले गए तृतीय-पक्ष खातों की समीक्षा करनी चाहिए, सार्वजनिक रूप से उपलब्ध प्रोफ़ाइल में अनावश्यक जानकारी कम करनी चाहिए और अज्ञात ईमेल सूचियों से आने वाले लिंक के प्रति सावधानी बरतनी चाहिए।

NetProspex घटना दिखाती है कि मार्केटिंग और व्यावसायिक निर्देशिका का डेटा भी गंभीर सुरक्षा जोखिम पैदा कर सकता है। संगठनों को नियमित रूप से समीक्षा करनी चाहिए कि कर्मचारियों के ईमेल पते, पदनाम और फ़ोन संबंधी जानकारी कहाँ प्रकाशित हैं। खरीद, वित्त और वरिष्ठ प्रबंधन की भूमिकाओं के लिए फ़िशिंग प्रशिक्षण वास्तविक कामकाजी प्रक्रियाओं के अनुरूप तैयार किया जाना चाहिए; चालान, बैंक खाते में बदलाव और संवेदनशील दस्तावेज़ साझा करने जैसे अनुरोधों के लिए स्पष्ट सत्यापन नियम होने चाहिए।

दीर्घकाल में, ईमेल उपनाम, भूमिका-आधारित मेलबॉक्स, आने वाले संदेशों के फ़िल्टर और डोमेन सत्यापन नियंत्रणों का एक साथ इस्तेमाल करना चाहिए। कंपनियों की सुरक्षा टीमों को पेशेवरों के व्यक्तिगत डेटा के लीक होने को पासवर्ड लीक की तुलना में कम प्राथमिकता नहीं देनी चाहिए, क्योंकि यह डेटा लक्षित हमले तैयार करने के लिए पर्याप्त संदर्भ दे सकता है। उपयोगकर्ताओं को भी सोशल नेटवर्क और सार्वजनिक रूप से उपलब्ध प्रोफ़ाइल पर अपने कामकाज से जुड़ी जानकारी के अत्यधिक विवरण रखने से बचना चाहिए।

यदि खाते की सुरक्षा की जाँच में NetProspex परिणाम दिखाई देता है, तो इसका अर्थ है कि संबंधित ईमेल पता 2016 के NetProspex डेटा उल्लंघन से जुड़े कारोबारी पेशेवरों के सत्यापित डेटासेट में शामिल है। यह परिणाम नहीं दर्शाता कि आपका पासवर्ड चोरी हो गया है या अनधिकृत हाथों में पहुँच गया है; हालाँकि, यह दर्शाता है कि आपको ऐसे लक्षित संदेश मिल सकते हैं जिनमें आपके नाम, कामकाजी ईमेल, कंपनी, पद, फ़ोन नंबर या पते जैसी जानकारी का इस्तेमाल किया गया हो।

पहला कदम कामकाजी ईमेल की सुरक्षा सेटिंग और बहु-कारक प्रमाणीकरण की जाँच करना है। इसके बाद, संदिग्ध चालानों, फ़ाइल साझा करने, बैठकों, आपूर्तिकर्ताओं या सहायता संबंधी अनुरोधों का किसी दूसरे माध्यम से सत्यापन करने की आदत डालनी चाहिए। यदि संगठन में सुरक्षा टीम है, तो NetProspex परिणाम उसके साथ साझा करना चाहिए और संबंधित ईमेल पते के फ़िशिंग अलर्ट की समीक्षा करनी चाहिए। व्यक्तिगत स्तर पर, सार्वजनिक व्यावसायिक प्रोफ़ाइल में केवल ज़रूरी विवरण रखने चाहिए और अज्ञात मार्केटिंग संदेशों के लिंक के ज़रिए कोई कार्रवाई शुरू नहीं करनी चाहिए।