Western Alliance Bank में 2024 की डेटा सेंध

मुख्य साक्ष्य Western Alliance Bank का उपभोक्ताओं के नाम पत्र है, जो कैलिफ़ोर्निया और मैसाचुसेट्स के नियामकीय रिकॉर्ड में प्रकाशित है। बैंक की ओर से जारी इस दस्तावेज़ में तीसरे पक्ष के सॉफ़्टवेयर की खामी, पहुँच हासिल करने और फ़ाइलें प्राप्त करने की अवधि, घटना का पता चलने और डेटा की समीक्षा की तारीखों, पुष्टि की गई जानकारी की श्रेणियों, कानून प्रवर्तन एजेंसियों को दी गई सूचना और पेश की गई पहचान सुरक्षा सेवा का स्पष्ट वर्णन है।

मेन और अन्य राज्यों के अटॉर्नी जनरल के रिकॉर्ड भी सूचना देने की प्रक्रिया की पुष्टि करते हैं। Claim Depot इन आधिकारिक रिकॉर्ड को जोड़ता है और देश भर में प्रभावित 21,899 लोगों की कुल संख्या तथा राज्यवार संख्याएँ व्यवस्थित रूप में प्रकाशित करता है। घटना की अवधि, तीसरे पक्ष के ट्रांसफ़र सॉफ़्टवेयर, फ़ाइलों की प्रतियाँ बनाए जाने और डेटा की मुख्य श्रेणियों के बारे में स्रोतों की जानकारी एक-दूसरे से मेल खाती है।

Western Alliance और कई अन्य संगठनों द्वारा इस्तेमाल किए जाने वाले सुरक्षित फ़ाइल-ट्रांसफ़र सॉफ़्टवेयर में एक ऐसी खामी थी जिसके बारे में पहले जानकारी नहीं थी। एक अनधिकृत पक्ष ने अक्टूबर में इसका फ़ायदा उठाकर बैंक के सिस्टम के एक सीमित हिस्से तक पहुँच हासिल की। जाँच से यह तय हुआ कि उस पक्ष ने 12 अक्टूबर से 24 अक्टूबर तक कुछ फ़ाइलें प्राप्त की थीं।

बैंक को 27 जनवरी 2025 को संभावित पहुँच का पता चला। उसने फ़ाइलों की समीक्षा शुरू की और 21 फ़रवरी को यह तय किया कि उनमें व्यक्तिगत जानकारी मौजूद थी। एक द्वितीयक स्रोत के अनुसार, CL0P समूह ने घटना की ज़िम्मेदारी लेने का दावा किया था, लेकिन उपभोक्ताओं के नाम पत्र में न तो किसी पक्ष का नाम दिया गया है और न ही घटना को रैनसमवेयर से जोड़ा गया है। LeakData तीसरे पक्ष के सॉफ़्टवेयर की खामी और फ़ाइलें प्राप्त किए जाने को सत्यापित मानता है, लेकिन समूह के दावे को ज़िम्मेदारी का निर्णायक प्रमाण नहीं मानता।

सूचना में नाम और सोशल सिक्योरिटी नंबर को पुष्टि की गई मुख्य जानकारी के रूप में सूचीबद्ध किया गया है। जिन लोगों ने बैंक को अपनी जन्मतिथि, ड्राइविंग लाइसेंस नंबर, कर पहचान संख्या या पासपोर्ट दिया था, उनकी यह जानकारी भी मौजूद हो सकती थी। हर प्रभावित व्यक्ति के लिए जानकारी का एक ही संयोजन मान लेना सही नहीं होगा, क्योंकि प्रभावित जानकारी का दायरा ग्राहक और फ़ाइल के अनुसार अलग-अलग था।

SSN, कर ID, जन्मतिथि और सरकारी दस्तावेज़ का संयोजन धोखाधड़ी से ऋण लेने, कर धोखाधड़ी, व्यावसायिक पहचान के दुरुपयोग और लक्षित फ़िशिंग का दीर्घकालिक जोखिम पैदा करता है। अगर पासपोर्ट या ड्राइविंग लाइसेंस की जानकारी शामिल थी, तो उसे जारी करने वाले प्राधिकरण के नवीनीकरण और दुरुपयोग की रिपोर्ट करने के विकल्पों पर गौर करना उपयोगी हो सकता है। बैंक के नाम से आए अप्रत्याशित संदेशों के ज़रिए दस्तावेज़ों की तस्वीरें या सत्यापन कोड साझा नहीं करने चाहिए।

बैंक ने कहा कि कुछ फ़ाइलों में वित्तीय खाता नंबर मौजूद हो सकते थे। इस जानकारी से खाते से जुड़ी धोखाधड़ी, धोखाधड़ी वाले भुगतान अनुरोध या खाते की सही जानकारी का इस्तेमाल करके ग्राहक को निशाना बनाने वाली सोशल इंजीनियरिंग संभव हो सकती है। सार्वजनिक पत्र में खाते का प्रकार, वित्तीय संस्था का नाम या घटना के समय खाता खुला था या नहीं, यह नहीं बताया गया है।

स्रोत विशेष रूप से भुगतान कार्ड नंबर, समाप्ति तिथियों, CVVs, PINs, ऑनलाइन बैंकिंग पासवर्ड, राउटिंग नंबर, खाते की शेष राशि या लेन-देन के इतिहास की पुष्टि नहीं करता। सूचना पाने वालों को बैंक के आधिकारिक ऐप के ज़रिए गतिविधि के अलर्ट चालू करने चाहिए और अनजान ट्रांसफ़र, भुगतान पाने वालों या प्रोफ़ाइल में बदलाव की सूचना सीधे संस्था को देनी चाहिए।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका मतलब यह नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति पर लागू थी। राज्यवार संख्याओं में टेक्सस के 1,222, वॉशिंगटन के 539, न्यू हैम्पशायर के 41, मैसाचुसेट्स के 17 और मेन के छह निवासी शामिल हैं। ये राज्यवार संख्याएँ देश भर की कुल संख्या का हिस्सा हैं और इन्हें 21,899 में दोबारा नहीं जोड़ा जाता।

Western Alliance ने कहा कि सूचना जारी होने की तारीख तक उसके पास ऐसा कोई साक्ष्य नहीं था कि व्यक्तिगत जानकारी का इस्तेमाल धोखाधड़ी या पहचान की चोरी के लिए किया गया हो। उस समय तक की स्थिति पर आधारित यह आकलन भविष्य का जोखिम समाप्त नहीं करता। चूँकि अनधिकृत पक्ष द्वारा फ़ाइलों की प्रतियाँ प्राप्त किए जाने की पुष्टि हुई थी और उनमें SSNs जैसी लंबे समय तक इस्तेमाल होने वाली पहचान संख्याएँ मौजूद थीं, इसलिए सूचना पाने वालों को लंबे समय तक अपने क्रेडिट और खातों की निगरानी करते रहना चाहिए।

Western Alliance ने कानून प्रवर्तन एजेंसियों को सूचना दी, तकनीकी सुरक्षा उपाय बेहतर किए और पात्र लोगों को Experian IdentityWorks Credit 3B की एक वर्ष की निःशुल्क सदस्यता की पेशकश की। इस सेवा में तीन क्रेडिट ब्यूरो के ज़रिए क्रेडिट की निगरानी, पहचान बहाली, सदस्यता समाप्त होने के बाद भी सहायता और शर्तों के अधीन $1 मिलियन तक का पहचान चोरी बीमा शामिल है। नामांकन का विवरण प्रत्येक व्यक्ति को भेजे गए पत्र में है।

सूचना पाने वालों को केवल आधिकारिक पत्र में दिए गए कोड से नामांकन करना चाहिए और अनजान गतिविधि के लिए अपनी क्रेडिट रिपोर्ट तथा Western Alliance के खातों की समीक्षा करनी चाहिए। अगर SSN या कर ID शामिल थी, तो तीनों क्रेडिट ब्यूरो में क्रेडिट फ़्रीज़ करवाना, धोखाधड़ी अलर्ट लगवाना और IRS Identity Protection PIN लेना उचित हो सकता है। संदिग्ध कॉल पर एक बार इस्तेमाल होने वाले कोड या पासवर्ड नहीं देने चाहिए।