QuestionPro: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, IP पते, ब्राउज़र के user-agent विवरण और सर्वेक्षण के परिणाम शामिल हैं। सर्वेक्षण के परिणामों का असर सर्वेक्षण के विषय पर निर्भर करता है: उत्पाद के बारे में सामान्य प्रतिक्रिया से सीमित जोखिम हो सकता है, जबकि उत्तर देने वाले की पहचान बताने या उसकी निजी पसंद उजागर करने वाले जवाब अधिक लक्षित धोखाधड़ी में मदद कर सकते हैं। इस रिकॉर्ड में पासवर्ड, भुगतान कार्ड और सरकारी पहचान दस्तावेज़ सत्यापित डेटा श्रेणियों में शामिल नहीं हैं, इसलिए उन्हें उजागर हुआ नहीं मानना चाहिए। ईमेल पते, IP पते और ब्राउज़र के विवरण को एक साथ इस्तेमाल करके हमलावर विश्वसनीय लगने वाले शोध आमंत्रण, इनाम की फ़र्ज़ी सूचनाएँ और व्यक्ति के हिसाब से तैयार किए गए फ़िशिंग संदेश बना सकता है।

रिकॉर्ड में दर्ज 21 मई 2022 की तारीख, डेटासेट हासिल करने का दावा करने वाले व्यक्ति के अनुसार, उसे डाउनलोड किए जाने की तारीख है। QuestionPro ने सार्वजनिक रूप से न तो उस सटीक तारीख की पुष्टि की और न ही डेटा तक पहुँचने के तकनीकी तरीके की। यह घटना लगभग 100 GB डेटा और 2 करोड़ 20 लाख से अधिक अलग-अलग ईमेल पतों से जुड़े दावे के साथ सामने आई। QuestionPro ने पुष्टि की कि उससे जबरन वसूली की कोशिश की गई थी और कहा कि वह कानून प्रवर्तन एजेंसियों के साथ जाँच कर रहा था, लेकिन उसके शुरुआती बयान में डेटा में सेंध लगने की पुष्टि नहीं की गई थी। इसलिए शुरुआत में डेटासेट को ‘अनिश्चित’ के रूप में दर्ज किया गया। बाद में, सूचनाएँ पाने वाले लोगों ने अपनी जानकारी और QuestionPro से अपने संबंध की पुष्टि की, जिससे रिकॉर्ड की स्थिति को ‘सत्यापित’ करने का आधार मिला। 2,22,29,637 का आँकड़ा डेटासेट में मौजूद अलग-अलग ईमेल पतों की संख्या है। चूँकि कुछ पते प्लेटफ़ॉर्म द्वारा बनाए गए प्रतीत होते थे, इसलिए इसे अलग-अलग व्यक्तियों की सटीक संख्या नहीं मानना चाहिए। डेटासेट का सत्यापन सेवा से उसके संबंध का समर्थन करता है; यह कंपनी की ओर से डेटा में सेंध की सार्वजनिक स्वीकारोक्ति नहीं है।

डेटासेट में न केवल QuestionPro पर सीधे खाते रखने वाले लोग, बल्कि वे उत्तरदाता भी शामिल हो सकते हैं जिन्होंने इस प्लेटफ़ॉर्म के ज़रिए किसी दूसरे संगठन द्वारा चलाया गया सर्वेक्षण पूरा किया था। यह अंतर महत्वपूर्ण है: किसी पते का मिलान होना अपने आप में यह साबित नहीं करता कि वह व्यक्ति भुगतान करने वाला ग्राहक या प्लेटफ़ॉर्म प्रशासक था। शोध में भाग लेने वाले लोगों, कार्यस्थल से जुड़ाव संबंधी सर्वेक्षणों का जवाब देने वाले कर्मचारियों, अनुभव संबंधी प्रश्नावलियाँ भरने वाले ग्राहकों, बाज़ार अनुसंधान के आमंत्रण पाने वालों और फ़ॉर्म जमा करने वाले लोगों को सतर्क रहना चाहिए। कॉर्पोरेट ईमेल इस्तेमाल करने वालों को फ़र्ज़ी कर्मचारी सर्वेक्षणों या उनके संगठन की ओर से भेजे गए होने का दिखावा करने वाले संदेशों से निशाना बनाया जा सकता है। सार्वजनिक मेटाडेटा में हर उत्तर की विस्तृत सामग्री का वर्गीकरण उपलब्ध नहीं है, इसलिए यह नहीं मानना चाहिए कि हर रिकॉर्ड में स्वास्थ्य, वित्त या अन्य संवेदनशील विषयों से जुड़े उत्तर मौजूद हैं।

सर्वेक्षण, इनाम या शोध के अप्रत्याशित आमंत्रणों में दिए गए लिंक खोलने से पहले भेजने वाले की पहचान की पुष्टि करें। अगर कोई संदेश नियोक्ता, ग्राहक या शोध संगठन की ओर से होने का दावा करता है, तो संदेश में दिए गए संपर्क विवरणों के बजाय संगठन की आधिकारिक वेबसाइट या किसी परिचित संपर्क के ज़रिए उसकी पुष्टि करें। ईमेल खाते पर बहु-कारक प्रमाणीकरण चालू करें और सक्रिय सत्रों तथा ईमेल आगे भेजने के नियमों की समीक्षा करें। इस घटना में पासवर्ड सत्यापित डेटा श्रेणी नहीं हैं, इसलिए केवल इस रिकॉर्ड से यह साबित नहीं होता कि हर पासवर्ड उजागर हुआ था। हालाँकि, अगर आपने किसी संदिग्ध फ़ॉर्म में पासवर्ड दर्ज किया हो या कोई अपरिचित सत्र दिखाई दे, तो पासवर्ड तुरंत बदलें। अगर कोई सर्वेक्षण आपसे भुगतान करने, सुरक्षा कोड देने या रिमोट-एक्सेस सॉफ़्टवेयर इंस्टॉल करने को कहे, तो आगे न बढ़ें। कॉर्पोरेट उपयोगकर्ताओं को फ़र्ज़ी कर्मचारी सर्वेक्षणों और डेटा एकत्र करने के असामान्य अनुरोधों की सूचना अपनी सुरक्षा टीम को देनी चाहिए।

सर्वेक्षण बनाने वाले संगठनों को ऐसी व्यक्तिगत जानकारी एकत्र करने से बचना चाहिए जिसकी उन्हें ज़रूरत नहीं है। जहाँ संभव हो, बिना नाम के या छद्म नाम से उत्तर देने के विकल्प रखें और डेटा रखने की तय अवधि के बाद परिणाम हटा दें। आमंत्रणों में भेजने वाले के ऐसे डोमेन इस्तेमाल होने चाहिए जिनकी पुष्टि की जा सके, गोपनीयता की स्पष्ट सूचनाएँ होनी चाहिए और प्रतिभागियों के लिए किसी स्वतंत्र माध्यम से अनुरोध की पुष्टि करने का तरीका उपलब्ध होना चाहिए। प्रशासक खातों के लिए बहु-कारक प्रमाणीकरण और भूमिका-आधारित पहुँच अनिवार्य होनी चाहिए। साथ ही, बड़े पैमाने पर डेटा निर्यात और डाउनलोड करने की असामान्य गतिविधियों की निगरानी होनी चाहिए। प्रतिभागियों को केवल सर्वेक्षण के लिए ज़रूरी जानकारी देनी चाहिए और खुले टेक्स्ट वाले फ़ील्ड में पासवर्ड, पहचान संख्या, भुगतान संबंधी डेटा या दूसरे लोगों की जानकारी डालने से बचना चाहिए। संगठनों को वास्तविक ब्रांड, सर्वेक्षण के विषयों और तकनीकी विवरणों का इस्तेमाल करने वाले लक्षित फ़िशिंग के उदाहरणों से कर्मचारियों को प्रशिक्षण देना चाहिए। न्यूनतम डेटा संग्रह, पहुँच पर सीमाएँ और डेटा रखने की कम अवधि भविष्य में डेटा उजागर होने की किसी भी घटना का दीर्घकालिक असर घटाती हैं।

LeakData से अपना ईमेल पता जाँचें और देखें कि वह QuestionPro के रिकॉर्ड या किसी अन्य ज्ञात डेटा सेंध से मेल खाता है या नहीं। मिलान होने का अर्थ यह नहीं है कि इस घटना में आपका पासवर्ड या भुगतान संबंधी जानकारी मौजूद थी; यह बताता है कि वह पता सर्वेक्षण और तकनीकी उपयोग के डेटा से जुड़े डेटासेट में था। चूँकि कुछ पते प्लेटफ़ॉर्म द्वारा बनाए गए हो सकते हैं, इसलिए परिणाम को व्यक्तियों की सटीक संख्या या सीधे QuestionPro खाते का प्रमाण न मानें। अगर मिलान मिलता है, तो हाल में मिले सर्वेक्षण आमंत्रणों, इनाम की सूचनाओं और शोध संबंधी लिंक की समीक्षा करें। कुछ भी संदिग्ध खोलने से पहले किसी आधिकारिक माध्यम से भेजने वाले की पहचान की पुष्टि करें। अगर कोई कॉर्पोरेट ईमेल पता प्रभावित है, तो सुरक्षा टीम को सूचित करें और जाँचें कि क्या सहकर्मियों को भी ऐसे संदेश मिले हैं। बहु-कारक प्रमाणीकरण और लिंक की सावधानी से पुष्टि करने को नियमित सुरक्षा उपाय बनाए रखें।