Tokopedia: डेटा में सेंध

इस घटना में पासवर्ड के हैश मानों के साथ ईमेल पता, पूरा नाम, लिंग और जन्मतिथि जैसी पहचान संबंधी जानकारी उजागर हुई। ईमेल पते और पूरे नाम का मेल प्रचार अभियान, ऑर्डर, रिटर्न, शिपिंग या स्टोर खाते से जुड़े फ़र्ज़ी संदेशों को अधिक विश्वसनीय बनाता है। जन्मतिथि और लिंग संबंधी जानकारी से हमलावरों को व्यक्ति के अनुरूप संदेश तैयार करने में मदद मिलती है। हालाँकि पासवर्ड के हैश मान SHA2-384 से सुरक्षित हैं, फिर भी यदि अलग-अलग सेवाओं पर एक ही पासवर्ड इस्तेमाल किया गया है, तो हमलावर हैश से निकाले गए या अनुमान लगाए गए पासवर्ड को दूसरी साइटों पर आज़मा सकते हैं। इसलिए जोखिम को केवल Tokopedia खाते तक सीमित नहीं मानना चाहिए; उसी ईमेल पते से जुड़े अन्य खरीदारी, भुगतान, सोशल मीडिया और ईमेल खातों को भी ध्यान में रखना चाहिए।

रिकॉर्ड में डेटा लीक की तारीख 17 अप्रैल 2020, पहली बार सूचीबद्ध किए जाने की तारीख 2 मई 2020 और अपडेट की तारीख 17 जुलाई 2020 दर्ज है। LeakData जिस मुख्य दायरे का उपयोग करता है, उसमें 7,14,43,698 अलग-अलग ईमेल पते शामिल हैं। कुछ रिपोर्टों में शुरुआती फ़ाइल में 15 मिलियन पंक्तियों का उल्लेख है और बाद में लगभग 91 मिलियन असंसाधित रिकॉर्ड का दावा किया गया है; दोहराई गई पंक्तियों, अनुपस्थित फ़ील्ड या ईमेल के अलावा अन्य रिकॉर्ड के कारण ये संख्याएँ अलग-अलग ईमेल पतों की संख्या से भिन्न हो सकती हैं। इस पेज पर उपयोगकर्ता को दिखाई गई संख्या अलग-अलग ईमेल पतों की संख्या है, जो खोज परिणाम के रूप में सार्थक है। सत्यापित श्रेणियाँ जन्मतिथि, ईमेल, लिंग, नाम और पासवर्ड के हैश मानों तक सीमित हैं; भुगतान साधनों से जुड़ा डेटा इस खोज के दायरे में शामिल नहीं है।

जोखिम उन लोगों के लिए सबसे अधिक है जिन्होंने 2020 से पहले Tokopedia खाता खोला था, खरीदारी या विक्रेता सेवाओं का उपयोग किया था, अन्य सेवाओं के लिए भी उसी ईमेल पते का इस्तेमाल किया था और एक ही पासवर्ड दोबारा इस्तेमाल किया था। इंडोनेशिया स्थित ई-कॉमर्स सेवाओं से जुड़े उपयोगकर्ताओं को ऑर्डर की स्थिति, रिटर्न, भुगतान की पुष्टि, खाते के सत्यापन और प्रचार कूपन से संबंधित संदेशों को लेकर अधिक सावधान रहना चाहिए। विक्रेता खाता रखने वालों के लिए ग्राहक संदेशों, स्टोर पैनल, भुगतान सूचनाओं और फ़र्ज़ी सहायता अनुरोधों के माध्यम से जोखिम बढ़ सकता है। यदि उसी ईमेल पते का उपयोग बैंक, कूरियर, सोशल मीडिया या काम से जुड़े खाते के लिए भी किया जाता है, तो हमलावर इस जानकारी को जोड़कर खातों तक पहुँचने के प्रयास और लक्षित फ़िशिंग कर सकते हैं।

Tokopedia खाते और उसी पासवर्ड से खोले गए किसी भी अन्य खाते का पासवर्ड तुरंत बदल देना चाहिए। हर खाते के लिए अलग, लंबा और यादृच्छिक पासवर्ड चुनना चाहिए, पासवर्ड मैनेजर का उपयोग करना चाहिए और महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण चालू करना चाहिए। ऑर्डर, शिपिंग, छूट, रिटर्न, खाता लॉक होने या भुगतान सत्यापन से जुड़े ईमेल ध्यान से जाँचने चाहिए। संदेश में दिए गए लिंक पर क्लिक करने के बजाय आधिकारिक डोमेन खुद टाइप करना चाहिए और एक बार इस्तेमाल होने वाले कोड फ़ोन या संदेश के ज़रिए किसी से साझा नहीं करने चाहिए। विक्रेता खाता इस्तेमाल करने वाले लोगों को स्टोर पैनल के सत्र, अधिकृत डिवाइस और भुगतान सेटिंग भी जाँचनी चाहिए। यदि किसी संदिग्ध लॉगिन की सूचना मिले, तो सत्र बंद कर देने चाहिए और किसी विश्वसनीय माध्यम से पासवर्ड रीसेट करने की प्रक्रिया शुरू करनी चाहिए।

ई-कॉमर्स में डेटा उल्लंघनों के बाद जोखिम इसलिए बना रहता है क्योंकि ग्राहक प्रोफ़ाइल के डेटा का उपयोग पासवर्ड सूचियों और फ़िशिंग संदेशों के साथ किया जाता है। उपयोगकर्ताओं को नियमित रूप से अपने पुराने स्टोर खातों की समीक्षा करनी चाहिए, इस्तेमाल न होने वाले खाते बंद करने चाहिए, मार्केटिंग की अनुमतियाँ कम करनी चाहिए और उसी ईमेल पते से बनाए गए महत्वपूर्ण खातों पर अतिरिक्त सत्यापन का उपयोग करना चाहिए। संस्थागत स्तर पर ग्राहक डेटा न्यूनतम मात्रा में रखा जाना चाहिए, पासवर्ड हैश एल्गोरिदम मज़बूत और अद्यतन होने चाहिए, सॉल्ट और अतिरिक्त सुरक्षा उपाय लागू किए जाने चाहिए, तथा असामान्य डेटा निर्यात और बड़ी संख्या में की जाने वाली क्वेरी की निगरानी शुरुआती चेतावनी प्रणालियों से की जानी चाहिए। उपयोगकर्ताओं के लिए सूचनाएँ स्पष्ट भाषा में और तारीख के साथ तैयार की जानी चाहिए। इनमें डेटा की श्रेणियों को साफ़ तौर पर समझाया जाना चाहिए, ताकि उपयोगकर्ता जान सकें कि उन्हें किन खातों की जाँच करनी है।

आप LeakData पर अपना ईमेल पता खोजकर जाँच सकते हैं कि वह Tokopedia के डेटा लीक से मेल खाता है या नहीं। यदि मेल मिलता है, तो पहले अपने Tokopedia खाते को प्राथमिकता दें, फिर उसी ईमेल या उसी पासवर्ड का उपयोग करने वाले अन्य खातों को। पासवर्ड बदलने के साथ-साथ बहु-कारक प्रमाणीकरण चालू करना, सत्रों का इतिहास जाँचना और पुराने डिवाइस की अनुमतियाँ हटाना भी महत्वपूर्ण है। आपकी जन्मतिथि और नाम की जानकारी उजागर होने के कारण, निजी विवरण वाले संदेशों को अधिक संदेह से देखें। अप्रत्याशित डिलीवरी, रिटर्न, खाते के सत्यापन या प्रचार अभियान से जुड़े लिंक मिलने पर, अपनी जानकारी दर्ज करने से पहले आधिकारिक वेबसाइट खुद खोलें। ये कदम इस संभावना को कम करते हैं कि 2020 से मिले डेटा का उपयोग आज खातों में लॉगिन आज़माने, खरीदारी की फ़र्ज़ी सूचनाएँ भेजने और लक्षित धोखाधड़ी के लिए किया जाए।