V-Tight Gel डेटा उजागर होने का कथित मामला

सत्यापित डेटा फ़ील्ड में ईमेल पते, IP पते, नाम, फ़ोन नंबर और भौतिक पते शामिल हैं। ईमेल पता उपयोगकर्ता से संपर्क करने का प्रमुख माध्यम है। फ़ोन नंबर के साथ मिलकर यह SMS, कॉल और खाता रिकवरी से जुड़ी धोखाधड़ी के लिए उपयोगकर्ता की अधिक विस्तृत प्रोफ़ाइल तैयार करने में मदद करता है। नाम और भौतिक पते का एक साथ इस्तेमाल करके हमलावर डिलीवरी, बिलिंग, स्वास्थ्य उत्पाद, सदस्यता या सामान लौटाने से जुड़े ऐसे संदेश तैयार कर सकते हैं जो उस व्यक्ति के लिए बनाए गए लगें। IP पता अनुमानित क्षेत्र और इंटरनेट इस्तेमाल करने के परिवेश के बारे में अतिरिक्त संकेत दे सकता है।

इन जानकारियों का एक साथ उपलब्ध होना गंभीर असर डाल सकता है, भले ही इनमें वित्तीय लेनदेन के लिए इस्तेमाल होने वाले कार्डों की जानकारी न हो। इसकी वजह यह है कि पते, नाम और फ़ोन नंबर आसानी से नहीं बदले जा सकते। विशेष रूप से संवेदनशील व्यक्तिगत देखभाल या वयस्क उत्पादों की श्रेणियों से जुड़ा डेटा सेट उपयोगकर्ताओं की निजता और प्रतिष्ठा के लिए जोखिम पैदा कर सकता है। हमलावर असली नाम या पते का कोई हिस्सा दिखाकर अपने संदेशों को विश्वसनीय बना सकते हैं। इसलिए V-Tight Gel लीक का आकलन केवल ईमेल सुरक्षा के लिहाज़ से नहीं, बल्कि फ़ोन और पते की सुरक्षा के लिहाज़ से भी किया जाना चाहिए।

घटना की तारीख 13 फ़रवरी 2016 दर्ज की गई है। प्रभावित खातों की संख्या 20,13,164 प्रतीत होती है और सूची में इसे शामिल किए जाने की तारीख 17 नवंबर 2017 सत्यापित की गई है। रिकॉर्ड में संशोधन की तारीख भी उसी दिन, 17 नवंबर 2017, को 07:47:39 UTC है। यह अंतर महत्वपूर्ण है; डेटा उल्लंघन के समय को उस समय से नहीं मिलाना चाहिए जब डेटा सेट को बाद में सुरक्षा सूचियों में जोड़ा गया था। उपयोगकर्ता को V-Tight Gel के लिए दिखाई जाने वाली तारीख घटना के वास्तविक समय को दर्शानी चाहिए।

V-Tight Gel घटना में पासवर्ड, भुगतान कार्ड, आधिकारिक पहचान संख्या, जन्मतिथि, खरीदारी का इतिहास या निजी संदेशों की सामग्री सत्यापित डेटा फ़ील्ड में शामिल नहीं हैं। इसके दायरे का वर्णन केवल ईमेल, IP, नाम, फ़ोन और भौतिक पते वाले फ़ील्ड के आधार पर किया जाना चाहिए। घटना असत्यापित श्रेणी में ही रहनी चाहिए। हालाँकि डेटा में सही व्यक्तिगत जानकारी के उदाहरण मौजूद हैं, लेकिन यह बताया गया है कि सेवा के मालिक से कोई स्पष्ट जवाब नहीं मिला और पूरे डेटा सेट के मूल स्रोत की पुष्टि नहीं हुई है। फिर भी, इसे संवेदनशील श्रेणी में रखा जाना चाहिए, क्योंकि किसी व्यक्ति को ऐसे उत्पाद या सेवा से जोड़ना उसके लिए नुकसानदेह हो सकता है।

सबसे अधिक जोखिम उन लोगों को है जो खरीदारी, स्वास्थ्य, सोशल मीडिया या काम से जुड़े खातों के लिए एक ही ईमेल पते का इस्तेमाल करते हैं। ईमेल पते के साथ फ़ोन नंबर और पता मिलने पर हमलावर ऐसे संदेश भेज सकते हैं जो उपयोगकर्ता को कहीं अधिक व्यक्तिगत लगें। उदाहरण के लिए, डिलीवरी, सामान लौटाने, बकाया राशि, सदस्यता या उत्पाद संबंधी रिमाइंडर जैसे विषय वास्तविक लग सकते हैं। पते की जानकारी के मामले में केवल ऑनलाइन सुरक्षा ही नहीं, बल्कि भौतिक निजता पर भी ध्यान देना ज़रूरी है।

जिन व्यक्तियों को संवेदनशील व्यक्तिगत देखभाल उत्पादों से जोड़ा जा सकता है, उनकी प्रतिष्ठा को नुकसान पहुँचने और उन पर दबाव डाले जाने का जोखिम भी है। हमलावर उपयोगकर्ता को शर्मिंदा करने के इरादे से ईमेल या फ़ोन के ज़रिए संदेश भेज सकते हैं। ऐसे संदेशों में भुगतान की माँग, लिंक पर क्लिक करवाने या अटैचमेंट खुलवाने की कोशिश, या और व्यक्तिगत जानकारी माँगना शामिल हो सकता है। अगर कंपनी के ईमेल या काम के फ़ोन का इस्तेमाल किया गया हो, तो जोखिम व्यक्तिगत दायरे से आगे बढ़कर कंपनी की सुरक्षा और सोशल इंजीनियरिंग का जोखिम बन सकता है।

जिन उपयोगकर्ताओं की जाँच में V-Tight Gel डेटा से मेल मिलता है, उन्हें सबसे पहले अपने ईमेल खाते सुरक्षित करने चाहिए। ईमेल खाते के लिए मज़बूत और केवल उसी खाते में इस्तेमाल होने वाला पासवर्ड, दो-कारक प्रमाणीकरण और सक्रिय सत्रों की निगरानी अपनानी चाहिए। हालाँकि इस घटना में किसी पासवर्ड को सत्यापित जानकारी के रूप में सूचीबद्ध नहीं किया गया है, फिर भी पासवर्ड सुरक्षा की अच्छी आदतों की अनदेखी नहीं करनी चाहिए, क्योंकि वही ईमेल पता अन्य डेटा लीक में शामिल हो सकता है। फ़ोन नंबर पर आए टेक्स्ट संदेशों के लिंक पर क्लिक करने से पहले भेजने वाले और संदेश के विषय की सावधानी से जाँच करनी चाहिए।

पते, फ़ोन या नाम की जानकारी वाले अप्रत्याशित संदेशों को अपने आप भरोसेमंद नहीं मानना चाहिए। शिपिंग, भुगतान, सामान लौटाने, सदस्यता या स्वास्थ्य उत्पादों से जुड़े संदेश मिलने पर उपयोगकर्ता को स्थिति जाँचने के लिए सीधे अपने खाते में जाना चाहिए। ईमेल में दिए लिंक पर क्लिक करने के बजाय ब्राउज़र में वेबसाइट का पता खुद टाइप करना अधिक सुरक्षित है। ब्लैकमेल या धमकी वाले संदेश मिलने पर कोई भुगतान नहीं करना चाहिए, स्क्रीनशॉट और भेजने वाले की जानकारी सुरक्षित रखनी चाहिए और ज़रूरत पड़ने पर संस्था की सुरक्षा टीम या संबंधित सहायता माध्यम को सूचित करना चाहिए।

लंबी अवधि में संवेदनशील उत्पादों, स्वास्थ्य या व्यक्तिगत देखभाल की श्रेणियों के लिए मुख्य ईमेल पते का इस्तेमाल न करना अधिक सुरक्षित हो सकता है। अलग-अलग ईमेल पते और सीमित प्रोफ़ाइल जानकारी रखने से विभिन्न डेटा लीक को आसानी से एक ही व्यक्ति से जोड़ना मुश्किल हो जाता है। हर सदस्यता के लिए फ़ोन नंबर देना आवश्यक न हो तो उसे साझा नहीं करना चाहिए। पते की जानकारी केवल उन लेनदेन के लिए दर्ज करनी चाहिए जिनमें वास्तव में डिलीवरी की ज़रूरत हो, और पुराने खातों में सहेजे गए पते नियमित अंतराल पर हटा देने चाहिए।

उपयोगकर्ताओं को अपने ईमेल और फ़ोन नंबरों से जुड़े सुरक्षा अलर्ट पर नियमित रूप से नज़र रखनी चाहिए। पते और फ़ोन नंबर जैसी ऐसी जानकारी उजागर होने पर, जिसे बदलना मुश्किल हो, जोखिम कई वर्षों तक बना रह सकता है। इसलिए केवल एक बार पासवर्ड बदल देना पर्याप्त नहीं है। फ़िशिंग के प्रति सजग रहना, दो-कारक प्रमाणीकरण अपनाना, अलग-अलग ईमेल इस्तेमाल करना, अनावश्यक प्रोफ़ाइल जानकारी कम करना और पुराने खाते बंद करना स्थायी आदतें बन जानी चाहिए। संवेदनशील सेवाओं को दी जाने वाली जानकारी न्यूनतम रखना सबसे व्यावहारिक बचाव है।

व्यक्तियों की असत्यापित संख्या, असत्यापित डेटा फ़ील्ड और हमलावरों के दावों को घटना के सार्वजनिक दायरे का हिस्सा नहीं माना जाता। जाँच में मेल मिलने का मतलब है कि उपयोगकर्ता का नाम, ईमेल, फ़ोन, पता या IP जानकारी इस डेटा सेट से जुड़ी हो सकती है। पहला कदम ईमेल और फ़ोन की सुरक्षा बढ़ाना है, दूसरा कदम पते की जानकारी वाले फ़र्ज़ी संदेशों से सावधान रहना है और तीसरा कदम उसी ईमेल से खोले गए संवेदनशील खातों की समीक्षा करना है।

इस घटना में कुल 20,13,164 खातों पर असर की पुष्टि हुई है और जोखिम वित्तीय रिकॉर्ड के बजाय व्यक्तिगत संपर्क जानकारी और निजता पर अधिक केंद्रित है। जाँच में मेल मिलने पर उपयोगकर्ता को ईमेल के सत्र जाँचने चाहिए, दो-कारक प्रमाणीकरण चालू करना चाहिए, SMS और कॉल के ज़रिए होने वाली धोखाधड़ी से सावधान रहना चाहिए और पते की जानकारी वाले अप्रत्याशित संदेशों पर सत्यापन के बिना कोई कार्रवाई नहीं करनी चाहिए। V-Tight Gel लीक दिखाता है कि व्यक्तिगत देखभाल और स्वस्थ जीवनशैली से जुड़े खातों में साझा की गई जानकारी निजता पर लंबे समय तक असर डाल सकती है।