डाटा एक्सफिल्ट्रेशन: हमलावर कैसे व्यावसायिक डाटा चुराते हैं और उन्हें कैसे रोकें

ज़्यादातर लीक की रोकथाम से जुड़ी सलाह, हमारी अपनी डाटा लीक की रोकथाम की गाइड समेत, हमलावरों को आपके व्यावसायिक नेटवर्क से बाहर रखने पर केंद्रित है। मज़बूत प्रमाण इस्तेमाल करना, फिशिंग के प्रति प्रतिरोध, पैच किए गए सिस्टम और जांचे-परखे सप्लायर इस प्रैक्टिस के प्रमुख हिस्से हैं। ये सभी ज़रूरी प्रैक्टिस हैं, लेकिन ये आपके इकलौते डाटा लीक सुरक्षा तरीके नहीं हो सकते: अगर हमलावर आपके नेटवर्क में घुस जाए, तो ये आपकी सहायता नहीं करेंगे.

एक्सेस हासिल करना और डाटा चोरी अलग-अलग चीज़ें हैं। जो हमलावर किसी एक इंबॉक्स, किसी एक लैपटॉप या किसी एक सप्लायर कनेक्शन से छेड़छाड़ करता है, उसने अभी कुछ चुराया नहीं है। उसे एक पड़ाव मिल चुका है, और उस पड़ाव से लेकर डाटा के इमारत से बाहर निकलने के पल के बीच का चरण वो है जिसे ज़्यादातर SMB सुरक्षा गाइड पूरी तरह छोड़ देती है, क्योंकि यह सिर्फ आपके नेटवर्क को सुरक्षित रखने की बात नहीं है; यह ये नोटिस करने की भी बात है कि डाटा उससे बाहर ले जाया जा रहा है.

इस चरण को एक्सफिल्ट्रेशन कहा जाता है, और यह आमतौर पर दिनों तक या कई महीनों तक बिना पकड़े में आए चलता रहता है। यह उन टूल्स और चैनलों की वजह से संभव होता है जो किसी भी ऐसे शख्स को पूरी तरह आम लगते हैं जो खास तौर पर इन पर नज़र नहीं रख रहा। लीक की सूचनाएं अक्सर देर से आती हैं, यह इसलिए नहीं कि संगठनों ने शुरुआती छेड़छाड़ के मामले में लापरवाही बरती, बल्कि इसलिए कि हमलावर को व्यावसायिक नेटवर्क के अंदर पकड़ा नहीं गया।

एक्सफिल्ट्रेशन चरण: एक्सेस और चोरी के बीच क्या होता है

डाटा एक्सफिल्ट्रेशन कैसा दिखता है

एक्सफिल्ट्रेशन को पकड़ना मुश्किल क्यों है?

व्यवसायों को किन चीज़ों पर निगरानी रखनी चाहिए

जल्दी पहचान आपकी कानूनी स्थिति कैसे बदल सकती है

एक्सफिल्ट्रेट किए गए व्यावसायिक डाटा का क्या होता है?

हमलावर की पहुंच को नियंत्रित करें

एक्सफिल्ट्रेशन चरण: एक्सेस और चोरी के बीच क्या होता है

जब हमलावर शुरुआती एक्सेस हासिल कर लेता है, चाहे किसी फिशिंग ईमेल से, चुराए गए प्रमाण से या किसी सप्लायर के छेड़छाड़ किए गए कनेक्शन से, तो वो शायद ही कभी सीधे डाटा चुराने की तरफ बढ़ता है। तुरंत काम करने से ये खतरा होता है कि कुछ काम के मिलने से पहले ही अलर्ट ट्रिगर हो जाएगा, इसलिए ज़्यादातर मामलों में पैटर्न है धैर्य.

हमलावर माहौल को समझने में वक्त बिताता है, जिसमें शामिल हैं:

• वित्तीय रिकॉर्ड कहां स्टोर किया गया है
• ये जांचना कि कौन से SaaS टूल्स में ग्राहकों का डाटा मौजूद है
• उन खातों को ढूंढना जिनकी एक्सेस सबसे व्यापक है
• ये पता लगाना कि गतिविधि की निगरानी, अगर कोई है, मौजूद है या नहीं।

ये रीकॉन चरण धीमा हो सकता है। कुछ हमलावर कुछ ही घंटों में काम कर देते हैं, खास तौर पर उन रैंसमवेयर मामलों में जहां गुप्त रहने से ज़्यादा स्पीड मायने रखती है। दूसरे, खास तौर पर लंबे समय तक डाटा चोरी या जासूसी पर आधारित मामलों में, हफ्तों या महीनों तक अंदर डाले रहते हैं, और गतिविधि के आम पैटर्न इतनी अच्छी तरह सीख लेते हैं कि उनमें घुल-मिल जाते हैं।

दोनों ही सूरतों में, जिस वक्त तक हमलावर डाटा बाहर भेजना शुरू करता है, उसे आमतौर पर ये पहले से पता होता है कि उसे क्या चाहिए और कौन सा खाता या सिस्टम बिना अलर्ट बजाए उसे वो लेने देगा।

डाटा एक्सफिल्ट्रेशन कैसा दिखता है

घातक एक्सफिल्ट्रेशन को पकड़ना मुश्किल है क्योंकि ये रोज़मर्रा की गतिविधि जैसा दिखता है। IT एडमिन आम दिनों से थोड़ी बड़ी फ़ाइल ट्रांसफर या उन फोल्डर को नहीं ढूंढ रहे होते जिन्हें कहीं सिंक कर दिया गया हो जहां वो नहीं होने चाहिए।

बड़े या असामान्य डाटा ट्रांसफर

ये एक्सफिल्ट्रेशन का सबसे सीधा रूप है। उदाहरण के लिए, कोई खाता अचानक किसी फ़ाइल सर्वर या डेटाबेस से गीगाबाइट डाटा खींच सकता है जिसे वो आमतौर पर बहुत कम छूता है, या किसी CRM या HR प्लैटफॉर्म से बल्क निर्यात कर सकता है.

SaaS-भारी माहौल में, एक्सफिल्ट्रेशन अक्सर प्लैटफॉर्म की अपनी निर्यात करने की खासियतों के ज़रिए होता है: बल्क CSV डाउनलोड, ग्राहक रिकॉर्ड के PDF निर्यात, या किसी ऐसे डैशबोर्ड की स्क्रीनशॉट की एक सीरीज़ जिसमें निर्यात करने का बटन है ही नहीं।

एक आम मामला कुछ ऐसा दिख सकता है: छेड़छाड़ किए गए एक HR खाते का इस्तेमाल कई हफ्तों तक किया जाता है, कर्मचारी रिकॉर्ड के छोटे, रुक-रुक कर होने वाले निर्यात करने के लिए, न कि एक साफ बल्क डाउनलोड के लिए। हर अलग-अलग निर्यात अपने आप में कोई खास नहीं लगता, HR प्लैटफॉर्म की उस भूमिका में किसी से उम्मीद के भीतर है.

सिर्फ हफ्तों में फैला वो पैटर्न, यानी वही खाता अजीब-से-अजीब अंतराल पर मिलती-जुलती डाटा निर्यात करता रहता है, ही ये दिखा सकता है कि क्या हो रहा है, और वो पैटर्न सिर्फ उसी व्यवसाय को दिखता है जो इसकी तलाश में हो।

इंबॉक्स में छेड़छाड़

जो हमलावर किसी व्यावसायिक ईमेल मेलबॉक्स से छेड़छाड़ कर लेता है, वो एक नियम सेटअप कर सकता है जो चुपचाप हर संदेश, या कुछ खास कीवर्ड से मेल खाने वाला हर संदेश, किसी बाहरी पते पर कॉपी कर देता है, जिससे उसे मूल फिशिंग ईमेल भूल जाने के बहुत बाद तक संवेदनशील पत्राचार की लगातार फीड मिलती रहती है।

क्लाउड स्टोरेज में छेड़छाड़

पर्सनल क्लाउड स्टोरेज एक और आम रास्ता है। किसी कर्मचारी का छेड़छाड़ किया गया लैपटॉप, या कंपनी की फ़ाइलों तक एक्सेस वाला छेड़छाड़ किया गया कोई खाता, डॉक्यूमेंट को किसी पर्सनल Dropbox, Google Drive या किसी इसी तरह की सर्विस में कॉपी करने के लिए इस्तेमाल किया जा सकता है, जो एक ऐसा ट्रांसफर है जो अक्सर किसी वैध फ़ाइल बैकअप जैसा ही दिखता है, जब तक कोई ये जांच नहीं रहा कि डाटा आखिरकार कहां पहुंचा.

एक्सफिल्ट्रेशन को पकड़ना मुश्किल क्यों है?

एक्सफिल्ट्रेशन के बारे में असहज सच ये है कि इसमें आमतौर पर किसी मालवेयर(नई विंडो) की बिल्कुल ज़रूरत नहीं होती। कोई हमलावर जो छेड़छाड़ किए गए खाते का इस्तेमाल करके कोई रिपोर्ट निर्यात करता है, कुछ ईमेल फॉरवर्ड करता है, या किसी क्लाउड ड्राइव पर फ़ाइलें अपलोड करता है, वो वही टूल्स और परमिशन इस्तेमाल कर रहा है जो कोई वैध कर्मचारी रोज़ इस्तेमाल करता है.

ऐसा कोई संदिग्ध एक्ज़ीक्यूटेबल नहीं होता जिसे एंटीवायरस सॉफ्टवेयर फ्लैग करे, या कोई असामान्य प्रोसेस जिसे एंडपॉइंट डिटेक्शन पकड़ सके, क्योंकि गतिविधि में तकनीकी तौर पर कुछ भी असामान्य नहीं होता। ये सिर्फ संदर्भ में गलत दिखता है, और संदर्भ ही वो चीज़ है जिसका आकलन करने के लिए ज़्यादातर SMB सुरक्षा टूलिंग बनी ही नहीं है।

इसीलिए परिधि-केंद्रित बचाव, चाहे कितने भी अच्छी तरह लागू हों, अपने आप में काफी नहीं होते। कोई व्यवसाय प्रवेश बिंदु पर सब कुछ सही कर सकता है, मज़बूत प्रमाण लागू कर सकता है, कर्मचारियों को फिशिंग के खिलाफ ट्रेन कर सकता है, हर सिस्टम को पैच कर सकता है, और फिर भी उसे ये जानने का कोई तरीका नहीं होगा कि छेड़छाड़ किया गया कोई खाता लगातार फ़ाइलें किसी बाहरी जगह भेज रहा है, क्योंकि वो गतिविधि पहले से ही संदिग्ध दिखने के लिए डिज़ाइन नहीं की गई थी।

सुरक्षा रिसर्चर कभी-कभी इसे “लिविंग ऑफ द लैंड” कहते हैं: निशाने के अपने वैध सॉफ्टवेयर, क्लाउड इंटीग्रेशन और एडमिनिस्ट्रेटिव टूल्स का इस्तेमाल करना, बजाय किसी ऐसे टूल के जिसे एंटीवायरस प्रोडक्ट गैर-वैध पहचाने.

कोई फ़ाइल सिंक क्लाइंट, कोई बिल्ट-इन निर्यात करने की खासियत, या कोई स्टैंडर्ड ईमेल नियम अपने आप में घातक टूल्स नहीं हैं। इसीलिए जो हमलावर इन पर भरोसा करता है, वो इतनी देर तक काम कर सकता है बिना किसी चीज़ को ट्रिगर किए जो मालवेयर पकड़ने के लिए बनी है।

व्यवसायों को किन चीज़ों पर निगरानी रखनी चाहिए

एक्सफिल्ट्रेशन को जल्दी पकड़ना गिनती में कम खास सिग्नल पर नज़र रखने तक आता है, बजाय संदिग्ध गतिविधि के लिए व्यापक तौर पर स्कैन करने के।

ट्रैफिक और निर्यात

असामान्य डाटा ट्रांसफर मात्रा या मंज़िलें सबसे ज़्यादा ध्यान देने लायक होती हैं। आपके संगठन को आउटबाउंड ट्रैफिक में उछाल पर नज़र रखनी चाहिए, किसी ऐसे सिस्टम से बल्क निर्यात पर जो आमतौर पर इन्हें नहीं देखता, या किसी भी ट्रांसफर पर जो किसी ऐसी मंज़िल की तरफ जा रहा हो जिसे आप नहीं पहचानते।

NCSC की डाटा सुरक्षा पर गाइड(नई विंडो) खास तौर पर संवेदनशील डाटा तक एक्सेस को लॉग करने और असामान्य क्वेरी या बल्क निर्यात की कोशिशों पर निगरानी की सलाह देती है, ठीक इसीलिए कि वो पैटर्न एक संकेत है कि कुछ सामान्य इस्तेमाल से आगे निकल चुका है।

ईमेल फ़ॉरवर्डिंग नियम

ईमेल फ़ॉरवर्डिंग नियम की सीधे ऑडिट करना फायदेमंद है, खास तौर पर किसी भी खाते के लिए जो किसी संदिग्ध फिशिंग घटना में शामिल रहा हो। कोई नियम जो चुपचाप संदेश किसी अनजान पते पर फॉरवर्ड कर रहा हो, महीनों तक बिना पकड़े बैठा रह सकता है, और ये जांचने की सबसे आसान चीज़ों में से एक है एक बार जब आप देखना जान जाएं।

असामान्य लॉगइन

अप्रत्याशित जगहों या समयों से लॉगइन गतिविधि एक ऐसा संकेत है जिसे गंभीरता से लेना चाहिए। सुबह 3 बजे किसी ऐसे देश से लॉगइन जिसमें व्यवसाय की कोई मौजूदगी नहीं, अपने आप में किसी चीज़ का सबूत नहीं है, लेकिन जब उसी समय के आसपास किसी डाटा ट्रांसफर से तुलना की जाए, तो ये वो जानकारी है जो किसी घटना की पुष्टि कर सकती है।

बिज़नेस आवर्स के बाहर एडमिन खाते की गतिविधि विशेष जांच की हकदार होती है, क्योंकि एडमिन खातों की पहुंच आमतौर पर सिस्टम में सबसे व्यापक होती है, और ठीक इसी पहुंच की वजह से वो पसंदीदा निशाना होते हैं.

इन खातों पर देर रात, वीकेंड पर, या उस दौरान होने वाली गतिविधि जब वास्तविक एडमिनिस्ट्रेटर के ऑफिस से बाहर होने की जानकारी हो, उन भरोसेमंद संकेतों में से एक है कि सिर्फ कोई डिवाइस नहीं, बल्कि खाता छेड़छाड़ किया गया है।

जल्दी पहचान आपकी कानूनी स्थिति कैसे बदल सकती है

EU GDPR और UK GDPR दोनों के तहत, आर्टिकल 33(नई विंडो) संगठनों को 72 घंटे देता है उस संबंधित निगरानी एजेंसी को सूचित करने के लिए जिस पल से जब उन्हें पता चलता है कि पर्सनल डाटा को प्रभावित करने वाला कोई लीक हुआ है; UK में ICO(नई विंडो) या हर EU सदस्य देश में राष्ट्रीय डाटा सुरक्षा एजेंसी.

ज़रूरत हर ज्यूरिस्डिक्शन के लिए बुनियादी तौर पर एक जैसी है: घड़ी आपके संगठन के लिए जागरूक होने के पल से शुरू होती है, न कि उस पल से जब लीक असल में हुआ। इसीलिए गहन एक्सफिल्ट्रेशन निगरानी कंप्लायंस के लिए इतना मायने रखती है, सिर्फ सुरक्षा के लिए नहीं।

कोई व्यवसाय जो एक्सफिल्ट्रेशन जल्दी पकड़ लेता है, फ़ॉरवर्डिंग-नियम ऑडिट, ट्रांसफर निगरानी, या असामान्य लॉगइन अलर्ट के ज़रिए, वो अपनी टाइमलाइन पर, अपने आप, काफी साफ तस्वीर के साथ ये बताकर खुद सूचित कर सकता है कि क्या लिया गया था.

कोई व्यवसाय जो लीक को हफ्तों या महीनों बाद खोजता है, अक्सर इसलिए कि किसी ग्राहक ने शिकायत की या चुराया गया डाटा किसी आपराधिक फोरम पर सामने आया, वो प्रतिक्रियात्मक तौर पर, दबाव में सूचित करता है, अक्सर दायरे की अधूरी तस्वीर के साथ और कोई रेगुलेटर पूछता है कि इसे नोटिस करने में इतना वक्त क्यों लगा।

फर्क इससे कहीं आगे जाता है कि आपकी रेपुटेशन कैसे प्रभावित होती है। ये तय करता है कि पूरी घटना का आकलन कैसे होगा, और कोई रेगुलेटर कितनी छूट देने के मूड में है।

एक्सफिल्ट्रेट किए गए व्यावसायिक डाटा का क्या होता है?

Proton का डाटा लीक ऑब्जर्वेटरी ये ट्रैक करता है कि किसी लीक के होने के बाद डार्क वेब पर क्या सामने आता है, और वो पैटर्न इस बात का एक फायदेमंद असलियत-चेक है कि एक्सफिल्ट्रेशन असल में किस चीज़ के पीछे होता है.

2026 डाटा लीक ऑब्जर्वेटरी अपडेट के मुताबिक, नाम और ईमेल पते ट्रैक किए गए लगभग दस में से नौ लीक में दिखते हैं, फोन नंबर और असली पते जैसी संपर्क जानकारी इनमें से तकरीबन तीन-चौथाई में दिखती है, और पासवर्ड लगभग आधे में एक्सपोज़ होते हैं.

ज़्यादा संवेदनशील श्रेणियां, सरकारी जारी की गई ID, हेल्थ रिकॉर्ड, और अन्य पर्सनली आइडेंटिफायेबल इनफॉर्मेशन, लीक के बमुश्किल एक-तिहाई में दिखती हैं, जबकि सीधी वित्तीय जानकारी छोटे हिस्से में, तकरीबन बीस में से एक में दिखती है।

SMB ऑब्जर्वेटरी द्वारा ट्रैक किए गए लीक का बहुमत बनाते हैं, और वे उन घटनाओं में असामान्य रूप से ज़्यादा मौजूद हैं जिनमें सबसे संवेदनशील डाटा श्रेणियां शामिल हैं.

ये संयोजन, बार-बार निशाना बनना और संवेदनशील-डाटा एक्सपोज़र की ऊंची दर, इस लेख में बताए गए एक्सफिल्ट्रेशन के प्रकार के साथ मेल खाता है: छोटे संगठन के सिस्टम के भीतर लंबे समय तक होने वाले हमले ज़्यादा फायदे देते हैं, क्योंकि किसी को नहीं पता था कि डाटा लीक हो रहा है और हमलावर सब कुछ ले सकते थे।

हमलावर की पहुंच को नियंत्रित करें

एक्सफिल्ट्रेशन निगरानी बाहर निकलते हुए डाटा को पकड़ती है, लेकिन समस्या का साइज़ पहले तय हो जाता है, इससे कि छेड़छाड़ किया गया कोई खाता पहली जगह क्या-क्या तक पहुंच सकता है। जो हमलावर किसी व्यापक, बिना पाबंदी वाली परमिशन वाले खाते तक एक्सेस हासिल कर लेता है, वो उस हमलावर से कहीं ज़्यादा सिस्टम से डाटा खींच सकता है जिसने किसी ऐसे खाते से छेड़छाड़ की हो जो उस भूमिका की ज़रूरतों तक ही सीमित हो।

हर खाते पर अनोखे प्रमाण, जिन्हें उस भूमिका की असली ज़रूरत तक सीमित एक्सेस के साथ जोड़ा जाए, सीधे एक्सफिल्ट्रेशन की सतह को छोटा कर देते हैं। अगर छेड़छाड़ किया गया कोई मार्केटिंग खाता सिर्फ मार्केटिंग सिस्टम तक ही पहुंच सकता है, तो सबसे खराब स्थिति डिज़ाइन से तय होती है, बजाय हमलावर के संयम या किसी निगरानी सिस्टम पर निर्भर रहने के कि वो उसे वक्त पर पकड़ ले.

यही वो नियंत्रण लॉजिक है जो आम तौर पर प्रमाण-आधारित लीक में ब्लास्ट रेडियस को सीमित करता है: जो खाता छेड़छाड़ का शिकार होता है, उसे सिर्फ वही लीक कर पाना चाहिए जिसे वो वैध तौर पर छूने की इजाज़त पाता है।

कोई व्यावसायिक पासवर्ड मैनेजर जैसे Proton Pass for Business इस स्कोपिंग को बनाए रखना असलियत में संभव बनाता है, क्योंकि ये टूल्स में व्यापक प्रमाण के सुविधाजनक सेट को दोबारा इस्तेमाल करने का लालच हटा देता है, सिर्फ इसलिए कि अनोखे प्रमाण को हाथ से संभालना स्केल नहीं करता.

जब हर खाते का अपना प्रमाण होता है और एक्सेस को इस बात के हिसाब से रिव्यू किया जाता है कि किसी भूमिका को असल में क्या चाहिए, तो छेड़छाड़ किया गया एक अकेला खाता पूरे संगठन के डाटा तक पहुंचने का रास्ता बनना बंद कर देता है और सबसे खराब स्थिति में एक नियंत्रित घटना बन जाता है।

Proton Pass for Business आपके व्यवसाय को इन चीज़ों में सहायता कर सकता है:

• अपनी पासवर्ड नीति को पासवर्ड ज़रूरतों, अनिवार्य दो-फैक्टर सत्यापन (2FA) और वापस लिए गए डाटा शेयरिंग नियमों के साथ लागू करने में मदद करने वाली अनुकूलन योग्य टीम नीतियां
• यूसेज लॉग जो आपको अपने नेटवर्क के भीतर गतिविधि देखने देते हैं, हमारे एडवांस्ड हाई सिक्योरिटी प्रोग्राम Proton Sentinel की अतिरिक्त सहायता के साथ
• भूमिका, प्रोजेक्ट या एक्सेस लेवल के हिसाब से संगठित ग्रुप, जो एक्सेस मैनेजमेंट को आसान बनाते हैं और ये सुनिश्चित करते हैं कि हर टीम सदस्य के पास सिर्फ वही एक्सेस हो जिसकी उसे ज़रूरत है।

प्रमाण-आधारित डाटा एक्सफिल्ट्रेशन को किसी व्यावसायिक पासवर्ड मैनेजर के साथ रोकें।