schenkYOU: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: जन्मतिथियाँ, ईमेल पते, नाम और पासवर्ड। जन्मतिथि और नाम की जानकारी को ईमेल पते से जोड़कर किसी व्यक्ति को खास तौर पर निशाना बनाने वाले धोखाधड़ी के प्रयासों को अधिक प्रभावी बनाया जा सकता है। इन फ़ील्ड का एक साथ मौजूद होना केवल ईमेल पता लीक होने की तुलना में अधिक जोखिम पैदा कर सकता है। इसकी वजह यह है कि हमलावर एक ही व्यक्ति के संपर्क, पहचान, स्थान, खरीदारी या खाते तक पहुँच से जुड़े संकेतों को मिलाकर अधिक विश्वसनीय दिखने वाले फ़िशिंग प्रयास कर सकते हैं।

ऐसा लगता है कि पासवर्ड फ़ील्ड सॉल्ट वाले SHA-256 प्रारूप में है। हालाँकि यह सादे पाठ में रखे गए पासवर्ड से बेहतर है, फिर भी कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड का जोखिम पूरी तरह समाप्त नहीं होता। उपयोगकर्ताओं को विशेष रूप से ऐसे धोखाधड़ी के प्रयासों से सावधान रहना चाहिए जिनमें अलग-अलग सेवाओं पर इस्तेमाल किए गए उनके पासवर्ड को उसी ईमेल पते, फ़ोन नंबरों और पते की जानकारी से जोड़ा जाता है। लीक में पासवर्ड न होने पर भी ईमेल, फ़ोन, पूरा नाम या भौतिक पता जैसी जानकारी लक्षित विज्ञापन, सोशल इंजीनियरिंग, नकली सूचनाओं और खाता पुनर्प्राप्ति प्रक्रिया के दुरुपयोग के लिए उपयोगी होती है।

यह रिकॉर्ड स्वतंत्र स्टोर की प्रणाली से जुड़े ग्राहक खातों से संबंधित है। प्रभावित अलग-अलग ईमेल पतों की अनुमानित संख्या लगभग 2,37,000 है। इसलिए हम इस रिकॉर्ड को उपलब्ध डेटा फ़ील्ड तक सीमित रख रहे हैं, न कि इसका विस्तार करके इसे कंपनी का निर्णायक बयान बता रहे हैं। यह घटना पुष्ट रिकॉर्ड की श्रेणी में आती है। दायरे की सीमा महत्वपूर्ण है: जो डेटा प्रकार सूचीबद्ध नहीं हैं, उनके बारे में उपयोगकर्ताओं को अनावश्यक रूप से सचेत नहीं किया जाता, लेकिन सूचीबद्ध फ़ील्ड के संयुक्त प्रभाव को भी कम नहीं आँकना चाहिए।

स्टोर ने बाद में अपना स्वतंत्र बिक्री माध्यम बंद कर दिया था, लेकिन इससे घटना का तकनीकी प्रभाव कम नहीं होता। लीक हुए खाते के डेटा का बाद में भी दुरुपयोग किया जा सकता है। जहाँ दोहराव या गलत इकाई से जोड़ दिए जाने की संभावना थी, वहाँ शीर्षक, डोमेन नाम, देश और व्यावसायिक क्षेत्र की जानकारी की भी अलग से जाँच की गई है। मिलते-जुलते नाम वाले अलग-अलग प्लेटफ़ॉर्म या एक ही क्षेत्र में काम करने वाली अलग-अलग सेवाओं को इस रिकॉर्ड में एक घटना मानकर नहीं मिलाया गया है।

schenkYOU पर खाता खोलने वाले ग्राहक, अन्य ई-कॉमर्स साइटों पर वही पासवर्ड इस्तेमाल करने वाले लोग और जन्मतिथि की जानकारी के आधार पर निशाना बनाए जा सकने वाले उपयोगकर्ता जोखिम में हैं। इस समूह के लोगों के लिए सबसे महत्वपूर्ण जोखिम यह है कि लीक हुई जानकारी का संबंध रोज़मर्रा में इस्तेमाल होने वाले उनके खातों की सुरक्षा से जोड़ा जा सकता है। यदि कोई उपयोगकर्ता खरीदारी, गेमिंग, समुदाय, डेटिंग, काम या वित्तीय सेवाओं के लिए एक ही ईमेल पता इस्तेमाल करता है, तो हमलावर इस जानकारी से ऐसे संदेश तैयार कर सकते हैं जो वास्तविक सेवा की ओर से आए हुए लगें।

उपहारों और खरीदारी के संदर्भ का इस्तेमाल नकली ऑर्डर सूचनाओं, डिलीवरी से जुड़ी नकली चेतावनियों या कूपन वाले फ़िशिंग प्रयासों के लिए किया जा सकता है। कंपनी के डोमेन वाले ईमेल पते भी व्यावसायिक खातों पर हमलों का निशाना बन सकते हैं। व्यक्तिगत उपयोगकर्ताओं के लिए फ़ोन नंबर, पता, जन्मतिथि, प्रोफ़ाइल तस्वीर, खरीदारी या डिवाइस की जानकारी जैसे फ़ील्ड के कारण खाते पर कब्ज़ा, फ़िशिंग, उत्पीड़न, बिना अनुमति गतिविधियों पर नज़र रखे जाने और प्रतिष्ठा को नुकसान पहुँचने जैसे परिणाम हो सकते हैं।

प्रभावित उपयोगकर्ताओं को सबसे पहले अपने schenkYOU खाते का पासवर्ड और उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल किया गया है। जिन रिकॉर्ड में पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड मौजूद हो, उनके मामले में उपयोगकर्ताओं को उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ उन्होंने वही या मिलता-जुलता पासवर्ड इस्तेमाल किया है। उन्हें मज़बूत और अलग पासवर्ड इस्तेमाल करना चाहिए तथा जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। जिन रिकॉर्ड में पासवर्ड सूचीबद्ध नहीं है, उनके मामले में ईमेल और फ़ोन पर अचानक मिलने वाले सत्यापन कोड, लिंक और अटैचमेंट की अधिक सावधानी से जाँच करनी चाहिए।

जिन रिकॉर्ड में पता, जन्मतिथि, आधिकारिक पहचान संबंधी जानकारी, प्रोफ़ाइल तस्वीर या स्थान की जानकारी मौजूद हो, उनके मामले में उपयोगकर्ताओं को पहचान सत्यापन के सवाल बदलने चाहिए, खाता पुनर्प्राप्ति के विकल्पों की समीक्षा करनी चाहिए और उनके नाम से बनाई गई नकली प्रोफ़ाइल पर नज़र रखनी चाहिए। कॉर्पोरेट उपयोगकर्ताओं को अपनी सुरक्षा टीम को बताना चाहिए कि क्या इन फ़ील्ड का इस्तेमाल कर्मचारियों को निशाना बनाने के लिए किया जा रहा है।

खुदरा खरीदारी के खातों में समय के साथ डिलीवरी, बिलिंग और संपर्क संबंधी जानकारी जमा होती जाती है, इसलिए पुराने खरीदारी खातों की नियमित सफ़ाई ज़रूरी है। लंबे समय के लिए हर खाते का अलग पासवर्ड, पासवर्ड मैनेजर, बहु-कारक प्रमाणीकरण, सक्रिय सत्रों की नियमित जाँच और पुराने खातों को बंद करना सुरक्षा के बुनियादी उपाय हैं। किसी ईमेल पते का पहले भी अलग-अलग घटनाओं में सामने आना दर्शाता है कि जोखिम जमा होता जा रहा है और वह केवल एक पंजीकरण तक सीमित नहीं है।

ऐसी घटनाओं के बाद उपयोगकर्ताओं के लिए केवल संबंधित प्लेटफ़ॉर्म का पासवर्ड बदलना पर्याप्त नहीं हो सकता। यदि अन्य सेवाओं पर भी वही फ़ोन नंबर, डिलीवरी पता, उपयोगकर्ता नाम या खाता पुनर्प्राप्ति का ईमेल पता इस्तेमाल किया गया है, तो हमलावर इन साझा जानकारियों के आधार पर अलग-अलग खातों में पहुँचने का प्रयास कर सकते हैं। इसलिए खातों की सूची बनाना और पुरानी सदस्यताओं की सफ़ाई करना एक स्थायी सुरक्षा उपाय है।

यह जाँचने के बाद कि उनका ईमेल पता इस घटना से मेल खाता है या नहीं, उपयोगकर्ताओं को अपने खरीदारी खातों में लॉगिन इतिहास और सहेजे गए भुगतान तरीकों की विशेष रूप से समीक्षा करनी चाहिए। यह रिकॉर्ड उपयोगकर्ताओं को सीधे यह दिखाने के लिए तैयार किया गया है कि किन पहलुओं पर जोखिम है। यदि मेल पाया जाता है, तो पहला कदम घबराना नहीं है। इसके बजाय अलग-अलग पासवर्ड रखना, सक्रिय सत्रों से लॉग आउट करना, सुरक्षा सूचनाओं की समीक्षा करना और संदिग्ध लॉगिन की जाँच करना ज़रूरी है।

अंतिम आकलन: यह रिकॉर्ड जर्मनी की उपहार दुकान के संदर्भ में खाते और पहचान सत्यापन से जुड़े जोखिम का संकेत देता है। हालाँकि डेटा फ़ील्ड सीमित दिखाई देते हैं, फिर भी पासवर्ड और जन्मतिथि के एक साथ मौजूद होने के कारण इसे संवेदनशील माना जाता है। उपयोगकर्ताओं को इस पेज पर दी गई फ़ील्ड की सूची का मिलान अपने खाते के इतिहास से करना चाहिए और उन सेवाओं पर तुरंत कार्रवाई करनी चाहिए जहाँ उसी ईमेल-पासवर्ड जोड़ी का इस्तेमाल होता है। घटना के बाद संदिग्ध संदेशों, अचानक आने वाले कॉल या खाता पुनर्प्राप्ति की सूचनाओं पर अधिक प्राथमिकता से ध्यान देना चाहिए।