टेकक्रंच को पता चला है कि एक होटल चेक-इन सिस्टम ऑपरेटर ने लगभग दस लाख पासपोर्ट और ड्राइवर लाइसेंस वाले क्लाउड स्टोरेज को बिना पासवर्ड सुरक्षा के पूरी तरह से इंटरनेट के संपर्क में छोड़ दिया है। यह उल्लंघन उन ग्राहकों को प्रभावित करता है जो होटलों में डिजिटल चेक-इन सेवा का उपयोग करते हैं, जिससे कुछ सबसे संवेदनशील व्यक्तिगत पहचान दस्तावेज़ किसी भी व्यक्ति के सामने उजागर हो जाते हैं, जो गलत तरीके से कॉन्फ़िगर किए गए स्टोरेज बकेट पर ठोकर खाते हैं। कंपनी ने तब से डेटा सुरक्षित कर लिया है, लेकिन यह घटना इस बात पर गंभीर सवाल उठाती है कि आतिथ्य तकनीकी विक्रेता अतिथि जानकारी को कैसे संभालते हैं।
एक होटल चेक-इन प्रौद्योगिकी प्रदाता में भारी सुरक्षा विफलता के कारण लगभग दस लाख पासपोर्ट और ड्राइवर के लाइसेंस खुले इंटरनेट पर उजागर हो गए हैं, जो हाल की स्मृति में आतिथ्य उद्योग के सबसे महत्वपूर्ण डेटा उल्लंघनों में से एक है।
डिजिटल चेक-इन सिस्टम को बनाए रखने के लिए जिम्मेदार टेक कंपनी ने अपने क्लाउड स्टोरेज को सार्वजनिक रूप से सेट किया है, जिससे किसी भी प्रमाणीकरण बाधा को प्रभावी ढंग से हटा दिया जाएगा जो आम तौर पर ऐसे संवेदनशील ग्राहक डेटा की रक्षा करेगा। भंडारण स्थान की जानकारी रखने वाला कोई भी व्यक्ति पासवर्ड या क्रेडेंशियल दर्ज किए बिना पहचान दस्तावेजों के भंडार तक पहुंच सकता है, टेकक्रंच की जांच के अनुसार.
यह उल्लंघन एक मौलिक क्लाउड सुरक्षा गलत कॉन्फ़िगरेशन का प्रतिनिधित्व करता है, उस तरह की गलती जो साइबर सुरक्षा विशेषज्ञों की वर्षों की चेतावनियों के बावजूद एंटरप्राइज़ सॉफ़्टवेयर को परेशान कर रही है। ये तथाकथित “खुली बाल्टी” घटनाएं चिंताजनक रूप से आम हो गई हैं क्योंकि कंपनियां उचित सुरक्षा नियंत्रण लागू किए बिना परिचालन को डिजिटल बनाने में जल्दबाजी करती हैं।
मेहमानों के अनुभव को सुव्यवस्थित करने और फ्रंट-डेस्क स्टाफ की जरूरतों को कम करने के लिए होटलों ने डिजिटल चेक-इन सिस्टम को तेजी से अपनाया है। इन प्रणालियों में आम तौर पर मेहमानों को आयु सत्यापन और पहचान की पुष्टि के लिए सरकार द्वारा जारी पहचान की तस्वीरें अपलोड करने की आवश्यकता होती है। मेहमानों को संभवतः यह अनुमान नहीं था कि उनके सबसे संवेदनशील व्यक्तिगत दस्तावेज़ इंटरनेट पर किसी के लिए भी पहुंच योग्य असुरक्षित क्लाउड डेटाबेस में समाप्त हो जाएंगे।
उजागर किए गए डेटा में पूर्ण पासपोर्ट जानकारी और ड्राइवर के लाइसेंस, दस्तावेज़ शामिल हैं जिनमें न केवल नाम और पते बल्कि पासपोर्ट नंबर, लाइसेंस नंबर, जन्मतिथि और तस्वीरें भी शामिल हैं। जानकारी का यह संयोजन उल्लंघन को विशेष रूप से खतरनाक बनाता है, क्योंकि यह पहचान की चोरी, पासपोर्ट धोखाधड़ी, या परिष्कृत फ़िशिंग हमलों के लिए आवश्यक सभी चीजें प्रदान करता है।
हालाँकि कंपनी ने अब उजागर भंडारण को सुरक्षित कर लिया है, लेकिन गंभीर सवाल बना हुआ है: यह डेटा कितने समय तक पहुंच योग्य था, और इसे और किसने खोजा होगा? क्लाउड गलत कॉन्फ़िगरेशन पता चलने से पहले महीनों या वर्षों तक जारी रह सकता है, और आमतौर पर यह निर्धारित करने का कोई तरीका नहीं है कि उस विंडो के दौरान डेटा तक किसने पहुंच बनाई।
यह घटना आतिथ्य प्रौद्योगिकी क्षेत्र पर प्रकाश डालती है, जहां तेजी से नवाचार अक्सर सुरक्षा प्रथाओं से आगे निकल जाता है। होटल अपने सबसे संवेदनशील अतिथि डेटा को तीसरे पक्ष के विक्रेताओं को सौंपते हैं, लेकिन कई संपत्तियों में इन प्रणालियों को ठीक से ऑडिट करने के लिए तकनीकी विशेषज्ञता का अभाव है। परिणाम एक खंडित सुरक्षा परिदृश्य है जहां जिम्मेदारी होटलों और उनके प्रौद्योगिकी प्रदाताओं के बीच फैल जाती है।
यह उल्लंघन क्लाउड सुरक्षा के लिए भी एक अनिश्चित क्षण में आता है। दुनिया भर में नियामक डेटा सुरक्षा आवश्यकताओं को सख्त कर रहे हैं, और पहचान दस्तावेजों से जुड़े हाई-प्रोफाइल एक्सपोज़र आमतौर पर जांच को गति देते हैं। प्रभावित व्यक्तियों की कुल संख्या – लगभग दस लाख – लगभग निश्चित रूप से कई न्यायालयों में रिपोर्टिंग सीमा को पार कर जाती है।
प्रभावित व्यक्तियों के लिए, जोखिम दीर्घकालिक जोखिम पैदा करता है। दोबारा जारी किए जा सकने वाले क्रेडिट कार्ड नंबरों के विपरीत, पासपोर्ट नंबर और ड्राइवर के लाइसेंस की जानकारी अपेक्षाकृत स्थिर रहती है। एक बार जब यह डेटा आपराधिक बाज़ारों में प्रसारित हो जाता है, तो इसका उपयोग विभिन्न धोखाधड़ी योजनाओं में वर्षों तक किया जा सकता है।
महामारी के बाद से होटल उद्योग का डिजिटल परिवर्तन नाटकीय रूप से तेज हो गया है, कई संपत्तियों में संपर्क रहित चेक-इन मानक बन गया है। लेकिन यह घटना एक कठोर अनुस्मारक के रूप में कार्य करती है कि सुविधा और सुरक्षा को एक साथ आगे बढ़ना चाहिए। प्रत्येक डिजिटल सिस्टम जो अतिथि डेटा को छूता है, एक संभावित भेद्यता का प्रतिनिधित्व करता है, और एक भी गलत कॉन्फ़िगरेशन लाखों लोगों को बेनकाब कर सकता है।
जो चीज़ इस उल्लंघन को विशेष रूप से परेशान करती है वह है इसकी सरलता। यह कोई परिष्कृत हैक या शून्य-दिन का शोषण नहीं था – यह एक कॉन्फ़िगरेशन त्रुटि थी, जो संवेदनशील दस्तावेज़ों से भरे गोदाम को खुला छोड़ देने के बराबर थी। उचित सुरक्षा समीक्षा और बुनियादी पहुंच नियंत्रण से इस प्रकार की गलतियों को पूरी तरह से रोका जा सकता है।
यह उल्लंघन एंटरप्राइज़ सॉफ़्टवेयर में विश्वास की समस्या के मूल में कटौती करता है: कंपनियां भारी मात्रा में संवेदनशील व्यक्तिगत डेटा एकत्र करती हैं लेकिन अक्सर इसे ठीक से सुरक्षित रखने के लिए सुरक्षा बुनियादी ढांचे की कमी होती है। जैसे-जैसे होटल डिजिटल परिवर्तन अपना रहे हैं, उद्योग को सख्त विक्रेता सुरक्षा मानक और जवाबदेही उपाय स्थापित करने की आवश्यकता है। यात्रियों के लिए, यह घटना एक असुविधाजनक अनुस्मारक है कि प्रत्येक डिजिटल सुविधा गोपनीयता जोखिम के साथ आती है। आतिथ्य क्षेत्र को अब एक कड़ी चुनौती का सामना करना पड़ रहा है – या तो अतिथि डेटा के आसपास सुरक्षा प्रथाओं में उल्लेखनीय सुधार करें, या नियामक हस्तक्षेप की लहर का सामना करें जो इस मुद्दे को मजबूर कर देगा। रोके जा सकने वाले ग़लत कॉन्फ़िगरेशन के कारण दस लाख पहचान दस्तावेज़ उजागर हो जाने से, हो सकता है कि गणना अभी-अभी हुई हो।
