Uber ଡ୍ରାଇଭର ଡାଟା ବ୍ରିଚ୍: ଚୋରି ହୋଇଥିବା ଏକ AI ଯୋଗାଣକାରୀ ଲଗ୍ଇନ୍ କିପରି ପରିଚୟ ରେକର୍ଡଗୁଡ଼ିକୁ ଉନ୍ମୁକ୍ତ କଲା

Uber ନିଜ ନେଟୱାର୍କର କୌଣସି ତ୍ରୁଟି ମାଧ୍ୟମରେ ନିଜ ଡ୍ରାଇଭରମାନଙ୍କ ଡାଟା ହରାଇ ନାହିଁ। ଏହା ଅନ୍ୟ କାହା ପାଖରେ ଥିବା ଏକ ଚାବି ଯୋଗୁଁ ଏହାକୁ ହରାଇଲା। ଆକ୍ରମଣକାରୀମାନେ ଡ୍ରାଇଭିଂ ଲାଇସେନ୍ସ ବିବରଣୀ ସମେତ ବ୍ୟକ୍ତିଗତ ରେକର୍ଡଗୁଡ଼ିକ ପର୍ଯ୍ୟନ୍ତ ପହଞ୍ଚିବା ପାଇଁ ଏକ ପ୍ରଯୁକ୍ତିବିଦ୍ୟା ଯୋଗାଣକାରୀଙ୍କ ଚୋରି ହୋଇଥିବା ଲଗ୍ଇନ୍ କ୍ରେଡେନ୍ସିଆଲ୍ ବ୍ୟବହାର କରିଥିଲେ।

ଆଜି ନଭେମ୍ବର 15, 2026, ଏବଂ Uber ପ୍ରଭାବିତ ଡ୍ରାଇଭରମାନଙ୍କୁ ବ୍ରିଚ୍ ପତ୍ର ପଠାଉଛି। ଯୋଗାଣକାରୀ Fireworks AI ଏକ AI ସେବା ପ୍ରଦାନକାରୀ, ଯେଉଁଥିପାଇଁ ଏହି ଘଟଣାଟି Uber ବାହାରେ ମଧ୍ୟ ବେଶ୍ ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ। ଅନେକ କମ୍ପାନୀ ବର୍ତ୍ତମାନ ନିଜ ଡାଟାକୁ ବାହ୍ୟ AI ସେବା ସହିତ ସଂଯୋଗ କରୁଛନ୍ତି, ଏବଂ ସେହି ସେବାଗୁଡ଼ିକର ନିଜସ୍ୱ ଲଗ୍ଇନ୍ ଚୋରି ହେଲେ ସେଗୁଡ଼ିକ କେଉଁ ପର୍ଯ୍ୟନ୍ତ ପହଞ୍ଚିପାରିବ, ତାହା ଖୁବ୍ କମ୍ କମ୍ପାନୀ ଯାଞ୍ଚ କରିଛନ୍ତି।

କ’ଣ ଘଟିଥିଲା, ପର୍ଯ୍ୟାୟକ୍ରମେ

California ର ଆଟର୍ଣ୍ଣି ଜେନେରାଲଙ୍କ ନିକଟରେ ଦାଖଲ ହୋଇଥିବା Uber ର ବିଜ୍ଞପ୍ତି ଅନୁଯାୟୀ, ଟାଇମଲାଇନ୍ ଏହିପରି ରହିଛି:

1. ଅକ୍ଟୋବର 6: Fireworks ଏହାର ଆଭ୍ୟନ୍ତରୀଣ କ୍ରେଡେନ୍ସିଆଲ୍‌ର ଅନଧିକୃତ ବ୍ୟବହାର ଚିହ୍ନଟ କଲା।
2. ଅକ୍ଟୋବର 7: California ର ବ୍ରିଚ୍ ରେଜିଷ୍ଟରରେ ଲିପିବଦ୍ଧ ହୋଇଥିବା ବ୍ରିଚ୍ ତାରିଖ।
3. ଅକ୍ଟୋବର 9: Fireworks Uber କୁ ଜଣାଇଲା ଯେ ଜଣେ ଅନଧିକୃତ ପକ୍ଷ ସେହି ପ୍ରଦାନକାରୀଙ୍କ ପାଖରେ ଥିବା Uber ର ଆକାଉଣ୍ଟ ପ୍ରବେଶ କରିବା ପାଇଁ ସେହି କ୍ରେଡେନ୍ସିଆଲ୍ ବ୍ୟବହାର କରିଛନ୍ତି।
4. Uber କହିଛି ଯେ ଏହା ତୁରନ୍ତ ଯୋଗାଣକାରୀଙ୍କ ସହିତ ଏହାର ଡାଟା ସଂଯୋଗ ବିଚ୍ଛିନ୍ନ କରିଥିଲା ଏବଂ ତଦନ୍ତ ଆରମ୍ଭ କରିଥିଲା।
5. ଅକ୍ଟୋବର 13: ତଦନ୍ତକାରୀମାନେ ନିଶ୍ଚିତ କରିଥିଲେ ଯେ ବର୍ତ୍ତମାନ ସୂଚିତ କରାଯାଉଥିବା ଲୋକଙ୍କ ବ୍ୟକ୍ତିଗତ ରେକର୍ଡ ସମେତ Uber ସୂଚନା ପ୍ରବେଶ କରିବା ପାଇଁ ଏହି କ୍ରେଡେନ୍ସିଆଲ୍ ବ୍ୟବହୃତ ହୋଇଥିଲା।
6. ନଭେମ୍ବର 10: Uber ର ବିଜ୍ଞପ୍ତି ପତ୍ରରେ ଥିବା ତାରିଖ।

ମୁଖ୍ୟ ବିଷୟ ହେଉଛି ଆକ୍ରମଣକାରୀମାନେ କେଉଁଠାରୁ ପ୍ରବେଶ କରିଥିଲେ: ଯୋଗାଣକାରୀଙ୍କ ଆକ୍ସେସ୍ ମାଧ୍ୟମରେ, Uber ର ନିଜସ୍ୱ ମୁଖ୍ୟ ଦ୍ୱାର ଦେଇ ନୁହେଁ। ପ୍ରକାଶିତ ତଥ୍ୟରୁ ଏହା ଜଣାପଡ଼ିନାହିଁ ଯେ ଆକ୍ରମଣକାରୀମାନେ Uber ର ବ୍ୟାପକ କର୍ପୋରେଟ୍ ନେଟୱାର୍କରେ ପ୍ରବେଶ କରିଥିଲେ କିମ୍ବା ଏହାର ସେବାଗୁଡ଼ିକ ଉପରେ ଅନିୟନ୍ତ୍ରିତ ପ୍ରବେଶାଧିକାର ପାଇଥିଲେ।

କେତେ ଜଣ ଲୋକ ପ୍ରଭାବିତ ହୋଇଥିଲେ?

ସଂଖ୍ୟାଗୁଡ଼ିକ ଏବେ ବି ପରିବର୍ତ୍ତିତ ହେଉଛି, ତେଣୁ ସେଗୁଡ଼ିକୁ ସାବଧାନତାର ସହିତ ପଢ଼ନ୍ତୁ।

• ପ୍ରାରମ୍ଭିକ ରାଜ୍ୟ ଫାଇଲିଂରେ ତାଲିକାଭୁକ୍ତ ଥିଲା 2,567 Massachusetts ରେ ଥିବା ଲୋକ, 3,430 South Carolina ରେ ଏବଂ 1,873 Rhode Island ରେ। ତାହା ହେଉଛି 7,870 ତିନୋଟି ରାଜ୍ୟରେ ଥିବା ଲୋକ, କୌଣସି ଜାତୀୟ ମୋଟ ସଂଖ୍ୟା ନୁହେଁ।
• ନଭେମ୍ବର 13 ତାରିଖର Texas ଆଟର୍ଣ୍ଣି ଜେନେରାଲ୍ ଫାଇଲିଂକୁ ଦର୍ଶାଇ ବ୍ରିଚ୍ ଟ୍ରାକର୍ BreachTally ରେ ଥିବା ଏକ ନୂତନ ରେକର୍ଡ ତାଲିକାଭୁକ୍ତ କରିଛି 149,346 ସମୁଦାୟ ପ୍ରଭାବିତ ଲୋକ, ଯେଉଁଥିରେ ଅନ୍ତର୍ଭୁକ୍ତ ଅଛନ୍ତି 4,296 Texas ରେ। ଅନ୍ୟ ଏକ ଟ୍ରାକର୍, DisclosureLens, ସମାନ ସଂଖ୍ୟା ଦର୍ଶାଉଛି।

ଉଭୟ ଟ୍ରାକର୍ ଜଡ଼ିତ ଡାଟା ମଧ୍ୟରେ ନାମ, ଠିକଣା, ଜନ୍ମ ତାରିଖ, ଡ୍ରାଇଭିଂ ଲାଇସେନ୍ସ ନମ୍ବର ଏବଂ ସରକାରୀ ID ନମ୍ବର ତାଲିକାଭୁକ୍ତ କରିଛନ୍ତି। ତଥାପି, Texas ପୋର୍ଟାଲରୁ ମୂଳ Uber ଏଣ୍ଟ୍ରି ସ୍ୱତନ୍ତ୍ର ଭାବରେ ପୁନରୁଦ୍ଧାର କରାଯାଇ ପାରିଲା ନାହିଁ, ତେଣୁ ଏହି ବୃହତ ସଂଖ୍ୟାକୁ ଟ୍ରାକର୍‌ମାନଙ୍କ ଦ୍ୱାରା ରିପୋର୍ଟ କରାଯାଇଥିବା ତଥ୍ୟ ଭାବରେ ଗ୍ରହଣ କରନ୍ତୁ, Uber ରୁ ଏକ ନିଶ୍ଚିତ ବିବୃତି ଭାବରେ ନୁହେଁ। ଏହା ସହିତ, ଏକ ଫାଇଲିଂରେ ଥିବା ଡାଟା ପ୍ରକାରର ତାଲିକାର ଅର୍ଥ ଏହା ନୁହେଁ ଯେ ପ୍ରତ୍ୟେକ ବ୍ୟକ୍ତି ସମସ୍ତ ପ୍ରକାର ଡାଟା ହରାଇଛନ୍ତି।

ଚୋରି ହୋଇଥିବା secrets ବନାମ ଚୋରି ହୋଇଥିବା ଡାଟା

Fireworks ର ପ୍ରଥମ ସୁରକ୍ଷା ବୁଲେଟିନ୍‌ରେ କୁହାଯାଇଥିଲା ଯେ ଆକ୍ରମଣକାରୀମାନେ ଉନ୍ମୁକ୍ତ କରିଛନ୍ତି environment variables ସୀମିତ ସଂଖ୍ୟକ ଗ୍ରାହକ ଆକାଉଣ୍ଟ ପାଇଁ ଇଭାଲୁଏସନ୍ ଜବ୍‌ଗୁଡ଼ିକରେ। Environment variables ହେଉଛି ଏପରି ସେଟିଂସ ଯାହାକୁ ଏକ ପ୍ରୋଗ୍ରାମ ଆରମ୍ଭ ହେବା ସମୟରେ ପଢ଼ିଥାଏ, ଏବଂ ସେଗୁଡ଼ିକ ପ୍ରାୟତଃ ଧାରଣ କରିଥାନ୍ତି secrets ଯେପରିକି API keys ଏବଂ tokens, ଯାହା ଅନ୍ୟ ସିଷ୍ଟମଗୁଡ଼ିକ ପାଇଁ ପାସୱାର୍ଡ ପରି କାର୍ଯ୍ୟ କରେ।

ସେହି ପର୍ଯ୍ୟାୟରେ Fireworks କହିଥିଲା ଯେ ଏହା ନିଜ ସୁରକ୍ଷା ସୀମା ମଧ୍ୟରେ ଗ୍ରାହକଙ୍କ ବ୍ୟକ୍ତିଗତ ସୂଚନା, ମଡେଲ, ଡାଟାସେଟ୍ କିମ୍ବା ଇନ୍‌ଫରେନ୍ସ ଟ୍ରାଫିକ୍‌ରେ କୌଣସି ଅନଧିକୃତ ପ୍ରବେଶ ଦେଖିନାହିଁ। ଏହା ଆଶ୍ୱସ୍ତିକର ମନେହୁଏ, କିନ୍ତୁ ଏହା ଏକ ଗୁରୁତ୍ୱପୂର୍ଣ୍ଣ ବିନ୍ଦୁକୁ ଏଡ଼ାଇ ଯାଏ। ଏକ ଚୋରି ହୋଇଥିବା କି’ କେବଳ ଡାଟା ନୁହେଁ। ସେହି ଚାବି ଯାହାକୁ ଖୋଲିପାରେ, ତାହା ମଧ୍ୟକୁ ପ୍ରବେଶ କରିବାର ଏହା ଏକ ବାଟ। ତେଣୁ ଏକ ତଦନ୍ତରେ ଦୁଇଟି ପ୍ରଶ୍ନ ପଚାରିବା ଆବଶ୍ୟକ: ଆକ୍ରମଣକାରୀ କ’ଣ ନେଇଥିଲା, ଏବଂ ସେହି କି’ଗୁଡ଼ିକ ସେମାନଙ୍କୁ କେଉଁ ପର୍ଯ୍ୟନ୍ତ ପହଞ୍ଚିବାକୁ ସୁଯୋଗ ଦେଇଥିଲା?

Fireworks ପ୍ରଭାବିତ ଗ୍ରାହକମାନଙ୍କୁ ଉନ୍ମୁକ୍ତ ହୋଇଥିବା କ୍ରେଡେନ୍ସିଆଲ୍‌ଗୁଡ଼ିକୁ ଯିଏ ଜାରି କରିଥିଲେ ତାଙ୍କ ସହିତ rotate କରିବାକୁ ଏବଂ ସାମ୍ପ୍ରତିକ କାର୍ଯ୍ୟକଳାପ ଯାଞ୍ଚ କରିବାକୁ କହିଥିଲା। ଏହା ମଧ୍ୟ ଚେତାବନୀ ଦେଇଥିଲା ଯେ ସାଇତି ରଖାଯାଇଥିବା secret କୁ ଡିଲିଟ୍ କରିବା ଦ୍ୱାରା ତାହା ବାତିଲ୍ ହୁଏ ନାହିଁ. ପ୍ରଦାନକାରୀ ଏହାକୁ revoke ନ କରିବା ପର୍ଯ୍ୟନ୍ତ ଏହି କି’ କାର୍ଯ୍ୟ କରୁଥାଏ।

ଦ୍ୱିତୀୟ, ଏକ ଭିନ୍ନ ଅନୁପ୍ରବେଶ

Fireworks ର ନଭେମ୍ବର 9 ର ଅପଡେଟ୍ ଏହି ପରିସ୍ଥିତିକୁ ଆହୁରି ବ୍ୟାପକ କରିଦେଇଥିଲା। ଏହା ଏକ ସୀମିତ ସଂଖ୍ୟକ ଆକାଉଣ୍ଟ ପାଇଁ ଆକାଉଣ୍ଟ ଏବଂ ବିଲିଂ ସୂଚନା, secrets, ଡାଟାସେଟ୍ ଏବଂ ଅସମ୍ପୂର୍ଣ୍ଣ ମଡେଲ ଉପରେ ପ୍ରଭାବ ପଡ଼ିଥିବା ରିପୋର୍ଟ କରିଥିଲା।

ଏହା ଏକ ଭିନ୍ନ ଘଟଣାକୁ ମଧ୍ୟ ବର୍ଣ୍ଣନା କରିଥିଲା। ଅକ୍ଟୋବର 23 ରେ, Fireworks ର ରିସର୍ଚ୍ଚ ଏବଂ ଡେଭଲପମେଣ୍ଟ ମେସିନ୍‌ଗୁଡ଼ିକୁ ହୋଷ୍ଟ କରୁଥିବା ଏକ କ୍ଲାଉଡ୍ ପ୍ରଦାନକାରୀଙ୍କର ନିଜସ୍ୱ ସୁରକ୍ଷା ଘଟଣା ଘଟିଥିଲା। ପରଦିନ ଆକ୍ରମଣକାରୀମାନେ ସେହି ମେସିନ୍‌ଗୁଡ଼ିକରେ ପହଞ୍ଚି ଏକ ଅନଧିକୃତ ୱାର୍କଲୋଡ୍ ଚଳାଇଥିଲେ, ଯାହା ଗ୍ରାହକଙ୍କ ଡାଟା ଉପରେ ଅଧିକ ପ୍ରଭାବ ପକାଇଥିଲା।

Uber କୁ ପୂର୍ବରୁ ଜଣାଇ ଦିଆଯିବା ଏବଂ ଉନ୍ମୁକ୍ତ ହୋଇଥିବା ନିଶ୍ଚିତ ହେବା ପରେ ଏହା ଘଟିଥିଲା, ତେଣୁ ଏହା Uber ର ମୂଳ ଟାଇମଲାଇନ୍‌କୁ ବୁଝାଇ ପାରିବ ନାହିଁ। ସାର୍ବଜନୀନ ପ୍ରକାଶନଗୁଡ଼ିକ ମଧ୍ୟ ଏହା ଦର୍ଶାଉ ନାହିଁ ଯେ Fireworks ର ପ୍ରତ୍ୟେକ ଗ୍ରାହକ ସମାନ ଭାବରେ ପ୍ରଭାବିତ ହୋଇଥିଲେ। Fireworks କହିଛି ଯେ ଏହା Palo Alto Networks Unit 42 ସହିତ ମିଶି କାର୍ଯ୍ୟ କରୁଛି, କ୍ରେଡେନ୍ସିଆଲ୍ ନିୟନ୍ତ୍ରଣକୁ କଡ଼ାକଡ଼ି କରିଛି, ନେଟୱାର୍କ ପ୍ରବେଶକୁ ସୀମିତ କରିଛି, ମନିଟରିଂରେ ଉନ୍ନତି ଆଣିଛି ଏବଂ କିଛି ସେଲ୍ଫ-ସର୍ଭିସ୍ ଡାଟାସେଟ୍ ଅପଲୋଡ୍ ତଥା ଡାଉନଲୋଡ୍‌କୁ ଅସ୍ଥାୟୀ ଭାବରେ ବନ୍ଦ କରିଦେଇଛି।

ଏହା ପଛରେ ଥିବା ଅର୍ଥ: LLMjacking

Fireworks ଏହି କାର୍ଯ୍ୟକଳାପକୁ large language models ର ଚୋରି ହୋଇଥିବା ଆକ୍ସେସରୁ ଲାଭ ଉଠାଇବାକୁ ଚେଷ୍ଟା କରୁଥିବା ଅପରାଧୀଙ୍କ ସହିତ ଯୋଡ଼ିଛି, ଏହି ପ୍ରଥାକୁ କୁହାଯାଏ LLMjacking. ଏହାକୁ କାହାର ବିଦ୍ୟୁତ୍ ଚୋରି କରିବା ପରି ଭାବନ୍ତୁ, କେବଳ ଏଠାରେ ବିଦ୍ୟୁତ୍ ହେଉଛି ମୂଲ୍ୟବାନ AI କମ୍ପ୍ୟୁଟିଂ।

Google Threat Intelligence Group ଏବଂ Mandiant ର ନଭେମ୍ବର 2 ର ଏକ ରିପୋର୍ଟ ଏହି ବଜାରକୁ ବର୍ଣ୍ଣନା କରିଛି। ଅପରାଧୀମାନେ ବୈଧ କ୍ରେଡେନ୍ସିଆଲ୍ ସଂଗ୍ରହ କରନ୍ତି କିମ୍ବା ଉନ୍ମୁକ୍ତ ଥିବା ମଡେଲ ସେବାଗୁଡ଼ିକୁ ଖୋଜି ବାହାର କରନ୍ତି, ତା’ପରେ ବେଆଇନ ଗେଟୱେ ମାଧ୍ୟମରେ ସେହି କମ୍ପ୍ୟୁଟିଂ ପାୱାରକୁ ପୁନର୍ବାର ବିକ୍ରୟ କରନ୍ତି ଯାହା ଅନେକ ଚୋରି ହୋଇଥିବା ଆକାଉଣ୍ଟଗୁଡ଼ିକରେ ଅନୁରୋଧଗୁଡ଼ିକୁ ବିସ୍ତାର କରେ। ପ୍ରକୃତ ଆକାଉଣ୍ଟ ମାଲିକଙ୍କୁ ବିଲ୍ ମିଳିଥାଏ। Mandiant ଗୋଟିଏ ଦିନରେ $100,000 ରୁ ଅଧିକ ଜାଲିଆତି ଚାର୍ଜ ଏବଂ ଆକ୍ସେସ୍ ବିଚ୍ଛିନ୍ନ ହେବା ପୂର୍ବରୁ କିଛି ସଂସ୍ଥାରେ ସମୁଦାୟ $1 million ପର୍ଯ୍ୟନ୍ତ ଚାର୍ଜ ହୋଇଥିବା ମାମଲା ରିପୋର୍ଟ କରିଛି। ସେହି ପରିସଂଖ୍ୟାନ ଅନ୍ୟ ତଦନ୍ତରୁ ଆସିଛି, Uber ରୁ ନୁହେଁ।

ସେହି ଅନୁସନ୍ଧାନରୁ ଜଣାପଡ଼ିଛି ଯେ ଆକ୍ରମଣକାରୀମାନେ ଥରେ ଭିତରକୁ ପ୍ରବେଶ କଲେ, ଅଧିକ କ୍ରେଡେନ୍ସିଆଲ୍ ପାଇଁ କୋଡ୍ ରିପୋଜିଟୋରୀ, କ୍ଲାଉଡ୍ ଏନଭାଇରନମେଣ୍ଟ ଏବଂ ଡାଟା ଷ୍ଟୋର୍‌ଗୁଡ଼ିକ ଖୋଜାଖୋଜି କରନ୍ତି। ସେଥିପାଇଁ ମାଗଣା AI କମ୍ପ୍ୟୁଟିଂ ଲକ୍ଷ୍ୟରେ ହୋଇଥିବା ଆକ୍ରମଣ ମଧ୍ୟ ବ୍ୟକ୍ତିଗତ ଡାଟା ଉନ୍ମୁକ୍ତ ହେବାରେ ଶେଷ ହୋଇପାରେ। ଏହା ପ୍ରମାଣ କରେ ନାହିଁ ଯେ Uber ବିରୁଦ୍ଧରେ କେଉଁ ପଦ୍ଧତି ବ୍ୟବହୃତ ହୋଇଥିଲା; ବିଜ୍ଞପ୍ତିରେ କେବଳ ସାଲିସ୍ ହୋଇଥିବା ଯୋଗାଣକାରୀ କ୍ରେଡେନ୍ସିଆଲ୍‌ର ନାମ ଉଲ୍ଲେଖ କରାଯାଇଛି।

ଡ୍ରାଇଭରମାନେ ବର୍ତ୍ତମାନ କ’ଣ କରିବା ଉଚିତ

Rohit ଏକ ରାଇଡ୍-ହେଲିଂ ସେବା ପାଇଁ ଗାଡ଼ି ଚଳାନ୍ତି ଏବଂ ଏକ ବ୍ରିଚ୍ ପତ୍ର ଗ୍ରହଣ କରନ୍ତି। ଏକ ବିଜ୍ଞପ୍ତି ପରିଚୟ ଚୋରିର ପ୍ରମାଣ ନୁହେଁ, କିନ୍ତୁ ପଦକ୍ଷେପ ନେବା ପାଇଁ ଏହା ଏକ ଯଥାର୍ଥ କାରଣ। ଏଠାରେ ଏକ ବ୍ୟବହାରିକ ଯୋଜନା ଦିଆଗଲା।

ପଦକ୍ଷେପ 1: ନିଜ ପତ୍ରକୁ ଧ୍ୟାନର ସହିତ ପଢ଼ନ୍ତୁ

ପତ୍ରରେ ଆପଣଙ୍କ ପାଇଁ କେଉଁ ପ୍ରକାରର ଡାଟା ଜଡ଼ିତ ଥିଲା ତାହା ଯାଞ୍ଚ କରନ୍ତୁ। ଆପଣଙ୍କର ପଦକ୍ଷେପ ତାହା ଉପରେ ନିର୍ଭର କରେ।

ପଦକ୍ଷେପ 2: ମାଗଣା ମନିଟରିଂରେ ନାମ ପଞ୍ଜୀକରଣ କରନ୍ତୁ

Uber ଏକ TransUnion କମ୍ପାନୀ Cyberscout ମାଧ୍ୟମରେ ମାଗଣା କ୍ରେଡିଟ୍ ମନିଟରିଂ ଏବଂ ପ୍ରତାରଣା ସହାୟତା ପ୍ରଦାନ କରେ। ପତ୍ର ପାଇବାର 90 ଦିନ ମଧ୍ୟରେ ଆପଣଙ୍କୁ ନାମ ପଞ୍ଜୀକରଣ କରିବାକୁ ପଡ଼ିବ। ପ୍ରକାଶିତ ଟେମ୍ପଲେଟ୍‌ରେ ମନିଟରିଂ କେତେ ଦିନ ଚାଲିବ ତାହା ଉଲ୍ଲେଖ ନାହିଁ, ତେଣୁ ଆପଣଙ୍କ ନିଜ ନୋଟିସ୍ ଯାଞ୍ଚ କରନ୍ତୁ।

ପଦକ୍ଷେପ 3: ମନିଟରିଂ କ’ଣ କରିପାରିବ ନାହିଁ ତାହା ଜାଣନ୍ତୁ

California ର ମାର୍ଗଦର୍ଶିକାରେ ଦର୍ଶାଯାଇଛି ଯେ କ୍ରେଡିଟ୍ ମନିଟରିଂ ଆପଣଙ୍କ କ୍ରେଡିଟ୍ ଫାଇଲ୍‌ରେ କିଛି ପରିବର୍ତ୍ତନ ଚିହ୍ନଟ କରେ। ଏହା ପ୍ରତ୍ୟେକ ପ୍ରକାରର ଜାଲିଆତିକୁ ଧରିପାରେ ନାହିଁ, ଯେପରିକି ଏକ ବିଦ୍ୟମାନ ପେମେଣ୍ଟ ଆକାଉଣ୍ଟର ଅପବ୍ୟବହାର। ନିଜ ବ୍ୟାଙ୍କ ଏବଂ କାର୍ଡ ଷ୍ଟେଟମେଣ୍ଟଗୁଡ଼ିକୁ ନିଜେ ଯାଞ୍ଚ କରୁଥାନ୍ତୁ।

ପଦକ୍ଷେପ 4: ଆପଣଙ୍କ ଲାଇସେନ୍ସ ଏବଂ ID ବିବରଣୀ ସୁରକ୍ଷିତ ରଖନ୍ତୁ

California ର ଯେଉଁ ବାସିନ୍ଦାମାନେ ସେମାନଙ୍କ ଲାଇସେନ୍ସ ବିବରଣୀର ଅପବ୍ୟବହାର ସନ୍ଦେହ କରନ୍ତି, ସେମାନଙ୍କୁ ରାଜ୍ୟର ଡ୍ରାଇଭିଂ ଲାଇସେନ୍ସ ପ୍ରତାରଣା ୟୁନିଟ୍ ସହିତ ଯୋଗାଯୋଗ କରିବାକୁ ନିର୍ଦ୍ଦେଶ ଦିଆଯାଇଛି। ଅନ୍ୟ ସ୍ଥାନରେ ଥିଲେ, ଆପଣଙ୍କ ଲାଇସେନ୍ସ ପ୍ରଦାନକାରୀ କର୍ତ୍ତୃପକ୍ଷଙ୍କ ସହିତ ଯୋଗାଯୋଗ କରନ୍ତୁ।

ପଦକ୍ଷେପ 5: ଯଦି କିଛି ଭୁଲ୍ ହୁଏ ତେବେ ସରକାରୀ ସହାୟତା ନିଅନ୍ତୁ

Federal Trade Commission ଉନ୍ମୁକ୍ତ ହୋଇଥିବା ଡାଟା ସହିତ ମେଳ ଖାଉଥିବା ପଦକ୍ଷେପଗୁଡ଼ିକ ପାଇଁ ଏବଂ ଯଦି ଅପବ୍ୟବହାର ମିଳେ ତେବେ ରିପୋର୍ଟ କରିବା ତଥା ସମାଧାନ ପାଇଁ ଲୋକଙ୍କୁ IdentityTheft.gov କୁ ନିର୍ଦ୍ଦେଶିତ କରେ।

ପଦକ୍ଷେପ 6: ସ୍କାମ୍ ବାର୍ତ୍ତାଗୁଡ଼ିକ ପ୍ରତି ସତର୍କ ରୁହନ୍ତୁ

ଅପରାଧୀମାନେ ପ୍ରାୟତଃ ଏକ ବ୍ରିଚ୍ ପରେ ନକଲି "verify your account" ବାର୍ତ୍ତା ପଠାଇଥାନ୍ତି। କମ୍ପାନୀ ସହିତ କେବଳ ଏହାର ଅଫିସିଆଲ୍ ଆପ୍ କିମ୍ବା ୱେବସାଇଟ୍ ମାଧ୍ୟମରେ ଯୋଗାଯୋଗ କରନ୍ତୁ।

କମ୍ପାନୀଗୁଡ଼ିକ କ’ଣ ଶିକ୍ଷା ନେବା ଉଚିତ

ଏହା ଲେଖିବା ସମୟରେ Uber କହିଥିଲା ଯେ ଏହା ପ୍ରାପ୍ତକର୍ତ୍ତାଙ୍କ ସୂଚନାର କୌଣସି ଅପବ୍ୟବହାର ପାଇନାହିଁ। ତଥାପି, ଅନେକ ପ୍ରଶ୍ନ ବାକି ରହିଛି: ଯୋଗାଣକାରୀଙ୍କ ମାଧ୍ୟମରେ ପରିଚୟ ସୂଚନା କାହିଁକି ପହଞ୍ଚିପାରୁଥିଲା, କେଉଁ permissions ଏହାକୁ ଅନୁମତି ଦେଇଥିଲା ଏବଂ ସେଗୁଡ଼ିକ କେତେ ଦିନ ଧରି ବିଦ୍ୟମାନ ଥିଲା। ଜଣେ AI ଯୋଗାଣକାରୀଙ୍କ ସମ୍ପୃକ୍ତିର ଅର୍ଥ ଏହା ମଧ୍ୟ ନୁହେଁ ଯେ ଦସ୍ତାବିଜଗୁଡ଼ିକୁ ମଡେଲ ତାଲିମ ଦେବା ପାଇଁ ବ୍ୟବହାର କରାଯାଇଥିଲା, କିମ୍ବା କୌଣସି ମଡେଲ ଯୋଗୁଁ ବ୍ରିଚ୍ ଘଟିଥିଲା।

AI ସେବା ବ୍ୟବହାର କରୁଥିବା ଯେକୌଣସି କମ୍ପାନୀ ପାଇଁ ବ୍ୟବହାରିକ ଶିକ୍ଷା ହେଉଛି ଯେ ଯୋଗାଣକାରୀଙ୍କ ସମୀକ୍ଷାରେ କେବଳ ମଡେଲ ନୁହେଁ, ବରଂ credentials, ସଂରକ୍ଷିତ datasets, development machines ଏବଂ ସଂଯୁକ୍ତ ସିଷ୍ଟମଗୁଡ଼ିକ ମଧ୍ୟ ଅନ୍ତର୍ଭୁକ୍ତ ହେବା ଉଚିତ। ଆପଣଙ୍କ prompts କୁ ନ ରଖିବାର ପ୍ରତିଶ୍ରୁତି ବିପଦର କେବଳ ଏକ ଛୋଟ ଅଂଶକୁ ସମାଧାନ କରେ।

ଉପସଂହାର

Uber ଡ୍ରାଇଭର ବ୍ରିଚ୍ ମୁଖ୍ୟତଃ ଏକ supplier-access କାହାଣୀ ଏବଂ ଦ୍ୱିତୀୟରେ ଏକ AI କାହାଣୀ। ଏକ ତୃତୀୟ ପକ୍ଷ ନିକଟରେ ଚୋରି ହୋଇଥିବା ଏକ କି’ ସମ୍ବେଦନଶୀଳ ପରିଚୟ ଡାଟା ପର୍ଯ୍ୟନ୍ତ ପହଞ୍ଚିଥିଲା, ଉନ୍ମୁକ୍ତ ହୋଇଥିବା ଡାଟାର ପ୍ରକୃତ ପରିମାଣ ଏବେ ବି ଅସ୍ପଷ୍ଟ, ଏବଂ ଆକ୍ରମଣକାରୀଙ୍କ ଉଦ୍ଦେଶ୍ୟ AI କମ୍ପ୍ୟୁଟିଂ ଚୋରି କରିବା ପରି ମନେହୁଏ। ଡ୍ରାଇଭରମାନେ ସେମାନଙ୍କର ପତ୍ରଗୁଡ଼ିକୁ ପଢ଼ିବା ଉଚିତ ଏବଂ ପ୍ରଦାନ କରାଯାଇଥିବା ସହାୟତା ଗ୍ରହଣ କରିବା ଉଚିତ। କମ୍ପାନୀଗୁଡ଼ିକ ପ୍ରତ୍ୟେକ ଯୋଗାଣକାରୀଙ୍କ କ୍ରେଡେନ୍ସିଆଲ୍ କେଉଁ ପର୍ଯ୍ୟନ୍ତ ପହଞ୍ଚିପାରିବ ତାହା ସଠିକ୍ ଭାବରେ ମ୍ୟାପ୍ କରିବା ଉଚିତ, ଏବଂ ଯାହା ଆବଶ୍ୟକ ନାହିଁ ତାହାକୁ ବିଚ୍ଛିନ୍ନ କରିବା ଉଚିତ।

ସକାରାତ୍ମକ ଦିଗ

• ସୂଚନା ପାଇବା କ୍ଷଣି Uber ଶୀଘ୍ର ଏହାର ଯୋଗାଣକାରୀ ସଂଯୋଗ ବିଚ୍ଛିନ୍ନ କରିଥିଲା।
• ପ୍ରାପ୍ତକର୍ତ୍ତାମାନଙ୍କୁ ମାଗଣା କ୍ରେଡିଟ୍ ମନିଟରିଂ ଏବଂ ପ୍ରତାରଣା ସହାୟତା ପ୍ରଦାନ କରାଯାଇଛି।
• Fireworks ବୁଲେଟିନ୍ ଏବଂ ଉନ୍ମୁକ୍ତ keys କୁ rotate କରିବା ପାଇଁ ସ୍ପଷ୍ଟ ପରାମର୍ଶ ପ୍ରକାଶ କରିଥିଲା।
• ଏହି ଘଟଣା ସୁରକ୍ଷା ଟିମ୍‌ଗୁଡ଼ିକୁ supplier access ସମୀକ୍ଷା କରିବା ପାଇଁ ଏକ ଦୃଢ଼ କାରଣ ପ୍ରଦାନ କରେ।
• LLMjacking ଉପରେ ସାର୍ବଜନୀନ ରିପୋର୍ଟ କମ୍ପାନୀଗୁଡ଼ିକୁ ଅସ୍ୱାଭାବିକ AI ବ୍ୟବହାର ବିଲ୍ ଶୀଘ୍ର ଚିହ୍ନଟ କରିବାରେ ସାହାଯ୍ୟ କରେ।

ନକାରାତ୍ମକ ଦିଗ

• ଏକ ତୃତୀୟ-ପକ୍ଷ ସଂଯୋଗ ମାଧ୍ୟମରେ ସମ୍ବେଦନଶୀଳ ପରିଚୟ ଡାଟା ପର୍ଯ୍ୟନ୍ତ ପହଞ୍ଚିବା ସମ୍ଭବ ହୋଇଥିଲା।
• ପ୍ରଭାବିତ ଲୋକଙ୍କ ସଂଖ୍ୟା ବିଭିନ୍ନ ଉତ୍ସ ମଧ୍ୟରେ ବହୁତ ଭିନ୍ନ ରହିଛି ଏବଂ ସମ୍ପୂର୍ଣ୍ଣ ଭାବରେ ଯାଞ୍ଚ ହୋଇନାହିଁ।
• କ୍ରେଡିଟ୍ ମନିଟରିଂ ପ୍ରତ୍ୟେକ ପ୍ରକାରର ଜାଲିଆତିକୁ ଧରିପାରେ ନାହିଁ।
• ଦୁଇଟି ପୃଥକ Fireworks ଘଟଣା ଯୋଗୁଁ ଟାଇମଲାଇନ୍ ଭୁଲ୍ ବୁଝିବାର ସମ୍ଭାବନା ରହିଛି।
• Uber ର ଡାଟା ପର୍ଯ୍ୟନ୍ତ କିପରି ପହଞ୍ଚାଗଲା ତାର ପ୍ରମୁଖ ବୈଷୟିକ ବିବରଣୀ ସାର୍ବଜନୀନ ହୋଇନାହିଁ।

ସତର୍କତା

ଏହି ପ୍ରବନ୍ଧଟି ଶିକ୍ଷଣୀୟ ଉଦ୍ଦେଶ୍ୟରେ ଉଦ୍ଦିଷ୍ଟ। ଉଦାହରଣ ସ୍ୱରୂପ ବ୍ୟକ୍ତି Rohit ଯେକୌଣସି ପ୍ରଭାବିତ ଡ୍ରାଇଭରଙ୍କ ପାଇଁ ଏକ placeholder, ଏବଂ ପଦକ୍ଷେପଗୁଡ଼ିକ ଆପଣଙ୍କ ନିଜ ନୋଟିସ୍ ତଥା ସ୍ଥାନ ସହିତ ମେଳ ଖାଇବା ଉଚିତ। ଏଠାରେ ଥିବା ତଥ୍ୟଗୁଡ଼ିକ ଲେଖିବା ସମୟରେ ରିପୋର୍ଟ ହୋଇଥିବା ସାର୍ବଜନୀନ ବିଜ୍ଞପ୍ତି, କମ୍ପାନୀ ବୁଲେଟିନ୍ ଏବଂ ତୃତୀୟ-ପକ୍ଷ ଟ୍ରାକର୍‌ଗୁଡ଼ିକୁ ସଂକ୍ଷିପ୍ତ କରେ, ଏବଂ ବୃହତ ପ୍ରଭାବିତ ଲୋକଙ୍କ ସମୁଦାୟ ସଂଖ୍ୟା ସମେତ କିଛି ପରିସଂଖ୍ୟାନ ସ୍ୱତନ୍ତ୍ର ଭାବରେ ନିଶ୍ଚିତ ହୋଇନାହିଁ। ସେଗୁଡ଼ିକ ଉପରେ ନିର୍ଭର କରିବା ପୂର୍ବରୁ ସରକାରୀ ବିଜ୍ଞପ୍ତି ଏବଂ କର୍ତ୍ତୃପକ୍ଷଙ୍କ ସହିତ ବିବରଣୀ ଯାଞ୍ଚ କରନ୍ତୁ।

ବାରମ୍ବାର ପଚରାଯାଉଥିବା ପ୍ରଶ୍ନଗୁଡ଼ିକ

• Uber ଡ୍ରାଇଭର ଡାଟା ବ୍ରିଚ୍‌ରେ କ’ଣ ଘଟିଥିଲା? — ଆକ୍ରମଣକାରୀମାନେ ଡ୍ରାଇଭରମାନଙ୍କ ବ୍ୟକ୍ତିଗତ ରେକର୍ଡ ସମେତ Uber ଡାଟା ପ୍ରବେଶ କରିବା ପାଇଁ Uber ର AI ଯୋଗାଣକାରୀ Fireworks AI ର ସାଲିସ୍ ହୋଇଥିବା credentials ବ୍ୟବହାର କରିଥିଲେ।
• କେତେ ଜଣ Uber ଡ୍ରାଇଭର ପ୍ରଭାବିତ ହୋଇଥିଲେ? — ପ୍ରାରମ୍ଭିକ ରାଜ୍ୟ ଫାଇଲିଂରେ ତିନୋଟି ରାଜ୍ୟର 7,870 ଲୋକ ସାମିଲ ଥିଲେ, ଅନ୍ୟପକ୍ଷରେ Texas ଫାଇଲିଂକୁ ଦର୍ଶାଇ ଟ୍ରାକର୍‌ମାନେ 149,346 ତାଲିକାଭୁକ୍ତ କରିଛନ୍ତି, ଯେଉଁ ସଂଖ୍ୟା ଏପର୍ଯ୍ୟନ୍ତ ସ୍ୱତନ୍ତ୍ର ଭାବରେ ନିଶ୍ଚିତ ହୋଇନାହିଁ।
• Uber ବ୍ରିଚ୍‌ରେ କେଉଁ ଡାଟା ଉନ୍ମୁକ୍ତ ହୋଇଥିଲା? — ଫାଇଲିଂ ଏବଂ ଟ୍ରାକର୍‌ଗୁଡ଼ିକ ନାମ, ଠିକଣା, ଜନ୍ମ ତାରିଖ, ଡ୍ରାଇଭିଂ ଲାଇସେନ୍ସ ନମ୍ବର ଏବଂ ସରକାରୀ ID ନମ୍ବର ତାଲିକାଭୁକ୍ତ କରିଛନ୍ତି, ଯଦିଓ ପ୍ରତ୍ୟେକ ବ୍ୟକ୍ତିଙ୍କର ସମସ୍ତ ଫିଲ୍ଡ ଉନ୍ମୁକ୍ତ ହୋଇ ନ ଥିଲା।
• Uber ର ନିଜସ୍ୱ ନେଟୱାର୍କ ହ୍ୟାକ୍ ହୋଇଥିଲା କି? — ପ୍ରକାଶିତ ତଥ୍ୟରେ ଯୋଗାଣକାରୀଙ୍କ ଆକାଉଣ୍ଟ ମାଧ୍ୟମରେ ପ୍ରବେଶ କରାଯାଇଥିବା ବର୍ଣ୍ଣନା କରାଯାଇଛି, Uber ର ବ୍ୟାପକ କର୍ପୋରେଟ୍ ନେଟୱାର୍କର କୌଣସି compromise ନୁହେଁ।
• LLMjacking କ’ଣ? — ଏହା large language model ସେବାଗୁଡ଼ିକର ପ୍ରବେଶାଧିକାର ଚୋରି ଏବଂ ପୁନର୍ବାର ବିକ୍ରୟ ଅଟେ, ଯେଉଁଥିରେ ପ୍ରକୃତ ଆକାଉଣ୍ଟ ମାଲିକଙ୍କୁ କମ୍ପ୍ୟୁଟିଂ ବିଲ୍ ପୈଠ କରିବାକୁ ପଡ଼ିଥାଏ।
• ପ୍ରଭାବିତ ଡ୍ରାଇଭରମାନେ କ’ଣ କରିବା ଉଚିତ? — ନୋଟିସ୍ ପଢ଼ନ୍ତୁ, 90 ଦିନ ମଧ୍ୟରେ ମାଗଣା Cyberscout ମନିଟରିଂରେ ନାମ ପଞ୍ଜୀକରଣ କରନ୍ତୁ, ବ୍ୟାଙ୍କ ଷ୍ଟେଟମେଣ୍ଟ ଉପରେ ନଜର ରଖନ୍ତୁ ଏବଂ ଯଦି ଅପବ୍ୟବହାର ଦେଖାଯାଏ ତେବେ IdentityTheft.gov ବ୍ୟବହାର କରନ୍ତୁ।
• ଏକ ଉନ୍ମୁକ୍ତ API key କୁ ଡିଲିଟ୍ କରିଦେଲେ ତାହା ସୁରକ୍ଷିତ ହୋଇଯାଏ କି? — ନା, ଏକ ସାଇତି ରଖାଯାଇଥିବା secret କୁ ଡିଲିଟ୍ କରିବା ଦ୍ୱାରା ତାହା ବାତିଲ୍ ହୁଏ ନାହିଁ; ପ୍ରଦାନକାରୀଙ୍କୁ ନିଶ୍ଚିତ ଭାବରେ ସେହି key କୁ revoke କିମ୍ବା rotate କରିବାକୁ ପଡ଼ିବ।
• ଡ୍ରାଇଭରମାନଙ୍କ ଦସ୍ତାବିଜଗୁଡ଼ିକୁ AI ମଡେଲଗୁଡ଼ିକୁ ତାଲିମ (train) ଦେବା ପାଇଁ ବ୍ୟବହାର କରାଯାଇଥିଲା କି? — ସାର୍ବଜନୀନ ପ୍ରକାଶନଗୁଡ଼ିକରେ ଏପରି କିଛି ଦର୍ଶାଯାଇ ନାହିଁ; କେବଳ ଯୋଗାଣକାରୀଙ୍କ ସମ୍ପୃକ୍ତି ଏହାକୁ ପ୍ରମାଣିତ କରେ ନାହିଁ।

Tags

#databreach #uber #cybersecurity #thirdpartyrisk #supplychainsecurity #llmjacking #identitytheft #aisecurity #credentialsecurity #privacy