सुरक्षा सप्ताह 49: डेल और मैरियट हैकिंग

पिछले सप्ताह उपयोगकर्ताओं के व्यक्तिगत डेटा के दो प्रमुख लीक द्वारा चिह्नित किया गया था। डेल ने अपने ही नेटवर्क में घुसपैठ का पता लगाया है । पते और ग्राहक के नाम लीक हुए, साथ ही साथ हैशेड पासवर्ड जो सभी उपयोगकर्ताओं के लिए जबरन रीसेट किए गए थे। मैरियट होटल श्रृंखला में रिसाव बड़ा हो गया। 2014 में, पटाखे स्टारवुड होटल के ग्राहक डेटाबेस तक पहुंच प्राप्त कर चुके थे - 2016 में मैरियट द्वारा इस होटल श्रृंखला का अधिग्रहण किया गया था।

ग्राहक डेटाबेस तक अनधिकृत पहुंच इस वर्ष सितंबर में ही खोजी गई थी। प्रारंभिक आंकड़ों के अनुसार, 500 मिलियन स्टारवुड ग्राहकों को नुकसान उठाना पड़ा है, और 327 मिलियन मेहमानों ने नाम, भौतिक और इलेक्ट्रॉनिक पते, फोन नंबर और पासपोर्ट, बुकिंग की तारीख और अन्य निजी जानकारी लीक की है। यह एक बहुत गंभीर लीक है, जो याहू सेवा पर हमले के बराबर है।

डेल वेबसाइट पर एक उचित विचारशील पोस्ट कहती है कि यह 9 नवंबर को एक हमले का पता लगाता है। तीन सप्ताह से अधिक समय तक, उपयोगकर्ता डेटाबेस की चोरी के तथ्य को विश्वसनीय रूप से स्थापित करना संभव नहीं था; यह केवल ज्ञात है कि इसके लिए अनधिकृत पहुंच थी। Dell.com पर पंजीकृत सभी कंपनी ग्राहकों के लिए पासवर्ड मजबूर करना एक अतिरिक्त सावधानी है। कंपनी अपने उपयोगकर्ताओं को मजबूत पासवर्ड का उपयोग करने और विभिन्न सेवाओं पर पासवर्ड का पुन: उपयोग नहीं करने के लिए प्रोत्साहित करती है।

मज़बूत पासवर्ड बनाने के लिए डेल की सर्वोत्तम प्रथाओं को देखना दिलचस्प है। कम से कम 8 अक्षर, अपरकेस और लोअरकेस अक्षर, कम से कम एक संख्या। स्पष्ट शब्दों का प्रयोग न करें, जैसे कि अंतिम नाम या सड़क का नाम। पासफ़्रेज़ के साथ आने का प्रस्ताव है, जिसमें पहले अक्षर से एक पासवर्ड बनाना है। कंपनी की ओर से हैशिंग का उपयोग करके पासवर्ड सुरक्षा की विश्वसनीयता के बारे में भी विस्तार से बताया गया है: विशिष्ट एल्गोरिथ्म का खुलासा नहीं किया गया है, लेकिन यह बताया गया है कि एक स्वतंत्र परीक्षा के दौरान इसका परीक्षण किया गया था।

सामान्य तौर पर, डेल एक साइबर घटना की प्रतिक्रिया का एक अच्छा उदाहरण दिखाता है: ग्राहकों को सूचित किया गया था, डेटा रिसाव को रोक दिया गया था, उन्होंने सुरक्षा ऑडिट के लिए एक कंपनी को काम पर रखा था, और कानून प्रवर्तन को अधिसूचित किया गया था। और यह सब (संभवतः) डेटा रिसाव के छोटे पैमाने के साथ, हालांकि यह केवल पासवर्ड की बात नहीं है: डेल ग्राहक सूची में भी मूल्य है और, अफसोस, उन पर पहले से ही आगे के हमलों के लिए इस्तेमाल किया जा सकता है।



लेकिन मैरियट बहुत अधिक जटिल है। कंपनी के अनुसार, स्टारवुड होटल्स डेटाबेस की अनधिकृत पहुंच - उस समय एक स्वतंत्र संगठन - 2014 में वापस प्राप्त की गई थी, और एक प्रतिस्पर्धी होटल श्रृंखला की खरीद ने डेटा रिसाव का पता लगाने में मदद नहीं की। केवल इस वर्ष के 8 सितंबर को, एक निश्चित "आंतरिक सुरक्षा प्रणाली" ने डेटाबेस तक पहुंचने का प्रयास दर्ज किया। फिर जांच हुई, जिसके दौरान डेटाबेस की एक एन्क्रिप्टेड प्रति मिली: यह कथित रूप से कॉर्पोरेट नेटवर्क से बाद के बहिष्कार के लिए नकल की गई थी। डेटाबेस डाउनलोड करने का तथ्य दर्ज नहीं किया गया था, लेकिन यह देखते हुए कि कॉर्पोरेट नेटवर्क को पूरे चार साल तक हैक किया गया था, इसमें कोई संदेह नहीं है कि हमलावरों के पास ग्राहक डेटा तक पहुंच थी।

और किसको? डेटा की एक प्रतिलिपि डिक्रिप्ट करने के बाद नुकसान का आकलन करना संभव था। अनुमानित 500 मिलियन स्टारवुड ग्राहक प्रभावित हुए हैं। 327 मिलियन रिकॉर्ड्स में क्लाइंट के बारे में पूरी जानकारी होती है: जब उसने होटल में और उसके बाहर, मेलिंग एड्रेस, पासपोर्ट नंबर आदि की जाँच की। "ग्राहकों की संख्या पर" जानकारी में एन्क्रिप्टेड भुगतान जानकारी भी शामिल है - क्रेडिट कार्ड नंबर और समाप्ति तिथि। यह संभावना है कि पटाखे ऐसी जानकारी तक पहुंचते हैं जो इन भुगतान विवरणों को डिक्रिप्ट करने की अनुमति देता है। शेष (संभवतः) 100+ मिलियन ग्राहकों के लिए, नाम और पते के बारे में सीमित जानकारी लीक हो गई।

यह माना जा सकता है कि यह एक ताज़ी अधिग्रहित कंपनी का एकीकरण था, जिसमें इसकी सूचना सेवाएँ भी शामिल थीं, या बल्कि इसकी कमी थी, जो एक समस्या बन गई: स्टारवुड ने खरीद के बाद एक स्वतंत्र संरचना के रूप में काम करना जारी रखा (यह आंशिक रूप से मैरियट श्रृंखला से संबंधित होटल प्रभावित नहीं थे)। यह स्पष्ट है कि इस तरह के बड़े व्यापार लेनदेन में बहुत लंबा समय लगता है, और यह संभव है कि दो अलग-अलग आईटी प्रणालियों को विलय करने के प्रयास के दौरान एक डेटा लीक की खोज की गई थी। वे प्रभावित ग्राहकों को ई-मेल द्वारा सूचित करने का वादा करते हैं और एक सेवा की मुफ्त सदस्यता प्रदान करते हैं जो नेटवर्क पर निजी डेटा की उपस्थिति को ट्रैक करता है। स्टारवुड का बढ़ा कॉर्पोरेट इंफ्रास्ट्रक्चर भी वादा किया है।

याहू ईमेल उपयोगकर्ताओं की पहचान की चोरी के साथ मैरियट से डेटा रिसाव बहुत आम है। फिर, 500 मिलियन उपयोगकर्ताओं के बारे में भी एक डेटा लीक का पता चला, हैक को भी लंबे समय तक पता नहीं लगाया जा सका - 2014 में कथित तौर पर रिसाव हुआ, और 2016 में इसका पता चला। पिछले साल अक्टूबर में, एक और घटना ज्ञात हुई, जिसके दौरान कंपनी के सभी तीन बिलियन उपयोगकर्ताओं का डेटा कथित रूप से लीक हो गया। अंत में, याहू उस समय Verizon के कारोबार की बिक्री की बातचीत की प्रक्रिया में था, लेकिन रिसाव लेनदेन से पहले ज्ञात हो गया, और उसके बाद नहीं। नतीजतन, अधिग्रहण के दौरान कंपनी का मूल्य $ 350 मिलियन गिर गया - साइबर चोरी से प्रत्यक्ष वित्तीय नुकसान पर विचार करें।

भले ही स्टारवुड के क्रेडिट कार्ड की जानकारी प्रभावित नहीं हुई हो, लेकिन साइबर क्रिमिनल सक्रिय रूप से होटल चेन लॉयल्टी खातों तक पहुंच को विमुद्रीकृत कर रहे हैं। कास्परस्की लैब के विशेषज्ञ डेविड जैकोबी की साइबर क्रिमिनल दरों के एक छोटे से अध्ययन में , आप ब्लैक मार्केट पर विभिन्न सेवाओं के खातों के मूल्य का अंदाजा लगा सकते हैं। नेटफ्लिक्स, स्पॉटिफ़, स्टीम खाते खुदरा में डॉलर के कुछ जोड़े के लिए जाते हैं, और कुछ सेंट के लिए - अगर थोक में। $ 10 के लिए, आप किसी विशेष देश के उपयोगकर्ताओं के ईमेल और पासवर्ड से 100 हजार संयोजन प्राप्त कर सकते हैं। पासवर्डों के नियमित परिवर्तन और प्रत्येक सेवा के लिए एक अद्वितीय पासवर्ड के उपयोग से निश्चित रूप से हर किसी को लाभ होगा, भले ही अगले प्रमुख हैक के बारे में खबर न हो।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।