BVD 2021: सार्वजनिक व्यावसायिक डेटा उजागर होने की घटना

सत्यापित डेटा श्रेणियों में जन्मतिथियाँ, ईमेल पते, पद, नाम, फ़ोन नंबर और भौतिक पते शामिल हैं। भौतिक पते मुख्यतः कंपनियों के परिसरों के पते माने गए थे। फिर भी, उसी संग्रह में मौजूद नाम, पद, फ़ोन नंबर और ईमेल पते धोखाधड़ी के प्रयासों के लिए उपयोगी संदर्भ दे सकते हैं। किसी व्यक्ति के नाम से भेजा गया आपूर्तिकर्ता का संदेश, किसी वरिष्ठ अधिकारी का अनुरोध, भर्ती से जुड़ा संपर्क या सहायता के नाम पर किया गया फ़ोन कॉल अधिक विश्वसनीय लग सकता है, यदि उसमें कार्यस्थल की वास्तविक जानकारी का इस्तेमाल हो।

जन्मतिथि जैसे लंबे समय तक स्थिर रहने वाले पहचान विवरण, पेशेवर जानकारी के साथ जुड़ने पर किसी और की पहचान इस्तेमाल करने और सोशल इंजीनियरिंग का जोखिम बढ़ा सकते हैं। ईमेल पते हमलावरों को फ़िशिंग अभियानों के लिए लक्ष्य चुनने में मदद कर सकते हैं, जबकि सीधे संपर्क वाले फ़ोन नंबरों का इस्तेमाल कॉल के ज़रिए धोखाधड़ी करने या संदेशों के ज़रिए दबाव डालने के लिए किया जा सकता है। पासवर्ड, उपयोगकर्ता नाम, भुगतान कार्ड का डेटा, सत्र संबंधी विवरण और प्रमाणीकरण की गोपनीय जानकारी सत्यापित फ़ील्ड में शामिल नहीं हैं। किसी मिलान से क्या संकेत मिलता है और क्या नहीं, यह समझते समय इस सीमा का ध्यान रखना आवश्यक है।

इस घटना का समय अगस्त 2021 के आसपास माना जाता है। रिपोर्टों में सैकड़ों गीगाबाइट और सैकड़ों मिलियन मूल डेटा पंक्तियों वाले एक व्यापक डेटासेट का उल्लेख है; मूल डेटा पंक्तियों की संख्या अलग-अलग व्यक्तियों, ईमेल पतों या उपयोगकर्ता खातों की संख्या के बराबर नहीं होती। सार्वजनिक रूप से दी गई संख्या 2,79,17,714 अलग-अलग ईमेल पतों की है। इससे यह पता नहीं चलता कि कोई पता कितनी बार मौजूद था, वह एक से अधिक फ़ील्ड से मेल खाता था या नहीं, या उससे जुड़ी व्यावसायिक जानकारी समय के साथ अद्यतन बनी रही या नहीं।

सामग्री का सत्यापन सार्वजनिक व्यावसायिक जानकारी के ऐसे संग्रह के रूप में हुआ, जो एक ग्राहक के पास था। सेवा प्रदाता के बुनियादी ढाँचे में अनधिकृत प्रवेश का कोई साक्ष्य नहीं है, और न ही ऐसा कोई साक्ष्य है कि उसकी मूल संस्था के ग्राहकों के तकनीकी परिवेश उजागर हुए थे। इस अंतर के कारण घटना को सीधे सेवा प्रदाता की प्रणाली में हुई सेंध कहना गलत होगा। यह निष्कर्ष भी नहीं निकाला जा सकता कि हर ईमेल पते के साथ सूचीबद्ध सभी फ़ील्ड मौजूद थे या प्रकाशन के समय सारी जानकारी अद्यतन थी।

जिन कर्मचारियों और वरिष्ठ अधिकारियों के कामकाजी ईमेल पते, सीधे संपर्क वाले फ़ोन नंबर, पद या भौतिक पते इस संग्रह में मौजूद हैं, उन्हें लक्ष्य के रूप में पहचानना अधिक आसान है। हमलावर इन फ़ील्ड का इस्तेमाल संगठन की आंतरिक पदानुक्रम व्यवस्था की नकल करने वाले भुगतान अनुरोध, आपूर्तिकर्ताओं के नाम से झूठा पत्राचार, मानव संसाधन विभाग के नाम से संपर्क या सहायता टीम की ओर से आते प्रतीत होने वाले कॉल तैयार करने के लिए कर सकते हैं। वित्त, खरीद, वेतन प्रबंधन या वरिष्ठ अधिकारियों के सहायक की भूमिकाओं में काम करने वाले लोगों को विशेष सावधानी बरतनी चाहिए, क्योंकि पद की जानकारी से व्यावसायिक प्रक्रियाओं के बारे में लगाए गए अनुमान अधिक विश्वसनीय लग सकते हैं।

नाम और संपर्क जानकारी के साथ जुड़ी जन्मतिथि से व्यक्तिगत और पेशेवर प्रोफ़ाइलों के बीच संबंध जोड़ना आसान हो सकता है। कोई पुरानी भूमिका, पद या कंपनी का पता अब सही न होने पर भी हमलावर शुरुआती भरोसा बनाने के लिए उसका इस्तेमाल कर सकता है। संगठन का जोखिम केवल संग्रह में सूचीबद्ध लोगों तक सीमित नहीं है; उनसे जुड़ी टीमों को भी वास्तविक लगने वाले संदेशों और कामकाजी प्रक्रियाओं से संबंधित झूठे अनुरोधों के ज़रिए निशाना बनाया जा सकता है।

अचानक मिले भुगतान अनुरोध, बैंक विवरण बदलने के अनुरोध, दस्तावेज़ साझा करने के अनुरोध या वरिष्ठ प्रबंधन की ओर से आते प्रतीत होने वाले निर्देश की पुष्टि किसी अलग माध्यम से करें। परिचित ईमेल पते और फ़ोन नंबर यह साबित नहीं करते कि संदेश असली है। किसी परिचित व्यक्ति के नाम से आए संवेदनशील अनुरोध की पुष्टि के लिए पहले से ज्ञात फ़ोन नंबर पर संपर्क करें, आमने-सामने पुष्टि करें या संगठन के किसी अलग संचार माध्यम का उपयोग करें।

कामकाजी ईमेल के लिए बहु-कारक प्रमाणीकरण चालू रखें और ईमेल क्लाइंट में संदिग्ध लिंक तथा अटैचमेंट की चेतावनियों पर ध्यान दें। यहाँ पासवर्ड संबंधी डेटा मौजूद होने का कोई सत्यापित साक्ष्य नहीं है, इसलिए केवल मिलान मिलने के आधार पर पासवर्ड को उजागर हुआ नहीं मानना चाहिए। खातों की सामान्य सुरक्षा के लिए फिर भी मज़बूत और हर खाते के लिए अलग पासवर्ड आवश्यक हैं। संदिग्ध संदेशों की सूचना संगठन की सुरक्षा टीम को तुरंत देनी चाहिए।

संगठनों को सार्वजनिक वेब पर दिखाई देने वाली कर्मचारियों और वरिष्ठ अधिकारियों की संपर्क जानकारी की नियमित अंतराल पर समीक्षा करनी चाहिए, जन्मतिथि और सीधे संपर्क वाले फ़ोन नंबरों के अनावश्यक विवरण हटाने चाहिए, और अधिक जोखिम वाली भूमिकाओं की ऑनलाइन जानकारी को वास्तविक व्यावसायिक ज़रूरतों तक सीमित रखना चाहिए। महत्वपूर्ण भुगतान, आपूर्तिकर्ता बदलने और गोपनीय दस्तावेज़ों से जुड़ी कार्यप्रवाह प्रक्रियाओं में दोहरी मंज़ूरी और अलग संचार माध्यम से पुष्टि अनिवार्य होनी चाहिए। ईमेल डोमेन की प्रमाणीकरण नीतियाँ सक्रिय रहनी चाहिए, और कर्मचारियों को संचार में किसी और की पहचान इस्तेमाल किए जाने के संकेत पहचानने का प्रशिक्षण मिलना चाहिए।

व्यक्तियों को अपनी पेशेवर प्रोफ़ाइलों और संपर्क प्राथमिकताओं की समीक्षा करनी चाहिए, काम से जुड़ी पुरानी जानकारी हटानी चाहिए और जहाँ संभव हो, सभी को दिखाई देने वाले फ़ील्ड कम करने चाहिए। सहायता डेस्क, मानव संसाधन और वित्त टीमों के लिए साझा सत्यापन वाक्यांश तय करने से हमलावरों के लिए पुरानी जानकारी के सहारे भरोसा हासिल करना कठिन हो सकता है। सुरक्षा टीमें नियमित अभ्यासों के ज़रिए फ़िशिंग की रिपोर्टों और फ़र्ज़ी भुगतान वाले परिदृश्यों का आकलन करके सुरक्षा उपायों की गुणवत्ता सुधार सकती हैं।

ईमेल पते की जाँच से यह पता चल सकता है कि कोई पता इस व्यावसायिक डेटा संग्रह में मौजूद है या नहीं। मिलान मिलने से यह साबित नहीं होता कि सूचीबद्ध सभी फ़ील्ड एक ही पंक्ति में मौजूद थे, जानकारी अब भी अद्यतन है या किसी खाते तक पहुँच बनाई गई थी। यह संख्या अलग-अलग ईमेल पहचानकर्ताओं की है और इसे प्रभावित खातों की कुल संख्या नहीं समझना चाहिए। परिणाम का उपयोग लक्षित धोखाधड़ी की संभावना को ध्यान में रखते हुए अपनी संचार संबंधी आदतों की समीक्षा करने के लिए करें।

मिलान मिलने पर कामकाजी ईमेल, फ़ोन और पेशेवर प्रोफ़ाइलों के ज़रिए प्राप्त अप्रत्याशित अनुरोधों को अधिक सावधानी से परखें। कर्मचारियों को अपनी सुरक्षा या सूचना प्रौद्योगिकी टीम को सूचित करना चाहिए और ऐसे भुगतान, पहुँच या दस्तावेज़ संबंधी अनुरोधों की रिपोर्ट करनी चाहिए जिनमें उनके नाम या पद का हवाला दिया गया हो। व्यक्तिगत खाते की सुरक्षा के लिए बहु-कारक प्रमाणीकरण, हर खाते के लिए अलग पासवर्ड और अद्यतन खाता पुनर्प्राप्ति विकल्प महत्वपूर्ण बने रहते हैं। ये उपाय सार्वजनिक जानकारी को एक साथ जोड़ने से पैदा होने वाले जोखिम को कम करते हैं।