सारांश संदेश: उल्लंघन के दौरान अपनी उल्लंघन अधिसूचना पर काम करना आपदा का नुस्खा है।
दिसंबर 2018 में, Booking.com एक डेटा ब्रीच का शिकार हुआ, जिसमें कंपनी पर विशिंग अटैक का इस्तेमाल किया गया। विशिंग एक हैकिंग विधि है जिसमें फोन कॉल और वॉइसमेल संदेश प्रतिष्ठित कंपनियों से होने का दिखावा करते हैं और उपयोगकर्ताओं को उनकी व्यक्तिगत जानकारी, जैसे कि बैंकिंग जानकारी, क्रेडिट कार्ड नंबर या अन्य गोपनीय जानकारी देने के लिए राजी करते हैं । यह फ़िशिंग और स्मिशिंग के समान है, लेकिन इसमें ईमेल या टेक्स्ट संदेशों के बजाय फोन सिस्टम और वॉइसमेल का उपयोग किया जाता है। इस ब्रीच की अहमियत ब्रीच से नहीं, बल्कि डच डेटा प्रोटेक्शन अथॉरिटी (डीपीए) द्वारा लगाए गए जुर्माने से है। जुर्माना क्यों लगाया गया, यह जानने के लिए आगे पढ़ें।
रिपोर्ट के अनुसार, यह हमला संयुक्त अरब अमीरात (यूएई) के होटलों को निशाना बनाकर किया गया, जिसमें फोन पर सोशल इंजीनियरिंग की तरकीबों का इस्तेमाल किया गया। हैकर्स ने क्षेत्र के 40 अलग-अलग होटलों के कर्मचारियों को फोन किया और उन्हें Booking.com सिस्टम में होटल खातों के लॉगिन क्रेडेंशियल सौंपने के लिए राजी कर लिया।
इन चुराए गए क्रेडेंशियल्स की मदद से, 'विशर्स' ने 4109 ग्राहक बुकिंग का डेटा, जिसमें ग्राहकों के नाम, पते और फ़ोन नंबर शामिल थे, चुरा लिया। अपराधियों ने इनमें से 283 बुकिंग के क्रेडिट कार्ड डेटा भी हासिल कर लिए। हैकर्स ने 97 CVV (कार्ड के पीछे लिखा तीन अंकों का कोड) भी चुरा लिए, जिन्हें किसी भी इलेक्ट्रॉनिक सिस्टम में सेव नहीं किया जाना चाहिए!
डच डेटा संरक्षण प्राधिकरण (डीपीए) की उपाध्यक्ष मोनिक वेर्डियर ने प्राधिकरण की रिपोर्ट में उल्लंघन की ओर इशारा किया:
ईमेल या फ़ोन पर होटल कर्मचारी बनकर, वे लोगों से पैसे चुराने की कोशिश करते थे। यह तरीका तब बहुत विश्वसनीय लग सकता है जब धोखेबाज़ को ठीक-ठीक पता हो कि आपने कब बुकिंग की थी और आपने कौन सा कमरा बुक किया था, और फिर वह आपसे उन रातों का भुगतान करने के लिए कहता है। इस तरह से बड़ी रकम चुराई जा सकती है।
इस लेख में अब तक चर्चा की गई हर बात बताती है कि ज़्यादातर उल्लंघन कैसे होते हैं। उल्लंघन करने वाली बहुत कम कंपनियों को अतिरिक्त सरकारी जुर्माना मिलता है, तो फिर यहाँ ऐसा क्यों हुआ?
डच डीपीए नियामकों ने बुकिंग डॉट कॉम पर लगभग पांच लाख यूरो का जुर्माना लगाया , यह इसलिए नहीं कि कोई उल्लंघन हुआ था, बल्कि इसलिए कि कंपनी ने उल्लंघन की सूचना समय पर नहीं दी थी ।
डच डेटा प्रोटेक्शन अथॉरिटी (DPA) ने Booking.com पर €475,000 का जुर्माना लगाया है क्योंकि कंपनी ने DPA को डेटा चोरी की सूचना देने में बहुत देर कर दी। चोरी के बाद, अपराधियों ने 4,000 से ज़्यादा ग्राहकों का निजी डेटा चुरा लिया। इसके अलावा, उन्होंने लगभग 300 लोगों की क्रेडिट कार्ड जानकारी भी हासिल कर ली।
यूरोपीय संघ के व्यवसायों के पास किसी उल्लंघन की पुष्टि होने के बाद से उसकी सूचना देने के लिए 72 घंटे का समय होता है। हालाँकि Booking.com को 13 जनवरी को लीक होने की जानकारी थी, लेकिन उन्हें उल्लंघन की गंभीरता का अंदाज़ा नहीं था जिसके लिए सरकारी सूचना की आवश्यकता होती। हालाँकि, जनवरी में जब Booking.com ने पुष्टि की कि उल्लंघन 500 से ज़्यादा रिकॉर्डों को प्रभावित कर रहा है, तो उन्हें 72 घंटों के भीतर DPA को सूचित करना ज़रूरी था। वे ऐसा करने में विफल रहे, जिसके कारण उन पर इतना भारी जुर्माना लगाया गया।
उल्लंघन की सूचना के संबंध में, प्रभावित उपयोगकर्ताओं और हॉलैंड में DPA जैसी संबंधित एजेंसियों को शीघ्र सूचित करना अत्यंत महत्वपूर्ण है। 2002 से दुनिया भर में अनगिनत डेटा गोपनीयता कानून लागू किए गए हैं। अमेरिका में प्रत्येक राज्य के लिए डेटा गोपनीयता कानूनों का एक जटिल ढाँचा है, लेकिन कोई संघीय कानून प्रभावी नहीं है। यदि आप अंतरराष्ट्रीय स्तर पर व्यापार करते हैं, तो अपनी उल्लंघन सूचना प्रक्रिया तैयार करते समय, आपको निम्नलिखित नियमों पर विचार करना होगा:
साइबरहूट आपको सलाह देता है कि आप अपनी कंपनी को प्रभावित करने वाले कानूनों को जानें और उन कानूनों को दर्शाते हुए एक उल्लंघन सूचना प्रक्रिया दस्तावेज़ तैयार करें। इस प्रक्रिया का सालाना परीक्षण करना भी न भूलें।
उल्लंघन सूचना प्रक्रिया स्थापित करने के अलावा, आपकी कंपनी उल्लंघन के जोखिम को कम करने के लिए कई अन्य कदम उठा सकती है। साइबरहूट उल्लंघन के निम्नलिखित बुनियादी प्रति-उपायों की अनुशंसा करता है:
आजकल हर कोई नियमों का उल्लंघन का शिकार हो रहा है। उचित अधिकारियों को तुरंत सूचित न करने पर हर किसी पर जुर्माना नहीं लगाया जाता। साइबरहूट नीचे दिए गए दो वीडियो देखने की सलाह देता है, ताकि आप सीख सकें कि किसी भी नियम का पालन करने के लिए उल्लंघन सूचना प्रक्रिया कैसे स्थापित की जाए।
सूत्रों का कहना है:
विकिपीडिया – उल्लंघन अधिसूचना कानून
अतिरिक्त पढ़ना:
नवीनतम साइबर सुरक्षा रुझानों, सुझावों और सर्वोत्तम प्रथाओं के बारे में जानें और उन्हें साझा करें - साथ ही नए खतरों के बारे में भी जानें।
लेखिका: केटी बोक्वेटी | संपादकीय: क्रेग टेलर | क्रेग टेलर का संपादकीय: क्लाउड कोड के आने से पहले भी...
अधिक पढ़ें
लेखिका: केटी बोक्वेटी | संपादकीय: क्रेग टेलर | क्रेग टेलर का संपादकीय: हम यहाँ कुछ समय से जानते हैं...
अधिक पढ़ें
लेखिका: केटी बोक्वेटी | संपादकीय: क्रेग टेलर | क्रेग टेलर का संपादकीय: एक कैप्चा को यह जांचना चाहिए कि क्या...
अधिक पढ़ेंपारंपरिक फिश परीक्षण को मात देने वाले सकारात्मक दृष्टिकोण के साथ मानवीय जोखिमों पर अधिक पैनी नजर रखें।
