ShopBack: डेटा में सेंध

ShopBack की इस घटना में ईमेल पते, देश या भौगोलिक स्थान का डेटा, नाम, फ़ोन नंबर और पासवर्ड हैश उजागर हुए। एक नियामकीय जाँच में यह भी पुष्टि हुई कि सिंगापुर से जुड़े डेटा में लगभग 3,00,000 बैंक खाता नंबर और करीब 3,80,000 लोगों के क्रेडिट कार्ड की आंशिक जानकारी शामिल थी। पासवर्ड साधारण टेक्स्ट के बजाय सॉल्ट के साथ तैयार किए गए SHA-1 हैश के रूप में थे। सॉल्ट जोड़ने से हमलों की गति धीमी होती है, लेकिन SHA-1 कमजोर पासवर्ड को सुरक्षित नहीं बनाता। ईमेल, नाम, फ़ोन और देश की जानकारी का इस्तेमाल रिफ़ंड, कैशबैक निकासी या खाता सत्यापन के फ़र्ज़ी संदेशों को व्यक्तिगत और विश्वसनीय बनाने में किया जा सकता है। बैंक खाते और कार्ड की आंशिक जानकारी सीधे लेन-देन करने के लिए पर्याप्त नहीं है, लेकिन इससे ठग को भरोसा जीतने में मदद मिल सकती है। पूरे कार्ड नंबर, सुरक्षा कोड, कैशबैक की शेष राशि, जन्मतिथियाँ, लिंग और खरीदारी का विस्तृत इतिहास संरचित डेटा की पुष्ट श्रेणियों में शामिल नहीं हैं। वित्तीय जानकारी वाले फ़ील्ड की पुष्टि क्षेत्रीय जाँच में हुई थी और इन्हें दुनियाभर के हर रिकॉर्ड पर लागू नहीं मानना चाहिए।

इस घटना की शुरुआत जून 2019 में हुई, जब सभी अनुमतियों वाली एक क्लाउड एक्सेस कुंजी गलती से एक निजी सोर्स-कोड रिपॉज़िटरी में सेव कर दी गई। उसे दिखाई देने वाली फ़ाइल से हटा दिया गया था, लेकिन वह बदलावों के इतिहास में बनी रही और कुंजी बदलने की प्रक्रिया के दौरान उसे पूरी तरह निष्क्रिय नहीं किया गया। लगभग 15 महीने बाद, 9 सितंबर 2020 को एक हमलावर ने इसका इस्तेमाल करके क्लाउड परिवेश में प्रवेश किया, सुरक्षा सेटिंग्स बदलीं और ग्राहकों के रिकॉर्ड निकाल लिए। ShopBack को 17 सितंबर को नियमित समीक्षा के दौरान इस पहुँच का पता चला; यही सेंध की मानक तारीख बनी हुई है, जबकि 9 सितंबर को हमले की तारीख के रूप में दर्ज किया गया है। कंपनी ने कुंजी मिटा दी, एक्सेस क्रेडेंशियल बदले और सभी ग्राहकों को साइन आउट कराया तथा पासवर्ड रीसेट करने के लिए बाध्य किया। डेटाबेस को 12 नवंबर 2020 को बिक्री के लिए पेश किया गया। 2,05,29,819 का आँकड़ा दुनियाभर के अलग-अलग ईमेल पतों की कुल संख्या है; नियामकीय जाँच का 14 लाख से अधिक वाला आँकड़ा सिंगापुर तक सीमित है और उसे इस कुल संख्या में नहीं जोड़ना चाहिए। यह अंतर क्षेत्रीय आँकड़ों के कारण वैश्विक रिकॉर्ड की कुल संख्या को बढ़ा-चढ़ाकर दिखाने से बचाता है।

जिन लोगों ने 2020 से पहले ShopBack खाता बनाया था और ईमेल, फ़ोन नंबर या देश की जानकारी दी थी, वे मुख्य जोखिम समूह में हैं। जिसने भी अपना ShopBack पासवर्ड ईमेल, खरीदारी, यात्रा या वित्तीय सेवाओं पर दोबारा इस्तेमाल किया था, उसके खातों पर अनधिकृत कब्ज़े का जोखिम अधिक है। सिंगापुर की समीक्षा में लगभग 14 लाख ईमेल पते, 8,40,000 नाम, 4,50,000 मोबाइल नंबर, 3,00,000 बैंक खाते और कार्ड की आंशिक जानकारी वाले 3,80,000 रिकॉर्ड मिले; यह नहीं मानना चाहिए कि हर व्यक्ति के लिए हर फ़ील्ड मौजूद था। ईमेल, फ़ोन और कैशबैक सेवा से जुड़ाव की जानकारी का इस्तेमाल शेष राशि, निकासी, रिफ़ंड या प्रचार ऑफ़र के फ़र्ज़ी संदेश बनाने में किया जा सकता है। आंशिक वित्तीय विवरण से बैंक या कार्ड जारीकर्ता बनकर किए गए फ़र्ज़ी कॉल असली लग सकते हैं। खाते का इस्तेमाल छोड़ देने से जोखिम समाप्त नहीं होता, क्योंकि संपर्क विवरण और दोबारा इस्तेमाल किए गए पासवर्ड वर्षों तक मान्य रह सकते हैं। अलग-अलग रिकॉर्ड में उपलब्ध जानकारी की पूर्णता अलग होती है, इसलिए केवल ईमेल का मेल मिलना यह साबित नहीं करता कि उस व्यक्ति के लिए सूची में दिए गए सभी फ़ील्ड उजागर हुए थे।

अगर आपने 2020 के बाद से अपना ShopBack पासवर्ड नहीं बदला है, तो उसे अब लंबे और अन्य खातों से अलग पासवर्ड से बदलें। दूसरे खातों पर इस्तेमाल किए गए मिलते-जुलते क्रेडेंशियल भी बदलें; शुरुआत अपने मुख्य ईमेल, खरीदारी और वित्तीय सेवाओं से करें। पासवर्ड रीसेट की प्रक्रिया ऐप से शुरू करें या ऐसा आधिकारिक वेब पता खोलें जिसे आपने खुद टाइप किया हो, न कि किसी अनपेक्षित संदेश में आए लिंक से। सक्रिय सत्र बंद करें, खाता पुनर्प्राप्ति के लिए दर्ज ईमेल और फ़ोन विवरण की पुष्टि करें, और जहाँ उपलब्ध हो वहाँ बहु-कारक प्रमाणीकरण चालू करें। जिन ग्राहकों ने बैंक या कार्ड की जानकारी दी थी, उन्हें खाते की गतिविधियों और अलर्ट पर नज़र रखनी चाहिए। कोई अनजान लेन-देन दिखने पर वित्तीय संस्था से उसके आधिकारिक माध्यम से संपर्क करें। कैशबैक, निकासी, रिफ़ंड या प्रचार ऑफ़र संबंधी होने का दावा करने वाले संदेश के जवाब में कभी भी पासवर्ड, एक बार इस्तेमाल होने वाला कोड, पूरा कार्ड नंबर या सुरक्षा कोड न दें।

हर सेवा के लिए अलग क्रेडेंशियल तैयार करने वाला पासवर्ड मैनेजर किसी एक पुराने हैश के ज़रिए दूसरे खातों तक पहुँच बनने से रोकता है। वित्तीय और खरीदारी सेवाओं के खातों की पुनर्प्राप्ति ईमेल से नियंत्रित होती है, इसलिए अपने ईमेल को सबसे मज़बूत पासवर्ड और प्रमाणीकरण के किसी मज़बूत दूसरे कारक, जैसे ऑथेंटिकेटर ऐप या सुरक्षा कुंजी, से सुरक्षित करें। बैंक और कार्ड की सूचनाएँ चालू करें, परीक्षण के तौर पर लगाए गए छोटे शुल्कों की भी जाँच करें और खाता पुनर्प्राप्ति की जानकारी नियमित रूप से देखें। जिन खरीदारी खातों का आप अब इस्तेमाल नहीं करते, उन्हें बंद करें और फ़ोन, स्थान या भुगतान संबंधी वैकल्पिक जानकारी सेव रखने से बचें। डेटा सेंध की निगरानी, सत्रों की समीक्षा और फ़िशिंग के प्रति जागरूकता लंबे समय तक सुरक्षा देती हैं। आपको निशाना बनाकर भेजे गए संदेशों को वर्षों बाद भी गंभीरता से लें, क्योंकि चुराए गए डेटासेट की प्रतियाँ बनाई जा सकती हैं, उन्हें दोबारा बेचा जा सकता है और नई जानकारी के साथ जोड़ा जा सकता है।

LeakData पर अपना ईमेल पता जाँचें और देखें कि वह ShopBack या किसी अन्य सत्यापित डेटा सेंध के रिकॉर्ड से मेल खाता है या नहीं। मेल मिलने का मतलब है कि आपका पता इस सेंध की मानक गिनती में शामिल 2,05,29,819 अलग-अलग ईमेल पतों में से एक है; इससे यह साबित नहीं होता कि आप सिंगापुर के लगभग 14 लाख लोगों वाले उपसमूह में थे या बैंक खाते और कार्ड की आंशिक जानकारी वाले फ़ील्ड आपके हैं। तारीख और डेटा की श्रेणियाँ देखें, सोचें कि आपने अपना 2020 वाला पासवर्ड और कहाँ इस्तेमाल किया था, और शुरुआत ईमेल तथा पैसों तक पहुँच नियंत्रित करने वाले खातों से करें। खोज फ़ील्ड में कभी भी पासवर्ड, बैंक खाता नंबर या कार्ड की जानकारी न डालें; ईमेल पता ही पर्याप्त है। लगातार निगरानी से बाद में प्रकाशित या दोबारा प्रसारित किए गए डेटा का पता चल सकता है। कोई मेल न मिलने पर भी हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण और लेन-देन अलर्ट का इस्तेमाल जारी रखें।