Otelier: डेटा में सेंध

इस रिकॉर्ड में पाए गए डेटा के प्रकारों में ईमेल पते, नाम, क्रेडिट कार्ड का आंशिक डेटा, फ़ोन नंबर, भौतिक पते, खरीदारी के रिकॉर्ड और यात्रा योजनाएँ शामिल हैं। पासवर्ड फ़ील्ड का सत्यापन नहीं हुआ था; जोखिम बुकिंग और यात्रा के संदर्भ में है। भुगतान कार्ड, बैंक खाते, निजी संदेश, स्वास्थ्य रिकॉर्ड या प्रोफ़ाइल की अतिरिक्त फ़ील्ड, जिनका सत्यापन नहीं हुआ था, डेटा श्रेणी की सूची में नहीं जोड़ी गईं; केवल वे फ़ील्ड रखी गईं जिनके समर्थन में साक्ष्य थे।

यात्रा की तारीखें और होटल की जानकारी होने से बुकिंग, चेक-इन, भुगतान में बदलाव या लॉयल्टी कार्यक्रम से जुड़े फ़र्ज़ी संदेश विश्वसनीय लग सकते हैं। अकेला ईमेल पता भी अनचाहे संदेशों का जोखिम पैदा करता है; जब इसके साथ फ़ोन नंबर, पता, IP, जन्मतिथि, पासवर्ड, यात्रा योजना, कार्ड का आंशिक डेटा या डिवाइस का डेटा जुड़ जाता है, तो हमलावर के लिए उपयोगकर्ता की निजी जानकारी के अनुरूप संदेश तैयार करना आसान हो जाता है। जोखिम का आकलन इसी संयुक्त प्रभाव के आधार पर किया गया।

जुलाई 2024 के लिए पुष्टि किए गए दायरे में ग्राहकों के लगभग 4,36,855 ईमेल पते हैं। सत्यापित फ़ील्ड रखी गईं, जबकि अपुष्ट फ़ील्ड छोड़ दी गईं। इस घटना को मिलते-जुलते नामों वाले डेटा सेट, इसी कंपनी की अलग-अलग अवधियों की घटनाओं या उद्योग के गलत संदर्भों के साथ नहीं जोड़ा गया।

दूसरे प्लेटफ़ॉर्म से तैयार किए गए कोई अतिरिक्त ईमेल पते इस रिकॉर्ड में शामिल नहीं किए गए; रिकॉर्ड को Otelier की ओर से उपलब्ध सत्यापित ग्राहक डेटा तक सीमित रखा गया। डोमेन नाम, कंपनी का नाम और उद्योग की जानकारी को यथासंभव सटीक और सीमित संदर्भ में रखा गया। जहाँ अनिश्चितता थी, वहाँ सत्यापन फ़्लैग या वेबसाइट फ़ील्ड को उसी के अनुसार सेट किया गया; इस तरह उपयोगकर्ता के सामने ब्रांड की ज़िम्मेदारी को अनिश्चित रूप में प्रस्तुत नहीं किया गया।

जोखिम में हो सकने वाले उपयोगकर्ता समूहों में होटल बुकिंग वाले ग्राहक, व्यावसायिक यात्रा करने वाले लोग और Otelier के बुनियादी ढाँचे का इस्तेमाल करने वाले होटल ब्रांडों के ग्राहक शामिल हो सकते हैं। जिन उपयोगकर्ताओं का इस रिकॉर्ड से मिलान होता है, उन्हें संबंधित सेवा के बाहर उन अन्य खातों का भी आकलन करना चाहिए जिनमें वे वही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम या पासवर्ड बनाने का वही पैटर्न इस्तेमाल करते हैं।

शारीरिक सुरक्षा और धोखाधड़ी के लिहाज़ से यात्रा योजनाओं की जानकारी, सामान्य संचार डेटा की तुलना में अधिक संवेदनशील होती है। अगर कॉर्पोरेट ईमेल, शैक्षणिक खाते, होटल बुकिंग, दूरसंचार सदस्यता, गेमिंग समुदाय, ओपन सोर्स के लिए दान या निगरानी सॉफ़्टवेयर का संदर्भ हो, तो सोशल इंजीनियरिंग का जोखिम बढ़ सकता है। सही लगने वाली जानकारी अपने आप में भरोसे का संकेत नहीं है।

प्रभावित उपयोगकर्ताओं को होटल बुकिंग, चेक-इन, भुगतान में बदलाव और लॉयल्टी कार्यक्रम से जुड़े संदेशों की पुष्टि सीधे होटल या बुकिंग माध्यम से करनी चाहिए। जिन रिकॉर्ड में पासवर्ड फ़ील्ड है, उनके लिए उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों के पासवर्ड बदलने चाहिए; जिन रिकॉर्ड में पासवर्ड फ़ील्ड नहीं है, उनके लिए ईमेल, फ़ोन, फ़िशिंग, गोपनीयता और पहचान की जानकारी के मिलान से जुड़े जोखिमों पर ध्यान देना चाहिए।

संदेश में दिए गए लिंक पर क्लिक करने के बजाय संबंधित सेवा का पता खुद टाइप करना चाहिए या किसी भरोसेमंद पासवर्ड मैनेजर में सहेजी गई प्रविष्टि का इस्तेमाल करना चाहिए। सामान की डिलीवरी, खाते के अलर्ट, गेम के पुरस्कार, सहायता, दानदाताओं की सूचनाओं, यात्रा बुकिंग, सुरक्षा सूचनाओं या सदस्यता नवीनीकरण से जुड़े संदेशों पर किसी स्वतंत्र माध्यम से पुष्टि किए बिना भरोसा नहीं करना चाहिए।

यात्रा से जुड़े खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए और भुगतान सूचनाओं तथा अनावश्यक रूप से सहेजे गए पतों की सफ़ाई करनी चाहिए। उपयोगकर्ताओं को नियमित रूप से पुराने खातों, प्रोफ़ाइल की अनावश्यक फ़ील्ड, दोहराए गए उपयोगकर्ता नामों और पुराने फ़ोन नंबरों तथा पतों की जानकारी की सफ़ाई करनी चाहिए। हर सेवा के लिए एक अलग पासवर्ड और जहाँ संभव हो, दो-चरणीय सत्यापन का इस्तेमाल बुनियादी नियम होना चाहिए।

सेवा प्रदाताओं के लिए डेटा संग्रह को न्यूनतम रखना, पासवर्ड को मज़बूत सुरक्षा देना, एक्सेस लॉग की निगरानी करना, अनावश्यक फ़ील्ड हटाना और उपयोगकर्ताओं को सूचित करने की प्रक्रियाएँ तैयार रखना ज़रूरी है। होटल सॉफ़्टवेयर में यात्रा योजनाओं और कार्ड के आंशिक डेटा के लिए डेटा रखने की अवधि पर सख्त सीमाएँ और पहुँच नियंत्रण आवश्यक हैं। दायरे का सटीक विवरण देना भी सुरक्षा कार्य का हिस्सा है; बढ़ा-चढ़ाकर दी गई या अधूरी जानकारी उपयोगकर्ता को गलत कदम उठाने की ओर ले जा सकती है।

उपयोगकर्ता को सबसे पहले अपने ईमेल पते से इस रिकॉर्ड में मिलान की जाँच करनी चाहिए। अगर मिलान मिलता है, तो यह मानना चाहिए कि यात्रा योजनाएँ, पता, फ़ोन नंबर और कार्ड का आंशिक डेटा जोखिम में हो सकते हैं; बुकिंग से जुड़े संदेशों की सावधानी से समीक्षा करनी चाहिए। मिलान न मिलने से यह संभावना पूरी तरह खारिज नहीं होती कि किसी दूसरे ईमेल का इस्तेमाल हुआ हो या कोई पुराना पासवर्ड दोबारा इस्तेमाल किया गया हो; महत्वपूर्ण खातों की भी समीक्षा करनी चाहिए।

इस रिकॉर्ड का सत्यापन किया गया है और इसे संवेदनशील के रूप में अपडेट किया गया है। इस संपादन में डेटा फ़ील्ड को अंग्रेज़ी की मानक श्रेणियों के रूप में ही रखा गया, उपयोगकर्ता को दिखाई देने वाला विवरण तुर्की में मौलिक रूप से लिखा गया, असत्यापित फ़ील्ड नहीं जोड़ी गईं और संवेदनशीलता फ़्लैग का इस्तेमाल केवल तभी किया गया जब जोखिम का संदर्भ उसका समर्थन करता था।