Tibber: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: ईमेल पते, भौगोलिक स्थान, नाम और खरीद संबंधी जानकारी। ऊर्जा की खपत और स्थान से जुड़ा डेटा फ़र्ज़ी बिलों या ग्राहक सेवा के संदेशों को अधिक विश्वसनीय बना सकता है। एक ही उपयोगकर्ता से कई डेटा फ़ील्ड जुड़े होने पर हमलावरों की फ़र्ज़ी सूचनाएँ भेजने, खाता पुनर्प्राप्ति का प्रयास करने, सोशल इंजीनियरिंग या अलग-अलग पहचान संबंधी जानकारियों को आपस में जोड़ने की कोशिशें अधिक विश्वसनीय लग सकती हैं।

इस रिकॉर्ड में पासवर्ड फ़ील्ड सूचीबद्ध नहीं है; जोखिम मुख्य रूप से ऊर्जा सेवा के खाते, बिलिंग और ग्राहकों से होने वाले संवाद से जुड़ा है। यदि पासवर्ड, पासवर्ड संकेत, निजी संदेश, आधिकारिक पहचान पत्र, वित्तीय जानकारी, स्थान या प्रोफ़ाइल फ़ोटो जैसे फ़ील्ड मौजूद हों, तो जोखिम केवल स्पैम ईमेल तक सीमित नहीं रहता। पासवर्ड रहित रिकॉर्ड में भी फ़ोन, पता, IP, जन्मतिथि या सोशल प्रोफ़ाइल की जानकारी का उपयोग लक्षित हमलों में किया जा सकता है।

इस रिकॉर्ड में tibber.com डोमेन से जुड़े लगभग 50,000 ग्राहक रिकॉर्ड शामिल हैं। इस घटना को एक पुष्ट रिकॉर्ड के रूप में वर्गीकृत किया गया है। खातों की संख्या, डोमेन नाम, देश, क्षेत्र और डेटा श्रेणियों की अलग-अलग जाँच करके इसका दायरा लिखा गया है। जो डेटा प्रकार सूचीबद्ध नहीं हैं, उन्हें इस तरह प्रस्तुत नहीं किया गया है मानो उपयोगकर्ता का वह डेटा भी इसमें मौजूद हो।

उद्योग क्षेत्र की जानकारी सुधारकर इसे ऊर्जा और बिजली आपूर्ति के रूप में दर्ज किया गया है। कुछ मामलों में कंपनी की प्रतिक्रिया तीसरे पक्ष की सेवा, फ़ोरम खाते, न्यूज़लेटर सूची या उपयोगकर्ता प्रोफ़ाइल जैसे अलग-अलग संदर्भों से संबंधित होती है। ऐसे रिकॉर्ड को अलग-अलग रखा गया है, दोहराया नहीं गया है, और घटना से जुड़ी वास्तविक सेवा का संदर्भ बनाए रखा गया है।

Tibber के ग्राहक, ऊर्जा सेवा का खाता रखने वाले व्यक्ति और वे उपयोगकर्ता जोखिम में हैं जिन्हें शहर या डाक कोड के आधार पर निशाना बनाया जा सकता है। इन उपयोगकर्ताओं के लिए मुख्य जोखिम यह है कि लीक हुए डेटा को अन्य प्लेटफ़ॉर्म पर इस्तेमाल की गई जानकारी से मिलाया जा सकता है। यदि अलग-अलग खातों में एक ही ईमेल, उपयोगकर्ता नाम, फ़ोन नंबर, IP, पता या पासवर्ड इस्तेमाल होता है, तो हमलावर इन साझा पहचान विवरणों का लाभ उठा सकते हैं।

ऊर्जा सेवा के संदर्भ का दुरुपयोग बिल, मीटर, भुगतान, छूट या सदस्यता के सत्यापन से जुड़े फ़र्ज़ी संदेशों में किया जा सकता है। फ़ोरम, गेम, व्यंजन विधियाँ, आवास, ऊर्जा, आयोजनों के टिकट, न्यूज़लेटर, सोशल मीडिया और वित्त जैसे अलग-अलग संदर्भों में अलग-अलग जोखिम होते हैं। उपयोगकर्ता को केवल डेटा फ़ील्ड ही नहीं, बल्कि यह भी देखना चाहिए कि ये फ़ील्ड किस सेवा से जुड़े हैं।

प्रभावित उपयोगकर्ताओं को बिल और भुगतान संबंधी संदेशों का सत्यापन आधिकारिक माध्यम से करना चाहिए और अपने खाते से जुड़े ईमेल की सुरक्षा जाँचनी चाहिए। यदि पासवर्ड या पासवर्ड संकेत सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों में पासवर्ड बदलना चाहिए जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया जाता है। उन्हें हर खाते के लिए अलग पासवर्ड इस्तेमाल करना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। ईमेल खाते की सुरक्षा भी जाँची जानी चाहिए।

जिन रिकॉर्ड में फ़ोन, पता, स्थान, जन्मतिथि, निजी संदेश, सोशल प्रोफ़ाइल या वित्तीय जानकारी शामिल हो, उनके मामले में उपयोगकर्ताओं को खाता पुनर्प्राप्ति के विकल्प, लॉगिन इतिहास, फ़ॉरवर्डिंग नियम और संदिग्ध सूचनाएँ जाँचनी चाहिए। कॉर्पोरेट या सार्वजनिक रूप से दिखाई देने वाली प्रोफ़ाइल वाले व्यक्तियों को लक्षित संदेशों और प्रतिष्ठा से जुड़े जोखिम पर भी विचार करना चाहिए।

ऊर्जा संबंधी गणनाओं का पुख़्ता सत्यापन, बिल की सूचनाओं की जाँच और पुराने ग्राहक डेटा को सीमित रखना महत्वपूर्ण है। लंबे समय में पासवर्ड मैनेजर का उपयोग, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खाते बंद करना और प्रोफ़ाइल से अनावश्यक जानकारी कम करना सुरक्षा के बुनियादी उपाय हैं। चूँकि स्थायी व्यक्तिगत डेटा बदला नहीं जा सकता, इसलिए उपयोगकर्ताओं को अपनी आदतों और खाता सेटिंग को अधिक सुरक्षित बनाना चाहिए।

संस्थाओं के लिए ये घटनाएँ दिखाती हैं कि बैकअप फ़ाइलों तक पहुँच, फ़ोरम खातों की अनुमतियों, न्यूज़लेटर सदस्यता डेटा, ग्राहक डेटा रखने की अवधि और सूचना देने की प्रक्रियाओं की नियमित जाँच ज़रूरी है। उपयोगकर्ताओं के लिए, अलग-अलग सेवाओं में एक ही पहचान संबंधी जानकारी दोहराने से बचना और अप्रत्याशित संदेशों का सत्यापन दूसरे माध्यम से करना लंबे समय तक सुरक्षा प्रदान करता है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उन्हें अपने ऊर्जा सेवा के खाते और ईमेल खाते में संदिग्ध सूचनाएँ जाँचनी चाहिए। मेल पाए जाने पर उपयोगकर्ता को पहले यह पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं, फिर उसी के अनुसार कदमों को प्राथमिकता देनी चाहिए। यदि पासवर्ड मौजूद है, तो पासवर्ड बदलने को प्राथमिकता दी जानी चाहिए; वित्तीय डेटा हो, तो खाते की निगरानी को; निजी संदेश या सोशल प्रोफ़ाइल हों, तो गोपनीयता संबंधी नियंत्रणों को; और स्थान की जानकारी हो, तो शारीरिक सुरक्षा के आकलन को प्राथमिकता दी जानी चाहिए।

अंतिम आकलन: हालाँकि इस रिकॉर्ड में पासवर्ड नहीं है, लेकिन ऊर्जा की खपत, स्थान और खर्च के संदर्भ के कारण इसमें मौजूद जानकारी को संवेदनशील ग्राहक डेटा माना गया है। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खाते के इतिहास से करनी चाहिए। उन्हें उन सेवाओं की अलग से जाँच करनी चाहिए जहाँ वे उसी ईमेल, फ़ोन, उपयोगकर्ता नाम, पते या पासवर्ड का उपयोग करते हैं। घटना के बाद किसी भी संदिग्ध कॉल, ईमेल, संदेश या खाता पुनर्प्राप्ति संबंधी सूचना को अधिक जोखिम वाला माना जाना चाहिए।