Yes24, रैनसमवेयर के कारण दूसरी सुबह भी सेवा बंद
(x.com/yes24_official)- मौजूदा एक्सेस त्रुटि रैनसमवेयर के कारण हुई बाधा की वजह से 9 जून, सोमवार तड़के लगभग 4 बजे से शुरू हुई है, और फिलहाल बहाली का काम चल रहा है
- आंतरिक जांच के परिणामस्वरूप व्यक्तिगत जानकारी के लीक होने के संकेत की पुष्टि नहीं हुई है
- इस बाधा के कारण विभिन्न असुविधाओं का सामना करने वाले सभी सदस्यों के लिए ठोस मुआवजा योजना तैयार की जा रही है
- सेवा को जल्द बहाल करने के साथ-साथ समग्र सूचना और व्यक्तिगत मार्गदर्शन दिया जाएगा
14 टिप्पणियां
https://blog.aladin.co.kr/cscenter/16511263
Aladin ने अचानक information security team lead की भर्ती शुरू कर दी है, हा हा
मुझे devpia याद आ रहा है...
लगता है, यह सोच से कहीं ज़्यादा गंभीर है....
खरीदी हुई किताबें भी नहीं मिल रहीं... मासिक subscription fee देने के बाद भी किताबें नहीं पढ़ पा रहे... ये क्या है
बैकअप नहीं किया था, इसलिए शायद RTO, RPO भी नहीं थे, और लगता है कि disaster recovery drill भी एक बार भी नहीं की गई थी।
ऑन-प्रेमिस + network separation नहीं + backup copies तक encrypt हो गईं...
इतना समय बीत गया और फिर भी बहाल नहीं हुआ, तो लगता है कि snapshot या DB backup भी नहीं रहा होगा.. backup copy नहीं थी तो अपने-आप में समस्या है, और अगर थी, तो हो सकता है उसे DB server पर ही रखा गया हो और backup copy भी encrypt हो गई हो.. on-premises environment में server तबाह हो जाए तो फिर कोई जवाब नहीं...
अब तो बस पैसे देकर key मिलने की दिल से उम्मीद करने के अलावा कोई रास्ता नहीं... Yes24 के लिए यह बहुत महंगी सीख है
भले ही security या DevOps विशेषज्ञ Linux Foundation जैसी विदेशी संस्थाओं के certificates हासिल कर लें, कोरिया में ऐसे certificates से ज़्यादा 3 साल, 5 साल जैसे अनुभव के वर्षों को ही महत्व दिया जाता है, इसलिए रिज़्यूमे स्क्रीनिंग में ही बाहर कर दिया जाता है। यह देखकर लगता है कि विदेशी security certificates का व्यावहारिक रूप से कोई खास मतलब नहीं है और security से ज़्यादा सिर्फ अनुभव के वर्षों को ही देखा जाता है। आखिरकार, ऐसी संरचना खुद ही समस्याएँ पैदा करने के लिए मजबूर है।
शायद ऐसे सर्टिफिकेट्स का practical काम में ज़्यादा मतलब नहीं होता, इसलिए document screening में ही कट जाते होंगे। जो लोग वास्तव में practical काम देखते हैं, वे ऐसे सर्टिफिकेट इसलिए नहीं लेते क्योंकि वे महंगे हैं और झंझट वाले भी हैं..
कंपनी ने support किया तो मैंने भी ले लिया, लेकिन क्यों लिया यह समझ नहीं आया..
संरचनात्मक समस्याएँ बहुत हैं, लेकिन मुझे नहीं लगता कि यह सर्टिफिकेट की समस्या है..
मेरा मूल आशय यह नहीं था कि मैं सर्टिफिकेट्स की वैधता पर बात कर रहा था। असली बात यह है कि कोरिया के सुरक्षा/IT उद्योग के कुछ हिस्से global standards या बदलते threats के लिए पर्याप्त रूप से तैयार नहीं हैं।
वास्तव में, विदेशों में Linux Foundation या ISC² जैसी संस्थाओं के certifications का व्यापक रूप से उपयोग practical क्षमता और नवीनतम security trends की समझ को verify करने के साधन के रूप में किया जाता है। लेकिन कोरिया में, ऐसे international standards की तुलना में केवल वर्षों की seniority या career duration के आधार पर मूल्यांकन करने की प्रवृत्ति अब भी काफ़ी मजबूत लगती है।
ऐसा approach किसी Galapagos-करण की तरह बाहरी बदलावों के प्रति असंवेदनशील हो सकता है, और अंततः एक ऐसी संरचनात्मक समस्या में बदल सकता है जो नए threats के प्रति अनिवार्य रूप से अधिक vulnerable बनाती है। इसलिए मैं जिस बात पर ज़ोर देना चाहता था, वह certifications की अपनी value से अधिक यह था कि संगठन नए threats और global standards पर किस तरह प्रतिक्रिया दे रहे हैं।
लगता है जो होना था वही हुआ..
शायद Korean साइटों की कमजोरियां अब मशहूर हो गई हैं
सिक्योरिटी में सबसे ज़रूरी बात तो पहले यही है कि आप target ही न बनें..
आज से तो तीसरा दिन हो गया है...
लगता है एक हफ्ते से ज़्यादा भी लग सकता है...
सेवा दूसरे दिन भी पूरी तरह ठप है, लगता है नुकसान बहुत गंभीर हुआ है.
संबंधित लेख में कहा गया है, "हैकर सदस्य जानकारी आदि को एन्क्रिप्ट कर चुके हैं और उसे डिक्रिप्ट नहीं किया जा सका है."
टिकट भी समस्या में हैं, और eBook तक पहुंच भी संभव नहीं है.. आखिर इसका जवाब कैसे दिया जा सकेगा, कहना मुश्किल है.
"कहा जा रहा है कि बुक किए गए concert ticket लेने के लिए सीट नंबर लिखा हुआ booking statement या booking confirmation email चाहिए, लेकिन Yes24 की तरफ़ से policy change notice के अलावा कोई email भेजे जाने का रिकॉर्ड नहीं है, booking confirmation SMS में सीट नंबर नहीं है, और जिन लोगों की payment deadline उसी समय से टकराई जब Yes24 ठप हो गया, उन्होंने भुगतान तो कर दिया लेकिन उन्हें इनमें से कुछ भी नहीं मिला—वे क्या करें?"
लगता है concert ticket को लेकर वाकई भारी अफरा-तफरी होगी। शायद email या SMS से भी सीट नंबर चेक नहीं हो पा रहा है।