FlightAware ग्राहक डेटा लीक (नाम, ईमेल पते और पासवर्ड)

• FlightAware उन कंपनियों की सूची में शामिल हो गया है जो उपयोगकर्ता डेटा को सुरक्षित रखने में विफल रहीं और लगता है कि लगभग सब कुछ लीक हो गया
• FlightAware द्वारा कल भेजे गए ईमेल के अनुसार, लगभग सभी ग्राहक डेटा संभावित रूप से उजागर हो सकते थे, जिनमें user ID, password, email address, पूरा नाम, billing address, shipping address, IP address, social media account, phone number, जन्म वर्ष, और credit card number के आखिरी 4 अंक शामिल हैं

FlightAware द्वारा उपयोगकर्ताओं को भेजा गया संदेश

• 25 जुलाई को, कंपनी ने एक configuration error का पता लगाया, जिसके कारण FlightAware account की व्यक्तिगत जानकारी गलती से उजागर हो सकती थी
• उजागर हुई जानकारी में user ID, password, और email address के अलावा पूरा नाम, billing address, shipping address, IP address, social media account, phone number, जन्म वर्ष, credit card number के आखिरी 4 अंक, स्वामित्व वाले aircraft की जानकारी, industry, job title, पायलट हैं या नहीं, और account activity (जैसे देखी गई flights, पोस्ट किए गए comments आदि) शामिल हो सकते थे
• एक्सपोज़र का पता चलते ही configuration error को तुरंत ठीक कर दिया गया, और अतिरिक्त सावधानी के तौर पर संभावित रूप से प्रभावित सभी उपयोगकर्ताओं से password reset करने को कहा जा रहा है

निष्कर्ष

• समझ नहीं आता कि इन कंपनियों के लिए ग्राहक डेटा को सार्वजनिक वेब पर उजागर होने से बचाना इतना मुश्किल क्यों है
• FlightAware ने EU consumer protection नियमों का उल्लंघन किया, जिनके तहत संभावित डेटा लीक की सूचना 72 घंटे के भीतर उपयोगकर्ताओं को देनी चाहिए थी, लेकिन इसमें 3 हफ्तों से अधिक समय लग गया

GN⁺ की राय

• डेटा लीक की घटनाएँ एक बार फिर privacy और cyber security के महत्व की याद दिलाती हैं। कंपनियों को ग्राहक डेटा को सुरक्षित रखने के लिए और अधिक प्रयास करने चाहिए
• खासकर FlightAware जैसी aviation-related कंपनियों के मामले में, ग्राहक डेटा लीक से गंभीर security threat पैदा हो सकता है। उदाहरण के लिए, आतंकवादी यात्री जानकारी का दुरुपयोग कर सकते हैं
• डेटा लीक होने पर तेज़ और पारदर्शी प्रतिक्रिया बेहद महत्वपूर्ण है। FlightAware ने EU नियमों का उल्लंघन करते हुए उपयोगकर्ताओं को समय पर सूचित नहीं किया। इससे कंपनी की विश्वसनीयता कम हो सकती है
• ग्राहकों को अपनी personal information की सुरक्षा के लिए मजबूत password का उपयोग करना चाहिए और उन्हें नियमित रूप से बदलना चाहिए जैसी बुनियादी security practices का पालन करना चाहिए। साथ ही suspicious email या link से सावधान रहना चाहिए
• कंपनियों को data encryption, access control, real-time monitoring जैसी विभिन्न तकनीकी और प्रशासनिक security measures अपनाने चाहिए। साथ ही कर्मचारियों के security training, incident response manual की तैयारी जैसी संगठन-स्तरीय तैयारी भी ज़रूरी है

[GN⁺]

Hacker News राय

• व्यक्तिगत जानकारी का लीक: नाम, ईमेल, पासवर्ड के अलावा पूरा नाम, बिलिंग पता, शिपिंग पता, IP पता, सोशल मीडिया अकाउंट, फोन नंबर, जन्मतिथि, क्रेडिट कार्ड के आखिरी 4 अंक, स्वामित्व वाले विमान की जानकारी, पेशा, पायलट होने की स्थिति, अकाउंट गतिविधि आदि भी शामिल हैं
• FlightAware iOS ऐप सपोर्ट बंद: iOS 15 का सपोर्ट बंद, यूज़र्स से नया फोन खरीदने की मांग, जबकि दूसरी ऐप्स अब भी पुराने डिवाइस पर काम करती हैं
• ईमेल की प्रामाणिकता की पुष्टि: पासवर्ड लीक का ज़िक्र, हैश किया गया था या नहीं यह स्पष्ट नहीं, नोटिस ईमेल भेजने में 3 हफ्ते लगे
• सादे टेक्स्ट पासवर्ड लीक की संभावना: बिना हैश किए पासवर्ड लीक होने की आशंका, यूज़र्स के लिए बड़ा नुकसान, इसे आसानी से रोका जा सकता था
  • संपादन: किसी ने दावा किया है कि हैश किए गए पासवर्ड स्टोर किए गए थे
• टेक स्टैक परिवर्तन: 8 महीने पहले TCL से टेक स्टैक बदलने पर ब्लॉग पोस्ट प्रकाशित हुई थी, Part 2 नहीं मिल रहा
• अतिरिक्त लिंक: लीक से संबंधित लेख और ऑटो-रिप्लाई ट्वीट लिंक साझा किए गए
• प्रबंधन की जिम्मेदारी: प्रबंधन को इसकी जिम्मेदारी लेनी चाहिए
• व्यक्तिगत जानकारी की जांच: FlightAware का मुफ्त अकाउंट इस्तेमाल किया, ईमेल के अलावा कौन-सी व्यक्तिगत/बिलिंग जानकारी रखी गई है यह जानना चाहते हैं
• GDPR सूचना आवश्यकताएँ: व्यक्तिगत डेटा लीक होने पर 72 घंटे के भीतर नियामक प्राधिकरण को सूचना देनी होती है, और यूज़र्स को बिना देरी बताए जाना चाहिए; FlightAware की 3 हफ्ते की देरी समस्या है
• वेबसाइट पर कोई सूचना नहीं: केवल आधिकारिक Discourse पर सूचना दी गई थी