T2: डेटा में सेंध

इस रिकॉर्ड में संपर्क जानकारी, खरीदारी का संदर्भ और पासवर्ड फ़ील्ड एक साथ मौजूद हैं। ईमेल, नाम, फ़ोन नंबर और पता मिलकर उपयोगकर्ता की ग्राहक प्रोफ़ाइल बनाते हैं; खरीदारी की जानकारी से फ़र्ज़ी ऑर्डर, रिटर्न, शिपिंग और प्रचार अभियान के संदेश अधिक विश्वसनीय लगते हैं। वहीं, अगर वही पासवर्ड दूसरे खातों में भी इस्तेमाल किया जाता है, तो हैश किया गया पासवर्ड उन खातों पर कब्ज़ा करने के प्रयासों का रास्ता खोलता है।

जब नाम, ईमेल, फ़ोन नंबर, पता, उपयोगकर्ता नाम या स्थान जैसे फ़ील्ड एक साथ उपलब्ध हों, तो हमलावर उपयोगकर्ता से ऐसे संपर्क कर सकते हैं, मानो उनके बीच किसी वैध सेवा का संबंध हो। केवल यह जानकारी मौजूद होने का मतलब हमेशा यह नहीं होता कि खाते पर कब्ज़ा हो गया है; लेकिन इसका इस्तेमाल फ़िशिंग, फ़र्ज़ी सहायता अनुरोधों, खाता सत्यापन और व्यक्तिगत जानकारी के अनुरूप तैयार की गई धोखाधड़ी की प्रक्रियाओं में किया जा सकता है। इस रिकॉर्ड में भुगतान कार्ड का पूरा डेटा सूचीबद्ध नहीं है। हालाँकि कुछ अन्य रिपोर्टों में भुगतान के तरीकों या भुगतान के आंशिक विवरण का उल्लेख है, इस रिकॉर्ड की मुख्य डेटा श्रेणियाँ खरीदारी का इतिहास और scrypt से हैश किए गए पासवर्ड हैं। यह नहीं कहना चाहिए कि उपयोगकर्ता का प्लेनटेक्स्ट पासवर्ड लीक हुआ था, लेकिन एक ही पासवर्ड दोबारा इस्तेमाल करने के जोखिम से बचने के लिए तत्काल कदम उठाने की सलाह दी जानी चाहिए।

घटना की तारीख 17 अप्रैल 2024 दर्ज है और प्रभावित ईमेल पतों की संख्या 94,584 है। विश्वसनीय डेटा लीक रिकॉर्ड बताते हैं कि T2 के लगभग 95,000 रिकॉर्ड साझा किए गए थे। इनमें ईमेल, डाक पता, नाम, फ़ोन नंबर, जन्मतिथि, खरीदारी की जानकारी और scrypt से हैश किए गए पासवर्ड जैसे फ़ील्ड शामिल थे। इस रिकॉर्ड में मौजूद डेटा श्रेणियाँ इसी दायरे के अनुरूप हैं।

दायरा समझाते समय यह नहीं मानना चाहिए कि हर प्रविष्टि में सभी फ़ील्ड मौजूद हैं। इस घटना को सामान्य रूप से भुगतान कार्ड डेटा का लीक नहीं बताना चाहिए; विवरण का केंद्र ग्राहकों से संपर्क, खरीदारी का इतिहास और पासवर्ड सुरक्षा ही रहना चाहिए। जोखिम के आकलन में उन खातों को भी शामिल करना चाहिए जिनमें T2 खाते वाला ही पासवर्ड इस्तेमाल किया जाता है।

जोखिम में वे उपयोगकर्ता हैं जिन्होंने T2 स्टोर में खाता खोला है, ऑनलाइन ऑर्डर दिया है या डिलीवरी की जानकारी साझा की है। लॉयल्टी कार्यक्रमों, प्रचार अभियानों और शिपिंग से जुड़े संदेशों के आदी उपयोगकर्ता फ़र्ज़ी लिंक पर जल्दी प्रतिक्रिया दे सकते हैं।

जो लोग ईमेल, खरीदारी या भुगतान खातों में एक ही पासवर्ड इस्तेमाल करते हैं, उनके लिए जोखिम अधिक है। जन्मतिथि और संबोधन वाले फ़ील्ड की मदद से संदेशों को व्यक्ति के अनुरूप बनाया जा सकता है। अगर फ़ोन नंबर और पते की जानकारी वर्तमान है, तो SMS और कॉल के ज़रिए निशाना बनाए जाने की संभावना भी बढ़ जाती है।

जिन उपयोगकर्ताओं का ईमेल इस रिकॉर्ड में मिलता है, उन्हें अपने T2 खाते का पासवर्ड बदलना चाहिए और उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों के लिए अलग-अलग पासवर्ड रखने चाहिए। शिपिंग, रिटर्न, भुगतान में सुधार या प्रचार अभियान से जुड़े संदेशों की पुष्टि आधिकारिक वेबसाइट या ऐप से करनी चाहिए।

आए हुए लिंक सीधे खोलने के बजाय, उपयोगकर्ता को संबंधित सेवा के परिचित वेब पते या आधिकारिक ऐप से लॉग इन करना चाहिए। कॉल करने वाले को आपका नाम, ईमेल, पता, ऑर्डर या प्रोफ़ाइल की जानकारी होना यह साबित नहीं करता कि वह भरोसेमंद है। सहायता के लिए किसी भी बातचीत में एक बार इस्तेमाल होने वाले सत्यापन कोड, भुगतान कार्ड की जानकारी या खाते के पासवर्ड साझा नहीं करने चाहिए।

लंबे समय में पासवर्ड मैनेजर इस्तेमाल करने, हर खाते के लिए अलग पासवर्ड रखने, दो-कारक प्रमाणीकरण अपनाने और खातों से अनावश्यक व्यक्तिगत जानकारी हटाने की आदत जोखिम कम करती है। अलग-अलग प्लेटफ़ॉर्म पर एक ही ईमेल पता इस्तेमाल करने से विभिन्न डेटा लीक की जानकारी को आपस में जोड़ना आसान हो जाता है; महत्वपूर्ण खातों के लिए अलग ईमेल पता या ईमेल उपनाम इस्तेमाल करने पर विचार किया जा सकता है।

खुदरा खरीदारी के खातों से पुराने डिलीवरी पते, अनावश्यक फ़ोन नंबर और इस्तेमाल न होने वाली भुगतान या सदस्यता की जानकारी नियमित रूप से हटानी चाहिए। पासवर्ड से जुड़े डेटा लीक के मामले में स्थायी उपाय यह है कि खरीदारी के सभी खातों के लिए अलग-अलग पासवर्ड इस्तेमाल किए जाएँ।

LeakData की जाँच बताती है कि खोजा गया ईमेल पता इस रिकॉर्ड में मौजूद है या नहीं। मिलान मिलने का मतलब ज़रूरी नहीं कि सभी डेटा फ़ील्ड निश्चित रूप से उसी उपयोगकर्ता के हों; फिर भी, यह सावधानी के कदम उठाने के लिए पर्याप्त चेतावनी है। मिलान न मिलने से केवल यह पता चलता है कि इस डेटासेट में कोई मेल नहीं मिला। इससे अन्य डेटा लीक में मौजूद होने की संभावना समाप्त नहीं होती।

मिलान मिलने पर T2 खाते और खरीदारी से जुड़ी सोशल इंजीनियरिंग का जोखिम बढ़ जाता है। मिलान न मिलने का मतलब है कि इस रिकॉर्ड में कोई मेल नहीं है; उसी ईमेल की जाँच अन्य खुदरा विक्रेताओं से जुड़े रिकॉर्ड में भी करनी चाहिए।