Verifications.io: डेटा में सेंध

Verifications.io की घटना में जिन डेटा श्रेणियों की पुष्टि हुई, उनमें जन्मतिथियाँ, ईमेल पते, नियोक्ता की जानकारी, लिंग, भौगोलिक स्थान, IP पते, पदनाम, नाम और उपनाम, फ़ोन नंबर तथा भौतिक पते शामिल थे। ये विवरण अपने आप में खाते के पासवर्ड जैसी सीधी पहुँच नहीं देते। हालाँकि, इन्हें एक साथ इस्तेमाल करने से परिष्कृत सोशल इंजीनियरिंग, लक्षित फ़िशिंग, स्पैम, फ़ोन पर धोखाधड़ी और किसी कंपनी की पहचान का झूठा इस्तेमाल करने का जोखिम बढ़ जाता है। खास तौर पर, एक ही प्रोफ़ाइल में नाम, पदनाम, नियोक्ता, ईमेल और फ़ोन की जानकारी होने से हमलावर अधिक विश्वसनीय लगने वाले संदेश तैयार कर सकते हैं।

इस डेटासेट के संबंध में पासवर्ड लीक की पुष्टि नहीं हुई है। यह अंतर महत्वपूर्ण है, क्योंकि उपयोगकर्ता की शुरुआती कार्रवाई केवल पासवर्ड बदलने तक सीमित नहीं होनी चाहिए। उन्हें निजी और पेशेवर जानकारी का इस्तेमाल करके भेजे जा सकने वाले फ़र्ज़ी प्रस्तावों, फ़र्ज़ी सहायता संदेशों, फ़र्ज़ी बिलों और कामकाज से जुड़े धोखाधड़ी के प्रयासों से भी सावधान रहना चाहिए। जन्मतिथि और भौतिक पते जैसे विवरण कुछ सेवाओं में पहचान सत्यापन के सवालों या ग्राहक सहायता प्रक्रियाओं के दौरान उपयोगी संकेतों के रूप में इस्तेमाल किए जा सकते हैं। वहीं, फ़ोन नंबर वॉइस कॉल और SMS के ज़रिए धोखाधड़ी करना आसान बना सकता है।

IP पते और भौगोलिक स्थान की जानकारी से उपयोगकर्ता के अनुमानित क्षेत्र या इंटरनेट सेवा प्रदाता से उसके कनेक्शन के बारे में समझने में मदद मिल सकती है। हालाँकि, इस तरह की जानकारी को अकेले सटीक स्थान का डेटा नहीं माना जाता, लेकिन नाम और कामकाज की जानकारी के साथ मिलाकर इसका इस्तेमाल प्रोफ़ाइल में और विवरण जोड़ने के लिए किया जा सकता है। सत्यापन सेवाओं के संदर्भ में ईमेल पतों का शामिल होना संकेत देता है कि इन पतों को सक्रिय और मार्केटिंग के लिए उपयोग योग्य माना जा सकता है। इससे लीक के बाद स्पैम और लक्षित ईमेल की संख्या बढ़ने की संभावना बनती है।

पुष्ट दायरा यह है कि 25 फ़रवरी 2019 को सामने आए Verifications.io डेटा के उजागर होने से 76,31,17,241 विशिष्ट खाते प्रभावित हुए, इस घटना को 9 मार्च 2019 को सत्यापित डेटा लीक के रिकॉर्ड में जोड़ा गया, और डेटा की श्रेणियाँ ऊपर दिए गए निजी और पेशेवर विवरणों तक सीमित हैं। इस घटना का आकलन ईमेल सत्यापन और मार्केटिंग डेटा के संदर्भ में किया जाना चाहिए। डेटा का एक बड़ा हिस्सा संभवतः उन उपयोगकर्ताओं से सीधे नहीं आया था, जिन्होंने जानबूझकर Verifications.io खाते बनाए थे। इसके बजाय, वह अलग-अलग मार्केटिंग प्रक्रियाओं में एकत्र की गई सूचियों के सत्यापन और प्रसंस्करण से आया हो सकता है।

इसलिए Verifications.io के परिणामों में किसी ईमेल पते का दिखाई देना निर्णायक रूप से यह नहीं बताता कि उपयोगकर्ता इस सेवा का सदस्य है या उसका Verifications.io के साथ सीधा ग्राहक संबंध रहा है। अधिक सटीक व्याख्या यह है कि संबंधित पता मार्केटिंग या सत्यापन डेटासेट में शामिल था और निजी जानकारी के साथ उजागर हुआ हो सकता है। यह सीमा उपयोगकर्ता को दी जाने वाली सलाह को भी बदलती है: पासवर्ड-केंद्रित खाता पुनर्प्राप्ति के अलावा, निजी जानकारी के दुरुपयोग और लक्षित संपर्क के जोखिमों पर भी विचार किया जाना चाहिए।

रिकॉर्ड में लीक हुए विवरणों में पासवर्ड, भुगतान कार्ड या आधिकारिक पहचान संख्या शामिल नहीं हैं। फिर भी, रिकॉर्ड की बहुत बड़ी संख्या और प्रोफ़ाइल के अलग-अलग विवरणों का एक साथ जुड़ना इस स्थिति को गंभीर बनाता है। गलत आकलन से यह घटना एक सामान्य ईमेल सूची जैसी लग सकती है; वहीं, ज़रूरत से अधिक व्यापक आकलन पासवर्ड या वित्तीय डेटा के बारे में अपुष्ट दावों को जन्म देता है। सही तरीका यह है कि आकलन पुष्ट विवरणों पर आधारित हो और उपयोगकर्ता को स्पष्ट, व्यावहारिक तथा जोखिम के अनुरूप सुरक्षा कदम बताए जाएँ।

सबसे प्रमुख जोखिम समूह उन उपयोगकर्ताओं का है, जिनका कार्यस्थल का ईमेल पता या निजी ईमेल पता मार्केटिंग सूचियों में शामिल है। Verifications.io जैसी ईमेल सत्यापन सेवाएँ अक्सर अलग-अलग कंपनियों की अभियान सूचियों को संसाधित करती हैं, इसलिए प्रभावित व्यक्ति का इस सेवा से अनजान होना सामान्य है। भले ही उपयोगकर्ता को लगता हो कि उसने पहले संबंधित डोमेन से कोई संपर्क नहीं किया है, उसका ईमेल पता तीसरे पक्ष की सूचियों में शामिल रहा हो सकता है। यह स्थिति खास तौर पर उन लोगों के लिए महत्वपूर्ण है, जो अभियान, बिक्री, आयोजन, न्यूज़लेटर या संभावित ग्राहकों की सूचियों में शामिल हैं।

दूसरा जोखिम समूह उन कर्मचारियों का है, जिनकी पेशेवर जानकारी उनके निजी संपर्क विवरणों के साथ उजागर हुई है। नाम, उपनाम, नियोक्ता, पदनाम, फ़ोन और ईमेल की जानकारी हमलावरों को कंपनियों को निशाना बनाने के लिए ठोस संदर्भ देती है। वित्त, मानव संसाधन, खरीद, सहायता, बिक्री और वरिष्ठ प्रबंधन की टीमों में काम करने वाले लोगों को फ़र्ज़ी बिल, फ़र्ज़ी आपूर्तिकर्ता, वरिष्ठ अधिकारियों के नाम पर किए गए फ़र्ज़ी अनुरोध या बैठक के निमंत्रण जैसी स्थितियों से अधिक सावधान रहना चाहिए। यह घटना साबित नहीं करती कि कंपनी के सिस्टम में सेंध लगी है; हालाँकि, इससे कर्मचारियों को निशाना बनाना आसान हो सकता है।

तीसरा जोखिम समूह उन लोगों का है, जिनके भौतिक पते, जन्मतिथि या फ़ोन नंबर का मिलान इस रिकॉर्ड से होता है। यह जानकारी अपने आप में पहचान की चोरी साबित नहीं करती; हालाँकि, इससे धोखेबाज़ों के लिए ऐसा दिखाना आसान हो जाता है कि वे उस व्यक्ति को जानते हैं। उपयोगकर्ता को नाम से संबोधित करने वाले या उसके स्थान या कार्यस्थल का उल्लेख करने वाले संदेश अधिक विश्वसनीय लग सकते हैं। इसलिए प्रभावित लोगों को केवल अपना ईमेल इनबॉक्स ही नहीं, बल्कि फ़ोन कॉल, टेक्स्ट संदेश और सोशल नेटवर्क पर जुड़ने के अनुरोध भी सावधानी से परखने चाहिए।

जिन उपयोगकर्ताओं की जानकारी इस घटना से मेल खाती है, उन्हें आने वाले ईमेल और फ़ोन कॉल में अप्रत्याशित अनुरोधों से सावधान रहना चाहिए। चूँकि पासवर्ड लीक की पुष्टि नहीं हुई है, सबसे पहली प्राथमिकता लिंक पर क्लिक करवाने, फ़र्ज़ी भुगतान, फ़र्ज़ी सहायता, फ़र्ज़ी नौकरी के प्रस्ताव और निजी जानकारी पूरी करने के अनुरोध जैसे जाल पहचानना है। ईमेल में दिए गए लिंक पर क्लिक करने के बजाय संबंधित संस्था का पता ब्राउज़र में खुद टाइप करना चाहिए। संलग्न फ़ाइलें खोलने से पहले किसी अलग माध्यम से भेजने वाले की पहचान सत्यापित करनी चाहिए और निजी जानकारी माँगने वाले फ़ॉर्म की सावधानी से जाँच करनी चाहिए।

दूसरा कदम महत्वपूर्ण खातों की सुरक्षा सेटिंग की समीक्षा करना है। ईमेल खातों, बैंकिंग, खरीदारी, सोशल मीडिया और कामकाज के साधनों के लिए बहु-कारक प्रमाणीकरण चालू करना चाहिए। Verifications.io की घटना में पासवर्ड डेटा की पुष्टि नहीं हुई थी, फिर भी हमलावर निजी जानकारी का इस्तेमाल करके पासवर्ड रीसेट की प्रक्रियाओं या ग्राहक सहायता से बातचीत के दौरान अपनी बात विश्वसनीय ढंग से पेश कर सकते थे। इसलिए खाता पुनर्प्राप्ति के लिए दर्ज ईमेल पते, फ़ोन नंबर, सक्रिय सत्र और हाल की लॉगिन गतिविधि जाँचनी चाहिए।

तीसरा कदम स्पैम और मार्केटिंग संदेशों पर नज़र रखना है। इस घटना से प्रभावित ईमेल पतों पर अवांछित संदेशों की संख्या बढ़ना आश्चर्यजनक नहीं है। उपयोगकर्ताओं को संदिग्ध अभियानों के सदस्यता समाप्त करने वाले लिंक पर बिना सोचे-समझे क्लिक नहीं करना चाहिए। इसके बजाय, उन्हें विश्वसनीय ईमेल क्लाइंट की स्पैम और ब्लॉक करने की सुविधाओं का इस्तेमाल करना चाहिए। कॉर्पोरेट उपयोगकर्ता यह जाँच सकते हैं कि क्या एक ही डोमेन वाले बड़ी संख्या में कर्मचारी प्रभावित हैं, और उसके आधार पर जागरूकता सूचना तथा फ़िशिंग सिमुलेशन जैसे उपायों को प्राथमिकता दे सकते हैं।

चौथा कदम निजी जानकारी के दुरुपयोग से जुड़े मामलों का रिकॉर्ड रखना है। संदिग्ध कॉल, फ़र्ज़ी बिल संबंधी अनुरोध, अप्रत्याशित खाता सूचनाएँ और प्रमाणीकरण के प्रयास उनकी तारीखों के साथ दर्ज करने चाहिए। यह जानकारी व्यक्तिगत सुरक्षा पर नज़र रखने और संस्था के भीतर सुरक्षा घटना से निपटने की प्रक्रिया, दोनों में उपयोगी है। यदि भौतिक पते और फ़ोन की जानकारी दिखाई दे रही हो, तो उपयोगकर्ताओं को शिपिंग, सदस्यता, वित्तीय और सार्वजनिक सेवाओं से जुड़ी सूचनाओं में अप्रत्याशित बदलावों के प्रति अधिक सावधान रहना चाहिए।

Verifications.io डेटा लीक दिखाता है कि उपयोगकर्ताओं का डेटा ऐसी सेवाओं के पास भी मौजूद हो सकता है, जिनसे उनका कोई सीधा संबंध नहीं है। लंबे समय की सुरक्षा के लिए ईमेल पतों को उनके उद्देश्य के अनुसार अलग रखना, महत्वपूर्ण खातों के लिए अलग-अलग ईमेल पते या ईमेल एलियस इस्तेमाल करना और अनावश्यक मार्केटिंग अनुमतियों को सीमित करना प्रभावी उपाय हैं। हर फ़ॉर्म में निजी फ़ोन नंबर और पते की जानकारी साझा न करने से भविष्य के संभावित डेटासेट में आपकी पूरी प्रोफ़ाइल तैयार होने की संभावना घटती है। यह तरीका किसी एक घटना का असर पूरी डिजिटल पहचान तक फैलना कठिन बनाता है।

संस्थाओं के लिए एक स्थायी रणनीति यह है कि वे नियमित रूप से निगरानी करें कि कर्मचारियों के ईमेल पते बाहरी डेटा लीक में दिखाई दे रहे हैं या नहीं, और परिणामों का आकलन व्यावसायिक जोखिम के साथ करें। मार्केटिंग, बिक्री और सहायता टीमों का अधिक बाहरी सूचियों में दिखाई देना स्वाभाविक हो सकता है; इससे वे लक्षित धोखाधड़ी करने वालों की नज़र में अधिक आ सकती हैं। कंपनियों को MFA का दायरा बढ़ाना चाहिए, वित्तीय लेनदेन की मंज़ूरी के लिए किसी दूसरे माध्यम से सत्यापन करना चाहिए और आपूर्तिकर्ता बदलने तथा भुगतान अनुरोधों की प्रक्रियाओं को लिखित नियमों में औपचारिक रूप देना चाहिए।

केवल आवश्यक डेटा एकत्र करना भी इस घटना से मिलने वाली महत्वपूर्ण सीखों में से एक है। कंपनियों को संभावित ग्राहकों और मार्केटिंग की सूचियों में ऐसे निजी विवरण नहीं जुटाने चाहिए, जिनकी उन्हें ज़रूरत नहीं है। उन्हें डेटा रखने की अवधि सीमित करनी चाहिए और तीसरे पक्ष की डेटा प्रसंस्करण सेवाओं का नियमित ऑडिट करना चाहिए। उपयोगकर्ताओं के लिए नियमित डेटा लीक जाँच, स्पैम फ़िल्टर, सुरक्षा सूचनाएँ और सोच-समझकर जानकारी साझा करने की आदतें एक साथ अपनाना ज़रूरी है। भले ही बड़े पैमाने पर मार्केटिंग डेटा के लीक को पूरी तरह रोकना संभव न हो, इन उपायों से उसका असर कम किया जा सकता है।

यदि आपका ईमेल पता Verifications.io डेटा लीक में दिखाई देता है, तो इसका अर्थ यह न समझें कि आपने जानबूझकर संबंधित सेवा में पंजीकरण किया था। यह परिणाम बताता है कि आपका ईमेल पता और कुछ निजी या पेशेवर जानकारी मार्केटिंग सत्यापन डेटा में शामिल रही हो सकती है। प्राथमिकता यह समझना है कि कौन-से विवरण दिखाई दिए और उन विवरणों के दुरुपयोग से आने वाले संभावित संदेशों के लिए तैयार रहना है।

निजी ईमेल इस्तेमाल करने वालों को स्पैम, फ़र्ज़ी सहायता और फ़र्ज़ी अभियान संदेशों से सावधान रहना चाहिए; कॉर्पोरेट उपयोगकर्ताओं को कंपनी के डोमेन पर भेजे जाने वाले लक्षित धोखाधड़ी के प्रयासों पर नज़र रखनी चाहिए। भले ही पासवर्ड लीक की पुष्टि नहीं हुई हो, महत्वपूर्ण खातों पर MFA का इस्तेमाल करना और सुरक्षा सेटिंग जाँचना फिर भी अच्छा सुरक्षा उपाय है। लॉग की नियमित जाँच से यह समझने में मदद मिलती है कि क्या वही ईमेल पता अलग-अलग डेटा लीक में दिखाई देता है, और कौन-सा सुरक्षा कदम पहले उठाना चाहिए।