Zoomcar: डेटा में सेंध

सत्यापित डेटा श्रेणियाँ ईमेल पते, IP पते, नाम संबंधी जानकारी, फोन नंबर और पासवर्ड हैं। पासवर्ड फ़ील्ड को bcrypt हैश के रूप में संग्रहीत पासवर्ड डेटा माना जाना चाहिए, न कि सादे पाठ के रूप में मौजूद पासवर्ड। हालाँकि bcrypt पासवर्ड संग्रहीत करने का एक मजबूत तरीका है, लेकिन कमजोर या दोबारा इस्तेमाल किए गए पासवर्ड के मामले में जोखिम पूरी तरह समाप्त नहीं होता। यदि ईमेल, परिवहन, भुगतान, सोशल मीडिया या काम से जुड़े खातों में एक ही पासवर्ड इस्तेमाल किया जाता है, तो हमलावर स्वचालित लॉगिन प्रयासों के जरिए इन खातों को निशाना बना सकते हैं।

नाम, फोन नंबर और ईमेल का संयोजन लक्षित फ़िशिंग के लिए पर्याप्त संदर्भ देता है। यदि कार किराये की सेवा से उपयोगकर्ता का संबंध स्थापित किया जा सके, तो फ़र्जी आरक्षण, भुगतान की पुष्टि, ड्राइविंग दस्तावेज़, सुरक्षा सूचनाओं या सहायता अनुरोधों से जुड़े संदेश अधिक विश्वसनीय लग सकते हैं। केवल IP पता किसी स्थान का निर्णायक प्रमाण नहीं है; हालाँकि, खाते की गतिविधियों के साथ मिलाकर देखने पर इससे अतिरिक्त संकेत मिलते हैं। इस 2018 के रिकॉर्ड की सत्यापित डेटा श्रेणियों में भौतिक पता, भुगतान कार्ड, आधिकारिक पहचान-पत्र, ड्राइविंग लाइसेंस की तस्वीर, वाहन पंजीकरण दस्तावेज़ या यात्रा का इतिहास शामिल नहीं हैं।

Zoomcar की इस घटना के लिए LeakData में दायरा 35,89,795 अलग-अलग ईमेल खातों तक ही रखा जाना चाहिए। डेटा लीक की तारीख 1 जुलाई 2018 के रूप में दर्ज होनी चाहिए और रिकॉर्ड में इसे जोड़े जाने की सत्यापित तारीख 5 जून 2020 होनी चाहिए। व्यापक समाचार कवरेज में या अन्य वर्षों की Zoomcar घटनाओं में बताई गई संख्याएँ और डेटा फ़ील्ड इस 2018 के रिकॉर्ड में नहीं जोड़े जाने चाहिए। यह अंतर खास तौर पर महत्वपूर्ण है; एक ही ब्रांड से जुड़ी अलग-अलग घटनाएँ अलग-अलग तारीखों पर हो सकती हैं, लेकिन हर घटना का मूल्यांकन उसकी अपनी सत्यापित तारीख और डेटा श्रेणी के आधार पर होना चाहिए।

इस रिकॉर्ड के सत्यापित डेटा फ़ील्ड ईमेल पते, IP पते, नाम, पासवर्ड और फोन नंबर हैं। पासवर्ड का विवरण bcrypt हैश के रूप में दर्ज किया जाना चाहिए और उसे सादे पाठ में मौजूद पासवर्ड नहीं बताया जाना चाहिए। भुगतान संबंधी जानकारी, बैंक खाता, आधिकारिक पहचान-पत्र, ड्राइविंग लाइसेंस की फ़ाइल, वाहन पंजीकरण नंबर, भौतिक पता या वास्तविक समय में स्थान का इतिहास इस घटना के प्रमाणित फ़ील्ड में शामिल नहीं किए जाने चाहिए। उपयोगकर्ता को यह सीमा स्पष्ट रूप से बताने से अनावश्यक चेतावनियाँ कम होती हैं और ध्यान जरूरी सुरक्षा कदमों पर बना रहता है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने Zoomcar खाते का पासवर्ड अन्य खातों में भी इस्तेमाल करते हैं। जब ईमेल पता और फोन नंबर दोनों उपलब्ध हों, तो हमलावर ईमेल और SMS, दोनों के जरिए सहायता, आरक्षण, प्रचार या बकाया राशि से जुड़ी फ़र्जी सूचनाएँ भेज सकते हैं। नाम संबंधी जानकारी से संदेशों को व्यक्ति के अनुरूप बनाया जा सकता है; वहीं, IP पता खाते के तकनीकी संदर्भ के बारे में अतिरिक्त संकेत दे सकता है। इसलिए कार किराये का कोई पुराना खाता वर्तमान में सक्रिय ईमेल और मोबाइल खातों की सुरक्षा को भी प्रभावित कर सकता है।

कॉर्पोरेट ईमेल पते से Zoomcar इस्तेमाल करने वाले लोग यात्रा और वाहन बेड़े के संचालन से जुड़े सोशल इंजीनियरिंग प्रयासों के प्रति अधिक संवेदनशील हो सकते हैं। निजी ईमेल पते से खाता बनाने वालों के लिए एक ही पासवर्ड का दोबारा इस्तेमाल और डिलीवरी या बुकिंग के फ़र्जी संदेश अधिक प्रमुख जोखिम हैं। चूँकि फोन नंबर भी उपलब्ध है, इसलिए SIM स्वैपिंग, सहायता के नाम पर फ़र्जी कॉल और सत्यापन कोड माँगने के प्रयासों से सावधान रहना चाहिए। जिस उपयोगकर्ता का विवरण इस डेटा में मिलता है, उसे केवल इस आधार पर स्वयं को पर्याप्त सुरक्षित नहीं मानना चाहिए कि उसका पुराना खाता अब इस्तेमाल नहीं होता।

जिस उपयोगकर्ता का ईमेल पता Zoomcar के डेटा में है, उसे सबसे पहले यह सुनिश्चित करना चाहिए कि Zoomcar खाते में इस्तेमाल किया गया पुराना पासवर्ड किसी अन्य खाते में मान्य न हो। यदि ईमेल, बैंकिंग, सोशल मीडिया, परिवहन, खरीदारी या काम से जुड़े खातों में वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, तो हर खाते के लिए अलग और लंबा पासवर्ड सेट किया जाना चाहिए। पासवर्ड मैनेजर का उपयोग करने से एक ही पासवर्ड दोबारा इस्तेमाल करने का जोखिम कम होता है। पासवर्ड का छोटा हिस्सा बदलना या अंत में तारीख जोड़ना पर्याप्त नहीं है; पुराने पैटर्न को पूरी तरह छोड़ना जरूरी है।

अपने ईमेल खाते और फोन नंबर से जुड़ी सेवाओं में दो-कारक प्रमाणीकरण चालू करना चाहिए। यदि आपको आरक्षण, भुगतान, क्षति शुल्क, ड्राइविंग दस्तावेज़ या खाते की सुरक्षा से जुड़ा कोई अप्रत्याशित संदेश मिले, तो लिंक पर क्लिक करने के बजाय सीधे आधिकारिक ऐप या वेबसाइट का उपयोग करें। SMS से मिले सत्यापन कोड किसी के साथ साझा न करें। यदि कोई संदिग्ध सत्र, पासवर्ड रीसेट का अप्रत्याशित अनुरोध या अनजान डिवाइस की सूचना मिले, तो सत्र बंद करें, खाता पुनर्प्राप्ति की जानकारी की समीक्षा करें और उसी ईमेल से खोले गए परिवहन सेवाओं के अन्य खातों की जाँच करें।

Zoomcar डेटा लीक दिखाता है कि परिवहन और किराये की सेवाओं के खातों को भी पहचान से जुड़े मुख्य खातों जितनी सुरक्षा की जरूरत है। उपयोगकर्ताओं को निजी, काम से जुड़े, वित्तीय, परिवहन और सोशल मीडिया खातों में एक ही पासवर्ड दोबारा इस्तेमाल करने से बचना चाहिए। चूँकि फोन नंबर और ईमेल पते कई वर्षों तक नहीं बदलते, इसलिए पुराना लीक हुआ डेटा नए फ़िशिंग अभियानों में फिर से उपयोगी हो सकता है। इस्तेमाल न होने वाले परिवहन सेवाओं के खातों को बंद कर देना चाहिए या अलग पासवर्ड और बहु-कारक सुरक्षा के जरिए अन्य खातों से अलग रखना चाहिए।

सेवा प्रदाताओं के लिए मुख्य सीख यह है कि वे पासवर्ड हैश को मजबूत तरीकों से सुरक्षित रखें, एक्सेस लॉग का नियमित ऑडिट करें, अनावश्यक निजी डेटा फ़ील्ड को न्यूनतम रखें और डेटा लीक की सूचनाएँ बिना देरी के दें। चूँकि कार-शेयरिंग सेवाओं में भुगतान, पहचान और वाहन दस्तावेज़ जैसे अतिरिक्त संवेदनशील क्षेत्र हो सकते हैं, इसलिए घटना की रिपोर्ट में स्पष्ट अंतर किया जाना चाहिए कि कौन-से क्षेत्र प्रभावित हुए और कौन-से नहीं। Zoomcar के इस 2018 के मामले में जोखिम की जानकारी देते समय खाते की सुरक्षा, फोन के जरिए धोखाधड़ी और फ़िशिंग पर ध्यान केंद्रित होना चाहिए।

Zoomcar डेटा लीक के रिकॉर्ड की जाँच से पता चलता है कि दर्ज किया गया ईमेल पता इस सत्यापित डेटासेट में मौजूद है या नहीं। यदि परिणाम सकारात्मक है, तो ईमेल पते, IP पते, नाम संबंधी जानकारी, फोन नंबर और bcrypt पासवर्ड हैश को जोखिम में माना जाना चाहिए। यदि परिणाम नकारात्मक है, तो इसका अर्थ केवल इतना है कि इस विशेष डेटासेट में कोई मेल नहीं मिला; इससे यह साबित नहीं होता कि उस व्यक्ति का डेटा अन्य Zoomcar घटनाओं या अन्य परिवहन सेवाओं के डेटा उल्लंघनों में शामिल नहीं रहा है। सही तारीखें दर्ज रखने से पुरानी घटनाओं और अलग-अलग वर्षों के बयानों के बीच भ्रम नहीं होता।

सही कदम यह है कि पुराने पासवर्ड को पूरी तरह छोड़ दिया जाए, दोबारा इस्तेमाल किए गए सभी पासवर्ड बदले जाएँ, ईमेल खाते के लिए बहु-कारक सुरक्षा चालू की जाए और फोन नंबर पर मिलने वाले सहायता या आरक्षण से जुड़े फ़र्जी संदेशों से सावधान रहा जाए। उपयोगकर्ता को उसी ईमेल पते और फोन नंबर से खोले गए परिवहन, कार किराये, भुगतान और सोशल मीडिया खातों की भी समीक्षा करनी चाहिए। इस तरह 2018 के डेटा लीक के कारण आज खाते पर अनधिकृत कब्ज़ा, लक्षित फ़िशिंग या फोन के जरिए धोखाधड़ी होने का जोखिम कम होता है।