Tesco डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: ईमेल पते, पासवर्ड और रिवॉर्ड कार्यक्रम के बैलेंस। लॉयल्टी बैलेंस की जानकारी किसी हमलावर को फ़र्ज़ी पॉइंट इस्तेमाल करने या खाते के सत्यापन का संदेश तैयार करने में मदद कर सकती है। इन फ़ील्ड का एक साथ इस्तेमाल होने पर खाते पर कब्ज़ा, सोशल इंजीनियरिंग, धोखाधड़ी, व्यक्ति को भौतिक रूप से निशाना बनाए जाने या निजता के उल्लंघन का जोखिम हो सकता है।

चूँकि पासवर्ड फ़ील्ड मौजूद है, इसलिए अन्य शॉपिंग या ईमेल खातों में वही पासवर्ड इस्तेमाल करने वाले लोग सीधे जोखिम में हैं। पासवर्ड वाले रिकॉर्ड के मामले में, अन्य सेवाओं पर वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल करना सबसे गंभीर जोखिमों में से एक है। जिन रिकॉर्ड में पासवर्ड नहीं होते, उनमें डिवाइस, स्थान, फ़ोन, पता, शिक्षा, नौकरी के आवेदन या वित्तीय संदर्भ जैसी जानकारी लक्षित संदेशों को अधिक विश्वसनीय बना सकती है।

इस रिकॉर्ड में tesco.com डोमेन से जुड़े लगभग 2,200 खाते शामिल हैं। यह घटना सत्यापित रिकॉर्ड की श्रेणी में आती है। दायरे का आकलन करते समय खातों की संख्या, डोमेन, उद्योग, देश और डेटा श्रेणियों की अलग-अलग जाँच की गई थी। उपयोगकर्ता को दिखाए गए डेटा फ़ील्ड केवल उन्हीं फ़ील्ड तक सीमित रखे गए हैं जो वास्तव में रिकॉर्ड में सूचीबद्ध हैं।

चूँकि मूल कारण पूरी तरह स्पष्ट नहीं हुआ है, इसलिए तकनीकी ढाँचे के बारे में कोई निश्चित दावा जोड़े बिना विवरण को खातों और लॉयल्टी कार्यक्रमों तक सीमित रखा गया है। यह सीमा विशेष रूप से समान ब्रांड नामों, कई सेवाओं को समेटने वाले पंजीकरणों या संवेदनशील क्षेत्रों के मामले में महत्वपूर्ण है। इस रिकॉर्ड को किसी अन्य घटना के साथ नहीं जोड़ा गया है, न ही इसका दायरा इस तरह बढ़ाया गया है कि एक ही घटना का दोहरा रिकॉर्ड बन जाए। कंपनी का संदर्भ भी यथासंभव स्पष्ट किया गया है।

Tesco खाता रखने वाले ग्राहक, लॉयल्टी कार्यक्रम में बैलेंस रखने वाले उपयोगकर्ता और अलग-अलग खुदरा खातों में एक ही पासवर्ड इस्तेमाल करने वाले लोग जोखिम में हैं। इनके लिए मुख्य जोखिम यह है कि लीक हुए डेटा का मिलान दूसरे खातों में इस्तेमाल होने वाली साझा जानकारी से किया जा सकता है। जब एक ही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम, डिवाइस ID या पासवर्ड बार-बार इस्तेमाल किया जाता है, तो हमलावर इस जानकारी को अलग-अलग सेवाओं पर आज़मा सकते हैं।

खुदरा सेवाओं के संदर्भ का दुरुपयोग पॉइंट, कूपन, ऑर्डर, डिलीवरी या खाता लॉक होने से जुड़े फ़र्ज़ी संदेशों के ज़रिए किया जा सकता है। कॉर्पोरेट उपयोगकर्ताओं के मामले में कामकाजी ईमेल और कार्यों से जुड़ी जानकारी प्रमुख होती है, जबकि व्यक्तिगत उपयोगकर्ताओं के लिए पता, जन्मतिथि, खरीदारी, स्थान या सदस्यता का संदर्भ अधिक महत्वपूर्ण होता है। शिक्षा, दूरसंचार, वित्त, यात्रा, राजनीति, नौकरी के आवेदन और VPNs जैसे क्षेत्रों में संदर्भ अपने आप में भी निशाना बनाए जाने का जोखिम बढ़ा सकता है।

प्रभावित उपयोगकर्ताओं को Tesco और उन अन्य खातों के पासवर्ड बदलने चाहिए जहाँ उन्होंने वही पासवर्ड इस्तेमाल किया था। उन्हें अपना लॉयल्टी बैलेंस भी जाँचना चाहिए। यदि पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों पर उसे बदलना चाहिए जहाँ वे वही पासवर्ड इस्तेमाल करते हैं, हर खाते के लिए अलग पासवर्ड रखना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। केवल एक प्लेटफ़ॉर्म पर कार्रवाई करना पर्याप्त नहीं हो सकता।

यदि फ़ोन, पता, जन्मतिथि, डिवाइस ID, आधिकारिक पहचान-पत्र, नौकरी के आवेदन या रिवॉर्ड बैलेंस जैसे फ़ील्ड मौजूद हैं, तो उपयोगकर्ताओं को खाता रिकवरी की जानकारी, दर्ज सेशन, ईमेल फ़ॉरवर्डिंग और संदिग्ध संदेशों की जाँच करनी चाहिए। संस्थाओं को कर्मचारियों से जुड़े अलर्ट, फ़र्ज़ी बिल और खाते के सत्यापन के प्रयासों से निपटने के लिए अपनी प्रक्रियाएँ अद्यतन करनी चाहिए।

लॉयल्टी कार्यक्रम के खातों में अलग-अलग पासवर्ड रखने चाहिए और खाते की गतिविधि की सूचनाएँ चालू रखनी चाहिए। लंबे समय में पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खाते बंद करना, प्रोफ़ाइल के अनावश्यक फ़ील्ड हटाना और डेटा को न्यूनतम रखना सुरक्षा का बुनियादी आधार बनाते हैं। चूँकि स्थायी व्यक्तिगत डेटा वापस नहीं लिया जा सकता, इसलिए सुरक्षा के लिए खाते के इस्तेमाल से जुड़ी सावधान आदतों को मज़बूत करना ज़रूरी है।

कंपनियों और संस्थाओं को घटना के बाद डेटा और प्रणालियों की सूची, पहुँच की अनुमतियों, पुराने डेटा के भंडारण, सूचना देने की प्रक्रियाओं और तीसरे पक्ष के प्लेटफ़ॉर्म के इस्तेमाल पर पुनर्विचार करना चाहिए। उपयोगकर्ताओं के लिए अलग-अलग सेवाओं पर पहचान से जुड़ी वही जानकारी दोहराने से बचना और किसी दूसरे माध्यम से संदिग्ध संदेशों की पुष्टि करने की आदत अपनाना लंबे समय तक सुरक्षा प्रदान करता है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उन्हें केवल अपना पासवर्ड ही नहीं, बल्कि यह भी जाँचना चाहिए कि उनके पॉइंट या रिवॉर्ड बैलेंस में कोई अप्रत्याशित बदलाव तो नहीं हुआ है। मेल मिलने पर उपयोगकर्ता को पहले यह पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं, फिर उन्हीं के अनुसार कदमों की प्राथमिकता तय करनी चाहिए। पासवर्ड होने पर उसे बदलने को प्राथमिकता दें; आधिकारिक पहचान-पत्र होने पर उसकी निगरानी को; स्थान या डिवाइस की जानकारी होने पर डिवाइस की सुरक्षा को; और शिक्षा या नौकरी के आवेदन की जानकारी होने पर संस्थागत खाते की जाँच को प्राथमिकता दें।

अंतिम आकलन: इस रिकॉर्ड का आकार भले ही छोटा हो, लेकिन पासवर्ड और लॉयल्टी बैलेंस शामिल होने के कारण यह खुदरा खातों से जुड़ा एक संवेदनशील मामला है। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खाते के इतिहास से करनी चाहिए और उन सेवाओं की अलग से जाँच करनी चाहिए जहाँ वे वही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम या पासवर्ड इस्तेमाल करते हैं। घटना के बाद अप्रत्याशित कॉल, संदेश, ईमेल या खाता रिकवरी की सूचनाओं को अधिक जोखिम वाला मानना चाहिए।