दस्तावेज़-आधारित भरोसे का अंत: क्यों 6.9 मिलियन चोरी हुए लाइसेंस एक नए पहचान आर्किटेक्चर की आवश्यकता पैदा करते हैं

इंडियाना और मेन के अटॉर्नी जनरल ने हाल ही में AssuranceAmerica के लिए डेटा उल्लंघन सूचनाओं को संसाधित किया, जिससे 6.99 मिलियन रिकॉर्ड के उजागर होने की पुष्टि हुई। यह घटना इस वर्ष अमेरिकी ड्राइवर लाइसेंस जानकारी के सबसे बड़े प्रलेखित रिसाव को दर्शाती है। नियामक अब ऐसी घटनाओं को केवल कॉर्पोरेट विफलताओं के रूप में नहीं देख रहे हैं। ये घटनाएँ राष्ट्रीय पहचान बुनियादी ढांचे के लिए प्रणालीगत खतरे हैं। जैसे-जैसे राज्य सरकारें आयु-सत्यापन कानूनों पर जोर दे रही हैं जो दस्तावेज़ अपलोड को अनिवार्य बनाते हैं, सरकार द्वारा जारी आईडी को केंद्रीकृत करने की जवाबदेही एक महत्वपूर्ण सीमा तक पहुँच गई है। AssuranceAmerica उल्लंघन एक संकेत है कि पहचान दस्तावेजों के लिए पारंपरिक ट्रस्ट मॉडल टूट चुका है।

AssuranceAmerica उल्लंघन तंत्र का विश्लेषण

AssuranceAmerica ने 17 मार्च को अपने कंप्यूटर सिस्टम के भीतर अनधिकृत पहुंच का पता लगाया। इसके बाद की जांच 15 जून को संपन्न हुई और पता चला कि हैकर्स ने नाम, संपर्क जानकारी और ड्राइवर लाइसेंस नंबर चुरा लिए हैं। हमलावरों ने ऑटो बीमा पॉलिसियों, दावों के विवरण और वाहन की जानकारी तक भी पहुंच बनाई। हालांकि कंपनी ने विशिष्ट प्रवेश बिंदु का खुलासा नहीं किया, लेकिन उसने पुष्टि की कि हैकर्स ने एक कर्मचारी को निशाना बनाया और समझौता किए गए क्रेडेंशियल्स का उपयोग किया। यह पहचान और पहुंच प्रबंधन (IAM) प्रोटोकॉल में विफलता का संकेत देता है।

हमलावरों ने नेटवर्क के अंदर लगभग तीन महीने बिताए। यह ड्वेल टाइम (dwell time) बताता है कि आंतरिक वातावरण में पार्श्व गतिविधियों (lateral movement) का पता लगाने के लिए आवश्यक टेलीमेट्री की कमी थी। कई बीमा विरासत प्रणालियों में, एक कर्मचारी क्रेडेंशियल डेटाबेस तक व्यापक पहुंच प्रदान करता है क्योंकि नेटवर्क आर्किटेक्चर यह मानता है कि एक प्रमाणित उपयोगकर्ता एक विश्वसनीय उपयोगकर्ता है। यह धारणा आधुनिक उद्यम सुरक्षा में एक प्राथमिक दोष है। एक बार जब हमलावरों ने प्रारंभिक क्रेडेंशियल जांच को बायपास कर दिया, तो माइक्रोसेगमेंटेशन की कमी ने उन्हें स्वचालित लॉकडाउन को ट्रिगर किए बिना लगभग 7 मिलियन संवेदनशील रिकॉर्ड तक पहुंचने की अनुमति दी।

सरकार द्वारा जारी पहचानकर्ता की जवाबदेही

ड्राइवर लाइसेंस नंबर केवल डेटा के टुकड़े नहीं हैं। वे सिंथेटिक पहचान धोखाधड़ी और परिष्कृत प्रतिरूपण हमलों के लिए आधारभूत कुंजियाँ हैं। क्रेडिट कार्ड नंबर के विपरीत, ड्राइवर लाइसेंस नंबर को बदलना कठिन और महंगा है। जब एक बीमा प्रदाता इनमें से 6.9 मिलियन पहचानकर्ताओं को खो देता है, तो यह प्रभावित आबादी के लिए एक स्थायी जोखिम पैदा करता है। उद्योग को इस बात पर पुनर्विचार करना चाहिए कि वह इन दस्तावेजों को कच्चे, खोजने योग्य प्रारूप में क्यों संग्रहीत करता है।

बीमा प्रदाता पात्रता सत्यापित करने और जोखिम का आकलन करने के लिए यह डेटा एकत्र करते हैं। हालांकि, वास्तविक नंबर का भंडारण एक डिजाइन विकल्प है जो सुरक्षा के बजाय विरासत डेटाबेस संगतता को प्राथमिकता देता है। वैश्विक आयु-सत्यापन कानूनों का वर्तमान रुझान इस जोखिम को बढ़ाता है। हर बार जब कोई उपयोगकर्ता अपनी आयु या पहचान साबित करने के लिए दस्तावेज़ अपलोड करता है, तो वे खतरे के कारकों के लिए एक नया लक्ष्य बनाते हैं। यदि उद्यम इन दस्तावेजों को स्थिर संपत्ति के रूप में मानना जारी रखते हैं, तो उच्च-मूल्य वाले रिसाव की मात्रा बढ़ेगी। तर्क साधारण डेटा सुरक्षा से हटकर जीरो-नॉलेज प्रूफ (zero-knowledge proofs) की आवश्यकता की ओर बढ़ जाता है जहां कंपनी वास्तविक पहचानकर्ता को संग्रहीत किए बिना विशेषता को सत्यापित करती है।

क्रेडेंशियल चोरी और बुनियादी स्वच्छता की विफलता

AssuranceAmerica ने कहा कि उसने खोज के बाद समझौता किए गए क्रेडेंशियल्स को अक्षम कर दिया। यह प्रतिक्रियात्मक उपाय इस बात का समाधान नहीं करता है कि क्रेडेंशियल कैसे चोरी हुए। खतरे के कारक तेजी से सत्र टोकन (session tokens) काटने और मानक मल्टी-फैक्टर ऑथेंटिकेशन (MFA) को बायपास करने के लिए इन्फोस्टीलर मैलवेयर का उपयोग कर रहे हैं। यदि कोई संगठन एसएमएस-आधारित या पुश-नोटिफिकेशन MFA पर निर्भर करता है, तो वह एडवर्सरी-इन-द-मिडल (adversary-in-the-middle) हमलों के प्रति संवेदनशील है।

इस मामले में, लक्षित कर्मचारी संभवतः स्पीयर-फिशिंग अभियान या परिष्कृत सोशल इंजीनियरिंग प्रयास का शिकार था। समझौता किए गए क्रेडेंशियल्स का उपयोग साबित करता है कि परिधि (perimeter) अब व्यवहार्य रक्षा रेखा नहीं है। जब एक हमलावर के पास वैध क्रेडेंशियल होते हैं, तो वह एक इनसाइडर होता है। आर्किटेक्चर ही इस परिदृश्य के खिलाफ एकमात्र बचाव है। एक लचीला सिस्टम यह मानता है कि क्रेडेंशियल चोरी हो जाएंगे और हर संवेदनशील डेटाबेस क्वेरी के लिए अतिरिक्त, प्रासंगिक प्रमाण की आवश्यकता होती है। यदि सिस्टम को असामान्य डेटा निकास पैटर्न पर अलर्ट ट्रिगर करने के लिए डिज़ाइन किया गया है, तो हमलावर की विशेषज्ञता की कमी एक अनकहा सहयोगी है, लेकिन AssuranceAmerica का तीन महीने का ड्वेल टाइम दिखाता है कि इस सहयोगी का उपयोग नहीं किया गया था।

बड़े पैमाने पर पहचान रिसाव के आर्किटेक्चरल निहितार्थ

क्रेडेंशियल समझौते के प्रभाव को कम करने के लिए, उद्यमों को एक ज़ीरो ट्रस्ट (Zero Trust) आर्किटेक्चर लागू करना चाहिए जो हर आंतरिक कनेक्शन को संभावित रूप से शत्रुतापूर्ण मानता है। लक्ष्य यह सुनिश्चित करना है कि एक समझौता आपदा न बने। इसके लिए निहित विश्वास के मॉडल से निरंतर सत्यापन के मॉडल की ओर बढ़ने की आवश्यकता है।

माइक्रोसेगमेंटेशन पहचान रिसाव के प्रभाव क्षेत्र को सीमित करने का सबसे प्रभावी तरीका है। यदि ड्राइवर लाइसेंस नंबर वाले डेटाबेस को बाकी कॉर्पोरेट नेटवर्क से अलग किया जाता है, तो एक समझौता किया गया कर्मचारी क्रेडेंशियल उस तक पहुँचने के लिए पर्याप्त नहीं होना चाहिए। पहुंच के लिए एक माध्यमिक, उच्च-आश्वासन प्रमाणीकरण चरण और एक वैध व्यावसायिक औचित्य की आवश्यकता होनी चाहिए। यह डिज़ाइन सुनिश्चित करता है कि भले ही कोई हमलावर घर में प्रवेश कर जाए, वह एक ही कमरे में बंद रहे।

PII धारकों के लिए नियामक प्रक्षेपवक्र

इंडियाना और मेन के अटॉर्नी जनरल की भागीदारी इंगित करती है कि डेटा रिसाव के कानूनी परिणाम अधिक प्रत्यक्ष होते जा रहे हैं। नियामक एक ऐसे मॉडल की ओर बढ़ रहे हैं जहाँ बुनियादी आर्किटेक्चरल सुरक्षा उपायों को लागू करने में विफलता को लापरवाही माना जाता है। खतरे के मॉडल में बदलाव का मतलब है कि "मानक उद्योग अभ्यास" अब एक वैध बचाव नहीं है यदि उन अभ्यासों में लाखों सादे-पाठ पहचानकर्ताओं को संग्रहीत करना शामिल है।

भविष्य के नियम संभवतः आराम और पारगमन में डेटा के लिए एन्क्रिप्शन के उपयोग को अनिवार्य करेंगे, लेकिन वे डेटा न्यूनीकरण (data minimization) की अवधारणा पर भी ध्यान केंद्रित करेंगे। यदि किसी बीमा प्रदाता को चल रहे संचालन के लिए ड्राइवर लाइसेंस नंबर की आवश्यकता नहीं है, तो उसे शुद्ध या अनाम किया जाना चाहिए। AssuranceAmerica की घटना साबित करती है कि डेटा रखना एक ऐसी जवाबदेही है जो आसान पहुंच की सुविधा से कहीं अधिक भारी है। बड़े पैमाने पर डेटा धारकों को ऐसी मानसिकता अपनानी चाहिए जहां PII का हर टुकड़ा एक संभावित मुकदमा है जो होने की प्रतीक्षा कर रहा है।

कार्य योजना: पहचान लचीलेपन के लिए 12 महीने का रोडमैप

CISOs को अब अपने संगठनों को अगला AssuranceAmerica बनने से रोकने के लिए कार्य करना चाहिए। निम्नलिखित कदम अगले एक साल में पहचान सुरक्षा के पुनर्गठन के लिए एक व्यावहारिक ढांचा प्रदान करते हैं।

1. डेटा प्रतिधारण नीतियों का ऑडिट करें (महीने 1-2): प्रत्येक डेटाबेस की पहचान करें जो ड्राइवर लाइसेंस नंबर या अन्य सरकारी आईडी संग्रहीत करता है। किसी भी ऐसे डेटा को हटा दें जो वर्तमान संचालन के लिए कानूनी रूप से आवश्यक नहीं है। एक सख्त डेटा जीवनचक्र प्रबंधन नीति लागू करें।
2. फिशिंग-प्रतिरोधी MFA तैनात करें (महीने 3-5): एसएमएस और पुश-आधारित MFA से आगे बढ़ें। संवेदनशील ग्राहक डेटा तक पहुंच रखने वाले सभी कर्मचारियों के लिए FIDO2-अनुपालन हार्डवेयर कुंजियाँ या प्लेटफॉर्म-आधारित बायोमेट्रिक्स लागू करें। यह इन्फोस्टीलर्स और क्रेडेंशियल चोरी के खतरे को बेअसर करता है।
3. माइक्रोसेगमेंटेशन लागू करें (महीने 6-9): उच्च-मूल्य वाले डेटाबेस को सामान्य कॉर्पोरेट नेटवर्क से अलग करें। पहचान-जागरूक प्रॉक्सी का उपयोग यह सुनिश्चित करने के लिए करें कि केवल प्रबंधित उपकरणों पर अधिकृत उपयोगकर्ता ही PII तक पहुंच सकें। विशेष रूप से प्रारंभिक कर्मचारी समझौते से पार्श्व गति पर ध्यान केंद्रित करते हुए एक पेंटेस्ट आयोजित करें।
4. टोकनाइजेशन और एन्क्रिप्शन अपनाएं (महीने 10-12): गैर-उत्पादन वातावरण और एनालिटिक्स प्लेटफॉर्म में कच्चे ड्राइवर लाइसेंस नंबरों को टोकन से बदलें। सुनिश्चित करें कि एन्क्रिप्शन कुंजियों का प्रबंधन उस डेटा से अलग किया गया है जिसे वे सुरक्षित करते हैं। भविष्य की पहचान सत्यापन आवश्यकताओं के लिए ज़ीरो-नॉलेज प्रूफ प्रदाताओं का पता लगाएं।

नई वास्तविकता का सारांश

AssuranceAmerica उल्लंघन एक अनुस्मारक है कि परिधि मर चुकी है। 6.99 मिलियन लोग अब आजीवन पहचान जोखिम का सामना कर रहे हैं क्योंकि एक कर्मचारी के क्रेडेंशियल चोरी हो गए थे। इस परिदृश्य में अस्तित्व आर्किटेक्चरल लचीलेपन और पहचान की गति पर निर्भर करता है। लक्ष्य सभी उल्लंघनों को रोकना नहीं है; लक्ष्य यह सुनिश्चित करना है कि एक समझौता किया गया क्रेडेंशियल पूरे साम्राज्य का नक्शा प्रदान न करे। उद्योग को दस्तावेज़-आधारित भरोसे से दूर जाना चाहिए और एक ऐसे भविष्य की ओर बढ़ना चाहिए जहाँ डेटा न्यूनतम, खंडित और निरंतर सत्यापित हो।

स्रोत:
AssuranceAmerica Corporate Notice
Indiana Attorney General Breach Portal
Maine Attorney General Data Disclosure
TechCrunch Cybersecurity Analysis
Texas State Government Breach Reports

अस्वीकरण: यह लेख केवल सूचनात्मक और शैक्षिक उद्देश्यों के लिए है और पेशेवर साइबर सुरक्षा ऑडिट या घटना प्रतिक्रिया सेवा का स्थान नहीं लेता है।