GMO Trust Login में चूक: 2,492 कंपनियों के 45,030 यूज़र्स का डेटा लीक

GMO GlobalSign ने 30 अक्टूबर को बताया कि उसकी सिंगल साइन-ऑन सेवा "GMO Trust Login" में सेटिंग की चूक से 2,492 कंपनियों के 45,030 लोगों के नाम और ईमेल पते जैसी जानकारी प्रभावित हुई है।

कारण यह था कि ग्राहकों की जानकारी वाली अस्थायी फ़ाइलें उसी सार्वजनिक स्टोरेज क्षेत्र में रखी गई थीं, जहाँ लोगो इमेज रखी जाती थीं। इस वजह से फ़ाइलें करीब नौ साल तक बाहर से हासिल की जा सकती थीं।

कैसे हुई चूक

कंपनी के अनुसार, नवंबर 2017 के आसपास लोगो इमेज के वितरण का लोड घटाने के लिए स्टोरेज को लोगो वाले सार्वजनिक क्षेत्र में बदला गया था। इसी क्षेत्र में एडमिन के बल्क ऑपरेशन से बनी फ़ाइलें और कंपनी की अनुबंध संबंधी फ़ाइलें भी रखी गईं। फ़ाइल सूची देखकर अलग-अलग फ़ाइलें डाउनलोड की जा सकती थीं, और लिंक पर न हस्ताक्षर थे, न समाप्ति अवधि।

मामला 14 सितंबर को एक बाहरी सुरक्षा शोधकर्ता की वल्नरेबिलिटी रिपोर्ट से सामने आया। बाहरी पहुँच उसी रात से अगले दिन शाम तक पूरी तरह बंद कर दी गई। लॉग में तीसरे पक्ष की पहुँच 8 जून 2021 के बाद से दिखती है; उससे पहले के लॉग नहीं हैं, फिर भी उस अवधि को दायरे में रखा गया है।

कौन-सा डेटा प्रभावित

बल्क ऑपरेशन वाली फ़ाइलों में ईमेल, नाम, लिंक्ड सेवा का नाम और कर्मचारी संख्या जैसे कस्टम एट्रीब्यूट थे; इनसे 2,184 कंपनियों के 44,836 लोग प्रभावित हुए। अनुबंध फ़ाइलों में कंपनी ID, लाइसेंस संख्या और बिलिंग संपर्क का नाम, पता, फ़ोन व ईमेल थे; इससे 217 कंपनियों के 194 अतिरिक्त लोग जुड़े। कंपनी का कहना है कि लॉगिन पासवर्ड, मल्टी-फ़ैक्टर जानकारी और क्रेडिट कार्ड डेटा शामिल नहीं थे।

यह तीसरी रिपोर्ट है और संख्या 16 सितंबर के अस्थायी आँकड़ों से बढ़ी है, क्योंकि पहली जाँच में कुछ फ़ाइलें छूट गई थीं और शर्तें गलत थीं। जाँच GMO समूह की ही GMO Cyber Security by Ierae ने की।

अब डाउनलोड लिंक पर हस्ताक्षर और एक घंटे की वैधता लागू है, फ़ाइल सूची बंद है, और सार्वजनिक सामग्री केवल वितरण-विशेष प्रणाली से दी जाएगी। डेटा की अवधि तय कर स्वतः हटाया जाएगा, और बाहरी जाँच साल में दो बार पूरे क्लाउड पर होगी।