रिपोर्ट: फ्लाइट बुकिंग प्लेटफ़ॉर्म ग्राहक डेटा का विस्तार करता है


हाल ही में खोजे गए vpnMentor की टीम के इंटरनेट गोपनीयता शोधकर्ताओं नोम रोटम और रैन लोकार के नेतृत्व में फ्लाइट बुकिंग वेबसाइट ऑप्शन वे में एक विशाल डेटा उल्लंघन. 

फ्रांस में स्थित, एक अंतर्राष्ट्रीय ग्राहक आधार के साथ, ऑप्शन वे उपयोगकर्ताओं को दुनिया भर के गंतव्यों के लिए उड़ान सौदों को खोजने में मदद करता है. 

डेटा भंग ग्राहकों की व्यक्तिगत जानकारी को उजागर किया, एक पूर्ण प्रोफ़ाइल बनाने के साथ-साथ उनकी उड़ानों और यात्रा व्यवस्था के बारे में विस्तृत जानकारी दी. कुल मिलाकर, हमारी टीम की पहुंच थी 100GB से अधिक डेटा, ऑप्शन वे और उसके उपयोगकर्ताओं की गोपनीयता और सुरक्षा से समझौता करना. 

डिस्कवरी और ओनर रिएक्शन की समयरेखा

  • खोजा गया दिनांक: 20/08/19
  • विक्रेताओं से संपर्क करने की तिथि: 25/08/19
  • प्रतिक्रिया की तारीख और लीक बंद: 29/08/19

डेटाबेस में प्रविष्टियों का उदाहरण

अपनी वेबसाइट पर, ऑप्शन वे निम्नलिखित का दावा करते हैं:

www.Option Way.com वेबसाइट एसएसएल प्रमाणपत्र द्वारा सुरक्षित है. 

जब आप अपना व्यक्तिगत डेटा दर्ज करते हैं, तो यह आपको लेनदेन करने के लिए एन्क्रिप्ट और संग्रहीत किया जाता है। आपका व्यक्तिगत डेटा CNIL (फ्रांस के डेटा संरक्षण प्राधिकरण) द्वारा निर्धारित सिफारिशों के अनुरूप संसाधित किया गया है। ”

वैसे यह सत्य नहीं है. 

हमारी टीम 100 जीबी से अधिक डेटा तक पहुंचने में सक्षम थी, व्यक्तिगत रूप से पहचाने जाने योग्य जानकारी (PII) के ग्राहकों की एक बड़ी राशि.

हमारे द्वारा देखे गए व्यक्तिगत विवरण के उदाहरण: 

  • ग्राहक के नाम
  • जन्म की तारीख
  • लिंग
  • ईमेल पता
  • फोन नंबर  
  • घर का पता & पोस्टकोड
  • उड़ान प्रस्थान और वापसी की तारीखें 
  • स्थल 
  • उड़ान की कीमतें

ग्राहक का ईमेल पता दिखाते हुए डेटा का एक उदाहरण नीचे दिया गया है:

रिपोर्ट: फ्लाइट बुकिंग प्लेटफ़ॉर्म ग्राहक डेटा का विस्तार करता है

निम्नलिखित एक ग्राहक की व्यक्तिगत जानकारी के विवरण दिखाने वाले डेटा का एक उदाहरण है:

रिपोर्ट: फ्लाइट बुकिंग प्लेटफ़ॉर्म ग्राहक डेटा का विस्तार करता हैविकल्प का रास्ता उपयोगकर्ताओं के ईमेल पते भी सुलभ थे 'गलत पासवर्ड' रीसेट लिंक के परिणामस्वरूप। इस भेद्यता ने संभावित हैक्स और ऑप्शन वे उपयोगकर्ताओं के लिए विस्तृत डेटाबेस को उजागर किया संभावित धोखाधड़ी का एक बहुत कुछ करने के लिए.

रिपोर्ट: फ्लाइट बुकिंग प्लेटफ़ॉर्म ग्राहक डेटा का विस्तार करता हैकई देशों में लीक हुए डेटाबेस ने ऑप्शन वे ग्राहकों को प्रभावित किया। फ़ाइलों के माध्यम से एक त्वरित नज़र के साथ, हमने उन देशों के उपयोगकर्ता विवरण देखे जिनमें शामिल हैं:

  • फ्रांस
  • बेल्जियम
  • एलजीरिया
  • स्विट्जरलैंड
  • ऑस्ट्रिया

हमें संदेह नहीं है कि आगे की जांच के बाद, यह सूची बहुत लंबी होगी.

इस सभी डेटा के संयोजन से ऑप्शन वे ग्राहकों की पूरी उपयोगकर्ता प्रोफ़ाइल बन जाती है, जो उन्हें बनाते हैं साइबर अपराध और धोखाधड़ी के विभिन्न रूपों की चपेट में.

ऑप्शन वे कंपनी विवरण

उनके उपयोगकर्ताओं के अलावा, डेटा ब्रीच ने ऑप्शन वे का भी समझौता किया कर्मचारी और कंपनी की जानकारी को उजागर करके.

हम कर सके स्टाफ के सदस्यों के PII देखें प्लेटफ़ॉर्म का उपयोग फ़्लाइट बुक करने के लिए कर रहे थे.

हमारी जाँच के दौरान, हमने कंपनी के क्रेडिट कार्ड के विवरणों को भी बिना देखे और देखे जाने योग्य पाया डेटाबेस तक पहुँच के साथ किसी को भी। यह स्टाफ के सदस्यों और ग्राहकों के लिए फ्लाइट बुक करने, बनाने के लिए उपयोग किया गया था ऑप्शन वे के लिए एक बड़ा जोखिम.

कंपनी क्रेडिट कार्ड की सुरक्षा नहीं करके, ऑप्शन वे खुद को विनाशकारी वित्तीय धोखाधड़ी के लिए असुरक्षित बना रहे हैं.

डेटा ब्रीच इम्पैक्ट

यह खुला डेटाबेस है पहचान चोरों के लिए एक सोने की खान और अन्य हमलावरों.

लीक में पाए गए सभी डेटा को एक साथ रखकर, सभी प्रकार के अपराधी विभिन्न अवैध और खतरनाक गतिविधियों के लिए इस जानकारी का उपयोग कर सकते हैं.

फिशिंग & धोखा

एक फ़िशिंग अभियान शामिल है वैध व्यवसायों के लिए नकली ईमेल बनाना या संगठन। इन्हें पीड़ित के ईमेल इनबॉक्स में भेजा जाता है उन्हें बहुमूल्य निजी जानकारी प्रदान करने में मदद करें. इसमें निजी खाता लॉगिन, क्रेडिट कार्ड विवरण या कोई उपयोगी जानकारी शामिल हो सकती है.

इस जानकारी के साथ, पहचान की चोरी को पूरा करने के लिए क्रेडिट कार्ड धोखाधड़ी से लेकर विभिन्न आपराधिक योजनाओं में पीड़ित का शोषण किया जा सकता है. हैकर्स कर सकते हैं डार्क वेब पर सबसे अधिक बोली लगाने वाले को PII बेचते हैं और इसे हमले के अन्य रूपों के साथ जोड़ते हैं, जो बनाते हैं अपराधियों ने डेटा का उपयोग नहीं किया.

वैकल्पिक रूप से, फ़िशिंग ईमेल होगा मैलवेयर या रैंसमवेयर के साथ एम्बेडेड, पीड़ित की जासूसी करने या निकालने के लिए इस्तेमाल किया जाता है.

विकल्प वे के उपयोगकर्ता PII और यात्रा योजनाओं तक पहुंच हैकर्स को प्रभावी फ़िशिंग ईमेल बनाने की अनुमति देते हैं, विकल्प मार्ग, एयरलाइंस और कई अन्य असंबंधित व्यवसायों की नकल करना.  

टिकट खाता अधिग्रहण

डेटा ब्रीच में भी उजागर किए गए ग्राहक अपने आरक्षण से जुड़े अनूठे पीएनआर नंबर थे। ग्राहक के नाम के साथ संयुक्त, हैकर्स इनका उपयोग विकल्प मार्ग के माध्यम से एयरलाइन के साथ आरक्षण लेने के लिए कर सकते हैं। वे उड़ानों को रद्द कर सकते हैं या बदल सकते हैं, पीड़ितों को केवल एयरलाइन द्वारा अधिसूचित किए जाने के बाद ही पता चलता है.

लूट

इस डेटाबेस के साथ, हैकर्स और चोरों को पता है कि ऑप्शन वे ग्राहक कब छुट्टी पर हैं. उन्हें अपना घर का पता मालूम है। वे लंबे समय तक अपनी अनुपस्थिति की पुष्टि करने के लिए ग्राहकों को ईमेल या कॉल कर सकते हैं.

वे तो कर सकते हैं प्रभावी घरेलू डकैतियों की योजना बनाएं, पकड़े जाने का बहुत कम जोखिम के साथ। विकल्प वे पर बुक की गई उड़ानों की कीमत का उपयोग करके, चोर कर सकते हैं ग्राहकों के निवल मूल्य का न्याय करें और उनके लक्ष्य चुनें संभावित लूट के आधार पर.

विकल्प मार्ग का जोखिम

इस डेटा लीक में है विकल्प मार्ग के लिए भी कई नकारात्मक प्रभाव. डेटाबेस को अनएन्क्रिप्टेड और असुरक्षित छोड़ कर, वे भी धोखाधड़ी और अन्य जोखिमों की चपेट में. 

क्रेडिट कार्ड धोखाधड़ी

डेटाबेस के भीतर, हमारी टीम ने ऑप्शन वे कंपनी क्रेडिट कार्ड पाया, प्लेटफॉर्म पर फ्लाइट बुक करने के लिए इस्तेमाल किया जाता है। अक्सर, ऑनलाइन ट्रैवल एजेंटों के लिए विकल्प रास्ता जैसे कम लागत वाले टिकटों से लाभ कमाने के लिए उन्हें अपनी कंपनी के क्रेडिट कार्ड से भुगतान करना और उपयोगकर्ता कार्ड को अलग से चार्ज करना होता है।.

यदि कोई अपराधी या दुर्भावनापूर्ण हैकर यह प्राप्त करता है, तो वे करेंगे ऑप्शन वे के बैंक खातों में किसी भी फंड तक पहुंच प्राप्त करें, खरीदारी करें, और कंपनी के नाम पर भारी ऋण जमा करें.

यह हो सकता है ऑप्शन वे के लिए आर्थिक और परिचालन रूप से बर्बाद. यह न केवल उन्हें कर्ज में डालेगा, बल्कि कानूनी खतरे में भी डालेगा.

कंपनी के क्रेडिट कार्ड के अलावा, डेटा लीक भी ऑप्शन वे कर्मचारी विवरण को उजागर करता है. यह उन्हें कंपनी के ग्राहकों के समान हमलों के लिए असुरक्षित बनाता है.

उनके बिजनेस मॉडल से समझौता

डेटाबेस लीक देता है विकल्प मार्ग कैसे संचालित और उत्पन्न होता है, इसकी अमूल्य जानकारी. यह जानकारी आम तौर पर पूरी तरह से गोपनीय रखी जाती है, प्रतियोगियों से छिपाई जाती है. 

इस डेटाबेस में निहित जानकारी को नेविगेट करके, एक प्रतिद्वंद्वी कंपनी ऑप्शन वे पर ऊपरी हाथ हासिल कर सकती है, उनके व्यवसाय मॉडल को दोहराएं, और उन्हें अंडरकट करें। यह कर सकता है परिणामस्वरूप राजस्व का नुकसान हुआ इससे उबरना मुश्किल होगा. 

प्रतिष्ठा का नुकसान

इस लीक से प्रभावित ग्राहक अपने डेटा के साथ ऑप्शन वे पर फिर से भरोसा कैसे कर सकते हैं? यदि एक दुर्भावनापूर्ण हैकर ने इस डेटाबेस तक पहुँच प्राप्त की - जो केवल एक वेब ब्राउज़र लेता है - जो जानता है कि वे जो जानकारी बेच रहे हैं, उसके साथ क्या कर रहे हैं.

ये होंगे कई विकल्प वे ग्राहकों के दिमाग पर चिंता डेटा ब्रीच के बारे में पढ़ने के बाद.

यह हमारी खोज के प्रकाश में, अपने ग्राहकों का विश्वास फिर से हासिल करने और नए लोगों को आकर्षित करने के लिए ऑप्शन वे पर निर्भर करेगा.

विशेषज्ञों से सलाह

ऑप्शन वे के मालिक इस लीक से बच सकते थे, उन्होंने कुछ बुनियादी सुरक्षा सावधानी बरती थी. जबकि हमें मिली जानकारी अभी भी इसे आपराधिक हैकरों के हाथों में डाल सकती है, हम सुझाव देते हैं कि निम्नलिखित विकल्प मार्ग:

  1. बेहतर सुरक्षा उपायों के साथ अपने सर्वर को सुरक्षित रखें.
  2. अपने डेटाबेस पर उचित पहुँच नियम लागू करें.
  3. ऐसी प्रणाली को कभी न छोड़ें जिसके लिए इंटरनेट पर प्रमाणीकरण की आवश्यकता न हो.

अपने व्यवसाय की सुरक्षा करने के तरीके के बारे में अधिक गहराई से जानकारी के लिए, अपनी वेबसाइट और ऑनलाइन डेटाबेस को हैकर्स से सुरक्षित करने का तरीका देखें.

यदि आप ऑप्शन वे के ग्राहक हैं और इस बारे में चिंतित हैं कि यह विशेष रूप से कैसे भंग होता है, या सामान्य रूप से डेटा भेद्यता, आपकी साइट या व्यवसाय को प्रभावित कर सकती है।, हमारे पढ़ें ऑनलाइन गोपनीयता के लिए पूरा गाइड.

यह आपको दिखाता है कि साइबर क्रिमिनल्स इंटरनेट उपयोगकर्ताओं को कितने तरीकों से निशाना बनाते हैं, और सुरक्षित रहने के लिए आप जो कदम उठा सकते हैं.

कैसे और क्यों हमने ब्रीच की खोज की

vpnMentor की शोध टीम ने इस डेटा का उल्लंघन पाया एक विशाल चल रही वेब-मैपिंग परियोजना. नोआम और रैन द्वारा निर्देशित, टीम परिचित आईपी ब्लॉकों की तलाश में बंदरगाहों को स्कैन करती है और कंपनी के वेब सिस्टम में छेद खोजने के लिए इन ब्लॉकों का उपयोग करती है। एक बार ये छेद मिल जाते हैं, टीम उन कमजोरियों की तलाश करती है जो उन्हें डेटा ब्रीच की ओर ले जाती हैं.

टीम ने उस विशाल को खोज निकाला ऑप्शन वे के डेटाबेस के हिस्से पूरी तरह से असुरक्षित और अनएन्क्रिप्टेड हैं. कंपनी एक Elasticsearch डेटाबेस का उपयोग करती है, जो आमतौर पर URL के उपयोग के लिए डिज़ाइन नहीं किया गया है। हालाँकि, हम सक्षम थे इसे ब्राउज़र के माध्यम से एक्सेस करें और भारी मात्रा में डेटा को उजागर करने में URL खोज मानदंड में हेरफेर करें.

उनकी विशेषज्ञता का उपयोग करते हुए, हमारी टीम ने अपनी पहचान की पुष्टि करने के लिए डेटाबेस की भी जांच की.

नैतिक हैकर के रूप में, हम वेबसाइटों पर पहुंचने के लिए बाध्य हैं जब हम सुरक्षा दोषों की खोज करते हैं.

इन नैतिकताओं का भी अर्थ है हम जनता के प्रति एक जिम्मेदारी निभाते हैं. यदि संभव हो, तो हम ब्रीच से प्रभावित किसी अन्य पक्ष को भी सचेत करते हैं, जैसे ग्राहक, ग्राहक या किसी वेबसाइट के उपयोगकर्ता.

विकल्प वे ग्राहक और उनके प्लेटफ़ॉर्म पर एयरलाइंस को उन जोखिमों के बारे में पता होना चाहिए जो प्रौद्योगिकी का उपयोग करते समय लेते हैं जो अपने उपयोगकर्ताओं की सुरक्षा के लिए बहुत कम प्रयास करते हैं.

अभ्यास का उद्देश्य हर किसी के लिए इंटरनेट को सुरक्षित बनाने में मदद करना है.

हमारे और पिछली रिपोर्ट के बारे में

vpnMentor दुनिया की सबसे बड़ी वीपीएन समीक्षा वेबसाइट है. हमारी शोध प्रयोगशाला एक समर्थक मुफ़्त सेवा है जो ऑनलाइन उपयोगकर्ताओं को अपने उपयोगकर्ताओं के डेटा की सुरक्षा पर संगठनों को शिक्षित करते हुए साइबर खतरों से बचाव करने में मदद करने का प्रयास करती है।. 

हमने हाल ही में 80 मिलियन अमेरिकी घरों को प्रभावित करने वाले एक विशाल डेटा ब्रीच की खोज की। हमने यह भी खुलासा किया कि बायोस्टार 2 में एक उल्लंघन ने 1 मिलियन से अधिक लोगों के बायोमेट्रिक डेटा से समझौता किया। आप हमारी वीपीएन लीक रिपोर्ट और डेटा गोपनीयता आँकड़े रिपोर्ट भी पढ़ना चाह सकते हैं.

Brayan Jackson Administrator
Candidate of Science in Informatics. VPN Configuration Wizard. Has been using the VPN for 5 years. Works as a specialist in a company setting up the Internet.
follow me
Like this post? Please share to your friends:
Leave a Reply

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!:

64 + = 65

map