खाते की लड़ाई. जेफ़री कॉफ़ी श्रृंखला के संस्थापक VKontakte पर मुकदमा कर रहे हैं

एमटीएस ग्राहक पहचान प्रणाली में भेद्यता के कारण जालसाजों ने उद्यमी एलेक्सी मिरोनोव का VKontakte पृष्ठ चुरा लिया। सोशल नेटवर्क ने इसे कभी भी इसके मालिक को नहीं लौटाया है और उससे असंभव की मांग कर रहा है। अब वह इसके लिए VKontakte पर मुकदमा कर रहा है। उनका प्रतिनिधित्व सेंटर फॉर डिजिटल राइट्स द्वारा किया जाता है।

एलेक्सी मिरोनोव जेफरी कॉफ़ी श्रृंखला के संस्थापक हैं। यह मॉस्को और क्षेत्रों में कॉफी शॉप की फ्रेंचाइजी है। एलेक्सी अक्सर VKontakte पर सहकर्मियों और भागीदारों के साथ संवाद करते थे और वहां अपने नेटवर्क के लिए एक बहुत लोकप्रिय सार्वजनिक पेज बनाए रखते थे, जिसके 50 से अधिक ग्राहक थे।

नवंबर 2018 में, सुबह-सुबह, जब एलेक्सी चीन में व्यापारिक यात्रा पर थे, उनका VKontakte पेज हैक हो गया था। उन्हें VKontakte, WhatsApp से एसएमएस और MTS ऑपरेटर से एक संदेश प्राप्त हुआ, जिसमें कहा गया था कि किसी अन्य नंबर पर अग्रेषण सेट किया गया था। एलेक्सी ने अग्रेषण सेट नहीं किया था, इसलिए वह तुरंत चिंतित हो गया और एमटीएस को फोन किया। उन्होंने तुरंत यह भी निर्धारित नहीं किया कि वास्तव में कोई रीडायरेक्ट था। एलेक्सी के कॉल के दो घंटे बाद ही ऑपरेटर इसे बंद कर सका। एमटीएस को कभी भी यह डेटा नहीं मिला कि अग्रेषण कैसे और कब सक्रिय हुआ था।

एलेक्सी ने सोशल नेटवर्क और इंस्टेंट मैसेंजर तक पहुंच की जांच की और देखा कि वह अब अपने फोन नंबर का उपयोग करके उनमें लॉग इन नहीं कर सकता है। हैकर्स ने उनके अकाउंट से एक और नंबर लिंक कर दिया। व्हाट्सएप से समस्या जल्दी सुलझ गई। अग्रेषण रद्द करने के तुरंत बाद, संदेशवाहक ने वास्तविक स्वामी को खाते तक पहुंच बहाल कर दी।

एलेक्सी ने VKontakte समर्थन को पृष्ठ वापस करने के लिए लिखा और अपने पासपोर्ट की एक तस्वीर भेजी। शाम को उन्हें एक एसएमएस मिला कि आवेदन अस्वीकार कर दिया गया है, क्योंकि वर्तमान मालिक ने पहुंच के अधिकार की पुष्टि की है।

एक तकनीकी सहायता विशेषज्ञ ने कहा कि एलेक्सी स्वेच्छा से अपने पृष्ठ तक पहुंच तीसरे पक्ष को हस्तांतरित कर सकता है, इसलिए वे उसकी पहुंच बहाल नहीं करेंगे। एलेक्सी ने हैकिंग की स्थिति बताई, लेकिन उन्हें एमटीएस से एक पुष्टिकरण पत्र भेजने के लिए कहा गया, जिसमें ऑपरेटर पुष्टि करेगा कि हैक हुआ था। एलेक्सी ने एमटीएस से एक पत्र प्रदान किया। इसके बाद VKontakte प्रशासन ने मांग की कि इस पत्र को पुलिस द्वारा प्रमाणित किया जाए. इस आवश्यकता को पूरा करना बहुत कठिन है क्योंकि पत्रों और हस्ताक्षरकर्ता की साख को प्रमाणित करना पुलिस का कार्य नहीं है। एलेक्सी केवल VKontakte कर्मचारियों से व्यक्तिगत रूप से इसके बारे में पूछकर हैक किए गए पेज को ब्लॉक करने में सक्षम था। पेज अभी तक वापस नहीं आया है. एलेक्सी ने जो एकमात्र उपलब्धि हासिल की वह थी उसके खाते को ब्लॉक करना। अब न तो घोटालेबाज और न ही वह खुद इसका इस्तेमाल कर सकते हैं।

VKontakte सहायता सेवा एक अलग कहानी है। केवल अधिकृत उपयोगकर्ता ही VKontakte सहायता सेवा से संपर्क कर सकते हैं। इसका मतलब यह है कि यदि आप अपने पेज तक पहुंच खो देते हैं, तो आपको एक नया पेज बनाना होगा या समर्थन में लिखने के लिए अपने दोस्तों से अपने पेजों तक पहुंच देने के लिए कहना होगा। एलेक्सी ने अपनी पत्नी के पेज से सहायता सेवा विशेषज्ञों के साथ पत्र-व्यवहार किया, और इससे उन्हें कोई परेशानी नहीं हुई, हालाँकि उपयोगकर्ता अनुबंध किसी और को लॉगिन और पासवर्ड स्थानांतरित करने की अनुमति नहीं देता है।

पृष्ठ की हैकिंग और खाते और सार्वजनिक पृष्ठ तक पहुंच के और अधिक नुकसान से स्पष्ट रूप से एलेक्सी की व्यावसायिक प्रतिष्ठा और उनके संपत्ति हितों दोनों को नुकसान पहुंचा। यह उल्लेख करने की आवश्यकता नहीं है कि इसने बड़ी मात्रा में व्यक्तिगत और व्यावसायिक जानकारी को अज्ञात स्थानों पर लीक होने की अनुमति दी। कारोबारी के खाते से जालसाजों ने उसके दोस्तों से बड़ी रकम ट्रांसफर करने को कहा। एक व्यक्ति ने उन्हें 34 हजार रूबल ट्रांसफर किये. हमलावरों के पास एलेक्सी के खाते से XNUMX घंटे तक निजी जानकारी तक पहुंच थी।

VKontakte के विरुद्ध मुकदमा

एलेक्सी मिरोनोव ने सेंट पीटर्सबर्ग के स्मोलनिंस्की जिला न्यायालय में सोशल नेटवर्क VKontakte के खिलाफ मुकदमा दायर किया और अब मामले के असाइनमेंट का इंतजार कर रहे हैं। वह अदालत से सोशल नेटवर्क को उपयोगकर्ता समझौते के रूप में संपन्न अपने स्वयं के समझौते को पूरा करने के लिए बाध्य करने और उसे अपने पेज तक पहुंच वापस करने के लिए कहता है। आज तक, VKontakte प्रशासन एलेक्सी को उसके खाते तक पहुंच से अनुचित रूप से वंचित कर रहा है, जबकि उसने कर्तव्यनिष्ठा से उपयोगकर्ता समझौते की शर्तों का पालन किया और तुरंत हैक के बारे में सोशल नेटवर्क की तकनीकी सहायता सेवा को सूचित किया। VKontakte ने उपयोगकर्ता अनुबंध में एक खंड का हवाला देते हुए पृष्ठ तक अपनी पहुंच बहाल करने से इनकार कर दिया, जो उपयोगकर्ताओं को अपने पृष्ठ लॉगिन और पासवर्ड को तीसरे पक्ष को स्थानांतरित करने से रोकता है। जिस VKontakte सपोर्ट एजेंट के साथ एलेक्सी ने बात की थी, उसने कहा था कि आप केवल ऑपरेटर के कार्यालय में जाकर और अपना पासपोर्ट प्रस्तुत करके ही फ़ोन नंबर अग्रेषण सेट कर सकते हैं। वास्तव में, यह मामला नहीं है, और एलेक्सी की अपील के जवाब में रोसकोम्नाडज़ोर ने इसकी पुष्टि की थी।

सोशल नेटवर्क ने, उपयोगकर्ता अनुबंध का उल्लंघन करते हुए, एलेक्सी की उसके पेज के उपयोग तक पहुंच को अनुचित रूप से सीमित कर दिया। यह कला के पैराग्राफ 1 का उल्लंघन करते हुए दायित्वों को पूरा करने से एकतरफा इनकार है। रूसी संघ के 30 नागरिक संहिता। अपने खाते तक पहुंच से वंचित करके, वीके ने एलेक्सी को अपने सार्वजनिक पृष्ठ के प्रबंधन के अधिकारों से भी वंचित कर दिया, जो उनके लिए एक महत्वपूर्ण अमूर्त संपत्ति है। (हमने सार्वजनिक बाजार के बारे में डिजिटल संपत्ति के एक नए रूप और उनके साथ लेनदेन के समापन की विशिष्टताओं के बारे में लिखा है पूर्व)

एमटीएस पहचान प्रणाली में सुरक्षा छेद

उद्यमी की ओर से घोटालेबाजों द्वारा किए गए पत्राचार से पता चलता है कि उन्हें उसके व्यवसाय और व्यावसायिक यात्रा के बारे में पता था। उन्होंने एमटीएस संपर्क केंद्र को फोन किया, एलेक्सी की ओर से खुद को पहचानने और कॉल अग्रेषण स्थापित करने में सक्षम हुए। हमलावर सोशल इंजीनियरिंग के जरिए उसका पासपोर्ट डेटा हासिल कर सकते थे। एलेक्सी मिरोनोव फ्रैंचाइज़ी के संस्थापक हैं, इसलिए फ्रैंचाइज़ी प्रतिष्ठान खोलने में शामिल कई लोगों के पास उनकी पासपोर्ट जानकारी हो सकती है। एमटीएस ने एक आंतरिक जांच की, लेकिन यह निर्धारित करने में असमर्थ रहा कि वास्तव में अग्रेषण किसने स्थापित किया और हमलावर ने एसएमएस को कैसे इंटरसेप्ट किया। कंपनी ने अपराध स्वीकार नहीं किया, लेकिन साथ ही एलेक्सी को एक बहुत ही अजीब मुआवजा दिया - 750 रूबल।

हमने माना कि केवल सही व्यक्तिगत डेटा का उपयोग करके किसी ग्राहक की दूर से पहचान करना एक बहुत ही संदिग्ध अभ्यास है और व्यक्तिगत डेटा पर कानून की आवश्यकताओं के साथ इस तरह की कंपनी प्रक्रिया के अनुपालन को सत्यापित करने के लिए रोसकोम्नाडज़ोर को एक शिकायत लिखी। परिणामस्वरूप, रोसकोम्नाडज़ोर ने एमटीएस का पक्ष लिया, यह इंगित करते हुए कि सही व्यक्तिगत डेटा प्रदान करते हुए फोन द्वारा दूरस्थ पहचान के बाद संचार सेवाओं का प्रबंधन करना काफी सामान्य है, और इस तरह के अनधिकृत कार्यों के खिलाफ सुरक्षा के अतिरिक्त तरीके स्थापित करना ग्राहक के लिए सिरदर्द है, न कि कंपनी. (पूरा उत्तर पढ़ें - यहां)

एलेक्सी मिरोनोव के खाते की हैकिंग एमटीएस ग्राहक डेटा तक अनधिकृत पहुंच का पहला मामला नहीं है। 2018 में 500 हजार सब्सक्राइबर्स का डेटाबेस चोरी नोवोसिबिर्स्क में दो हमलावर, जिनमें से एक कंपनी का कर्मचारी था। उन्होंने एक ग्राहक के डेटा के लिए 1 रूबल की कीमत पर डेटाबेस बेचने की कोशिश की।

2016 में थे काट दिया विपक्षी कार्यकर्ताओं जॉर्जी अल्बुरोव और ओलेग कोज़लोवस्की के टेलीग्राम खाते। उनके खाते एमटीएस नंबरों से जुड़े हुए थे, और हैक से कुछ समय पहले, उनकी एसएमएस सेवा अक्षम कर दी गई थी और अग्रेषण सक्षम किया गया था। ब्रेक-इन की परिस्थितियाँ भी स्थापित नहीं की गईं। 2019 में, ओलेग कोज़लोव्स्की ने एमटीएस के खिलाफ मुकदमा दायर किया, लेकिन अदालत ने इसे खारिज कर दिया।

विभिन्न वेब सेवाओं और एप्लिकेशन के खातों को हैकिंग से बचाना उपयोगकर्ता की स्वयं की जिम्मेदारी है। यह स्थिति टेलीकॉम ऑपरेटरों और स्वयं नियामक दोनों द्वारा साझा की जाती है, जिसके अनुसार वे इन जोखिमों को अपने ग्राहकों के साथ साझा करने से इनकार करते हैं।

आरकेएन ने अपनी प्रतिक्रिया में इसका वर्णन इस प्रकार किया है:
"... एमटीएस शर्तों के खंड 2.11 के अनुसार, पहचान उद्देश्यों के लिए, दूरसंचार ऑपरेटर के ग्राहकों को एक कोड वर्ड का उपयोग करने का अवसर दिया जाता है - ग्राहक द्वारा स्थापित फॉर्म में निर्दिष्ट प्रतीकों (अक्षरों, संख्याओं) का एक क्रम ऑपरेटर, जो अनुबंध निष्पादित करते समय सब्सक्राइबर की पहचान करने का कार्य करता है। ग्राहक के पास अनुबंध समाप्त करते समय (इस मामले में इसे अनिवार्य विवरण के साथ समझौते के फॉर्म में दर्ज किया जाता है) और समझौते के निष्पादन के दौरान किसी भी समय एक कोड शब्द सेट करने का अवसर होता है। इसके बावजूद, ग्राहक मिरोनोव ए.के. सेवा के विवादित कनेक्शन से पहले कोड शब्द सेट नहीं किया गया था। ऐसी परिस्थितियों में, केवल ग्राहक, टेलीकॉम ऑपरेटर के साथ पहचान के दौरान एक कोड वर्ड स्थापित करके, ऐसी स्थितियों से प्रतिकूल परिणामों के जोखिम को बेअसर कर सकते थे, लेकिन उन्होंने इस अवसर का लाभ नहीं उठाया।

खाता पुनर्प्राप्ति। असंभव लक्ष्य

रोसकोम्नाडज़ोर की निष्क्रियता के बारे में अभियोजक के कार्यालय में पहले ही शिकायत दर्ज की जा चुकी है। उधर, पुलिस अपराध रिपोर्ट पर चुप्पी साधे हुए है। जांच के नतीजों के बारे में कंपनी के अंदर भी कोई कुछ नहीं बताता। एमटीएस कोई अपराध स्वीकार नहीं करता. किसी को परवाह नहीं। उसी समय, VKontakte खाते के मालिक को उस तक पहुंच बहाल करने से मना करना जारी रखता है जब तक कि वह पुलिस से निर्दिष्ट तथ्यों को स्थापित करने वाला एक आपराधिक मामला शुरू करने का संकल्प और एमटीएस से एक पत्र नहीं लाता है, जो पुष्टि करेगा कि पुनर्निर्देशन सेवा विवादास्पद है। काफी व्यापक स्पष्टीकरण के साथ पत्र में, यह भी आवश्यकता है कि मिरोनोव को एमटीएस से एक प्रमाण पत्र भी प्रदान करना होगा कि वह उस फ़ोन नंबर का एकमात्र (और क्या, कहीं ऑपरेटर फ़ोन नंबरों का संयुक्त स्वामित्व पंजीकृत करते हैं?) उपयोगकर्ता है जिससे लिंक किया गया था। पृष्ठ। प्रतिक्रिया पिछले सप्ताह के अंत में आई, और स्थिति में गतिरोध और अब छह महीने के लिए VKontakte के साथ किसी समझौते पर पहुंचने की असंभवता को देखते हुए, हम अदालत गए।

हैकिंग से खुद को कैसे बचाएं

हमलावर अन्य कमजोरियों - एसएस7 प्रोटोकॉल या बेईमान ऑपरेटर कर्मचारियों की मदद से डुप्लिकेट सिम कार्ड प्राप्त करने के माध्यम से भी फोन नंबर के प्रबंधन तक पहुंच प्राप्त कर सकते हैं।

SS7 टेलीकॉम ऑपरेटरों द्वारा उपयोग किया जाने वाला एक तकनीकी प्रोटोकॉल है। इसमें एक पुराना और जाहिरा तौर पर हटाने योग्य सामान शामिल है भेद्यता, जो आपको कॉल के दौरान या एसएमएस के माध्यम से ग्राहकों द्वारा प्रेषित डेटा को इंटरसेप्ट करने की अनुमति देता है। केवल ऑपरेटरों के पास SS7 तक पहुंच है, लेकिन हमलावर अविकसित देशों में ऑपरेटरों से या मोबाइल ऑपरेटरों के बेईमान कर्मचारियों के माध्यम से डार्कनेट पर पहुंच खरीदकर इसे प्राप्त कर सकते हैं। हमला तब होता है जब कोई हमलावर ग्राहक के बिलिंग सिस्टम पते को अपने पते में बदल देता है। अक्सर, हमलावर सिस्टम को सूचित करते हैं कि ग्राहक अंतरराष्ट्रीय रोमिंग में है, इसलिए यदि आप इसका उपयोग नहीं करते हैं तो खुद को बचाने का सबसे आसान तरीका अंतरराष्ट्रीय रोमिंग को अक्षम करना है।

एलेक्सी मिरोनोव के पास अभी तक Vkontakte के लिए दो-कारक प्रमाणीकरण प्रणाली कॉन्फ़िगर नहीं की गई थी। यह फ़ंक्शन दिखाई दिया जून 2014 में वीके में। शायद वह उनके अकाउंट को हैक होने से बचा सके. यह याद रखने योग्य है कि किसी खाते को केवल फ़ोन नंबर से लिंक करना दो-कारक प्रमाणीकरण नहीं है। द्वि-कारक प्रमाणीकरण — यह किसी खाते में लॉगिन की सुरक्षा है, जब पासवर्ड के अलावा, कोई अन्य क्रिया की जाती है। सबसे आम विकल्प एक एसएमएस कोड है। यह विधि सबसे विश्वसनीय नहीं है, क्योंकि हमलावर एसएमएस संदेश को रोक सकते हैं। अधिक सुरक्षित विकल्प एक कुंजी फ़ाइल, अस्थायी कोड, एक मोबाइल एप्लिकेशन और एक हार्डवेयर टोकन हैं।

दुर्भाग्य से, हम ऐसे युग में रहने को मजबूर हैं जहां डेटा सुरक्षा सुनिश्चित करना हमारी अपनी समस्या बन गई है। उन्हें उम्मीद है कि हैक की स्थिति में ऑपरेटर स्वतंत्र रूप से जिम्मेदारी उठाएंगे, लेकिन जाहिर तौर पर ऐसा नहीं है। साथ ही रोसकोम्नाडज़ोर पर भरोसा करना, जो लंबे समय से अपनी डेटा सुरक्षा प्रथाओं में वास्तविकता से अलग हो चुका है। स्थानीय पुलिस अधिकारी के "अस्वीकार सामग्री" के कवच को तोड़ना अविश्वसनीय रूप से कठिन है जो एक समान मामले में आपका आवेदन प्राप्त करेगा, खासकर एक सामान्य व्यक्ति के लिए जो नहीं जानता कि यह प्रणाली कैसे काम करती है। क्या बचा है? डिजिटल स्वच्छता के बारे में न भूलें, गणित पर भरोसा करें और अदालत में अपने अधिकारों की रक्षा करें।

स्रोत: www.habr.com