डेटा चोरी की पुष्टि, लेकिन इसका पैमाना अब भी अज्ञात
पाथाओ ने पुष्टि की है कि 4 अक्टूबर को साइबर सुरक्षा की एक घटना के दौरान हमलावरों ने कुछ उपयोगकर्ताओं के नाम, ईमेल पते और फोन नंबर हासिल किए। इस घटना से बांग्लादेश और नेपाल में उसकी सेवाएं बाधित हुई थीं। कंपनी ने इस बड़े दावे की पुष्टि नहीं की है कि अपराधियों ने 19,063,918 खातों से जुड़ी 133 गीगाबाइट जानकारी चुराई और उसे सार्वजनिक होने से रोकने के लिए 400,000 यूएसडीटी की मांग की।
विषय-सूची
- डेटा चोरी की पुष्टि, लेकिन इसका पैमाना अब भी अज्ञात
- घटना कैसे सामने आई
- कथित डेटासेट में क्या है
- कर्मचारियों, व्यापारियों और लेनदेन के रिकॉर्ड भी चोरी होने का दावा
- फिरौती की मांग की पुष्टि नहीं
- पाथाओ का कहना है कि उसने क्या किया
- संपर्क विवरण से भी जोखिम क्यों हो सकते हैं
- उपयोगकर्ताओं को क्या करने की सलाह दी गई
- जांच में अब भी क्या पता लगाया जाना है
- मुख्य बातें
यह फर्क अहम है: पाथाओ ने कुछ निजी जानकारी की चोरी को स्वीकार किया है, जबकि पहचान दस्तावेजों, वित्तीय लेनदेन, पासवर्ड और लोकेशन डेटा के कथित खुलासे की पुष्टि नहीं हुई है। कंपनी ने यह नहीं बताया है कि कितने लोग प्रभावित हुए, हमलावर उसके सिस्टम में कैसे दाखिल हुए या उन्हें कितने समय तक पहुंच मिली।
पाथाओ ने 7 अक्टूबर को अपने सत्यापित फेसबुक पेज पर दिए बयान में पहली बार सार्वजनिक रूप से पुष्टि की कि निजी जानकारी हासिल की गई थी। कंपनी ने बताया कि उसकी समझ के अनुसार कौन-सी जानकारी हमलावरों तक पहुंची:
हम समझते हैं कि दुर्भावनापूर्ण तत्वों ने नाम, ईमेल पते और फोन नंबर समेत कुछ निजी जानकारी हासिल की।
पाथाओ ने कहा कि घटना का पता चलने के बाद उसने एहतियातन कुछ अहम सिस्टम अस्थायी रूप से ऑफलाइन कर दिए, लेकिन कुछ ही समय बाद सेवाएं बहाल कर दीं और बाहरी साइबर सुरक्षा विशेषज्ञों को काम पर लगाया। प्लेटफॉर्म को स्थिर करने का काम जारी रहने के दौरान कुछ उपयोगकर्ताओं को रुक-रुककर समस्याएं आ सकती थीं।
यह घटना किसी एक सेवा तक सीमित नहीं है। पाथाओ परिवहन और डिलीवरी सेवाओं के साथ-साथ वित्तीय उत्पाद भी चलाता है, जिनमें उसका पाथाओ पे डिजिटल वॉलेट और पाथाओ पे लेटर सेवा शामिल हैं। इस दायरे को देखते हुए यह पता लगाना जरूरी है कि कौन-से सिस्टम और रिकॉर्ड प्रभावित हुए। लेकिन वित्तीय उत्पादों का होना अपने आप में इस बात का सबूत नहीं है कि भुगतान संबंधी जानकारी चोरी हुई।
9 अक्टूबर तक कंपनी बड़े डेटासेट से जुड़े दावों की जांच कर रही थी। उसने दोनों देशों में सेवाएं बाधित होने की पुष्टि की, लेकिन प्रभावित उपयोगकर्ताओं या रिकॉर्ड का देशवार ब्योरा नहीं दिया।
घटना कैसे सामने आई
सार्वजनिक रूप से उपलब्ध जानकारी में शुरुआती व्यवधान, कंपनी की स्वीकृति और कथित डेटासेट को लेकर बाद की प्रतिक्रियाएं शामिल हैं। ये तारीखें बताती हैं कि घटना का पता कब चला और इस पर सार्वजनिक रूप से कब बात हुई, न कि हमलावरों को कुल कितने समय तक पहुंच मिली।
- 4 अक्टूबर: पाथाओ ने साइबर सुरक्षा की घटना का पता लगाया। सेवाएं बाधित हुईं और एहतियातन कुछ अहम सिस्टम अस्थायी रूप से ऑफलाइन कर दिए गए।
- 7 अक्टूबर: पाथाओ ने सार्वजनिक रूप से स्वीकार किया कि कुछ निजी जानकारी हासिल की गई थी। एक्स पर एक कथित आपराधिक फोरम पोस्ट का स्क्रीनशॉट भी प्रसारित हुआ, जिसमें कहीं बड़ी चोरी और फिरौती की मांग का जिक्र था।
- 9 अक्टूबर: कंपनी की आगे की प्रतिक्रियाओं में पुष्टि हुई कि बांग्लादेश और नेपाल में कामकाज प्रभावित हुआ। कथित डेटा की मात्रा, रिकॉर्ड की संख्या और संवेदनशील जानकारी की श्रेणियों की जांच जारी थी।
पाथाओ ने कहा कि सेवाएं बंद होने के कुछ ही समय बाद फिर शुरू हो गईं। कंपनी ने व्यवधान की सटीक अवधि या बहाली की तकनीकी प्रक्रिया का विवरण प्रकाशित नहीं किया है। ऐप की पहुंच बहाल करना और डेटा उल्लंघन की जांच पूरी करना अलग-अलग काम हैं: सेवाएं शुरू हो सकती हैं, जबकि जांचकर्ता यह पता लगाने में जुटे हों कि कौन-सी जानकारी ली गई।
कथित डेटासेट में क्या है
अपराधियों के दावे में 591 टेबलों में लगभग 250 मिलियन डेटाबेस रो और 19,063,918 रिकॉर्ड वाला एक मुख्य खाता डेटासेट शामिल है। डेटाबेस रो एक अलग प्रविष्टि होती है, जबकि टेबल में किसी खास प्रकार की प्रविष्टियां समूहित होती हैं। एक व्यक्ति से जुड़ी कई रो हो सकती हैं, इसलिए 250 मिलियन रो का मतलब 250 मिलियन प्रभावित उपयोगकर्ता नहीं होगा।
कथित खाता जानकारी में नाम, फोन नंबर, ईमेल पते, पासवर्ड डेटा, जीपीएस जानकारी, फेसबुक पहचानकर्ता और एक्सेस टोकन शामिल हैं। एक्सेस टोकन एक डिजिटल प्रमाण-पत्र होता है, जिससे कोई ऐप बार-बार पासवर्ड मांगे बिना किसी खाते या सेवा तक पहुंच सकता है।
दावे के कुछ हिस्सों के बारे में रिपोर्टों में अलग-अलग विवरण हैं। एक रिपोर्ट में हैश किए गए पासवर्ड का जिक्र है, जबकि दूसरी में सिर्फ पासवर्ड कहा गया है। हैशिंग पासवर्ड को पढ़े जा सकने वाले मूल पाठ के बजाय एक रूपांतरित रूप में सहेजती है, हालांकि सुरक्षा का तरीका कैसा था, इसके आधार पर ऐसे डेटा के खुलासे से जोखिम फिर भी पैदा हो सकता है। पाथाओ ने पुष्टि नहीं की है कि इनमें से कोई भी रूप चोरी हुआ।
डेटासेट की संरचना का भी अलग-अलग वर्णन है: कुछ दावों में 591 इकाइयों को डेटाबेस टेबल कहा गया है, जबकि एक अन्य में उन्हें डेटाबेस या डेटा रिपॉजिटरी कहा गया है। ये शब्द एक-दूसरे के समानार्थी नहीं हैं। प्रमाणित डेटासेट या तकनीकी जांच के निष्कर्ष के बिना इसकी सटीक संरचना तय नहीं की जा सकती।
कथित पहचान रिकॉर्ड में 19,059,387 राष्ट्रीय पहचान पत्र नंबर और 19,046,583 ड्राइविंग लाइसेंस प्रविष्टियां शामिल हैं। कुछ दावों में लगभग 5.7 मिलियन घर के पते और करीब 19 मिलियन उपयोगकर्ताओं की तस्वीरें भी शामिल हैं। इनमें से किसी भी श्रेणी की पाथाओ ने पुष्टि नहीं की है।
खातों की सटीक संख्या से भी यह साबित नहीं होता कि इतने अलग-अलग लोग प्रभावित हुए। इस आंकड़े को प्रभावित उपयोगकर्ताओं की संख्या मानने से पहले जांचकर्ताओं को यह पता लगाना होगा कि रिकॉर्ड असली, मौजूदा या दोहराए गए तो नहीं हैं।
कर्मचारियों, व्यापारियों और लेनदेन के रिकॉर्ड भी चोरी होने का दावा
कथित चोरी ग्राहकों की प्रोफाइल तक सीमित नहीं है। डेटासेट में 549 कर्मचारियों से जुड़े रिकॉर्ड होने का दावा है, जिनमें राष्ट्रीय पहचान संबंधी विवरण, वेतन, धार्मिक पहचान और आपातकालीन संपर्क नंबर शामिल हैं। दूसरे दावों में प्रशासनिक पहुंच के रिकॉर्ड, डिलीवरी के स्थान और ड्राइवरों की यात्रा का विवरण शामिल है।
वित्तीय दावों में व्यापारियों के 17,943 बैंक खाते और रूटिंग रिकॉर्ड के साथ 845,872 डायरेक्ट डेबिट लेनदेन रिकॉर्ड शामिल हैं। बैंक रूटिंग जानकारी भुगतान में शामिल संस्था या शाखा की पहचान करती है। लेनदेन रिकॉर्ड किसी भुगतान की घटना दर्ज करता है, लेकिन उसकी मौजूदगी से अपने आप यह साबित नहीं होता कि हमलावर पैसे निकाल सकते थे।
ये आंकड़े अलग-अलग प्रकार के रिकॉर्ड बताते हैं, न कि एक ऐसी कुल संख्या जिसे जोड़कर पीड़ितों की संख्या निकाली जा सके। कर्मचारियों के विवरण, व्यापारियों के खाते और बार-बार हुए लेनदेन कथित डेटासेट की अन्य प्रविष्टियों से मेल खा सकते हैं।
पाथाओ के पार्टनरशिप और पीआर प्रबंधक, एमडी फोएज ने कहा कि कंपनी ने संवेदनशील श्रेणियों से जुड़े दावों की पुष्टि नहीं की है। ईमेल से भेजे गए जवाब में उन्होंने कहा:
एनआईडी, ड्राइविंग लाइसेंस, लोकेशन, पते या वित्तीय डेटा से जुड़े दावों की इस समय पुष्टि नहीं हुई है। आगे जो भी जानकारी सत्यापित होगी, उसे पाथाओ के आधिकारिक माध्यमों से साझा किया जाएगा।
फिरौती की मांग की पुष्टि नहीं
कथित आपराधिक पोस्ट में 400,000 यूएसडीटी की मांग की गई थी, जिसे रिपोर्टों में लगभग 400,000 डॉलर बताया गया। यूएसडीटी, जिसे टेदर भी कहा जाता है, एक क्रिप्टोकरेंसी है जिसे अमेरिकी डॉलर के मूल्य के अनुरूप रखने के लिए बनाया गया है। खबरों के मुताबिक समूह ने पाथाओ को भुगतान के लिए 24 घंटे दिए और चरणों में जानकारी जारी करने की धमकी दी।
कथित तौर पर धमकी दी गई जानकारी में पहचान, बैंक, कर्मचारी और प्रशासनिक विवरण शामिल थे। इस दावे और इसकी समय-सीमा की स्वतंत्र रूप से पुष्टि नहीं हो सकी। उपलब्ध बयानों से समय-सीमा शुरू होने का सटीक समय, भुगतान का फैसला या बाद में किसी जानकारी के जारी होने की पुष्टि नहीं होती।
पाथाओ की ओर से बोलते हुए फोएज ने कथित मांग की पुष्टि करने से इनकार किया:
फिरौती की मांग से जुड़े अपुष्ट दावों पर पाथाओ टिप्पणी नहीं करना चाहता।
चोरी की गई जानकारी सार्वजनिक करने की धमकी देना डेटा के जरिए जबरन वसूली का एक रूप है। इसका यह मतलब जरूरी नहीं कि हमलावरों ने सिस्टम को एन्क्रिप्ट किया या कंपनी को अपनी फाइलों तक पहुंचने से रोका। पाथाओ ने एन्क्रिप्शन का कोई सबूत नहीं बताया है और न ही सेवाओं में व्यवधान के पीछे की तकनीकी वजह स्पष्ट की है।
पाथाओ का कहना है कि उसने क्या किया
पाथाओ की घोषित कार्रवाई के तीन मुख्य हिस्से हैं: अहम सिस्टम ऑफलाइन करना, बाहरी साइबर सुरक्षा विशेषज्ञों को शामिल करना और संबंधित अधिकारियों को सूचना देना। कंपनी ने कहा कि लागू नियमों के तहत कानून प्रवर्तन या सरकारी निकायों को सूचित किया गया, लेकिन उसने एजेंसियों या संबंधित कानूनी प्रावधानों के नाम नहीं बताए।
अपने सार्वजनिक बयान में पाथाओ ने तत्काल कार्रवाई और विशेषज्ञों की भूमिका का विवरण दिया:
तत्काल रोकथाम के उपाय किए गए और सुरक्षा नियंत्रणों को मजबूत करने तथा पाथाओ के सिस्टम को सुरक्षित और स्थिर बनाए रखने में मदद के लिए बाहरी साइबर सुरक्षा विशेषज्ञों को नियुक्त किया गया है।
कंपनी ने कहा कि जांच जारी रहने के दौरान वह अधिकारियों के साथ सहयोग कर रही है। उसने घटना और सेवाओं में व्यवधान के लिए उपयोगकर्ताओं, ड्राइवरों, व्यापारियों और साझेदारों से माफी मांगी और उसे सौंपी गई जानकारी की सुरक्षा की अपनी जिम्मेदारी स्वीकार की।
फोएज ने यह भी कहा कि एहतियाती उपायों के तहत कुछ उपयोगकर्ताओं को अपने आप लॉगआउट किया गया हो सकता है। वे सेवा इस्तेमाल करने के लिए फिर से लॉगिन कर सकते थे। अपने आप लॉगआउट होना, अपने आप में इस बात का सबूत नहीं है कि किसी खास व्यक्ति की जानकारी चोरी हुई।
संपर्क विवरण से भी जोखिम क्यों हो सकते हैं
नाम, ईमेल पते और फोन नंबर उजागर होने की पुष्टि से हमलावरों को ऐसी जानकारी मिलती है जिससे उनके धोखाधड़ी वाले संपर्क भरोसेमंद लग सकते हैं। किसी को नाम से संबोधित करने और उसकी इस्तेमाल की जाने वाली सेवा का जिक्र करने वाला संदेश, अनजान व्यक्ति के संदेश से ज्यादा विश्वसनीय लग सकता है।
फिशिंग में किसी भरोसेमंद संस्था या व्यक्ति का रूप धरकर किसी से जानकारी हासिल करने, दुर्भावनापूर्ण लिंक खोलने या किसी कार्रवाई की मंजूरी देने के लिए कहना शामिल है। पाथाओ ने इस आशंका के बारे में चेताया, लेकिन यह नहीं कहा कि डेटा उल्लंघन से जुड़े फिशिंग या किसी की पहचान बनाकर किए गए हमले पहले ही हुए हैं।
सूचना प्रौद्योगिकी विशेषज्ञ सुमन अहमद साबिर ने कहा कि अगर बड़े दावे सही साबित होते हैं तो पहचान की चोरी, बैंकिंग धोखाधड़ी, फिशिंग, ब्लैकमेल और सोशल मीडिया खातों पर कब्जे जैसे जोखिम हो सकते हैं। उनका आकलन संभावित नतीजों के बारे में है, पाथाओ के उपयोगकर्ताओं के खिलाफ पुष्ट अपराधों के बारे में नहीं।
उजागर हुई जानकारी का प्रकार जोखिम बदलता है। संपर्क विवरण का इस्तेमाल लक्षित धोखाधड़ी में हो सकता है; पहचान दस्तावेजों से किसी और का रूप धरने की कोशिश की जा सकती है; लोकेशन और यात्रा रिकॉर्ड निजी गतिविधियों का खुलासा कर सकते हैं। अनुमति और टोकन के अब भी वैध होने के आधार पर एक्सेस टोकन खातों की सुरक्षा के लिए जोखिम पैदा कर सकते हैं। पाथाओ ने इन ज्यादा संवेदनशील श्रेणियों के उजागर होने की पुष्टि नहीं की है।
उपयोगकर्ताओं को क्या करने की सलाह दी गई
पाथाओ ने मुख्य रूप से सलाह दी है कि कंपनी का प्रतिनिधि होने का दावा करने वाले किसी भी व्यक्ति के अप्रत्याशित संदेश, कॉल और लिंक से सावधान रहें। कंपनी ने उपयोगकर्ताओं से कहा है कि ऐसे संपर्क के जवाब में पासवर्ड, पिन या वन टाइम पासवर्ड साझा न करें।
ओटीपी एक अस्थायी कोड होता है, जिसका इस्तेमाल लॉगिन या लेनदेन को मंजूरी देने के लिए किया जाता है। इसे साझा करने से कोई दूसरा व्यक्ति उस कार्रवाई को पूरा कर सकता है जिसकी सुरक्षा के लिए यह बना है, भले ही उसे खाते का नियमित पासवर्ड न पता हो।
कंपनी ने उपयोगकर्ताओं को सत्यापित अपडेट के लिए अपने आधिकारिक संचार माध्यमों पर भरोसा करने की सलाह दी। घटना के संदर्भ में दी गई सुरक्षा सलाह में अनजान लिंक से बचना और फेसबुक तथा अन्य खातों पर टू-फैक्टर ऑथेंटिकेशन चालू करना भी शामिल था। इससे पासवर्ड के अलावा सत्यापन का एक और चरण जुड़ जाता है।
ये एहतियात जानकारी के संभावित दुरुपयोग से बचने के लिए हैं, बिना यह माने कि हर दावा सही है। इस घटना से जुड़े फेसबुक खातों के हैक होने, धोखाधड़ी वाले लेनदेन या पहचान की चोरी के मामलों की कोई पुष्ट संख्या नहीं है।
जांच में अब भी क्या पता लगाया जाना है
साइबर सुरक्षा विशेषज्ञ तनवीर हसन जोहा ने स्वतंत्र डिजिटल फोरेंसिक जांच, संबंधित सर्वरों और एक्सेस लॉग को सुरक्षित रखने तथा लागू कानून के तहत नियामकों और कानून प्रवर्तन एजेंसियों को सूचित करने की सिफारिश की। डिजिटल फोरेंसिक में तकनीकी साक्ष्यों के जरिए घटना का पुनर्निर्माण किया जाता है, जिसमें यह पता लगाना शामिल है कि किन सिस्टमों तक पहुंच बनाई गई और क्या गतिविधियां हुईं।
लॉग सुरक्षित रखना अहम है, क्योंकि उनसे सिस्टम में दाखिल होने का तरीका, अनधिकृत पहुंच की अवधि और हमलावरों की पहुंच में आए रिकॉर्ड का पता लगाने में मदद मिल सकती है। पाथाओ ने बाहरी विशेषज्ञों को शामिल करने की घोषणा की है, लेकिन यह नहीं बताया कि उनका काम स्वतंत्र फोरेंसिक जांच है या नहीं। कंपनी ने जांच के निष्कर्ष भी प्रकाशित नहीं किए हैं।
साबिर ने यह भी कहा कि बांग्लादेश में साइबर सुरक्षा निगरानी से जुड़ी व्यवस्था के पास संसाधनों और कर्मचारियों की कमी है, जिनमें घटनाओं पर प्रतिक्रिया देने वाली संस्थाएं भी शामिल हैं। उन्होंने नुकसान झेलने वाले ग्राहकों को मुआवजा देने के लिए कानूनी ढांचा बनाने की मांग की। ये उनके आकलन और सुझाव हैं, पाथाओ की जांच कर रहे किसी प्राधिकरण के निष्कर्ष नहीं।
तत्काल जिन सवालों के जवाब बाकी हैं, वे अधिक स्पष्ट हैं: कितने उपयोगकर्ता प्रभावित हुए, कौन-सी जानकारी चोरी हुई, क्या दोनों देशों के रिकॉर्ड उजागर हुए और क्या कथित वित्तीय या खाता संबंधी प्रमाण-पत्र असली हैं। पाथाओ ने जांच पूरी करने, निष्कर्ष जारी करने या अगला अपडेट देने की तारीख घोषित नहीं की है।
सत्यापित जानकारी साझा करने के कंपनी के वादे के बीच उपयोगकर्ताओं को एक फर्क ध्यान में रखना चाहिए। कुछ निजी डेटा की चोरी की पुष्टि हुई है। 19 मिलियन से अधिक खातों, बड़े पैमाने पर पहचान रिकॉर्ड और वित्तीय जानकारी वाले 133 गीगाबाइट डेटासेट का दावा अपुष्ट है।
मुख्य बातें
- पाथाओ ने पुष्टि की कि 4 अक्टूबर की घटना के दौरान हमलावरों ने कुछ लोगों के नाम, ईमेल पते और फोन नंबर हासिल किए।
- बांग्लादेश और नेपाल में कामकाज बाधित हुआ। सेवाओं को स्थिर करने के दौरान कुछ उपयोगकर्ताओं को रुक-रुककर समस्याएं हो सकती थीं।
- 133 गीगाबाइट डेटा, 19,063,918 खातों और लगभग 250 मिलियन डेटाबेस रो से जुड़े दावे अपुष्ट हैं।
- पाथाओ ने पासवर्ड, पहचान रिकॉर्ड, लोकेशन डेटा या वित्तीय जानकारी के कथित खुलासे की पुष्टि नहीं की है।
- 400,000 यूएसडीटी की कथित मांग और 24 घंटे की समय-सीमा की कंपनी ने पुष्टि नहीं की है।
- बाहरी साइबर सुरक्षा विशेषज्ञ जांच में शामिल हैं, संबंधित अधिकारियों को सूचना दी गई है और जांच पूरी होने की तारीख घोषित नहीं की गई है।
- उपयोगकर्ताओं को अनचाहे संपर्कों से सावधान रहने और पासवर्ड, पिन या ओटीपी कभी साझा न करने की चेतावनी दी गई है।
