साइबर हमलों की वास्तविकता: H&M जैसे उल्लंघनों के पीछे के तरीके

12 अक्टूबर 2026 को, H&M Group ने कहा कि वह एक साइबर सुरक्षा घटना के ऑनलाइन दावों की जांच कर रहे हैं जिसमें "H&M Group डेटा का सीमित दायरा" शामिल है, जैसा कि Retail Gazette द्वारा रिपोर्ट किए गए कंपनी विवरण के अनुसार। खुदरा विक्रेता ने कहा कि उसे इस बात का कोई संकेत नहीं मिला कि उसके डेटा पर्यावरण से समझौता किया गया था और उसने UK Information Commissioner's Office को सूचित नहीं किया था, Beinsure के अनुसार।

ये दावे कुछ दिन बाद सामने आए जब फैशन खुदरा विक्रेता ASOS ने 6 अक्टूबर को एक उल्लंघन की पुष्टि की, जिसमें हमलावरों ने एक विश्वसनीय संपर्क का प्रतिरूपण करके एक कर्मचारी की लॉगिन साख प्राप्त की, फिर उन साख का उपयोग करके तीसरे पक्ष के प्लेटफॉर्म पर संग्रहीत ग्राहक के नाम और संपर्क विवरण तक पहुंचे, Beinsure की रिपोर्टिंग के अनुसार। Retail Gazette ने नोट किया कि रिपोर्टों ने H&M के आरोपों को उसी साइबर अपराध समूह ShinyHunters से जोड़ा है, हालांकि कोई स्वतंत्र पुष्टि दोनों घटनाओं को एक साथ नहीं जोड़ता है।

ShinyHunters कौन है?

ShinyHunters एक आर्थिक रूप से प्रेरित हैकिंग समूह है जो 2020 से सक्रिय है और 400 से अधिक संगठनों में उल्लंघनों से जुड़ा है, साइबर सुरक्षा विक्रेता DoControl के अनुसार। समूह एक "भुगतान या लीक करें" बहिष्कार मॉडल का पालन करता है: यह फिरौती की मांग करता है और धमकाता है कि यदि लक्ष्य भुगतान नहीं करता है तो चोरी किए गए डेटा को गहरे वेब फोरम पर प्रकाशित करेगा, DoControl ने रिपोर्ट किया। DoControl द्वारा नाम दिए गए पिछले लक्ष्यों में Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways, और Jaguar Land Rover शामिल हैं।

अधिकांश उल्लंघनों के पीछे की विधियां

DoControl का विश्लेषण पांच तकनीकों का वर्णन करता है जो समूह ने उपयोग की हैं: चोरी की गई OAuth टोकन का दुरुपयोग करके उपयोगकर्ताओं को प्रतिरूपित करें और बहु-कारक प्रमाणीकरण को दरकिनार करें; Salesforce Experience Cloud या Google Workspace जैसे क्लाउड प्लेटफॉर्म में गलत तरीके से कॉन्फ़िगर की गई सेटिंग्स का दोहन करें; विश्वसनीय सॉफ़्टवेयर विक्रेताओं को समझौता करके एक साथ उनके डाउनस्ट्रीम ग्राहकों तक पहुंचें; Telegram चैनलों पर कर्मचारियों को भर्ती करें आंतरिक सिस्टम तक पहुंच के लिए भुगतान के बदले में; और AI-निर्मित वॉयस कॉल का उपयोग करें जो IT कर्मचारियों का प्रतिरूपण करते हैं कर्मचारियों को हमलावर-नियंत्रित अनुप्रयोगों को मंजूरी देने के लिए धोखा देने के लिए।

ये तकनीकें व्यापक उद्योग डेटा को प्रतिबिंबित करती हैं। Verizon की 2026 Data Breach Investigations Report, जिसका हवाला Help Net Security ने दिया, पाई गई कि सॉफ़्टवेयर कमजोरियों का दोहन हमलावरों को नेटवर्क में पहली बार प्रवेश करने का सबसे आम तरीका बन गया - रिपोर्ट के 19-वर्षीय इतिहास में पहली बार। उसी रिपोर्ट ने पाया कि US Cybersecurity and Infrastructure Security Agency की "ज्ञात शोषित" सूची पर केवल 26% कमजोरियां सर्वेक्षण किए गए संगठनों द्वारा पूरी तरह से पैच की गई थीं, जो एक साल पहले 38% से कम है, और एक दोष को पैच करने के लिए माध्यिका समय 43 दिन तक बढ़ गया है।

मानव कारक कहाँ आता है

हर उल्लंघन सॉफ़्टवेयर दोष पर निर्भर नहीं करता है। Help Net Security के Verizon रिपोर्ट सारांश में पाया गया कि मानवीय तत्व वाली उल्लंघनें - जैसे फिशिंग संदेश या फोन कॉल से धोखा खाना - सामान्य रहीं। रिपोर्ट में यह भी पाया गया कि फिशर्स को आम तौर पर ईमेल की तुलना में वॉयस कॉल और टेक्स्ट संदेशों के माध्यम से पीड़ितों तक अधिक सफलता मिली, एक सटीक तुलना आंकड़े दिए बिना, और यह ध्यान दिया कि फोन-आधारित "vishing" तेजी से ransomware और जबरदस्ती योजनाओं में उपयोग किया जा रहा है।

तीसरे पक्ष और सपूर्ण-श्रृंखला भागीदारी उल्लंघनों में 60% वर्ष-दर-वर्ष वृद्धि हुई, एक ही रिपोर्ट के अनुसार, अब लगभग आधी सभी घटनाओं में मौजूद है - एक पैटर्न जो इस बात से मेल खाता है कि ASOS का हमलावर ASOS के अपने मुख्य सिस्टम के बजाय एक तीसरे पक्ष के मंच के माध्यम से ग्राहक डेटा तक कैसे पहुंचा, Beinsure के विवरण के अनुसार।

H&M मामले में क्या अपुष्ट रहा है

Retail Gazette द्वारा रिपोर्ट किए गए H&M विवरण के अनुसार, कंपनी ने पुष्टि नहीं की थी कि कोई सिस्टम उल्लंघन का शिकार हुआ था, और दावों को शीर्षक रूप से ShinyHunters या ASOS घटना से नहीं जोड़ा था। H&M ने कहा कि इसकी जांच चल रही है और यह इस स्तर पर अतिरिक्त विवरण साझा नहीं कर सकता, Beinsure द्वारा कंपनी के विवरण की रिपोर्टिंग के अनुसार।