Upstox: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: बैंक खाता संख्याएँ, जन्मतिथियाँ, ईमेल पते, परिवार के सदस्यों के नाम, लिंग, आधिकारिक पहचान संबंधी जानकारी, आय का स्तर, वैवाहिक स्थिति, राष्ट्रीयता, व्यवसाय, पासवर्ड, फ़ोन नंबर और भौतिक पते। वित्तीय जानकारी और आधिकारिक पहचान से जुड़े फ़ील्ड का इस्तेमाल निवेश खातों में धोखाधड़ी, पहचान की चोरी और लक्षित सोशल इंजीनियरिंग के लिए किया जा सकता है। कई फ़ील्ड को एक ही उपयोगकर्ता से जोड़ने पर हमलावरों के फ़र्ज़ी सूचनाएँ भेजने, खाता पुनर्प्राप्त करने, सोशल इंजीनियरिंग करने या पहचान संबंधी जानकारी को आपस में जोड़ने के प्रयास अधिक विश्वसनीय लग सकते हैं।

उपलब्ध जानकारी के अनुसार, पासवर्ड bcrypt हैश मानों से जुड़े हैं। फिर भी, यदि वही पासवर्ड दूसरे वित्तीय या ईमेल खातों में इस्तेमाल किया गया है, तो उसे तुरंत बदल देना चाहिए। यदि पासवर्ड, पासवर्ड संकेत, निजी संदेश, आधिकारिक पहचान-पत्र, वित्तीय जानकारी, स्थान या प्रोफ़ाइल फ़ोटो जैसे फ़ील्ड मौजूद हों, तो जोखिम केवल अनचाहे ईमेल तक सीमित नहीं रहता। जिन रिकॉर्ड में पासवर्ड नहीं है, उनमें भी फ़ोन नंबर, पता, IP, जन्मतिथि या सोशल प्रोफ़ाइल की जानकारी का इस्तेमाल लक्षित हमलों में किया जा सकता है।

इस सेंध में upstox.com डोमेन से जुड़े लगभग 1,11,000 ग्राहक खाते शामिल हैं। इस घटना को पुष्टि की जा चुकी सेंध के रूप में वर्गीकृत किया गया है। खातों की संख्या, डोमेन, देश, क्षेत्र और डेटा श्रेणियों की अलग-अलग जाँच करके इसका दायरा दर्ज किया गया है। जो डेटा प्रकार सूचीबद्ध नहीं हैं, उन्हें इस तरह नहीं दिखाया गया है मानो वे उपयोगकर्ता के रिकॉर्ड में मौजूद हों।

वित्तीय जानकारी और ग्राहक पहचान संबंधी डेटा के कारण संवेदनशीलता का स्तर बढ़ाया गया है। साथ ही, संशोधन की पहले पुरानी पड़ चुकी तारीख को मूल रिकॉर्ड की तारीख के अनुरूप किया गया है। कुछ घटनाओं में कंपनी की प्रतिक्रिया अलग-अलग संदर्भों से जुड़ी हो सकती है, जैसे किसी तृतीय-पक्ष सेवा, फ़ोरम खाते, न्यूज़लेटर सूची या उपयोगकर्ता प्रोफ़ाइल से। इन रिकॉर्ड को अलग-अलग रखा गया है, उनकी प्रतियाँ नहीं बनाई गई हैं और घटना का वास्तविक सेवा-संदर्भ बनाए रखा गया है।

Upstox के ग्राहक, निवेश खाता रखने वाले व्यक्ति और वे उपयोगकर्ता जोखिम में हैं जिनकी आधिकारिक पहचान या बैंक संबंधी जानकारी उजागर हुई है। इन उपयोगकर्ताओं के लिए मुख्य जोखिम यह है कि लीक हुए फ़ील्ड को दूसरे प्लेटफ़ॉर्म पर इस्तेमाल की गई जानकारी से मिलाया जा सकता है। यदि एक ही ईमेल, उपयोगकर्ता नाम, फ़ोन नंबर, IP, पता या पासवर्ड अलग-अलग खातों में इस्तेमाल होता है, तो हमलावर इन साझा पहचान-सूचकों का फ़ायदा उठा सकते हैं।

ब्रोकरेज से जुड़े संदर्भ का इस्तेमाल फ़र्ज़ी निवेश सलाह, खाते के सत्यापन, दस्तावेज़ों के नवीनीकरण, बैंक खाते की पुष्टि या पोर्टफ़ोलियो अलर्ट वाले संदेशों में किया जा सकता है। फ़ोरम, गेम, व्यंजन विधियों, ठहरने की व्यवस्था, ऊर्जा, कार्यक्रमों के टिकट, न्यूज़लेटर, सोशल मीडिया और वित्त जैसे अलग-अलग संदर्भों में जोखिम भी अलग होते हैं। उपयोगकर्ता को केवल डेटा फ़ील्ड ही नहीं, बल्कि यह भी ध्यान में रखना चाहिए कि वे किस सेवा से जुड़े हैं।

प्रभावित उपयोगकर्ताओं को अपने वित्तीय खातों, बैंक से मिली सूचनाओं, पहचान दस्तावेज़ों के आधार पर किए गए आवेदनों और ईमेल की सुरक्षा की जाँच करनी चाहिए। यदि पासवर्ड या पासवर्ड संकेत सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों का पासवर्ड बदलना चाहिए जिनमें वे वही या मिलता-जुलता पासवर्ड इस्तेमाल करते हैं। उन्हें हर खाते के लिए अलग पासवर्ड रखना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। ईमेल खाते की सुरक्षा की भी जाँच करनी चाहिए।

जिन रिकॉर्ड में फ़ोन, पता, स्थान, जन्मतिथि, निजी संदेश, सोशल प्रोफ़ाइल या वित्तीय जानकारी मौजूद है, उनसे जुड़े खातों में उपयोगकर्ताओं को खाता पुनर्प्राप्ति के विकल्पों, सत्र इतिहास, फ़ॉरवर्डिंग नियमों और संदिग्ध सूचनाओं की जाँच करनी चाहिए। कॉर्पोरेट या सार्वजनिक रूप से उपलब्ध प्रोफ़ाइल वाले व्यक्तियों को लक्षित संदेशों और प्रतिष्ठा से जुड़े जोखिम पर भी विचार करना चाहिए।

वित्तीय खातों में मज़बूत बहु-कारक प्रमाणीकरण, लेन-देन के अलर्ट, पहचान के इस्तेमाल की निगरानी और दस्तावेज़ों के दुरुपयोग को रोकने के उपाय लंबे समय तक सुरक्षा देते हैं। पासवर्ड मैनेजर का इस्तेमाल, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खातों को बंद करना और प्रोफ़ाइल में अनावश्यक जानकारी कम रखना दीर्घकालिक सुरक्षा के बुनियादी उपाय हैं। स्थायी व्यक्तिगत जानकारी बदली नहीं जा सकती, इसलिए उपयोगकर्ता की आदतों और खाते की सेटिंग को अधिक सुरक्षित बनाया जाना चाहिए।

संस्थानों के लिए ये घटनाएँ दिखाती हैं कि बैकअप फ़ाइलों तक पहुँच, फ़ोरम खातों की अनुमतियों, न्यूज़लेटर सदस्यता डेटा, ग्राहक डेटा को सुरक्षित रखने की अवधि और सूचना देने की प्रक्रियाओं का नियमित ऑडिट ज़रूरी है। उपयोगकर्ताओं के लिए अलग-अलग सेवाओं पर एक ही पहचान संबंधी जानकारी बार-बार इस्तेमाल न करना और अप्रत्याशित संदेशों की पुष्टि किसी दूसरे माध्यम से करना स्थायी सुरक्षा देता है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उन्हें तुरंत अपने बैंकिंग, निवेश और ईमेल खातों की सुरक्षा सेटिंग की समीक्षा करनी चाहिए। मेल दिखाई देने पर उपयोगकर्ता को पहले यह पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं और फिर उसी के अनुसार कदमों को प्राथमिकता देनी चाहिए। यदि पासवर्ड मौजूद है, तो पासवर्ड बदलने को प्राथमिकता दें; यदि वित्तीय डेटा है, तो खाते की निगरानी को; यदि निजी संदेश या सोशल प्रोफ़ाइल हैं, तो गोपनीयता की जाँच को; और यदि स्थान संबंधी जानकारी है, तो भौतिक सुरक्षा के आकलन को प्राथमिकता दें।

अंतिम आकलन: यह रिकॉर्ड अत्यधिक संवेदनशील वित्तीय डेटा से जुड़ी घटना है, क्योंकि इसमें बैंक खाते, आधिकारिक पहचान-पत्र, पते, आय और पासवर्ड के फ़ील्ड एक साथ मौजूद हैं। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खाते के इतिहास से करनी चाहिए। जिन सेवाओं पर वे वही ईमेल, फ़ोन, उपयोगकर्ता नाम, पता या पासवर्ड इस्तेमाल करते हैं, उनकी अलग से जाँच करनी चाहिए। घटना के बाद किसी संदिग्ध खोज, ईमेल, संदेश या खाता पुनर्प्राप्ति की सूचना को अधिक जोखिम वाला माना जाना चाहिए।