“आपका डेटा स्क्रैप किया गया है” (You've Been Scraped) डेटा लीक

सत्यापित डेटा श्रेणियों में ईमेल पते, नियोक्ता, भौगोलिक स्थान, पदनाम, नाम और सोशल मीडिया प्रोफ़ाइल शामिल हैं। यदि किसी व्यक्ति के निजी ईमेल को उसी व्यक्ति के कामकाजी ईमेल से जोड़ा जा सके, तो हमलावर यह समझ सकते हैं कि वह किस संगठन से जुड़ा है, किस भूमिका में काम करता है और उसकी किन प्रोफ़ाइलों तक पहुँचा जा सकता है। इन फ़ील्ड का एक साथ मौजूद होना सामान्य स्पैम की तुलना में अधिक लक्षित हमलों का जोखिम पैदा करता है, क्योंकि संदेश की सामग्री को व्यक्ति की भूमिका, कंपनी, स्थान और पेशेवर पृष्ठभूमि के अनुसार ढाला जा सकता है।

पासवर्ड फ़ील्ड की पुष्टि नहीं हुई थी, इसलिए इस घटना को सीधे खातों पर कब्ज़ा करने के लिए इस्तेमाल होने वाली सूची नहीं माना जाना चाहिए। फिर भी, जब ईमेल पते, नियोक्ता, पदनाम और सोशल प्रोफ़ाइल की जानकारी को अन्य लीक से मिले पासवर्ड या फ़ोन संबंधी डेटा के साथ जोड़ा जाता है, तो जोखिम बढ़ जाता है। जो उपयोगकर्ता अपने कामकाजी खाते के लिए निजी खातों जैसा ही ईमेल प्रारूप इस्तेमाल करते हैं, अपनी प्रोफ़ाइल पर आंतरिक कामकाजी जानकारी विस्तार से देते हैं या काम से जुड़े संपर्कों को सार्वजनिक रखते हैं, उन्हें अधिक विश्वसनीय लगने वाले फ़िशिंग संदेश मिल सकते हैं।

इस रिकॉर्ड का दायरा 5 अक्टूबर 2018 की घटना और उससे प्रभावित 6,61,47,869 खातों तक सीमित है। डेटासेट के स्वामी की पुष्टि नहीं हो सकी, इसलिए डोमेन फ़ील्ड खाली रखा गया है और घटना को किसी विशिष्ट कंपनी के सिस्टम में हुई सीधी सेंध के रूप में प्रस्तुत नहीं किया गया है। प्राप्त फ़ील्ड की प्रकृति पेशेवर सोशल नेटवर्क प्रोफ़ाइलों से संकलित डेटा जैसी है। इसलिए विवरण में अपुष्ट ब्रांड संदर्भों के बजाय सत्यापित डेटा फ़ील्ड और उपयोगकर्ताओं पर प्रभाव पर ध्यान दिया गया है।

पासवर्ड, भुगतान संबंधी जानकारी, सरकारी पहचान संबंधी जानकारी, जन्मतिथि या स्वास्थ्य डेटा को सत्यापित सूची में शामिल नहीं किया गया है। नियोक्ता, पदनाम और सोशल प्रोफ़ाइल लिंक अपने आप में वित्तीय डेटा जितना स्पष्ट जोखिम नहीं दिखाते, लेकिन ये लंबे समय तक बनी रहने वाली जानकारियाँ हैं, जिनका इस्तेमाल किसी व्यक्ति की पहचान करने और उसे निशाना बनाने के लिए किया जा सकता है। इसलिए रिकॉर्ड को संवेदनशील के रूप में चिह्नित नहीं किया गया है, लेकिन पेशेवर पहचान और लक्षित धोखाधड़ी के लिहाज़ से इसे अधिक प्रभाव वाला डेटा लीक माना जाता है।

मुख्य रूप से वे उपयोगकर्ता जोखिम में हैं, जिनके कामकाजी या निजी ईमेल पते पेशेवर प्रोफ़ाइल की जानकारी के साथ मौजूद हैं। मानव संसाधन, बिक्री, वित्त, प्रबंधन, खरीद, मीडिया संबंधों और तकनीकी टीमों में काम करने वाले लोगों के मामले में ऐसी जानकारी हमलावर के लिए शुरुआती संपर्क में भरोसा पैदा करना आसान बना सकती है। जब एक ही व्यक्ति के नियोक्ता का नाम, पदनाम और सोशल प्रोफ़ाइल लिंक एक साथ मौजूद हों, तो नकली बैठक आमंत्रण, प्रस्ताव, बिल, अनुबंध या भर्ती संदेश अधिक विश्वसनीय लग सकता है।

संगठनों के दृष्टिकोण से जोखिम केवल किसी एक उपयोगकर्ता के मेलबॉक्स तक सीमित नहीं है। उजागर हुए पेशेवर प्रोफ़ाइल डेटा का इस्तेमाल संगठन के भीतर भूमिकाओं के बँटवारे का अनुमान लगाने, आपूर्ति शृंखला के संपर्कों को चुनने या वरिष्ठ कर्मचारियों के नाम से संदेश तैयार करने के लिए भी किया जा सकता है। इसलिए प्रभावित व्यक्तियों के अपने खाते सुरक्षित करने के साथ-साथ, संगठनों की सुरक्षा टीमों को भी कामकाजी ईमेल पर आने वाले असामान्य लिंक, फ़ाइलों और भुगतान अनुरोधों को अधिक सावधानी से देखना चाहिए।

प्रभावित उपयोगकर्ताओं को सबसे पहले अपने कामकाजी और निजी ईमेल खातों में सत्रों का इतिहास, फ़ॉरवर्डिंग नियम, खाता वापस पाने के लिए दिए गए पते और अप्रत्याशित सुरक्षा सूचनाएँ जाँचनी चाहिए। एक ही ईमेल पते के साथ अलग-अलग सेवाओं पर इस्तेमाल किए जाने वाले पासवर्ड हर सेवा के लिए अलग होने चाहिए, और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। भले ही पासवर्ड इस घटना के सत्यापित फ़ील्ड में शामिल न हो, यदि वही ईमेल पहले के लीक में सामने आया है, तो खातों पर कब्ज़ा करने के प्रयासों में उसका इस्तेमाल किया जा सकता है।

पदनाम या नियोक्ता की जानकारी का इस्तेमाल करके भेजे गए दस्तावेज़ों और संदेशों (जैसे समीक्षा, भुगतान की मंज़ूरी, मानव संसाधन फ़ॉर्म, नकली बैठक आमंत्रण और प्रोफ़ाइल अपडेट) की पुष्टि किसी दूसरे माध्यम से करनी चाहिए। सोशल प्रोफ़ाइलों पर सार्वजनिक रूप से दिखाई देने वाले ईमेल, फ़ोन, जन्मदिन, काम के इतिहास और संपर्क सूची जैसे फ़ील्ड कम करने चाहिए। अनजान लोगों के जुड़ने के अनुरोधों की सावधानी से जाँच करनी चाहिए। संगठन का खाता इस्तेमाल करने वाले व्यक्तियों को संदिग्ध संदेशों की सूचना सुरक्षा टीम को देनी चाहिए और अतिरिक्त फ़ाइलें सीधे नहीं खोलनी चाहिए।

चूँकि स्थायी पेशेवर प्रोफ़ाइल डेटा को वापस नहीं लिया जा सकता, इसलिए दीर्घकालिक सुरक्षा का आधार उसकी दृश्यता कम करना और खातों को अलग रखना होना चाहिए। उपयोगकर्ताओं को निजी सदस्यताओं के लिए अपना कामकाजी ईमेल इस्तेमाल नहीं करना चाहिए, सोशल प्रोफ़ाइलों पर अनावश्यक संपर्क जानकारी सीमित रखनी चाहिए और पुराने खाते बंद कर देने चाहिए। पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण और खाते की सुरक्षा की नियमित जाँच ऐसे डेटासेट को अन्य हमलों के साथ जोड़कर इस्तेमाल किए जाने के विरुद्ध बुनियादी बचाव हैं।

संगठनों को नियमित रूप से देखना चाहिए कि सार्वजनिक रूप से सुलभ जगहों पर कर्मचारियों की भूमिकाओं से जुड़ी कितनी जानकारी दिखाई देती है। नकली भर्ती और आपूर्तिकर्ताओं के नाम से आने वाले संदेशों के विरुद्ध जागरूकता प्रशिक्षण अद्यतन रखना चाहिए और अधिक जोखिम वाले कार्यों के लिए अतिरिक्त मंज़ूरी की प्रक्रिया अपनानी चाहिए। ईमेल सुरक्षा, डोमेन सत्यापन रिकॉर्ड, फ़िशिंग की सूचना देने के माध्यम और आपूर्तिकर्ता के भुगतान विवरण में बदलाव पर नियंत्रण मज़बूत करने से पेशेवर प्रोफ़ाइल डेटा की मदद से किए जाने वाले हमलों का प्रभाव काफ़ी कम हो जाता है।

यदि उपयोगकर्ता को अपनी जानकारी से मेल खाने वाला परिणाम दिखाई दे, तो उसे अलग-अलग आकलन करना चाहिए कि कौन-से डेटा फ़ील्ड दिखाई दे रहे हैं। ईमेल पते का इस्तेमाल संपर्क करने और पासवर्ड आज़माने के प्रयासों में, नियोक्ता और पदनाम का इस्तेमाल नकली नौकरी-संबंधी संदेशों में, तथा स्थान और सोशल प्रोफ़ाइल लिंक का इस्तेमाल पहचान को जोड़ने में किया जा सकता है। प्राथमिकता का क्रम होना चाहिए: ईमेल खाते को सुरक्षित करना, दोबारा इस्तेमाल किए गए पासवर्ड बदलना, सोशल प्रोफ़ाइल की दृश्यता कम करना और कामकाज से जुड़े संदिग्ध संदेशों की पुष्टि करना।

'आपका डेटा स्क्रैप किया गया है' घटना सामान्य पासवर्ड लीक नहीं है, फिर भी यह बड़े पैमाने पर हुआ डेटा उल्लंघन है, जो पेशेवर पहचान को उजागर करता है। जब किसी व्यक्ति का नाम, कामकाजी जानकारी और सोशल प्रोफ़ाइल लिंक एक साथ मिल जाते हैं, तो हमलावर के लिए भरोसेमंद दिखने वाले संदेश तैयार करना आसान हो जाता है। इसलिए प्रभावित उपयोगकर्ताओं को केवल पासवर्ड सुरक्षा ही नहीं, बल्कि कामकाजी संचार, प्रोफ़ाइल की गोपनीयता, सोशल इंजीनियरिंग संबंधी चेतावनियों और संगठन की सत्यापन प्रक्रियाओं पर भी ध्यान देना चाहिए।