यात्रा से जुड़ा घोटाला अब और सटीक हो गया है
सुरक्षा शोधकर्ताओं का कहना है कि साइबर अपराधी फ़िशिंग हमलों को कहीं अधिक विश्वसनीय बनाने के लिए असली होटल आरक्षण विवरण का उपयोग कर रहे हैं। WIRED द्वारा रिपोर्ट किए गए निष्कर्षों के अनुसार, 50 देशों में 350 से अधिक होटलों, छुट्टी किराये के आवासों, मोटेलों और गेस्टहाउसों के ग्राहक डेटा तक पहुंच बनाई गई हो सकती है और उसका उपयोग अत्यधिक लक्षित घोटाले वाले संदेश बनाने के लिए किया गया है।
यह तरीका सामान्य यात्रा धोखाधड़ी से आगे जाता है। शोधकर्ताओं का कहना है कि हमलावर बुकिंग नाम, कीमतें, और चेक-इन तथा चेक-आउट विवरण जैसे विशिष्ट डेटा के साथ संदेश तैयार कर रहे हैं, फिर पीड़ितों को ऐसे लिंक भेजते हैं जिनका उद्देश्य क्रेडिट कार्ड जानकारी चुराना है। इससे एक साधारण फ़िशिंग लालच एक स्पीयर-फ़िशिंग अभियान में बदल जाता है, जो वैध आरक्षण डेटा पर आधारित होता है।
यह घोटाला पकड़ में आना क्यों मुश्किल है
Norton की मूल कंपनी Gen ने इस अभियान से जुड़े फ़िशिंग संदेशों और साइबर अपराधी बुनियादी ढांचे का विश्लेषण किया। शोध से संकेत मिलता है कि जब किसी पीड़ित को WhatsApp, SMS, या ईमेल संदेश मिलता है जिसमें वास्तविक आरक्षण के ठीक होटल और तारीखों का उल्लेख होता है, तो आम चेतावनी संकेत कम स्पष्ट हो जाते हैं।
यही मुख्य खतरा है। कई उपयोगकर्ता अब धुंधले “आपकी बुकिंग में समस्या है” संदेशों को नज़रअंदाज़ करना सीख चुके हैं। लेकिन एक धोखाधड़ी वाला नोट जिसमें यात्रा के सही विवरण शामिल हों, होटल या बुकिंग प्लेटफ़ॉर्म से आई सामान्य अनुरोध जैसा दिख सकता है। रिपोर्ट में उद्धृत शोधकर्ताओं ने इस अभियान को वास्तव में लक्षित बताया क्योंकि यह व्यापक अनुमान के बजाय वास्तविक आरक्षण जानकारी का उपयोग करता है।
सैकड़ों संपत्तियां, दर्जनों देश
रिपोर्ट के अनुसार 50 देशों में कम से कम 350 आवास इस घोटाले के इकोसिस्टम में फंस गए थे। जर्मनी में संभावित रूप से प्रभावित होटलों की सबसे अधिक संख्या दिखाई दी, जिसके बाद फ्रांस, यूनाइटेड किंगडम, इटली, स्पेन और संयुक्त राज्य अमेरिका रहे। शोधकर्ताओं का अनुमान है कि नामित आवास मिलकर चरम क्षमता पर लगभग 80,000 मेहमानों की मेजबानी कर सकते हैं।
प्रभावित संपत्तियों में अधिकांश को बड़े चेन होटलों के बजाय छोटे और मध्यम आकार के होटल बताया गया है। यह विवरण महत्वपूर्ण है, क्योंकि छोटे संचालकों के पास इन-हाउस सुरक्षा संसाधन कम हो सकते हैं और वे तीसरे पक्ष की प्रणालियों पर अधिक निर्भर हो सकते हैं, जिससे अकाउंट टेकओवर या डेटा चोरी का जोखिम बढ़ता है।
एक बड़े फ़िशिंग तंत्र का हिस्सा
होटल से जुड़ी धोखाधड़ी नई नहीं है, लेकिन ये निष्कर्ष उस व्यापक प्रवृत्ति से मेल खाते हैं जिसमें फ़िशिंग-एज़-ए-सर्विस संचालक लगातार अपनी रणनीतियों का विस्तार कर रहे हैं। स्रोत के अनुसार, ये किट पहले से ही अपराधियों को हर महीने लाखों डिलीवरी और टोल-रोड घोटाले संदेश भेजने में मदद करती हैं, अक्सर बड़े ब्रांडों की नकल करके बड़े पैमाने पर।
होटल वाला संस्करण विशेष रूप से प्रभावी है क्योंकि यात्रा स्वभाव से समय-संवेदनशील और विघटनकारी होती है। यदि लोगों को लगे कि कोई आरक्षण रद्द हो सकता है या भुगतान समस्या के कारण चेक-इन रुक सकता है, तो वे जल्दी कार्रवाई करने की अधिक संभावना रखते हैं। यह तत्परता, सटीक विवरण के साथ मिलकर, धोखाधड़ी के लिए आदर्श परिस्थितियां बनाती है।
वित्तीय पृष्ठभूमि
जोखिम केवल सैद्धांतिक नहीं हैं। रिपोर्ट में हाल ही में प्रकाशित FBI डेटा का हवाला दिया गया है, जिसके अनुसार पिछले साल अमेरिकियों ने सफल फ़िशिंग प्रयासों में 200 मिलियन डॉलर से अधिक खो दिए। होटल आरक्षण की यह रणनीति समझाती है कि सार्वजनिक जागरूकता बढ़ने के बावजूद फ़िशिंग से होने वाले नुकसान ऊंचे क्यों बने रहते हैं। हमलावर घोटालों को अधिक विशिष्ट, अधिक संदर्भ-आधारित, और वैध सेवा संदेशों से अलग पहचानने में अधिक कठिन बनाकर अनुकूलित कर रहे हैं।
यह कहानी क्या संकेत देती है
बड़ा सबक यह है कि डेटा उल्लंघन को खतरनाक बनने के लिए सीधे पासवर्ड या भुगतान कार्ड उजागर करने की आवश्यकता नहीं होती। केवल आरक्षण मेटाडेटा भी अत्यधिक प्रभावी सोशल इंजीनियरिंग हमला बनाने के लिए पर्याप्त हो सकता है। इससे बुकिंग सिस्टम और भागीदार संचार कई यात्रियों की अपेक्षा कहीं अधिक संवेदनशील सुरक्षा सतह बन जाते हैं।
होटलों और बुकिंग प्लेटफ़ॉर्मों के लिए यह कहानी याद दिलाती है कि ग्राहक भरोसा केवल उनकी साइटों पर सीधे होने वाली धोखाधड़ी से नहीं, बल्कि चोरी किए गए विवरणों के बाद के दुरुपयोग से भी क्षतिग्रस्त हो सकता है। यात्रियों के लिए, यथार्थवादी आरक्षण-अपहरण घोटालों के उभरने का मतलब है कि “अजीब संदेशों पर नज़र रखें” जैसी सामान्य सलाह अब पर्याप्त नहीं है। अब अजीब संदेश लगभग पूरी तरह सामान्य दिख सकते हैं।
यह लेख Wired की रिपोर्टिंग पर आधारित है। मूल लेख पढ़ें.
Originally published on wired.com
