Google ने मेरा फ़ोन नंबर साझा कर दिया

• हाल ही में Three Rings के उपयोगकर्ताओं ने बार-बार लेखक को फ़ोन किया, और कारण खोजने पर पता चला कि Google search results में लेखक का निजी मोबाइल नंबर दिखाई दे रहा था
• यह नंबर पहले Google की पहचान सत्यापन प्रक्रिया में जमा किया गया था, और बिना सहमति के search results के Google Business Profile में जोड़ दिया गया था
• लेखक ने तुरंत business profile से नंबर हटा दिया, जिससे उसका प्रदर्शन रुक गया, लेकिन बदलाव के कारण के बारे में कोई स्पष्टीकरण नहीं मिला
• हाल ही में एक अन्य बैंक में भी व्यक्तिगत जानकारी के लीक होने का अनुभव होने के कारण, privacy की रक्षा की कठिनाई को लेकर अविश्वास बढ़ रहा है
• यह उपयोगकर्ता की सहमति के महत्व को दिखाता है, साथ ही यह भी संकेत देता है कि उपयोगकर्ता की गलती या consent prompts की अंधाधुंधता PII लीक को तेज़ कर सकती है

---

घटना का सार

• this महीने की शुरुआत में लेखक को Three Rings volunteer management software के एक उपयोगकर्ता का फ़ोन आया, जिसे लेखक ने स्थापित किया था
• आधिकारिक तौर पर फ़ोन support उपलब्ध नहीं था, लेकिन पहले लेखक कई बार सीधे उपयोगकर्ताओं को callback कर चुका था
• इसलिए लेखक को लगा कि कुछ उपयोगकर्ताओं के पास उसका निजी मोबाइल नंबर सेव हो गया होगा

बार-बार आने वाले फ़ोन और उठते सवाल

• उसी महीने तीसरी बार ऐसा ही फ़ोन आने के बाद लेखक को शक हुआ कि उसका नंबर कहीं सार्वजनिक रूप से उपलब्ध है
• चौथे फ़ोन पर, जब लेखक ने कहा कि उसे कॉल करने वाले उपयोगकर्ता के संगठन का नाम नहीं पता, तो उसने पूछा कि नंबर कहाँ मिला
• सामने वाले ने जवाब दिया, "Google में 'Three Rings login' खोजने पर मिलता है"

Google search results के ज़रिए निजी जानकारी का खुलासा

• खुद खोजकर देखने पर पता चला कि Three Rings CIC के Google Business Profile में लेखक का निजी संपर्क नंबर दिखाया जा रहा था
• कोई भी व्यक्ति 'call' बटन दबाकर सीधे लेखक के निजी नंबर पर फ़ोन कर सकता था
• लेखक सामान्यतः Google search का लगभग उपयोग नहीं करता, इसलिए अगर किसी और ने न बताया होता तो उसे इसका पता ही नहीं चलता

Google की व्यक्तिगत जानकारी प्रबंधन पद्धति

• लेखक ने पहले Google की identity verification process में यह नंबर जमा किया था, लेकिन इसे सार्वजनिक करने की सहमति नहीं दी थी
• हाल ही में Google ने मनमाने ढंग से Google Business Profile में इस नंबर को दिखाना शुरू कर दिया था, और इसका स्पष्ट समय या कारण भी पता नहीं है
• लेखक ने business profile से नंबर हटाया, तो उसका प्रदर्शन तुरंत बंद हो गया
• लेकिन नंबर हटाते ही "Google के द्वारा फ़ोन नंबर संशोधित किया गया" वाला संदेश भी गायब हो गया, इसलिए बदलाव का कारण या प्रक्रिया समझ में नहीं आई

हाल की अन्य वित्तीय संस्था की घटना और उपयोगकर्ता की बेचैनी

• पिछले महीने एक बैंक (Halifax) ने गलती से लेखक से असंबंधित किसी अन्य व्यक्ति को credit agreement information भेज दी थी
• लगातार दो बार व्यक्तिगत जानकारी लीक होने के अनुभव के बाद लेखक को यह भी शक होने लगा कि कहीं उसने खुद ही गलती से किसी consent popup पर टिक तो नहीं कर दिया था
• लेखक this बात पर व्यंग्य करता है कि privacy consent notices वास्तव में समझना कठिन होते हैं, और लोग अक्सर बिना सोचे-समझे ‘सहमत हूँ’ बटन दबा देते हैं

सारांश और संकेत

• यह दिखाता है that अप्रत्याशित privacy violation किसी के साथ भी हो सकता है
• Google, वित्तीय संस्थानों और अन्य बड़े platforms पर व्यक्तिगत जानकारी के उपयोग और सार्वजनिक प्रदर्शन के प्रबंधन में उपयोगकर्ता भरोसे का महत्व फिर से सामने आता है
• उपयोगकर्ता की गलती, लापरवाही, या system की मनमानी synchronization के कारण PII (Personally Identifiable Information) लीक होने का जोखिम बना रहता है
• सहमति के अर्थ और वास्तविक data handling practices के बीच की दूरी अभी भी मौजूद है
• IT कंपनियों और उपयोगकर्ताओं, दोनों को, व्यक्तिगत जानकारी को सुरक्षित रूप से प्रबंधित करने के लिए अधिक पारदर्शी और उपयोगकर्ता-मित्र मार्गदर्शन की आवश्यकता है

[GN⁺]

Hacker News की राय

• यह बताया गया कि वेबसाइट पर फोन नंबर सार्वजनिक है और Google Play डेवलपर प्रोफ़ाइल में भी वही नंबर दिख रहा है। राय यह है कि दोनों प्रोफ़ाइल में वही जानकारी दिख रही है जिसे खुद व्यक्ति ने सार्वजनिक किया था। अगर निजी नंबर और बिज़नेस नंबर एक ही हैं, तो ऐसा नतीजा स्वाभाविक है। शुरू में लगा कि Google ने इस नंबर को private से public कर दिया, जो गलत है, लेकिन समझाया गया कि Google Play में ग्राहकों के संपर्क के लिए नंबर मांगा जाता है

  • खुद को पोस्ट का लेखक बताते हुए कहा कि वेबसाइट पर फोन नंबर नहीं होना चाहिए और उन्हें भी वह नहीं मिल रहा। Google Play डेवलपर प्रोफ़ाइल में नंबर दिखना दुर्भाग्यपूर्ण है, और इसकी जानकारी देने के लिए धन्यवाद दिया

• किसी ने अपना अनुभव साझा किया कि पहले Samsung फोन खरीदने पर, अनजान नंबर से कॉल आने पर फोन उस व्यक्ति का नाम बता देता था। अनुमान था कि यह जानकारी दूसरे लोगों की contact database से आती होगी। एक दिन पड़ोसी का फोन आया, जबकि उसका नंबर contacts में सेव नहीं था, फिर भी नाम GRINDER दिखा। यह इसलिए था क्योंकि किसी और यूज़र ने उसे ऐसे सेव किया था। पड़ोसी मोहल्ले में openly out व्यक्ति था, लेकिन वह real estate sales में काम कर रहा था, और ऐसी जानकारी के उजागर होने से बहुत असहज हुआ। साथ ही कहा गया कि वे खुद 7 साल से उस app का इस्तेमाल भी नहीं कर रहे थे

  • प्रतिक्रिया आई कि ऐसी घटना सच में हुई, इस पर यकीन करना मुश्किल है। यह इतना खतरनाक लगता है कि इससे भी गंभीर स्थितियों की कल्पना की जा सकती है

  • जोड़ा गया कि कुछ Samsung फोन में truecaller या callapp प्रीइंस्टॉल होते हैं, और ऐसी स्थिति वही पैदा कर सकते हैं

• नीदरलैंड्स में कंपनी चलाने वाले एक व्यक्ति ने साझा किया कि Google ने Chamber of Commerce registration number के आधार पर कंपनी का फोन नंबर अपडेट कर दिया। कंपनी फोन support नहीं देती, लेकिन कानूनी तौर पर registration number में फोन नंबर देना अनिवार्य है। इसलिए उन्होंने एक VoIP नंबर दर्ज किया जो सीधे voicemail पर जाता है, और संदेश में बताया जाता है कि फोन support उपलब्ध नहीं है। Google Business profile से नंबर हटाया गया, लेकिन Google कभी-कभी उसे फिर अपने-आप जोड़ देता है

• किसी ने राय दी कि हो सकता है किसी ने अपने पास मौजूद फोन नंबर को कंपनी प्रोफ़ाइल में उपयोगी समझकर मनमाने ढंग से जोड़ दिया हो

  • इस पर जोर दिया गया कि screenshot में साफ लिखा है, Google에서 번호가 업데이트 되었습니다, यानी यह किसी यूज़र ने नहीं डाला था

  • यह राय दी गई कि अगर आम यूज़र किसी बिज़नेस प्रोफ़ाइल का नंबर मनमर्जी से अपडेट कर सकता है, और Google नंबर के मालिक की अनुमति लिए बिना उसे तुरंत सार्वजनिक कर देता है, तो यह बड़ी गलती है

• किसी और ने कहा कि उनके साथ भी ऐसा हुआ था, और रात 2 बजे फोन आया था। पुरानी नौकरी में job listing service संभालते समय, अपने प्रोजेक्ट के लिए Python डेवलपर की hiring पोस्ट डाली थी, लेकिन contact info को public होने से बंद नहीं किया जा सकता था। इसकी वजह से सुबह 5 बजे के आसपास किसी अनजान व्यक्ति ने कई बार फोन कर पूछा कि programmer कैसे बनें। पहली कॉल पर वे इतने चौंक गए कि उपयोगी सलाह भी दे दी। अब वे ऐसी privacy leak स्थितियों के लिए निजी/काम/अन्य उपयोग के अलग-अलग कुल 4 फोन नंबर रखते हैं

  • जब कहा गया कि अजीब बात है, सभी कॉल सुबह 5 बजे ही आए, तो जवाब मिला कि शायद वे एक ही क्षेत्र से आए होंगे, इसलिए time zone के कारण वह सामने वाले के काम शुरू होने का समय रहा होगा

• यह समझाया गया कि Google पर मुकदमा न होने की स्थिति में किस तरह नुकसान होता है। जर्मनी में lieferando (Takeaway.com समूह) ने restaurantname-city.de जैसे डोमेन बड़ी संख्या में रजिस्टर किए, जो अपने call center पर रीडायरेक्ट होते थे, और Google business listings भी अपने नाम कर लेते थे। फिर वे रेस्तरां मालिकों को फोन कर दबाव डालते कि Google पर उनकी दुकान नहीं मिल रही, इसलिए contract करना पड़ेगा। साथ ही call center के जरिए ऑर्डर देने की कोशिश करने वाले ग्राहकों को गलत दिशा में भेजा जाता, जिससे कारोबार को भारी नुकसान होता। ऐसे dummy domain 130,000 से अधिक चल रहे थे, और वक्ता ने प्रभावित रेस्तरां मालिकों के लिए dataset उपलब्ध कराने में भी मदद की थी। लेकिन हर मामले में नुकसान की रकम अपेक्षाकृत कम होने और अमेरिका जैसी class action व्यवस्था न होने के कारण मुकदमा चलाना मुश्किल था। यह भी कहा गया कि Google इस स्थिति को जानते हुए भी बड़े holding company ढांचे के पीछे जिम्मेदारी से बच जाता है

  • कहा गया कि 15 साल पहले BlackHatWorld पर इस तरह की तकनीकें खूब इस्तेमाल होती थीं, और अब VC कंपनियां वही कर रही हैं — यह विडंबनापूर्ण है

  • जवाब में कहा गया कि यह Google की समस्या कम, और धमकी देने वाली कंपनी के मुकदमे से बच निकलने की समस्या ज्यादा है

  • किसी ने पूछा कि क्या Google Maps पर सिर्फ डोमेन रजिस्टर करके किसी भी बिज़नेस को आसानी से कब्ज़े में लिया जा सकता है, और क्या Google ने ownership disputes के लिए अलग प्रक्रिया नहीं बनाई है

  • पूछा गया कि क्या जर्मन मीडिया में इस मामले पर ढंग से रिपोर्ट किया गया कोई लेख है

  • जोर दिया गया कि Google द्वारा बनाए गए ecosystem को छोटे व्यवसायों पर हमले के हथियार की तरह इस्तेमाल करना बहुत आसान है, और यही डरावनी बात है

• यह कहा गया कि मूल पोस्ट में दी गई कहानी शायद असल में सबसे उपयुक्त व्याख्या नहीं है। सिर्फ comments में ही कम से कम तीन वैकल्पिक explanations मौजूद हैं। सुझाव दिया गया कि Google account data को Takeout से प्राप्त करके देखा जाए कि कौन-सी जानकारी रखी गई है और उसका उपयोग किस लिए हो रहा है

  • लेकिन जवाब मिला कि Google Business Profile के लिए Takeout उपलब्ध नहीं है। साथ ही समझाया गया कि कंपनियां अक्सर privacy law (जैसे GDPR) के तहत उसी तरह संरक्षित नहीं होतीं, इसलिए Google जैसी बड़ी कंपनियां data export जैसे सुविधाजनक tools नहीं देतीं

• किसी ने साझा किया कि Google Play Store पर उनका निजी मोबाइल नंबर सार्वजनिक हो गया था। business number verification न होने पर account suspend करने की चेतावनी दी गई, और एक महीने से ज्यादा कोशिश के बाद आखिरकार मजबूरी में निजी नंबर डालना पड़ा

  • एक स्वतंत्र app publisher ने कहा कि उनके साथ भी ऐसा हुआ, और जबकि वे customer support भी नहीं देते, फिर भी app के बगल में अपना फोन नंबर सार्वजनिक दिखना असुविधाजनक था। उनके अनुसार ऐसी policy indie app developers के लिए सिर्फ नुकसानदेह है। इसलिए उन्होंने अपना app store से हटाने का फैसला किया

• यह साझा किया गया कि Google Search के ज़रिए कोई भी किसी व्यवसाय का फोन नंबर बदल सकता है। अजीब लगता है, लेकिन सच है Three Rings CIC फोन नंबर संपादन उदाहरण

  • समझाया गया कि Google Maps का कोई भी यूज़र edit suggest कर सकता है, लेकिन भेजी गई जानकारी review के बाद लागू होती है। व्यवसाय बंद होना, पता बदलना, opening hours बदलना आदि कई चीजें रिपोर्ट की जा सकती हैं। यहां तक कि bus stop, train station, historic site जैसी जगहों पर भी यह लागू है। यह सिस्टम 'crowdsourcing' पर आधारित है। Google Business Profile गाइड और business profile registration link भी साझा किए गए

• किसी ने कहा कि मुख्य पोस्ट की image में नंबर blur किया गया है, लेकिन अंक अब भी पढ़े जा सकते हैं

  • ब्लॉग के मालिक ने खुद जवाब देकर कहा कि असली screenshot में Ofcom द्वारा आधिकारिक रूप से तय किया गया 'drama use fictional number' इस्तेमाल किया गया था, इसलिए कोई सुरक्षा समस्या नहीं है। ड्रामा के लिए आधिकारिक फोन नंबर संदर्भ

  • कहा गया कि blur इतना कमजोर है कि नंबर साफ पढ़ा जा सकता है, और उदाहरण दिया गया कि आजकल image बहुत खराब कर देने पर भी AI जैसी तकनीक से जानकारी लगभग बहाल की जा सकती है उदाहरण image

  • यह भी बताया गया कि नंबर खुद 07700 987654 है, इसलिए समझ आ जाता है कि यह fictional number है

  • कहा गया कि सिर्फ साधारण blur effect से sensitive information को सुरक्षित रखना मुश्किल है, और विशेषज्ञ अधिक सुरक्षित redaction methods की सलाह देते हैं। खासकर इस image जैसी स्थिति में, जहां बिना किसी विशेष तकनीक के भी नंबर देखना आसान है। अगर blur का उद्देश्य पहचान छिपाना था, तो image तुरंत अपडेट करनी चाहिए

  • हाल के समय में AI crawlers images के भीतर के text को भी निकालकर datasets बना रहे हैं, इसलिए खराब तरीके से blur की गई image भी LLM data में पहुंच सकती है — इस पर चिंता जताई गई