ParkMobile: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, नाम, फ़ोन नंबर, वाहनों की नंबर प्लेट, bcrypt पासवर्ड हैश, भौतिक पते और वाहन के विवरण शामिल हैं। भौतिक पते केवल बहुत कम प्रतिशत उपयोगकर्ताओं के डेटा में मिले, जबकि वाहन के विवरण में वाहन का उपनाम भी शामिल था, यदि उपयोगकर्ता ने वह दिया था। पासवर्ड सीधे पढ़े जा सकने वाले टेक्स्ट में नहीं थे; उजागर हुए मान सॉल्ट के साथ बनाए गए bcrypt हैश थे। Bcrypt ऑफ़लाइन पासवर्ड का अनुमान लगाने की प्रक्रिया को धीमा करता है, लेकिन इससे कमज़ोर या छोटे पासवर्ड जोखिम-मुक्त नहीं हो जाते। ईमेल, फ़ोन, नंबर प्लेट और वाहन की जानकारी को एक साथ इस्तेमाल करके पार्किंग चालान, भुगतान, वाहन पंजीकरण या सहायता से जुड़े फ़र्ज़ी संदेशों को अधिक विश्वसनीय बनाया जा सकता है। आधिकारिक जाँच के अनुसार, क्रेडिट कार्ड डेटा और पार्किंग लेनदेन के इतिहास तक पहुँच नहीं बनाई गई थी। जाँच में यह भी कहा गया कि सेवा सोशल सिक्योरिटी नंबर, ड्राइविंग लाइसेंस नंबर या जन्मतिथियाँ एकत्र नहीं करती थी।

ParkMobile ने कहा कि मार्च 2021 में उसे तीसरे पक्ष के सॉफ़्टवेयर की एक खामी से जुड़ी साइबर सुरक्षा घटना का पता चला और उसने उस खामी को जल्दी दूर कर दिया। कंपनी ने 26 मार्च को शुरुआती सूचना जारी की, बाहरी सुरक्षा विशेषज्ञों की सेवाएँ लीं और कानून प्रवर्तन एजेंसियों को सूचित किया। बाद की जाँच में उपयोगकर्ताओं की बुनियादी जानकारी और पासवर्ड हैश तक पहुँच बनाए जाने की पुष्टि हुई। लगभग 2 करोड़ 10 लाख ग्राहकों का डेटा बाद में अपराधियों के एक फ़ोरम पर उपलब्ध कराया गया और फिर व्यापक रूप से दोबारा वितरित हुआ; सत्यापित डेटासेट में 2,09,49,825 अलग-अलग खातों के रिकॉर्ड हैं। पासवर्ड फ़ील्ड में bcrypt हैश थे, और कंपनी ने कहा कि उसने हैशिंग और सॉल्टिंग तकनीकों से उनकी सुरक्षा की थी। स्वतंत्र परीक्षण में कुछ रिकॉर्ड में डाक पते और एक से अधिक वाहनों से जुड़ी नंबर प्लेट मिलीं।

जिन लोगों ने मार्च 2021 से पहले ParkMobile या किसी शहर या ऑपरेटर के ब्रांड वाले व्हाइट-लेबल ऐप के ज़रिए खाता बनाया था, वे सीधे प्रभावित हैं। जिन्होंने यही पासवर्ड अन्य जगहों पर भी इस्तेमाल किया, छोटा या आसानी से अनुमान लगाया जा सकने वाला पासवर्ड चुना, या अपने ईमेल पर बहु-कारक प्रमाणीकरण बंद रखा, उनके खातों पर अनधिकृत कब्ज़े का जोखिम अधिक है। नंबर प्लेट और वाहन के उपनाम की जानकारी फ़र्ज़ी पार्किंग जुर्माने, पार्किंग का समय बढ़ाने की सूचनाओं या रिफ़ंड संदेशों को विश्वसनीय बना सकती है। जिन उपयोगकर्ताओं का फ़ोन नंबर डेटा में मौजूद था, उन्हें टेक्स्ट संदेश या कॉल के ज़रिए फ़िशिंग का सामना करना पड़ सकता है। वहीं, जिन अपेक्षाकृत कम उपयोगकर्ताओं के डाक पते मौजूद थे, उन्हें धोखाधड़ी वाले बिल या डाक से भेजे गए पत्र मिल सकते हैं। केवल नंबर प्लेट से वाहन की मौजूदा लोकेशन का पता नहीं चलता, और पार्किंग लेनदेन का इतिहास उस डेटा में शामिल नहीं था जिस तक पहुँच बनाई गई। नाम या पता मौजूद न होने पर भी अन्य सत्यापित फ़ील्ड उजागर हुए हो सकते हैं।

यदि आपने 2021 में इस्तेमाल किया गया अपना ParkMobile पासवर्ड अन्य जगहों पर भी इस्तेमाल किया था, तो उन खातों के पासवर्ड तुरंत बदलें। हर सेवा के लिए लंबा और अलग पासवर्ड बनाएँ, उसे किसी भरोसेमंद पासवर्ड मैनेजर में रखें और बहु-कारक प्रमाणीकरण चालू करें, खासकर ईमेल पर। यदि ParkMobile खाता अब भी सक्रिय है, तो लॉगिन के मौजूदा तरीके और खाता रिकवरी विवरण की समीक्षा करने के लिए आधिकारिक ऐप या डोमेन का इस्तेमाल करें; किसी संदेश में दिए गए लिंक से साइन इन न करें। अनपेक्षित पार्किंग जुर्मानों, पार्किंग का समय बढ़ाने के अनुरोधों, वाहन सत्यापन के लिए आने वाले संदेशों, नंबर प्लेट अपडेट या रिफ़ंड सूचनाओं की जाँच ऐप के भीतर करें। हालाँकि इस घटना में कार्ड डेटा तक पहुँच नहीं बनाई गई थी, फिर भी अपराधी इस घटना का सहारा लेकर उपयोगकर्ताओं को फ़र्ज़ी भुगतान पेजों पर भेज सकते हैं; स्वतंत्र रूप से सत्यापन किए बिना सुरक्षा कोड या पासवर्ड न दें। यदि आपको संदिग्ध पहुँच दिखाई दे, तो सक्रिय सत्र बंद करें और उसी पैटर्न पर बनाए गए पासवर्ड बदलें।

हर ऑनलाइन सेवा के लिए अलग पासवर्ड इस्तेमाल करने से किसी एक bcrypt हैश को क्रैक किए जाने पर असंबंधित खातों तक पहुँच नहीं मिलती। पासवर्ड मैनेजर लंबे, बेतरतीब पासवर्ड का इस्तेमाल आसान बनाता है, जबकि बहु-कारक प्रमाणीकरण यह सुनिश्चित करता है कि केवल उजागर पासवर्ड से खाते तक पहुँच न मिल सके। ईमेल की रिकवरी के विकल्प अद्यतन रखें, नए सत्र की सूचनाएँ चालू करें और अपरिचित फ़ॉरवर्डिंग नियमों की समीक्षा करें। पार्किंग और परिवहन सेवाओं के खातों से इस्तेमाल में न आने वाले वाहन, पुरानी नंबर प्लेट और पुराने संपर्क विवरण हटाएँ, और जिन खातों की अब ज़रूरत नहीं है उन्हें बंद कर दें। पार्किंग और परिवहन सेवाओं को तीसरे पक्ष के घटकों की सूची रखनी चाहिए, पैच पर नज़र रखनी चाहिए और पहुँच सीमित करनी चाहिए। साथ ही, बड़े पैमाने पर डेटा निर्यात और असामान्य क्वेरी की निगरानी करनी चाहिए। पासवर्ड प्रणालियों में हर उपयोगकर्ता के लिए अलग सॉल्ट, उपयुक्त कॉस्ट पैरामीटर और हार्डवेयर बेहतर होने के साथ दोबारा हैश बनाने की नीति होनी चाहिए।

LeakData पर अपना ईमेल पता जाँचें ताकि पता चल सके कि वह ParkMobile के रिकॉर्ड या किसी अन्य ज्ञात डेटा उल्लंघन से मेल खाता है या नहीं। मिलान होने का मतलब यह नहीं है कि आपका क्रेडिट कार्ड या पार्किंग का इतिहास उजागर हुआ था; इसका मतलब है कि वह ईमेल पता सत्यापित खाता डेटासेट में मौजूद था। सूची में दी गई सात डेटा श्रेणियों के आधार पर कदम उठाएँ और आधिकारिक जाँच में बाहर रखे गए फ़ील्ड के उजागर होने का अनुमान न लगाएँ। यदि मिलान होता है, तो पता करें कि 2021 में इस्तेमाल किया गया पासवर्ड अन्य जगहों पर भी इस्तेमाल हुआ था या नहीं, और पहले ईमेल तथा भुगतान से जुड़े खातों को सुरक्षित करें। पार्किंग, नंबर प्लेट, रिफ़ंड और जुर्माने से जुड़े हाल के संदेशों की समीक्षा करें, और उनमें दिए गए लिंक खोलने के बजाय आधिकारिक ऐप खोलें। अलग-अलग पासवर्ड, बहु-कारक प्रमाणीकरण और संदिग्ध भुगतान लिंक का स्वतंत्र सत्यापन अपनी नियमित सुरक्षा आदतों में शामिल रखें।