मंगलवार, 6 अक्टूबर को ब्रिटिश फैशन रिटेलर ASOS के ग्राहकों को ऑफिशियल ऐप से “ASOS HACKED” शीर्षक वाला पुश नोटिफिकेशन मिला।
इसमें लिखा था: “प्रिय Asos DPO और IT, हमने Snowflake इंस्टेंस को पूरी तरह कॉम्प्रोमाइज़ कर लिया है। हमसे संपर्क करें, वरना हम इसे लीक कर देंगे।”
इस संदेश के साथ हैकर्स ने साइबर हमलों के शस्त्रागार में एक नया हथियार निकाला: बिज़नेस खातों में सेंध लगाना और अपनी ज़बरदस्ती की मांगें सीधे ग्राहकों तक पहुंचाना। अगर ASOS जैसे हमले आम हो जाएं, तो इसका असर हर उस बिज़नेस पर पड़ेगा जो नियमित रूप से ग्राहकों को संदेश भेजता है। ईमेल या ऐप के भीतर भेजे जाने वाले संदेशों के ज़रिए ग्राहकों को बड़े पैमाने पर भेजे गए मैसेज, भरोसेमंद प्रेषकों से आने वाले फिशिंग हमलों को बढ़ाने का आसान तरीका हैं, ठीक वैसे ही जैसे 2020 में हैक किए गए Twitter खातों(नई विंडो) से भेजी गई बिटकॉइन स्कैम। इससे कंपनियों पर फिरौती देने का दबाव भी बढ़ सकता है या ऐसी अफरातफरी फैल सकती है जिसका असर कंपनियों के मुनाफ़े पर पड़ता है।
अच्छी बात यह है कि बुनियादी स्तर पर, एक बिज़नेस या ग्राहक के तौर पर आपकी रोकथाम की रणनीतियों में ज़्यादा बदलाव नहीं होता। जानिए, हमें क्या पता है।
ASOS के साथ क्या हुआ?
Snowflake एक डेटा स्टोरेज और विश्लेषण सेवा है, जिसे ASOS ने क्लाउड इन्फ्रास्ट्रक्चर के तौर पर इस्तेमाल किया। हैकर्स ने एक कर्मचारी के खाते तक एक्सेस पाने के लिए सोशल इंजीनियरिंग हमले का सहारा लिया, जो Simon AI नाम के प्लेटफ़ॉर्म पर था, जो Snowflake में नेटिव रूप से इंटिग्रेटेड है। मीडिया रिपोर्ट्स(नई विंडो) के मुताबिक़, हैकर्स ने “भरोसेमंद संपर्क का रूप धरकर लॉग-इन क्रेडेंशियल हासिल करके” कर्मचारी को बरगलाया।
ध्यान रहे कि इस मामले में Snowflake खुद कॉम्प्रोमाइज़ नहीं हुआ था, हालांकि पहले इसके साथ भी लीक की घटना(नई विंडो) हो चुकी है।
वहां से उन्होंने एक अनोखा रैनसमवेयर हमला किया और ASOS ऐप के नोटिफिकेशन सिस्टम का इस्तेमाल करके ASOS यूज़र्स को ज़बरदस्ती की मांग भेज दी। चूंकि वह नोटिफिकेशन कंपनी के DPO (डेटा प्रोटेक्शन ऑफिसर) और IT डिपार्टमेंट के नाम था, ऐसा लगता है कि हैकर्स ASOS पर भुगतान का दबाव बनाने के लिए इस धमकी को सार्वजनिक कर रहे थे।
उसी दिन एक मार्केट ऐलान(नई विंडो) में ASOS ने कहा कि वह ग्राहकों से संवाद के लिए इस्तेमाल होने वाले प्लेटफ़ॉर्म्स से जुड़ी अनधिकृत गतिविधि की जांच कर रहा है। कंपनी ने ग्राहकों को यह भी बताया कि नाम और संपर्क जानकारी समेत उनकी निजी जानकारी तक एक्सेस हो चुका हो सकता है, हालांकि पासवर्ड और भुगतान जानकारी पर असर नहीं दिखा।
हालांकि, अगले कुछ दिनों में यह सामने आया(नई विंडो) कि हैकर्स ने दरअसल लाखों ग्राहकों का डेटा जमा किया था। हैकर्स ने चोरी हुए डेटा का एक नमूना लेकर BBC से संपर्क किया(नई विंडो): नाम, पते, फोन नंबर, ईमेल, ग्राहक नंबर और जन्म की तारीखें।
ASOS ग्राहकों को क्या करना चाहिए?
चूंकि हैकर्स को निजी जानकारी मिल गई है, अब वे ASOS ग्राहकों के खिलाफ कहीं ज़्यादा असरदार फिशिंग हमले कर सकते हैं।
अगर आप ASOS के ग्राहक हों:
- अपने ASOS खाते के लिए नया मज़बूत पासवर्ड बनाएं।
- अगर कोई खुद को ASOS का प्रतिनिधि बताकर संपर्क करे और कहे कि उसे और जानकारी चाहिए या आपका खाता अब लॉक हो चुका है, तो उससे बातचीत न करें। कॉल, ईमेल या SMS की जानकारी ASOS को उसके ऑफिशियल कस्टमर केयर चैनल(नई विंडो) के ज़रिए दें।
- अगर किसी अन्य रिटेलर या किसी अनजान व्यक्ति से ऐसा कोई असामान्य ईमेल मिले जिसमें और जानकारी मांगी गई हो या किसी लिंक पर क्लिक करने को कहा गया हो, तो उस पर क्लिक न करें और न ही उससे जुड़ें। लॉग-इन के लिए हमेशा कंपनी की वेबसाइट या ऐप पर सीधे जाएं, न कि मिले हुए अनचाहे लिंक के ज़रिए।
इसका असर क्या है?
ASOS की ब्रांड प्रतिष्ठा पर भी काफी असर पड़ा है। सिर्फ ग्राहकों का डेटा चोरी हुआ ही नहीं, बल्कि हमले की जानकारी सीधे ग्राहकों को रियल टाइम में दी गई: ASOS को ग्राहकों और नियामकों को लीक की जानकारी देने से पहले हमले पर काबू पाने का मौका ही नहीं मिला।
हमले के बाद ASOS के शेयर 11% तक गिर गए(नई विंडो), क्योंकि चिंतित ग्राहकों ने सोशल मीडिया पर इस बारे में पोस्ट किए। किसी बिज़नेस को सीधे भेजे जाने वाले आम ज़बरदस्ती के हमले की तुलना में इस सीधे नोटिफिकेशन ने कहीं ज़्यादा बेचैनी और जल्दबाज़ी पैदा की। यूज़र्स को निशाना बनाकर हैकर्स ने और ज़्यादा अफरातफरी फैलाई, क्योंकि यह साफ नहीं था कि खतरा कितना बड़ा है।
बिज़नेस को यह समझना ज़रूरी है कि ग्राहकों से संवाद के लिए इस्तेमाल किए जाने वाले प्लेटफ़ॉर्म्स को आगे चलकर हैकर्स ज़्यादा निशाना बनाएंगे। अगर हैकर्स सीधे आपके ग्राहकों तक पहुंच सकें, तो जवाब देने का कंट्रोल तुरंत हाथ से निकल जाता है और आपके ब्रांड पर ग्राहकों का भरोसा टूट जाता है।
बिज़नेस इस तरह के हमले से कैसे बच सकते हैं?
हैकर्स ने भरोसेमंद ASOS संपर्क का रूप धरकर Snowflake खाते तक एक्सेस हासिल किया, जो फिशिंग का एक आम उदाहरण है। हमने इस बारे में विस्तार से लिखा है कि अपने बिज़नेस को फिशिंग से कैसे बचाएं, लेकिन आपका बिज़नेस जो सबसे ज़रूरी कदम उठा सकता है, वह है संवेदनशील ग्राहक डेटा तक एक्सेस रखने वाले सभी खातों के लिए टू-फैक्टर सत्यापन (2FA) सक्षम करना।
2FA सक्षम करें
2FA सक्षम करने से खातों के लिए सुरक्षा की एक अतिरिक्त परत बन जाती है, जिसे हैकर्स के लिए तोड़ना कहीं ज़्यादा मुश्किल होता है। हर खाते के लिए 2FA के साथ एक मज़बूत और अनोखा पासवर्ड रखना, आपके बिज़नेस को फिशिंग हमलों से बचाने का असरदार और आसान तरीका है।
पासवर्ड मैनेजमेंट को केंद्रीकृत करें
बिल्ट-इन 2FA ऑथेंटिकेटर, ईमेल छद्म-नाम और सुरक्षित शेयरिंग वाला बिज़नेस पासवर्ड मैनेजर अपनाने से आपका बिज़नेस ASOS पर हुए हमले जैसे खतरों से बच सकता है। शुरु-से-अंत तक एन्क्रिप्ट किए गए पासवर्ड मैनेजर में लॉग-इन सुरक्षित रखने से, जो पासवर्ड सुरक्षित तरीके से बना, स्टोर और ऑटोफिल कर सकता है, आपकी टीम के सदस्य सुरक्षित तरीके से काम कर पाते हैं और ज़रूरी संवेदनशील डेटा की सुरक्षा कर पाते हैं।
कम्युनिकेशन चैनल मज़बूत करें
अक्सर सुरक्षा ऑडिट पेमेंट सिस्टम, कोर डेटाबेस या कस्टमर रिलेशनशिप मैनेजर्स जैसे अहम सिस्टम्स से शुरू होते हैं। लेकिन ASOS का हैक बताता है कि कम्युनिकेशन चैनल खतरनाक रास्ते हैं, जिन्हें लॉक करना ज़रूरी है। सोशल मीडिया खाते, ऐप में नोटिफिकेशन भेजने वाले प्लेटफ़ॉर्म, Mailchimp जैसे ईमेल प्लेटफ़ॉर्म और SMS प्लेटफ़ॉर्म कम से कम कर्मचारियों तक सीमित होने चाहिए, और 2FA सख्ती से लागू होना चाहिए।
अगर कोई ईमेल पता या पासवर्ड फिशिंग का शिकार हो भी जाए, तो हैकर्स 2FA से सुरक्षित खाते तक एक्सेस नहीं कर सकते। अगर हर खाते का पासवर्ड अनोखा हो और उसमें ईमेल छद्म-नाम का इस्तेमाल हो, तो हैकर्स कई सेवाओं में पासवर्ड दोबारा आज़मा नहीं सकते या उस ईमेल पते की गतिविधियों का प्रोफ़ाइल नहीं बना सकते।
हैकर्स जैसे-जैसे अपनी हमले की रणनीतियां बदलते रहते हैं, उन्हें आपकी प्रतिष्ठा को नुकसान पहुंचाने और आपके ग्राहकों को निशाना बनाने का मौका न दें। बिज़नेस पासवर्ड मैनेजर अपनाएं, जो आपको और आपके ग्राहकों को सुरक्षित रखे।
