એકાઉન્ટ યુદ્ધ. જેફ્રીની કોફી ચેઇનના સ્થાપક VKontakte પર દાવો કરી રહ્યા છે

MTS ગ્રાહક ઓળખ સિસ્ટમમાં નબળાઈને કારણે છેતરપિંડીઓએ ઉદ્યોગસાહસિક એલેક્સી મીરોનોવના VKontakte પૃષ્ઠની ચોરી કરી હતી. સોશિયલ નેટવર્કે તેને ક્યારેય તેના માલિકને પાછું આપ્યું નથી અને તેની પાસેથી અશક્યની માંગ કરી રહ્યું છે. હવે તે આ માટે VKontakte પર દાવો કરી રહ્યો છે. સેન્ટર ફોર ડિજિટલ રાઈટ્સ દ્વારા તેમનું પ્રતિનિધિત્વ કરવામાં આવે છે.

એલેક્સી મિરોનોવ જેફ્રીની કોફી ચેઇનના સ્થાપક છે. આ મોસ્કો અને પ્રદેશોમાં કોફી શોપની ફ્રેન્ચાઇઝી છે. એલેક્સી ઘણીવાર VKontakte પર સાથીદારો અને ભાગીદારો સાથે વાતચીત કરતો હતો અને ત્યાં તેના નેટવર્ક માટે ખૂબ જ લોકપ્રિય જાહેર પૃષ્ઠ જાળવી રાખતો હતો, જેમાં 50 થી વધુ સબ્સ્ક્રાઇબર હતા.

નવેમ્બર 2018 માં, વહેલી સવારે, જ્યારે એલેક્સી ચીનમાં બિઝનેસ ટ્રિપ પર હતો, ત્યારે તેનું VKontakte પેજ હેક કરવામાં આવ્યું હતું. તેને VKontakte, WhatsApp તરફથી SMS અને MTS ઓપરેટર તરફથી એક સંદેશ મળ્યો, જેમાં કહેવામાં આવ્યું હતું કે બીજા નંબર પર ફોરવર્ડ કરવાનું સેટઅપ છે. એલેક્સીએ ફોરવર્ડિંગ સેટ કર્યું ન હતું, તેથી તે તરત જ ચિંતિત થઈ ગયો અને એમટીએસને બોલાવ્યો. તેઓએ તરત જ નિર્ધારિત પણ કર્યું ન હતું કે ત્યાં ખરેખર રીડાયરેક્ટ છે. એલેક્સીના કોલના માત્ર બે કલાક પછી ઓપરેટર તેને બંધ કરવામાં સક્ષમ હતું. કેવી રીતે અને ક્યારે ફોરવર્ડિંગ સક્રિય થયું તે અંગે MTSને ક્યારેય ડેટા મળ્યો નથી.

એલેક્સીએ સોશિયલ નેટવર્ક અને ઇન્સ્ટન્ટ મેસેન્જર્સની ઍક્સેસ તપાસી અને જોયું કે તે હવે તેના ફોન નંબરનો ઉપયોગ કરીને તેમાં લૉગ ઇન કરી શકશે નહીં. હેકર્સે અન્ય નંબરને તેના એકાઉન્ટ સાથે લિંક કર્યો હતો. વોટ્સએપ દ્વારા સમસ્યાનું ઝડપથી નિરાકરણ કરવામાં આવ્યું હતું. ફોરવર્ડિંગ રદ કર્યા પછી તરત જ, મેસેન્જરે યોગ્ય માલિકને એકાઉન્ટની ઍક્સેસ પુનઃસ્થાપિત કરી.

એલેક્સીએ વીકોન્ટાક્ટે સપોર્ટને પેજ પરત કરવાનું કહ્યું અને તેના પાસપોર્ટનો ફોટો મોકલ્યો. સાંજે તેને એક SMS મળ્યો કે એપ્લિકેશન નકારી કાઢવામાં આવી છે, કારણ કે વર્તમાન માલિકે ઍક્સેસના અધિકારની પુષ્ટિ કરી છે.

ટેક્નિકલ સપોર્ટ નિષ્ણાતે જણાવ્યું હતું કે એલેક્સી સ્વેચ્છાએ તેના પૃષ્ઠની ઍક્સેસ તૃતીય પક્ષોને ટ્રાન્સફર કરી શકે છે, તેથી તેઓ તેની ઍક્સેસ પુનઃસ્થાપિત કરશે નહીં. એલેક્સીએ હેકિંગની પરિસ્થિતિ સમજાવી, પરંતુ તેને MTS તરફથી પુષ્ટિ પત્ર મોકલવાનું કહેવામાં આવ્યું, જેમાં ઓપરેટર પુષ્ટિ કરશે કે હેક થયું છે. એલેક્સીએ એમટીએસ તરફથી એક પત્ર આપ્યો. આ પછી, VKontakte વહીવટીતંત્રે માંગ કરી કે આ પત્ર પોલીસ દ્વારા પ્રમાણિત કરવામાં આવે. આ જરૂરિયાત પૂરી કરવી ખૂબ જ મુશ્કેલ છે કારણ કે પત્રો અને સહી કરનારના ઓળખપત્રોને પ્રમાણિત કરવાનું પોલીસનું કાર્ય નથી. એલેક્સી ફક્ત VKontakte કર્મચારીઓને વ્યક્તિગત રીતે પૂછીને હેક કરેલા પૃષ્ઠને અવરોધિત કરવામાં સક્ષમ હતો જે તે તેના વિશે જાણતો હતો. પાનું હજુ સુધી પરત કરવામાં આવ્યું નથી. એલેક્સીએ માત્ર એક જ વસ્તુ હાંસલ કરી હતી જે તેના એકાઉન્ટને અવરોધિત કરી રહી હતી. હવે ન તો સ્કેમર્સ કે તે પોતે તેનો ઉપયોગ કરી શકશે.

VKontakte સપોર્ટ સર્વિસ એક અલગ વાર્તા છે. ફક્ત અધિકૃત વપરાશકર્તાઓ જ VKontakte સપોર્ટ સેવાનો સંપર્ક કરી શકે છે. આનો અર્થ એ છે કે જો તમે તમારા પૃષ્ઠની ઍક્સેસ ગુમાવો છો, તો તમારે એક નવું બનાવવું આવશ્યક છે અથવા સમર્થનમાં લખવા માટે તમારા મિત્રોને તેમના પૃષ્ઠોની ઍક્સેસ આપવા માટે કહો. એલેક્સીએ તેની પત્નીના પૃષ્ઠ પરથી સપોર્ટ સર્વિસ નિષ્ણાતો સાથે પત્રવ્યવહાર કર્યો, અને આનાથી તેમને પરેશાન ન થયું, જો કે વપરાશકર્તા કરાર અન્ય કોઈને લૉગિન અને પાસવર્ડ સ્થાનાંતરિત કરવાની મંજૂરી આપતું નથી.

પેજના હેકીંગ અને એકાઉન્ટ અને સાર્વજનિક પૃષ્ઠની ઍક્સેસ ગુમાવવાથી સ્પષ્ટપણે એલેક્સીની વ્યવસાયિક પ્રતિષ્ઠા અને તેની મિલકતના હિતોને નુકસાન થયું છે. ઉલ્લેખિત નથી કે આનાથી અજ્ઞાત સ્થળો પર નોંધપાત્ર પ્રમાણમાં વ્યક્તિગત અને વ્યાપારી માહિતી લીક થવાની મંજૂરી મળી. વેપારીના ખાતામાંથી છેતરપિંડી કરનારાઓએ તેના મિત્રોને મોટી રકમ ટ્રાન્સફર કરવાનું કહ્યું. એક વ્યક્તિએ તેમને 34 હજાર રુબેલ્સ સ્થાનાંતરિત કર્યા. હુમલાખોરોએ એલેક્સીના ખાતામાંથી XNUMX કલાક સુધી અંગત માહિતી મેળવી હતી.

VKontakte સામે મુકદ્દમો

એલેક્સી મીરોનોવે સેન્ટ પીટર્સબર્ગની સ્મોલ્નિન્સ્કી ડિસ્ટ્રિક્ટ કોર્ટમાં સોશિયલ નેટવર્ક VKontakte સામે દાવો દાખલ કર્યો હતો અને હવે તે કેસની સોંપણીની રાહ જોઈ રહ્યો છે. તે કોર્ટને સોશિયલ નેટવર્કને તેના પોતાના કરારને પૂર્ણ કરવા, વપરાશકર્તા કરારના રૂપમાં પૂર્ણ કરવા અને તેને તેના પૃષ્ઠની ઍક્સેસ પરત કરવા માટે કહે છે. આજની તારીખે, VKontakte વહીવટ એલેક્સીને તેના એકાઉન્ટની ઍક્સેસથી ગેરવાજબી રીતે વંચિત કરવાનું ચાલુ રાખે છે, જ્યારે તેણે પ્રમાણિકપણે વપરાશકર્તા કરારની શરતોનું પાલન કર્યું હતું અને તરત જ સોશિયલ નેટવર્કની તકનીકી સપોર્ટ સેવાને હેક વિશે જાણ કરી હતી. VKontakte એ વપરાશકર્તા કરારની કલમને ટાંકીને પૃષ્ઠ પર તેની ઍક્સેસ પુનઃસ્થાપિત કરવાનો ઇનકાર કર્યો હતો જે વપરાશકર્તાઓને તેમના પૃષ્ઠ લૉગિન અને પાસવર્ડને તૃતીય પક્ષોને સ્થાનાંતરિત કરવાથી પ્રતિબંધિત કરે છે. VKontakte સપોર્ટ એજન્ટ કે જેની સાથે એલેક્સીએ વાત કરી હતી તે જણાવ્યું હતું કે તમે ફક્ત ઓપરેટરની ઑફિસની મુલાકાત લઈને અને તમારો પાસપોર્ટ રજૂ કરીને ફોન નંબર ફોરવર્ડિંગ સેટ કરી શકો છો. હકીકતમાં, આ કેસ નથી, અને એલેક્સીની અપીલના જવાબમાં રોસ્કોમનાડઝોર દ્વારા આની પુષ્ટિ કરવામાં આવી હતી.

સોશિયલ નેટવર્ક, વપરાશકર્તા કરારનું ઉલ્લંઘન કરીને, તેના પૃષ્ઠના ઉપયોગ માટે એલેક્સીની ઍક્સેસને ગેરવાજબી રીતે મર્યાદિત કરે છે. આર્ટના ફકરા 1 નું ઉલ્લંઘન કરીને, જવાબદારીઓને પૂર્ણ કરવાનો આ એકપક્ષીય ઇનકાર છે. 30 રશિયન ફેડરેશનનો સિવિલ કોડ. તેને તેના એકાઉન્ટની ઍક્સેસથી વંચિત કરીને, વીકેએ એલેક્સીને તેના સાર્વજનિક પૃષ્ઠને સંચાલિત કરવાના અધિકારોથી પણ વંચિત કર્યા, જે તેના માટે એક મહત્વપૂર્ણ અમૂર્ત સંપત્તિ છે. (અમે ડિજિટલ પ્રોપર્ટીના નવા સ્વરૂપ તરીકે જાહેર બજાર અને તેમની સાથે વ્યવહારો પૂર્ણ કરવાની વિશિષ્ટતાઓ વિશે લખ્યું છે. અગાઉ)

MTS ઓળખ સિસ્ટમમાં સુરક્ષા છિદ્રો

ઉદ્યોગસાહસિક વતી સ્કેમર્સ દ્વારા કરવામાં આવેલ પત્રવ્યવહાર દર્શાવે છે કે તેઓ તેમના વ્યવસાય અને વ્યવસાયિક સફર વિશે જાણતા હતા. તેઓએ MTS સંપર્ક કેન્દ્રને કૉલ કર્યો, એલેક્સી વતી પોતાને ઓળખવામાં સક્ષમ હતા અને કૉલ ફોરવર્ડિંગ સેટ કર્યું. હુમલાખોરો સોશિયલ એન્જિનિયરિંગ દ્વારા તેના પાસપોર્ટ ડેટા મેળવી શકતા હતા. એલેક્સી મીરોનોવ ફ્રેન્ચાઈઝીના સ્થાપક છે, તેથી ફ્રેન્ચાઈઝી સંસ્થાઓ ખોલવામાં સામેલ ઘણા લોકો પાસે તેમના પાસપોર્ટની માહિતી હોઈ શકે છે. MTS એ આંતરિક તપાસ હાથ ધરી હતી, પરંતુ તે નક્કી કરવામાં અસમર્થ હતું કે ફોરવર્ડિંગ કોણે ઇન્સ્ટોલ કર્યું હતું અને હુમલાખોરે SMS કેવી રીતે અટકાવ્યો હતો. કંપનીએ અપરાધ કબૂલ કર્યો ન હતો, પરંતુ તે જ સમયે એલેક્સીને ખૂબ જ વિચિત્ર વળતર - 750 રુબેલ્સની ઓફર કરી.

અમે માન્યું છે કે માત્ર સાચા વ્યક્તિગત ડેટાનો ઉપયોગ કરીને સબ્સ્ક્રાઇબરને દૂરથી ઓળખવું એ ખૂબ જ શંકાસ્પદ પ્રથા છે અને વ્યક્તિગત ડેટા પરના કાયદાની આવશ્યકતાઓ સાથે આ પ્રકારની કંપની પ્રક્રિયાના પાલનને ચકાસવા માટે Roskomnadzorને ફરિયાદ લખી છે. પરિણામે, Roskomnadzor MTS ની તરફેણ કરે છે, અને નિર્દેશ કરે છે કે સાચો વ્યક્તિગત ડેટા પ્રદાન કરતી વખતે ફોન દ્વારા રિમોટ ઓળખ પછી સંચાર સેવાઓનું સંચાલન કરવું એકદમ સામાન્ય છે, અને આ પ્રકારની અનધિકૃત ક્રિયાઓ સામે રક્ષણની વધારાની પદ્ધતિઓ સ્થાપિત કરવી એ સબ્સ્ક્રાઇબર માટે માથાનો દુખાવો છે, નહીં. કુંપની . (સંપૂર્ણ જવાબ વાંચો- અહીં)

એલેક્સી મીરોનોવના એકાઉન્ટને હેક કરવું એ MTS સબ્સ્ક્રાઇબર ડેટાની અનધિકૃત ઍક્સેસનો પ્રથમ કેસ નથી. 2018 માં, 500 હજાર સબ્સ્ક્રાઇબરોનો ડેટાબેઝ ચોરી નોવોસિબિર્સ્કમાં બે હુમલાખોરો, જેમાંથી એક કંપનીનો કર્મચારી હતો. તેઓએ એક સબ્સ્ક્રાઇબરના ડેટા માટે 1 રૂબલની કિંમતે ડેટાબેઝ વેચવાનો પ્રયાસ કર્યો.

2016 માં હતા હેક વિરોધી કાર્યકરો જ્યોર્જી અલ્બુરોવ અને ઓલેગ કોઝલોવ્સ્કીના ટેલિગ્રામ એકાઉન્ટ્સ. તેમના એકાઉન્ટ્સ MTS નંબરો સાથે જોડાયેલા હતા, અને હેકના થોડા સમય પહેલા, તેમની SMS સેવા અક્ષમ કરવામાં આવી હતી અને ફોરવર્ડિંગ સક્ષમ કરવામાં આવ્યું હતું. બ્રેક-ઇનના સંજોગો પણ સ્થાપિત થયા ન હતા. 2019 માં, ઓલેગ કોઝલોવ્સ્કીએ એમટીએસ સામે દાવો દાખલ કર્યો, પરંતુ કોર્ટે તેને નકારી કાઢ્યો.

વિવિધ વેબ સેવાઓ અને એપ્લિકેશન્સના એકાઉન્ટ્સને હેકિંગથી સુરક્ષિત રાખવાની જવાબદારી ખુદ વપરાશકર્તાની છે. આ સ્થિતિ ટેલિકોમ ઓપરેટરો અને નિયમનકાર બંને દ્વારા શેર કરવામાં આવી છે, જે મુજબ તેઓ આ જોખમોને તેમના પોતાના સબ્સ્ક્રાઇબર્સ સાથે શેર કરવાનો ઇનકાર કરે છે.

આરકેએન તેના પ્રતિભાવમાં આ રીતે તેનું વર્ણન કરે છે:
“... MTS શરતોના ક્લોઝ 2.11 મુજબ, ઓળખના હેતુઓ માટે, ટેલિકોમ ઓપરેટરના સબ્સ્ક્રાઇબર્સને કોડ વર્ડનો ઉપયોગ કરવાની તક આપવામાં આવે છે - સબ્સ્ક્રાઇબર દ્વારા સ્થાપિત ફોર્મમાં ઉલ્લેખિત પ્રતીકો (અક્ષરો, સંખ્યાઓ) નો ક્રમ ઓપરેટર, જે કરારનો અમલ કરતી વખતે સબસ્ક્રાઇબરને ઓળખવા માટે સેવા આપે છે. સબ્સ્ક્રાઇબરને કરાર પૂર્ણ કરતી વખતે (આ કિસ્સામાં તે ફરજિયાત વિગતો સાથે કરાર ફોર્મમાં દાખલ કરવામાં આવે છે) અને કરારના અમલ દરમિયાન કોઈપણ સમયે કોડ શબ્દ સેટ કરવાની તક હોય છે. આ હોવા છતાં, સબ્સ્ક્રાઇબર મીરોનોવ એ.કે. સેવાના વિવાદિત જોડાણ પહેલાં કોડ શબ્દ સેટ કરવામાં આવ્યો ન હતો. આવા સંજોગોમાં, ટેલિકોમ ઓપરેટર સાથે ઓળખ દરમિયાન કોડ વર્ડ સ્થાપિત કરીને માત્ર સબસ્ક્રાઇબર આવી પરિસ્થિતિઓના પ્રતિકૂળ પરિણામોના જોખમને નિષ્ક્રિય કરી શકે છે, પરંતુ તેણે આ તકનો લાભ લીધો નથી.

એકાઉન્ટ પુનઃપ્રાપ્તિ. અશક્ય મિશન

Roskomnadzor ની નિષ્ક્રિયતા અંગે ફરિયાદ પહેલાથી જ ફરિયાદીની ઓફિસમાં દાખલ કરવામાં આવી છે. દરમિયાન, પોલીસે ગુનાના અહેવાલ પર મૌન ચાલુ રાખ્યું છે. તપાસના પરિણામો વિશે કોઈ પણ કંપનીની અંદર કંઈપણ જાણ કરતું નથી. MTS કોઈ અપરાધ કબૂલ કરતું નથી. કોઈ ને ચિંતા નથી, કોઈ ને પરવા નથી. તે જ સમયે, VKontakte એકાઉન્ટના માલિકને તેની ઍક્સેસ પુનઃસ્થાપિત કરવાનો ઇનકાર કરવાનું ચાલુ રાખે છે જ્યાં સુધી તે પોલીસ તરફથી ઉલ્લેખિત તથ્યો અને MTS તરફથી એક પત્ર સ્થાપિત કરવા માટે ફોજદારી કેસ શરૂ કરવા માટે ઠરાવ લાવે નહીં, જે પુનઃનિર્દેશક સેવા હરીફ છે તેની પુષ્ટિ કરશે. એકદમ વ્યાપક સ્પષ્ટતા સાથેના પત્રમાં, એવી આવશ્યકતા પણ છે કે મીરોનોવને MTS તરફથી પ્રમાણપત્ર પણ આપવું આવશ્યક છે કે તે એકમાત્ર છે (અને શું, ક્યાંક ઓપરેટરો ફોન નંબરની સંયુક્ત માલિકી નોંધાવે છે?) જે ફોન નંબર સાથે લિંક કરવામાં આવ્યો હતો તેના વપરાશકર્તા છે. પૃષ્ઠ પ્રતિસાદ ગયા સપ્તાહના અંતમાં આવ્યો, અને પરિસ્થિતિમાં મડાગાંઠ અને હવે છ મહિના માટે VKontakte સાથે કરાર પર પહોંચવાની અશક્યતાને જોતાં, અમે કોર્ટમાં ગયા.

હેકિંગથી તમારી જાતને કેવી રીતે બચાવવી

હુમલાખોરો અન્ય નબળાઈઓ - SS7 પ્રોટોકોલ અથવા અનૈતિક ઓપરેટર કર્મચારીઓની મદદથી ડુપ્લિકેટ સિમ કાર્ડ મેળવવા દ્વારા ફોન નંબરનું સંચાલન કરવાની ઍક્સેસ પણ મેળવી શકે છે.

SS7 એ ટેલિકોમ ઓપરેટરો દ્વારા ઉપયોગમાં લેવાતો ટેકનિકલ પ્રોટોકોલ છે. તેમાં એક જૂનું અને દેખીતી રીતે દૂર ન કરી શકાય તેવું છે નબળાઈ, જે તમને કૉલ દરમિયાન અથવા SMS દ્વારા સબ્સ્ક્રાઇબર્સ દ્વારા પ્રસારિત ડેટાને અટકાવવાની મંજૂરી આપે છે. SS7 ની ઍક્સેસ ફક્ત ઓપરેટરો પાસે છે, પરંતુ હુમલાખોરો અવિકસિત દેશોના ઓપરેટરો પાસેથી અથવા મોબાઈલ ઓપરેટર્સના અનૈતિક કર્મચારીઓ દ્વારા ડાર્કનેટ પર ઍક્સેસ ખરીદીને મેળવી શકે છે. હુમલો ત્યારે થાય છે જ્યારે હુમલાખોર ગ્રાહકના બિલિંગ સિસ્ટમના સરનામાને તેના પોતાના સરનામામાં બદલે છે. મોટે ભાગે, હુમલાખોરો સિસ્ટમને જાણ કરે છે કે ગ્રાહક આંતરરાષ્ટ્રીય રોમિંગમાં છે, તેથી જો તમે તેનો ઉપયોગ ન કરો તો આંતરરાષ્ટ્રીય રોમિંગને અક્ષમ કરવાનો તમારી જાતને સુરક્ષિત કરવાનો સૌથી સરળ રસ્તો છે.

એલેક્સી મીરોનોવ પાસે હજી સુધી Vkontakte માટે બે-પરિબળ પ્રમાણીકરણ સિસ્ટમ ગોઠવેલ નથી. આ કાર્ય દેખાયા જૂન 2014 માં વીકેમાં. કદાચ તે તેના એકાઉન્ટને હેક થવાથી બચાવી શકે. તે યાદ રાખવું યોગ્ય છે કે એકાઉન્ટને ફક્ત ફોન નંબર સાથે લિંક કરવું એ બે-પરિબળ પ્રમાણીકરણ નથી. દ્વિ-પરિબળ પ્રમાણીકરણ — જ્યારે પાસવર્ડ ઉપરાંત, બીજી ક્રિયા કરવામાં આવે ત્યારે આ એકાઉન્ટમાં લૉગિનનું રક્ષણ છે. સૌથી સામાન્ય વિકલ્પ એ એસએમએસ કોડ છે. આ પદ્ધતિ સૌથી વિશ્વસનીય નથી, કારણ કે હુમલાખોરો SMS સંદેશને અટકાવી શકે છે. વધુ સુરક્ષિત વિકલ્પો મુખ્ય ફાઇલ, અસ્થાયી કોડ્સ, મોબાઇલ એપ્લિકેશન અને હાર્ડવેર ટોકન છે.

કમનસીબે, અમને એવા યુગમાં જીવવાની ફરજ પડી છે જ્યાં ડેટા સુરક્ષા સુનિશ્ચિત કરવી એ આપણી પોતાની સમસ્યા બની જાય છે. તેઓ આશા રાખે છે કે હેકની ઘટનામાં ઓપરેટરો સ્વતંત્ર રીતે જવાબદારી ઉઠાવશે, પરંતુ દેખીતી રીતે આ કેસ નથી. તેમજ Roskomnadzor પર આધાર રાખે છે, જે લાંબા સમયથી તેના ડેટા પ્રોટેક્શન પ્રેક્ટિસમાં વાસ્તવિકતાથી છૂટાછેડા લે છે. સ્થાનિક પોલીસ અધિકારીના "ઈનકાર સામગ્રી" ના બખ્તરને તોડવું અતિ મુશ્કેલ છે જે સમાન કેસમાં તમારી અરજી પ્રાપ્ત કરશે, ખાસ કરીને એક સામાન્ય વ્યક્તિ માટે જે આ સિસ્ટમ કેવી રીતે કાર્ય કરે છે તે જાણતો નથી. શું રહે છે? ડિજિટલ સ્વચ્છતા વિશે ભૂલશો નહીં, ગણિત પર વિશ્વાસ કરો અને કોર્ટમાં તમારા અધિકારોનો બચાવ કરો.

સોર્સ: www.habr.com