Tangerine: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: जन्मतिथियाँ, ईमेल पते, नाम, पासवर्ड, फ़ोन नंबर, भौतिक पते और संबोधन संबंधी जानकारी। फ़ोन और पते की जानकारी ऐसे स्थायी व्यक्तिगत फ़ील्ड हैं जिनका इस्तेमाल दूरसंचार खातों की सत्यापन प्रक्रियाओं में किया जा सकता है। इन फ़ील्ड का एक साथ इस्तेमाल होने पर खाते पर अनधिकृत नियंत्रण, सोशल इंजीनियरिंग, धोखाधड़ी, भौतिक रूप से निशाना बनाए जाने या निजता के उल्लंघन का जोखिम हो सकता है।

ऐसा समझा जाता है कि पहले इस्तेमाल किए जाने वाले पारंपरिक पासवर्ड फ़ील्ड में bcrypt हैश मान है। यदि वही पासवर्ड अन्य खातों पर इस्तेमाल किया गया था, तो उसे बदलना चाहिए। पासवर्ड वाले रिकॉर्ड के मामले में सबसे गंभीर जोखिमों में से एक यह है कि अन्य सेवाओं पर भी वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया हो। जिन रिकॉर्ड में पासवर्ड नहीं हैं, उनमें डिवाइस, स्थान, फ़ोन, पता, शिक्षा, नौकरी के आवेदन या वित्तीय संदर्भ जैसे फ़ील्ड लक्षित संदेशों को अधिक विश्वसनीय बना सकते हैं।

इस रिकॉर्ड में tangerinetelecom.com.au डोमेन से जुड़े लगभग 2,43,000 ग्राहक रिकॉर्ड शामिल हैं। इस घटना को पुष्ट रिकॉर्ड के रूप में वर्गीकृत किया गया है। दायरे के आकलन में खातों की संख्या, डोमेन नाम, क्षेत्र, देश और डेटा श्रेणियों की अलग-अलग जाँच की गई। उपयोगकर्ता को दिखाए गए डेटा फ़ील्ड केवल उन्हीं तक सीमित रखे गए जो वास्तव में रिकॉर्ड में सूचीबद्ध हैं।

क्षेत्र का वर्गीकरण सुधारकर ‘अन्य’ के बजाय ‘ऑस्ट्रेलिया में दूरसंचार और इंटरनेट सेवाएँ’ कर दिया गया है। मिलते-जुलते ब्रांड नामों, कई सेवाओं को समेटने वाली रिकॉर्ड प्रविष्टियों या संवेदनशील क्षेत्रों के मामले में यह सीमा विशेष रूप से महत्वपूर्ण है। इस रिकॉर्ड को किसी दूसरी घटना के साथ नहीं मिलाया गया है और न ही इसका विस्तार इस तरह किया गया है कि एक ही घटना के दोहरे रिकॉर्ड बनें। कंपनी का संदर्भ यथासंभव स्पष्ट किया गया है।

Tangerine के वे ग्राहक जोखिम में हैं जो बैंकिंग या सार्वजनिक खातों के लिए फ़ोन नंबर और ईमेल पते का वही संयोजन इस्तेमाल करते हैं। इन लोगों के लिए मुख्य जोखिम यह है कि लीक हुए डेटा का मिलान अन्य खातों में इस्तेमाल होने वाली समान जानकारी से किया जा सकता है। जब एक ही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम, डिवाइस ID या पासवर्ड बार-बार इस्तेमाल किया जाता है, तो हमलावर इन विवरणों को अलग-अलग सेवाओं पर आज़मा सकते हैं।

दूरसंचार से जुड़े संदर्भ का फ़ायदा उठाकर लाइन सत्यापन, बिलिंग, मॉडेम, SIM बदलने या पहचान सत्यापन के नाम पर नकली संदेश भेजे जा सकते हैं। कॉर्पोरेट उपयोगकर्ताओं के मामले में कामकाजी ईमेल और नौकरी की जानकारी प्रमुख होती है, जबकि व्यक्तिगत उपयोगकर्ताओं के मामले में पता, जन्मतिथि, खरीदारी, स्थान या सदस्यता का संदर्भ प्रमुख होता है। शिक्षा, दूरसंचार, वित्त, यात्रा, राजनीति, नौकरी के आवेदन और VPN जैसे क्षेत्रों में संदर्भ अपने आप में भी निशाना बनाए जाने का जोखिम बढ़ा सकता है।

प्रभावित उपयोगकर्ताओं को अपने दूरसंचार खाते की सुरक्षा सेटिंग, ईमेल सत्रों और फ़ोन पर मिले सत्यापन अनुरोधों की जाँच करनी चाहिए। यदि पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों पर पासवर्ड बदलना चाहिए जहाँ वे वही पासवर्ड इस्तेमाल करते हैं। उन्हें हर खाते के लिए अलग पासवर्ड इस्तेमाल करना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण सक्षम करना चाहिए। केवल एक प्लेटफ़ॉर्म पर कार्रवाई करना पर्याप्त नहीं हो सकता।

यदि फ़ोन, पता, जन्मतिथि, डिवाइस ID, आधिकारिक पहचान-पत्र, नौकरी के आवेदन या रिवॉर्ड बैलेंस जैसे फ़ील्ड हों, तो उपयोगकर्ताओं को खाता पुनर्प्राप्ति की जानकारी, दर्ज सत्रों, ईमेल फ़ॉरवर्डिंग और संदिग्ध संदेशों की जाँच करनी चाहिए। संस्थानों को कर्मचारियों से जुड़े अलर्ट, नकली चालान और खाता सत्यापन के प्रयासों से निपटने के लिए अपनी प्रक्रियाएँ अद्यतन करनी चाहिए।

दूरसंचार खातों पर मज़बूत ग्राहक PIN कोड, बहु-कारक प्रमाणीकरण और SIM बदलने के अलर्ट लंबे समय तक सुरक्षा देते हैं। दीर्घकाल में पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खाते बंद करना, अनावश्यक प्रोफ़ाइल फ़ील्ड हटाना और डेटा को न्यूनतम रखना सुरक्षा का आधार बनते हैं। चूँकि स्थायी व्यक्तिगत डेटा को वापस नहीं लिया जा सकता, इसलिए बचाव खाते के इस्तेमाल से जुड़ी सुरक्षा आदतों को मज़बूत करने पर निर्भर करता है।

कंपनियों और संस्थानों को घटना के बाद डेटा की सूची, पहुँच अनुमतियों, पुराने डेटा के भंडारण, सूचना देने की प्रक्रियाओं और तृतीय-पक्ष प्लेटफ़ॉर्म के इस्तेमाल पर फिर से विचार करना चाहिए। उपयोगकर्ताओं के लिए अलग-अलग सेवाओं पर वही पहचान संबंधी जानकारी दोहराने से बचना और संदिग्ध संपर्कों की पुष्टि किसी दूसरे माध्यम से करने की आदत अपनाना लंबे समय तक सुरक्षा देता है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उन्हें फ़ोन लाइन और ईमेल खाते के ज़रिए आने वाले नकली सत्यापन अनुरोधों से सावधान रहना चाहिए। मिलान मिलने पर उपयोगकर्ता को पहले पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं, और फिर उन्हीं के अनुसार कदमों को प्राथमिकता देनी चाहिए। यदि पासवर्ड है, तो पासवर्ड बदलने को; यदि आधिकारिक पहचान-पत्र है, तो उसके इस्तेमाल की निगरानी को; यदि स्थान या डिवाइस की जानकारी है, तो डिवाइस की सुरक्षा को; और यदि शिक्षा या नौकरी के आवेदन की जानकारी है, तो संबंधित संस्थान में खाते के सत्यापन को प्राथमिकता देनी चाहिए।

अंतिम आकलन: यह रिकॉर्ड दूरसंचार डेटा से जुड़ी एक संवेदनशील घटना है, क्योंकि इसमें जन्मतिथि, पता, फ़ोन नंबर और पासवर्ड फ़ील्ड एक साथ शामिल हैं। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खातों के इतिहास से करनी चाहिए। उन्हें उन सेवाओं की अलग-अलग जाँच करनी चाहिए जहाँ वे वही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम या पासवर्ड इस्तेमाल करते हैं। घटना के बाद अप्रत्याशित कॉल, संदेश, ईमेल या खाता पुनर्प्राप्ति की सूचनाओं को अधिक जोखिम वाला मानना चाहिए।