Switch: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: ईमेल पते, नौकरी के आवेदन, नाम और सोशल मीडिया प्रोफ़ाइल। उम्मीदवारों के आवेदन और सोशल प्रोफ़ाइल की जानकारी एक साथ उपलब्ध होने पर किसी व्यक्ति की मौजूदा नौकरी की स्थिति से जुड़े लक्षित संदेश तैयार किए जा सकते हैं। इन फ़ील्ड का एक साथ इस्तेमाल होने पर खाते पर कब्ज़ा, सोशल इंजीनियरिंग, धोखाधड़ी, व्यक्ति को शारीरिक रूप से निशाना बनाए जाने या निजता के उल्लंघन का जोखिम हो सकता है।

इस रिकॉर्ड में पासवर्ड फ़ील्ड सूचीबद्ध नहीं है; जोखिम मुख्यतः करियर से जुड़ी निजता, उम्मीदवार की प्रोफ़ाइल और भर्ती संबंधी धोखाधड़ी पर केंद्रित है। जिन रिकॉर्ड में पासवर्ड होते हैं, उनमें अन्य सेवाओं पर उसी या मिलते-जुलते पासवर्ड का इस्तेमाल सबसे गंभीर जोखिमों में से एक है। जिन रिकॉर्ड में पासवर्ड नहीं होते, उनमें डिवाइस, स्थान, फ़ोन, पता, शिक्षा, नौकरी के आवेदन या वित्तीय संदर्भ जैसे फ़ील्ड लक्षित संदेशों को अधिक विश्वसनीय बना सकते हैं।

इस रिकॉर्ड में switchit.hu डोमेन से जुड़े लगभग 5,400 उम्मीदवारों या ग्राहकों के रिकॉर्ड शामिल हैं। घटना को पुष्ट रिकॉर्ड के रूप में वर्गीकृत किया गया है। दायरे के आकलन में खातों की संख्या, डोमेन, क्षेत्र, देश और डेटा श्रेणियों की अलग-अलग जाँच की गई। उपयोगकर्ता को दिखाए गए डेटा फ़ील्ड केवल उन्हीं फ़ील्ड तक सीमित रखे गए हैं जो वास्तव में रिकॉर्ड में सूचीबद्ध हैं।

क्षेत्र का वर्गीकरण तकनीक से बदलकर IT भर्ती और हेडहंटिंग किया गया है। मिलते-जुलते ब्रांड नामों, कई सेवाओं को शामिल करने वाले रिकॉर्ड या संवेदनशील क्षेत्रों के मामले में यह अंतर विशेष रूप से महत्वपूर्ण है। इस रिकॉर्ड को किसी दूसरी घटना के साथ नहीं मिलाया गया है और न ही इस तरह विस्तृत किया गया है जिससे एक ही घटना के दोहरे रिकॉर्ड बनें। कंपनी से जुड़े संदर्भ को यथासंभव स्पष्ट किया गया है।

Switch के ज़रिए नौकरी के लिए आवेदन करने वाले उम्मीदवार, IT पेशेवर और वे लोग जिनकी सोशल प्रोफ़ाइल आवेदन से जुड़ी है, जोखिम में हैं। इन लोगों के लिए मुख्य जोखिम यह है कि लीक हुए फ़ील्ड का अन्य खातों में इस्तेमाल होने वाली समान जानकारी से मिलान किया जा सकता है। जब एक ही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम, डिवाइस ID या पासवर्ड कई जगह इस्तेमाल किया जाता है, तो हमलावर इस जानकारी को अलग-अलग सेवाओं पर आज़मा सकते हैं।

भर्ती के संदर्भ में इस जानकारी का दुरुपयोग फ़र्ज़ी नौकरी प्रस्तावों, वेतन पर बातचीत, दस्तावेज़ माँगने या साक्षात्कार के लिंक वाले संदेशों में किया जा सकता है। कॉर्पोरेट उपयोगकर्ताओं के लिए कामकाज से जुड़े ईमेल और कार्यों की जानकारी प्रमुख होती है, जबकि व्यक्तिगत उपयोगकर्ताओं के लिए पता, जन्मतिथि, खरीदारी, स्थान या सदस्यता से जुड़ा संदर्भ प्रमुख होता है। शिक्षा, दूरसंचार, वित्त, यात्रा, राजनीति, नौकरी के आवेदन और VPN जैसे क्षेत्रों में संदर्भ अपने आप में भी निशाना बनाए जाने का जोखिम बढ़ा सकता है।

प्रभावित उपयोगकर्ताओं को नौकरी के आवेदन से जुड़े अपने खातों और कामकाज के ईमेल की जाँच करनी चाहिए। किसी भी अप्रत्याशित नौकरी प्रस्ताव या दस्तावेज़ अपलोड करने के अनुरोध की पुष्टि करनी चाहिए। यदि पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों का पासवर्ड बदलना चाहिए जहाँ वे वही पासवर्ड इस्तेमाल करते हैं, हर खाते के लिए अलग पासवर्ड रखना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। केवल एक प्लेटफ़ॉर्म पर कदम उठाना पर्याप्त नहीं हो सकता।

यदि फ़ोन, पता, जन्मतिथि, डिवाइस ID, सरकारी पहचान दस्तावेज़, नौकरी के आवेदन या रिवॉर्ड बैलेंस जैसे फ़ील्ड मौजूद हों, तो उपयोगकर्ताओं को खाता पुनर्प्राप्ति की जानकारी, दर्ज सत्रों, ईमेल फ़ॉरवर्डिंग और संदिग्ध संदेशों की जाँच करनी चाहिए। संस्थानों को कर्मचारियों से जुड़े अलर्ट, फ़र्ज़ी चालानों और खाते के सत्यापन के प्रयासों से निपटने की प्रक्रियाएँ अद्यतन करनी चाहिए।

उम्मीदवारों को नौकरी के आवेदनों में अपनी निजी सोशल प्रोफ़ाइल की जानकारी कम से कम साझा करनी चाहिए। भर्ती प्लेटफ़ॉर्म पर अलग-अलग पासवर्ड इस्तेमाल करने चाहिए और दस्तावेज़ सावधानी से साझा करने चाहिए। लंबे समय में पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खाते बंद करना, अनावश्यक प्रोफ़ाइल फ़ील्ड हटाना और डेटा को न्यूनतम रखना सुरक्षा के मुख्य आधार हैं। चूँकि स्थायी व्यक्तिगत डेटा को वापस नहीं लिया जा सकता, इसलिए बचाव खातों के इस्तेमाल में सुरक्षा बढ़ाने पर निर्भर करता है।

कंपनियों और संस्थानों को घटना के बाद तैयार की गई सूची, पहुँच की अनुमतियों, पुराने डेटा के भंडारण, सूचना देने की प्रक्रियाओं और तीसरे पक्ष के प्लेटफ़ॉर्म के इस्तेमाल की दोबारा समीक्षा करनी चाहिए। उपयोगकर्ताओं के लिए अलग-अलग सेवाओं पर एक ही पहचान संबंधी जानकारी दोहराने से बचना और संदिग्ध संपर्कों की दूसरे माध्यम से पुष्टि करने की आदत स्थायी सुरक्षा देती है।

उपयोगकर्ता को नौकरी के आवेदनों में साझा की गई सोशल प्रोफ़ाइल और अपने आवेदन इतिहास की जाँच करनी चाहिए कि क्या वे इस रिकॉर्ड से मेल खाते हैं। यदि मेल मिलता है, तो पहले यह देखना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं और फिर उन्हीं के अनुसार कदमों की प्राथमिकता तय करनी चाहिए। पासवर्ड मौजूद हो तो पासवर्ड बदलने को प्राथमिकता दें; सरकारी पहचान संबंधी जानकारी हो तो पहचान के इस्तेमाल की निगरानी को; स्थान या डिवाइस की जानकारी हो तो डिवाइस की सुरक्षा को; और शिक्षा या नौकरी के आवेदन की जानकारी हो तो संस्थागत खाते के सत्यापन को प्राथमिकता दें।

अंतिम आकलन: हालाँकि इस रिकॉर्ड में पासवर्ड नहीं है, फिर भी नौकरी के आवेदनों और सोशल प्रोफ़ाइल के संदर्भ के कारण यह करियर से जुड़े संवेदनशील डेटा की घटना है। उपयोगकर्ता को इस रिकॉर्ड का अपने खाते के इतिहास से मिलान करना चाहिए और उन सेवाओं की अलग-अलग जाँच करनी चाहिए जहाँ उन्होंने एक ही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम या पासवर्ड इस्तेमाल किया था। घटना के बाद अप्रत्याशित कॉल, संदेश, ईमेल या खाता पुनर्प्राप्ति की सूचनाओं को अधिक जोखिम वाला माना जाना चाहिए।