University of Pennsylvania: 2025 में डेटा सुरक्षा उल्लंघन

इस रिकॉर्ड में सूचीबद्ध डेटा के प्रकार हैं: धर्मार्थ दान, जन्मतिथियाँ, ईमेल पते, लिंग, आय के स्तर, पदनाम, नाम, भौतिक पते, धर्म, संबोधन और जीवनसाथियों के नाम। हर उपयोगकर्ता के लिए इन फ़ील्ड में समान रूप से जानकारी दर्ज हो, यह ज़रूरी नहीं है; कुछ अतिरिक्त जानकारी रिकॉर्ड के छोटे समूहों में ही मौजूद हो सकती है। फिर भी, दान, आय, धर्म और जीवनसाथी के नाम जैसे फ़ील्ड का सूची में होना लक्षित सोशल इंजीनियरिंग का जोखिम बढ़ाता है और निजता को प्रभावित करता है।

विश्वविद्यालयों के दानदाता डेटाबेस में पूर्व छात्र, दानदाता, परिवार, संस्थागत प्रतिनिधि और शैक्षणिक समुदाय से जुड़े लोग शामिल हो सकते हैं। इन संबंधों का इस्तेमाल फर्जी दान अभियानों, कार्यक्रमों के निमंत्रणों, पूर्व छात्र संघ के संदेशों, छात्रवृत्ति कोष की सूचनाओं या व्यक्ति के अनुरूप तैयार किए गए संदेशों के लिए किया जा सकता है। किसी व्यक्ति से उसके नाम, संबोधन, भौतिक पते और दान के इतिहास के संदर्भ के साथ संपर्क करना, सामान्य ईमेल की तुलना में अधिक भरोसेमंद लग सकता है।

धर्मार्थ दान और आय के स्तर वाले फ़ील्ड से किसी व्यक्ति की आर्थिक स्थिति या दान देने की क्षमता का अनुमान लगाया जा सकता है। यह वित्तीय खातों की सटीक जानकारी नहीं है; फिर भी, इसके आधार पर उपयोगकर्ता को निशाना बनाने के लिए पर्याप्त प्रोफ़ाइल तैयार हो सकती है। इस संदर्भ में दान जारी रखने, कर संबंधी रसीदों, धन हस्तांतरण, दिए गए दान के बराबर अतिरिक्त दान जुटाने या तत्काल सहायता माँगने वाले अभियानों के फर्जी संदेशों को सावधानी से परखना चाहिए। भुगतान का अनुरोध करने वाले किसी भी संदेश की पुष्टि स्वतंत्र माध्यम से की जानी चाहिए।

धर्म और जीवनसाथियों के नाम वाले फ़ील्ड निजता के लिहाज़ से विशेष रूप से संवेदनशील हैं। इनसे किसी व्यक्ति के परिवार और धार्मिक मान्यताओं से जुड़ी जानकारी सामने आ सकती है। यह नहीं मानना चाहिए कि हर रिकॉर्ड में ये फ़ील्ड मौजूद हैं; लेकिन जिन उपयोगकर्ताओं की यह जानकारी मौजूद है, उनके लिए सामाजिक दबाव, लक्षित रूप से बहकाए जाने या उनकी व्यक्तिगत जानकारी के आधार पर धोखाधड़ी किए जाने का जोखिम अधिक है। इसलिए इस मुद्दे को केवल संस्थागत संचार या दान प्रबंधन की समस्या के रूप में नहीं देखना चाहिए।

जन्मतिथियों, भौतिक पतों और पदनामों जैसे फ़ील्ड पहचान सत्यापन से जुड़े जोखिम और सोशल इंजीनियरिंग का खतरा बढ़ाते हैं। किसी दानदाता या पूर्व छात्र को उसके सही पदनाम, पते और जन्मतिथि के साथ भेजा गया संदेश विश्वविद्यालय की किसी इकाई या दान कार्यालय की ओर से आई सूचना जैसा लग सकता है, जबकि वह फर्जी हो सकता है। प्रोफ़ाइल अपडेट करने, दान की पुष्टि करने, कार्यक्रमों में पंजीकरण करने, कर संबंधी दस्तावेज़ों या व्यक्तिगत जानकारी के सत्यापन से जुड़े अनुरोधों में दिए गए लिंक के बजाय उपयोगकर्ताओं को विश्वविद्यालय के ज्ञात संपर्क माध्यम का इस्तेमाल करना चाहिए।

संस्थाओं के नज़रिए से यह घटना दिखाती है कि दानदाताओं के डेटाबेस केवल मार्केटिंग या संबंध प्रबंधन के साधन नहीं हैं; उनमें संवेदनशील व्यक्तिगत डेटा भी होता है। जब दान का इतिहास, आय के अनुमान, परिवार और धार्मिक मान्यताओं से जुड़ी जानकारी एक ही रिकॉर्ड में रखी जाती है, तो उल्लंघन का असर संपर्क संबंधी डेटा से कहीं आगे तक जाता है। कम से कम डेटा रखना, पुराने दानदाता रिकॉर्ड की छँटाई करना, पहुँच का दायरा सीमित करना और संवेदनशील फ़ील्ड की अलग से सुरक्षा करना बेहद महत्वपूर्ण है।

प्रभावित लोगों को University of Pennsylvania के नाम से आने वाले दान, पूर्व छात्रों के कार्यक्रमों, कर संबंधी दस्तावेज़ों, छात्रवृत्ति कोष, प्रोफ़ाइल अपडेट या व्यक्तिगत जानकारी के सत्यापन से जुड़े संदेशों के प्रति सावधान रहना चाहिए। किसी संदेश में व्यक्तिगत विवरण होने भर से उसकी विश्वसनीयता साबित नहीं होती। भुगतान, दस्तावेज़, पहचान संबंधी जानकारी या पता अपडेट करने के अनुरोधों की पुष्टि सीधे विश्वविद्यालय के ज्ञात संपर्क माध्यमों से की जानी चाहिए।

यह रिकॉर्ड दिखाता है कि शैक्षणिक संस्थानों में दानदाताओं का डेटा आपसी संबंधों का कितना विस्तृत खाका प्रस्तुत कर सकता है। जब किसी दानदाता का विश्वविद्यालय से संबंध, स्नातक होने का विवरण, दान देने की प्रवृत्ति, परिवार और संबोधन एक साथ उपलब्ध हों, तो उस व्यक्ति के अनुरूप फर्जी संदेश तैयार करना आसान हो जाता है। हमलावर इसका इस्तेमाल केवल पैसे माँगने के लिए ही नहीं, बल्कि डेटा अपडेट करने, कार्यक्रम में पंजीकरण कराने या विशेष निमंत्रण देने के बहाने और जानकारी जुटाने के लिए भी कर सकते हैं।

दान के इतिहास और आय के स्तर जैसे फ़ील्ड का इस्तेमाल किसी व्यक्ति की आर्थिक क्षमता के आधार पर उसे निशाना बनाने के लिए किया जा सकता है। धर्म और जीवनसाथी के नाम जैसे फ़ील्ड ऐसे संदेशों में इस्तेमाल हो सकते हैं जो भावनात्मक या सामाजिक दबाव पैदा करें। प्रभावित लोगों को ध्यान रखना चाहिए कि विश्वविद्यालय की ओर से आया कोई संदेश यदि बहुत व्यक्तिगत लगे, तो वह डेटा लीक का नतीजा हो सकता है। उसकी पुष्टि संदेश भेजने वाले व्यक्ति या उसमें दिए गए लिंक के ज़रिए करने के बजाय आधिकारिक, ज्ञात संपर्क माध्यमों से करनी चाहिए।