Romwe: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, नाम, फ़ोन नंबर, IP पते, भौतिक पते, स्थान और पासवर्ड हैश शामिल हैं। इस रिकॉर्ड में 1,95,31,820 अलग-अलग ईमेल पते सूचीबद्ध हैं, जबकि एक नियामकीय जाँच में 70 लाख से अधिक ROMWE खातों की लॉगिन जानकारी चोरी होने की बात सामने आई थी। ये आँकड़े अलग-अलग स्रोतों और गणना की इकाइयों पर आधारित हैं; इन्हें न तो जोड़ा जाना चाहिए, न ही 1.95 करोड़ सत्यापित ग्राहक खातों के रूप में प्रस्तुत किया जाना चाहिए। ईमेल और पासवर्ड हैश से खातों पर अनधिकृत नियंत्रण और दूसरे खातों में उन्हीं पासवर्डों के इस्तेमाल का जोखिम पैदा होता है, जबकि नाम और फ़ोन नंबर का इस्तेमाल व्यक्तिगत जानकारी के आधार पर धोखाधड़ी करने में किया जा सकता है। पते, स्थान और IP संबंधी डेटा से खरीदारी या डिलीवरी के संदेश अधिक विश्वसनीय लग सकते हैं। भुगतान कार्ड नंबर ROMWE के लिए सत्यापित डेटा श्रेणी नहीं हैं, इसलिए संचालक की व्यापक जाँच में कार्ड से जुड़े निष्कर्षों को इस रिकॉर्ड से नहीं जोड़ा गया है।

ROMWE की संचालक कंपनी Zoetop Business Company, Ltd. को जून 2018 में एक साइबर हमले का निशाना बनाया गया था, जो उसके आंतरिक नेटवर्क तक पहुँच गया। कंपनी की एक सूचना के अनुसार, ROMWE की लॉगिन जानकारी जुलाई में चुराई गई हो सकती थी, जबकि नियामकीय जाँच का निष्कर्ष था कि संभवतः यह जानकारी 2018 के उसी हमले में बाहर गई थी। सटीक दिन का खुलासा न होने के कारण, इस रिकॉर्ड में महीने के स्तर पर समय बताने के लिए 1 जून को संदर्भ तिथि माना गया है। कंपनी को 7 सितंबर 2020 को ROMWE की लॉगिन जानकारी ऑनलाइन मिली, जिसके बाद उसने प्रभावित पासवर्ड रीसेट किए और उपयोगकर्ताओं को सूचित किया। जाँचे गए डेटासेट में पासवर्डों को सॉल्ट किए गए SHA-1 हैश के रूप में बताया गया था। हैश साधारण पाठ के रूप में पासवर्ड नहीं दिखाते, लेकिन SHA-1 पासवर्ड सुरक्षित रखने के लिए पर्याप्त नहीं है और कमज़ोर पासवर्डों को ऑफ़लाइन प्रयासों से निकाला जा सकता है। हमले में कंपनी का एक अन्य ब्रांड और उसके द्वारा संचालित भुगतान प्रणालियाँ भी शामिल थीं; इस ROMWE डेटासेट में कार्ड की जानकारी मौजूद होने के पर्याप्त साक्ष्य अब भी नहीं हैं।

मुख्य जोखिम समूह में वे लोग हैं जिन्होंने 2018 के मध्य से पहले ROMWE खाता बनाया था और नाम, फ़ोन नंबर, ईमेल या डिलीवरी पता दिया था। जोखिम तब अधिक होता है जब वही पासवर्ड ईमेल, सोशल मीडिया या किसी अन्य ऑनलाइन दुकान पर भी इस्तेमाल किया गया हो, क्योंकि हमलावर उस लॉगिन जानकारी को दूसरी सेवाओं पर आज़मा सकते हैं। खाते के डेटा के साथ पते और फ़ोन की जानकारी का इस्तेमाल फ़र्ज़ी डिलीवरी सूचनाओं, ऑर्डर की समस्याओं, रिफ़ंड, कूपन, सीमा शुल्क या सत्यापन के संदेशों में किया जा सकता है। ऐसा खाता भी मायने रखता है जिसका अब इस्तेमाल नहीं होता: ईमेल और फ़ोन की जानकारी वर्षों तक वही रह सकती है, जबकि पुराना पता लोगों को छलकर जानकारी हासिल करने में मदद कर सकता है। डेटासेट में मेल मिलने से यह साबित नहीं होता कि सूचीबद्ध हर जानकारी उस व्यक्ति की प्रविष्टि में मौजूद थी, हैश से पासवर्ड निकाल लिया गया था या खाते का दुरुपयोग हुआ था। डेटा उजागर होना, हैश से पासवर्ड निकाल पाना और खाते की सुरक्षा भंग होने की पुष्टि अलग-अलग परिणाम हैं; इन्हें एक ही दावे में नहीं मिलाना चाहिए।

यदि आपने घटना के बाद अपना ROMWE पासवर्ड नहीं बदला था, या उससे मिलता-जुलता पासवर्ड कहीं और इस्तेमाल किया था, तो उन खातों की पहचान करें और प्रत्येक के लिए मज़बूत, अलग पासवर्ड रखें। ईमेल को प्राथमिकता दें, क्योंकि पासवर्ड रीसेट करने के लिंक वहीं आते हैं और मेलबॉक्स तक पहुँच मिलने से दूसरी सेवाओं पर भी नियंत्रण हासिल किया जा सकता है। जहाँ सुविधा उपलब्ध हो, बहु-कारक प्रमाणीकरण चालू करें, खाता पुनर्प्राप्ति की जानकारी की समीक्षा करें और अनजान सत्र समाप्त करें। ROMWE पर ऑर्डर का इतिहास, डिलीवरी पते और सहेजे गए भुगतान के तरीकों की जाँच करें; हालाँकि इस डेटासेट में कार्ड नंबरों की पुष्टि नहीं हुई है, फिर भी संदिग्ध लेनदेन की सूचना अपने बैंक को दें। शिपिंग, वापसी, छूट या खाते के निलंबन से जुड़े संदेशों में भेजने वाले का वास्तविक डोमेन और लिंक का गंतव्य जाँचें। अनपेक्षित अटैचमेंट न खोलें, संदेश के लिंक से साइन इन न करें और एक बार इस्तेमाल होने वाला कोड किसी को न बताएँ। यदि आपको कोई अनधिकृत बदलाव मिले, तो खाता सुरक्षित करें और सेवा के आधिकारिक सहायता चैनल से संपर्क करें।

हर सेवा के लिए अलग पासवर्ड बनाने वाला पासवर्ड मैनेजर इस संभावना को सीमित करता है कि किसी ऑनलाइन दुकान के डेटा उल्लंघन का असर दूसरे खातों तक फैले। डेटा उल्लंघन और कमज़ोर पासवर्ड की चेतावनियाँ चालू करें, और बहु-कारक प्रमाणीकरण के लिए ऑथेंटिकेटर ऐप या हार्डवेयर कुंजी को प्राथमिकता दें। खरीदारी के लिए अलग ईमेल उपनामों का इस्तेमाल करने से पता चल सकता है कि कोई ईमेल पता कहाँ साझा हुआ था और धोखाधड़ी पहचानना आसान हो सकता है। केवल वही जानकारी रखें जो डिलीवरी और लेनदेन के लिए आवश्यक हो; पुराने पते, फ़ोन नंबर और जुड़े हुए ऐप हटा दें। जिन खातों का अब इस्तेमाल नहीं करते, उन्हें मिटाने पर विचार करें और सुनिश्चित करें कि प्रक्रिया पूरी हो गई है। बैंक के लेनदेन और सुरक्षा चेतावनियों की नियमित समीक्षा करें, लेकिन ईमेल के लिंक पर निर्भर न रहें; आधिकारिक ऐप का इस्तेमाल करें या पता सीधे टाइप करें। पुराने डेटासेट को नई जानकारी के साथ जोड़ा जा सकता है, इसलिए घटना पुरानी हो जाने से खातों की सुरक्षा बनाए रखने और फ़िशिंग के प्रति सतर्क रहने की ज़रूरत समाप्त नहीं होती।

ईमेल पते का मिलान होने का अर्थ है कि वह पता ROMWE से जुड़े 1,95,31,820 अलग-अलग पतों वाले डेटासेट में मौजूद था। इससे यह पता नहीं चलता कि वह जाँच में पुष्टि किए गए 70 लाख से अधिक लॉगिन रिकॉर्डों में से किससे संबंधित है, खाता अब भी खुला है या नहीं, या पासवर्ड साधारण पाठ के रूप में दिखाई देता है या नहीं। यदि आपका ईमेल पता डेटासेट में मिलता है, तो जाँचें कि क्या 2018 का पासवर्ड कहीं और भी इस्तेमाल किया गया था; पहले ईमेल सुरक्षित करें और फिर उन खातों को जिनमें वही या उससे मिलता-जुलता पुराना पासवर्ड था। ईमेल पता डेटासेट में न मिलना पूरी सुरक्षा की गारंटी नहीं है: संभव है कि आपने किसी दूसरे पते से पंजीकरण किया हो, बाद में खाता खोला हो या किसी अन्य अपुष्ट घटना का सामना किया हो। जाँच के साथ पासवर्ड मैनेजर की चेतावनियों, बहु-कारक प्रमाणीकरण और सक्रिय सत्रों की समीक्षा को भी अपनाएँ। संदिग्ध संदेशों के मामले में भेजने वाले के वास्तविक डोमेन, लिंक के गंतव्य, जल्द कदम उठाने के दबाव और भुगतान या सत्यापन कोड की माँग को एक साथ परखें। इससे पुराने जाँच परिणाम को लगातार अपनाई जाने वाली सुरक्षा प्रक्रिया में बदला जा सकता है।