Vietnam Airlines: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: जन्मतिथियाँ, ईमेल पते, लॉयल्टी कार्यक्रम की जानकारी, नाम और फ़ोन नंबर। लॉयल्टी सदस्यता संख्याओं और फ़ोन संबंधी जानकारी की मदद से उड़ान, पॉइंट रिडीम करने, अपग्रेड या बुकिंग से जुड़े फर्जी संदेश विश्वसनीय लग सकते हैं। इन विवरणों के एक साथ उपलब्ध होने से हमलावरों के लिए खाते से जुड़ी फर्जी सूचनाएँ तैयार करना, धोखाधड़ी करना, पहचान संबंधी विवरणों को आपस में जोड़ना या लक्षित सोशल इंजीनियरिंग के प्रयास करना आसान हो सकता है।

इस रिकॉर्ड में पासवर्ड, भुगतान कार्ड या पासपोर्ट नंबर सूचीबद्ध नहीं है; जोखिम मुख्य रूप से लॉयल्टी कार्यक्रमों और ग्राहक संचार से जुड़ा है। पासवर्ड न होने पर भी जोखिम पूरी तरह समाप्त नहीं होता; पता, फ़ोन नंबर, जन्मतिथि, डिवाइस की जानकारी, व्यावसायिक प्रोफ़ाइल, लॉयल्टी कार्यक्रम, वेब गतिविधि या खरीदारी की जानकारी भी उपयोगकर्ता को निशाना बनाने के लिए पर्याप्त हो सकती है। यदि पासवर्ड शामिल है, तो तुरंत जाँचना चाहिए कि क्या वही पासवर्ड अन्य सेवाओं पर भी इस्तेमाल किया गया है।

इस रिकॉर्ड में vietnamairlines.com डोमेन से जुड़े लगभग 73.2 लाख अद्वितीय ईमेल पते शामिल हैं। यह घटना सत्यापित रिकॉर्ड की श्रेणी में आती है। डोमेन, कंपनी के संदर्भ, देश, उद्योग, खातों की संख्या और डेटा श्रेणियों की तुलना करके इसका दायरा निर्धारित किया गया। उपयोगकर्ता को केवल वही डेटा फ़ील्ड दिखाए जाते हैं जो रिकॉर्ड में सूचीबद्ध हैं।

क्षेत्र का वर्गीकरण सुधारकर “अन्य” के बजाय एयरलाइन और लॉयल्टी कार्यक्रम किया गया है, और देश को वियतनाम किया गया है। कुछ मामलों में कंपनी का सत्यापन सीमित हो सकता है या डेटा सेट तीसरे पक्ष के परिवेशों में फैल गया हो सकता है। इस मामले में विवरण उन पहलुओं पर केंद्रित है जो उपयोगकर्ता के वास्तविक जोखिम को दर्शाते हैं, और अनिश्चित बातों को बढ़ा-चढ़ाकर पेश नहीं करता।

Vietnam Airlines के ग्राहक, लॉयल्टी कार्यक्रम के सदस्य और वे यात्री जोखिम में हैं जिनके फ़ोन नंबर या जन्मतिथि वाले फ़ील्ड उजागर हुए हैं। इन उपयोगकर्ताओं के लिए मुख्य जोखिम यह है कि लीक हुए विवरणों का मिलान अन्य प्लेटफ़ॉर्म पर इस्तेमाल होने वाली सामान्य जानकारी से किया जा सकता है। यदि अलग-अलग खातों में एक ही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम, पता, सोशल प्रोफ़ाइल या पासवर्ड इस्तेमाल किया जाता है, तो हमले के संभावित रास्ते बढ़ जाते हैं।

एयरलाइन का संदर्भ फर्जी आरक्षण, चेक-इन, पॉइंट के उपयोग, उड़ान में बदलाव या पहचान सत्यापन के संदेशों में इस्तेमाल किया जा सकता है। गेमिंग, खुदरा बिक्री, भुगतान, सोशल प्रोफ़ाइल, यात्रा, निवेश, एयरलाइन और स्वास्थ्य एवं तंदुरुस्ती से जुड़े संदर्भों में अलग-अलग जोखिम होते हैं। उपयोगकर्ता को केवल डोमेन की सूची ही नहीं, बल्कि यह भी देखना चाहिए कि वे डोमेन किस खाते या सेवा से जुड़े हैं।

प्रभावित उपयोगकर्ताओं को अपने लॉयल्टी कार्यक्रम के खातों, पॉइंट के लेन-देन और फ़ोन पर प्राप्त उड़ान संबंधी सूचनाओं की पुष्टि आधिकारिक माध्यमों से करनी चाहिए। यदि पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों में उसे बदलना चाहिए जहाँ वे वही या मिलता-जुलता पासवर्ड इस्तेमाल करते हैं, हर खाते के लिए अलग पासवर्ड रखना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण सक्षम करना चाहिए। ईमेल खाते को भी सुरक्षित रखना चाहिए।

यदि पता, फ़ोन नंबर, जन्मतिथि, डिवाइस, व्यावसायिक प्रोफ़ाइल, खरीदारी या लॉयल्टी कार्यक्रम जैसे फ़ील्ड शामिल हैं, तो उपयोगकर्ताओं को खाता पुनर्प्राप्ति के विकल्प, सत्रों का इतिहास, फ़ॉरवर्डिंग नियम और संदिग्ध संदेश जाँचने चाहिए। वित्त, भुगतान या एयरलाइन के संदर्भ में प्राप्त सत्यापन और दस्तावेज़ माँगने वाले अनुरोधों की पुष्टि किसी दूसरे माध्यम से करनी चाहिए।

एयरलाइन खातों में मज़बूत प्रमाणीकरण, लॉयल्टी पॉइंट संबंधी सूचनाएँ और प्रोफ़ाइल में अनावश्यक जानकारी कम करना महत्वपूर्ण है। लंबे समय में पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खाते बंद करना और प्रोफ़ाइल के अनावश्यक फ़ील्ड हटाना सुरक्षा के बुनियादी उपाय हैं। चूँकि स्थायी व्यक्तिगत डेटा को वापस नहीं लिया जा सकता, इसलिए उपयोगकर्ता को अपनी आदतों और खाते की सेटिंग के ज़रिए सुरक्षा मज़बूत करनी चाहिए।

संस्थाओं को डेटा का संग्रह न्यूनतम रखने, पुराने ग्राहक रिकॉर्ड रखने की अवधि, फ़ोरम और सामुदायिक खातों की अनुमतियों, लॉयल्टी कार्यक्रम के फ़ील्ड और घटना की रिपोर्टिंग प्रक्रियाओं की नियमित समीक्षा करनी चाहिए। उपयोगकर्ता के स्तर पर, हर जगह एक जैसी पहचान संबंधी जानकारी इस्तेमाल न करने से जोखिम स्थायी रूप से कम होता है।

यदि उपयोगकर्ता का डेटा इस रिकॉर्ड से मेल खाता है, तो उन्हें एयरलाइन खाते, लॉयल्टी सदस्यता और ईमेल की सुरक्षा सेटिंग जाँचनी चाहिए। मेल मिलने पर उपयोगकर्ता को पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं और उसी के अनुसार आगे की कार्रवाई तय करनी चाहिए। यदि पासवर्ड है, तो उसे बदलना प्राथमिकता है; यदि पता या फ़ोन नंबर है, तो धोखाधड़ी संबंधी अलर्ट प्राथमिकता है; यदि वित्त या भुगतान की जानकारी है, तो खाते की निगरानी प्राथमिकता है; यदि सोशल प्रोफ़ाइल है, तो गोपनीयता की जाँच प्राथमिकता है।

अंतिम आकलन: हालाँकि इस रिकॉर्ड में पासवर्ड नहीं है, फिर भी इसे यात्रा संबंधी संवेदनशील डेटा की घटना माना जाता है, क्योंकि इसमें जन्मतिथि, फ़ोन और लॉयल्टी कार्यक्रम की जानकारी शामिल है। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खाते के इतिहास से करनी चाहिए; जिन सेवाओं पर उन्होंने वही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम, पता या पासवर्ड इस्तेमाल किया है, उन्हें अलग से जाँचना चाहिए। घटना के बाद किसी भी संदिग्ध कॉल, ईमेल, संदेश या खाता पुनर्प्राप्ति संबंधी सूचना को अधिक जोखिम वाला मानना चाहिए।