Ticketek: डेटा में सेंध

जिन डेटा श्रेणियों की पुष्टि हुई है, उनमें नाम, ईमेल पते, जन्मतिथियाँ, लिंग संबंधी डेटा, संबोधन और पासवर्ड हैश शामिल हैं। जाँचे गए डेटासेट में लगभग 3 करोड़ पंक्तियाँ थीं, लेकिन दोहराव हटाने के बाद 1,76,43,173 अलग-अलग ईमेल पते मिले; इसलिए पंक्तियों की संख्या को अलग-अलग व्यक्तियों या खातों की संख्या नहीं माना जाना चाहिए। पासवर्ड फ़ील्ड में सीधे पढ़े जा सकने वाले पासवर्ड के बजाय हैश मान थे, जिन्हें इस तरह बनाया गया था कि उनसे मूल पासवर्ड निकालना मुश्किल हो। हैशिंग एल्गोरिदम और अतिरिक्त सुरक्षा उपायों का सार्वजनिक सत्यापन नहीं हुआ है। ईमेल पते के साथ नाम, जन्मतिथि, लिंग और संबोधन की जानकारी होने से लक्षित फ़िशिंग, खाता पुनर्प्राप्ति में धोखाधड़ी और किसी की पहचान का प्रतिरूपण करने का जोखिम बढ़ जाता है। पासवर्ड हैश की मदद से कमजोर पासवर्ड के अनुमान ऑफ़लाइन जाँचे जा सकते हैं। यदि वही पासवर्ड कहीं और भी इस्तेमाल किया गया था, तो क्रेडेंशियल स्टफिंग का जोखिम भी पैदा होता है। डेटासेट में भुगतान कार्ड डेटा और अन्य भुगतान विवरण की पुष्टि नहीं हुई है, और कंपनी ने कहा था कि भुगतान संबंधी जानकारी प्रभावित नहीं हुई थी।

31 मई 2024 को Ticketek ने घोषणा की कि तीसरे पक्ष द्वारा होस्ट किए गए क्लाउड प्लेटफ़ॉर्म से ऑस्ट्रेलियाई ग्राहकों की कुछ जानकारी तक पहुँच बनाई गई हो सकती है। शुरुआती सूचना में नाम, ईमेल पते और जन्मतिथियों का उल्लेख किया गया था। उसमें कहा गया था कि ग्राहकों के पासवर्ड सुरक्षित भंडारण विधियों से संरक्षित थे और ग्राहकों के खातों या भुगतान विवरण की सुरक्षा भंग होने का कोई प्रमाण नहीं मिला था। जून में एक आपराधिक फ़ोरम पर Ticketek की मूल कंपनी का बताया गया डेटासेट लगभग 3 करोड़ पंक्तियों वाला बताकर विज्ञापित किया गया; नमूनों में पहचान से जुड़े अतिरिक्त फ़ील्ड और पासवर्ड हैश दिखाई दिए। बाद में घटना के विश्लेषण ने इसे एक व्यापक अभियान से जोड़ा, जिसमें कई संगठनों के क्लाउड डेटा भंडारों तक पहुँचने के लिए चुराए गए लॉगिन विवरण का इस्तेमाल किया गया था। कंपनी की शुरुआती सूचना में क्लाउड सेवा प्रदाता का नाम नहीं बताया गया था। इस रिकॉर्ड में 31 मई को सार्वजनिक खुलासे की तारीख माना गया है; विश्वसनीय सार्वजनिक साक्ष्य से यह स्थापित नहीं होता कि अनधिकृत पहुँच ठीक कब शुरू हुई या कब समाप्त हुई।

सबसे अधिक जोखिम वाले समूह में वे ग्राहक शामिल हैं जिन्होंने अपना Ticketek पासवर्ड किसी दूसरी सेवा पर भी इस्तेमाल किया था और जिनका डेटासेट में मौजूद ईमेल पता, जन्मतिथि और नाम अब भी उनकी वर्तमान जानकारी से मेल खाते हैं। हैश एक पढ़ा जा सकने वाला पासवर्ड नहीं होता, लेकिन हमलावर सामान्य अनुमानों को ऑफ़लाइन जाँच सकते हैं और उनसे मिले पासवर्ड को ईमेल, खरीदारी, सोशल मीडिया या अन्य टिकटिंग खातों पर आज़मा सकते हैं। जन्मतिथियों और संबोधनों की जानकारी से किसी वास्तविक कार्यक्रम, टिकट की डिलीवरी या रिफ़ंड से जुड़े संदेश अधिक विश्वसनीय लग सकते हैं। ग्राहकों के खातों या भुगतान संबंधी जानकारी की सुरक्षा भंग होने की पुष्टि नहीं हुई है, फिर भी उजागर हुए पहचान संबंधी फ़ील्ड धोखाधड़ी के लिए पर्याप्त संदर्भ देते हैं। लंबे और केवल Ticketek पर इस्तेमाल किए गए पासवर्ड वाले ग्राहकों को पासवर्ड के दोबारा इस्तेमाल से जुड़ा जोखिम कम है, लेकिन यदि उनकी पहचान संबंधी जानकारी शामिल थी, तो उनके लिए खास तौर पर तैयार किए गए फ़िशिंग संदेशों का जोखिम बना रहता है।

भले ही आपने अपना Ticketek पासवर्ड बदल दिया हो, जाँचें कि 2024 में इस्तेमाल किया गया पासवर्ड अब भी किसी दूसरे खाते पर तो नहीं है। जहाँ-जहाँ वह पासवर्ड दोबारा इस्तेमाल किया गया है, वहाँ उसकी जगह हर खाते के लिए अलग पासवर्ड रखें। अपने मुख्य ईमेल खाते, पासवर्ड मैनेजर, वित्तीय सेवाओं और उन खरीदारी खातों को प्राथमिकता दें जिनमें भुगतान का कोई तरीका सहेजा हुआ है। ईमेल और अन्य महत्वपूर्ण सेवाओं पर बहु-कारक प्रमाणीकरण चालू करें, बेहतर होगा कि इसके लिए ऑथेंटिकेटर ऐप या हार्डवेयर सुरक्षा कुंजी का इस्तेमाल करें। Ticketek के रिफ़ंड, कार्यक्रम में बदलाव, भुगतान की समस्या या पासवर्ड रीसेट से संबंधित होने का दावा करने वाले संदेशों के लिंक न खोलें; आधिकारिक साइट पर स्वयं जाएँ। खाते के सत्रों, पुनर्प्राप्ति पतों और पहचाने गए डिवाइसों की जाँच करें कि कहीं उनमें ऐसे बदलाव तो नहीं हुए जो आपने नहीं किए। भुगतान कार्ड डेटा इस उल्लंघन के सत्यापित दायरे में नहीं है, लेकिन खाते की सुरक्षा के नियमित उपायों के तहत अप्रत्याशित लेन-देन पर नज़र रखना जारी रखें। केवल इस आधार पर किसी कॉल करने वाले व्यक्ति या संदेश पर भरोसा न करें कि उसे आपका नाम, जन्मतिथि या किसी कार्यक्रम का विवरण मालूम है, और एक बार इस्तेमाल होने वाला प्रमाणीकरण कोड कभी साझा न करें।

हर ऑनलाइन सेवा के लिए एक यादृच्छिक और अलग पासवर्ड बनाने के लिए पासवर्ड मैनेजर का इस्तेमाल करें, ताकि किसी लीक हुए हैश से पासवर्ड निकाल लिए जाने पर दूसरे खातों में भी प्रवेश न किया जा सके। महत्वपूर्ण सेवाओं पर बहु-कारक प्रमाणीकरण चालू रखें, पुनर्प्राप्ति कोड सुरक्षित रूप से ऑफ़लाइन रखें और नियमित अंतराल पर खाता पुनर्प्राप्ति के विकल्पों की समीक्षा करें। टिकटिंग से जुड़े अप्रत्याशित अटैचमेंट, QR कोड, कैलेंडर आमंत्रण और भुगतान अनुरोधों की किसी अलग माध्यम से पुष्टि करें। जन्मतिथि जैसी न बदली जा सकने वाली जानकारी को स्थायी जोखिम का संकेत मानें; एक बार उजागर हो जाने पर उसका भविष्य के सोशल इंजीनियरिंग अभियानों में दोबारा इस्तेमाल किया जा सकता है। सुरक्षा प्रश्नों के लिए वास्तविक और आसानी से खोजे जा सकने वाले जवाब बार-बार देने से बचें। यदि आपको नए डिवाइस, पासवर्ड रीसेट या ईमेल पते में बदलाव का अलर्ट मिलता है, तो सीधे उस सेवा का सुरक्षा पृष्ठ खोलें, सक्रिय सत्रों को समाप्त करें और जुड़े हुए ऐप्लिकेशन को दी गई अनुमतियों की समीक्षा करें।

Ticketek के साथ इस्तेमाल किए गए अपने सभी वर्तमान और पुराने ईमेल पतों की जाँच के लिए इस पृष्ठ पर मौजूद सुरक्षित खोज फ़ील्ड का इस्तेमाल करें। खोज में आपका ईमेल पता मिलने का मतलब है कि वह पता सत्यापित डेटासेट के 1,76,43,173 अलग-अलग ईमेल पतों में से एक है; इसका मतलब यह नहीं है कि सीधे पढ़ा जा सकने वाला पासवर्ड उजागर हुआ था या खाते पर निश्चित रूप से किसी और ने नियंत्रण कर लिया था। यदि खोज में आपका ईमेल पता मिलता है, तो उन सभी खातों की पहचान करें जहाँ आपने 2024 वाला पासवर्ड दोबारा इस्तेमाल किया था और सबसे पहले महत्वपूर्ण सेवाओं को सुरक्षित करें। कोई परिणाम न मिलना पूरी सुरक्षा की गारंटी नहीं है, क्योंकि अलग ढंग से लिखा गया पता, इस डेटासेट से बाहर का कोई रिकॉर्ड या कोई अन्य डेटा उल्लंघन अब भी मौजूद हो सकता है। डेटा उल्लंघन की खोज में अपना पासवर्ड, भुगतान कार्ड नंबर या एक बार इस्तेमाल होने वाला प्रमाणीकरण कोड कभी दर्ज न करें। समय-समय पर पुराने पतों की दोबारा जाँच करने से नए प्रकाशित डेटा उल्लंघन रिकॉर्ड का जल्दी पता लगाने और आपके लिए खास तौर पर तैयार किए गए धोखाधड़ी वाले संदेशों को उन पर कार्रवाई करने से पहले पहचानने में मदद मिलती है।