8fit डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, नाम, लिंग, भौगोलिक स्थान, IP पते, bcrypt पासवर्ड हैश, ऐसे प्रमाणीकरण टोकन जिनकी वैधता समाप्त हो चुकी है, और प्रोफ़ाइल फ़ोटो शामिल हैं। आधिकारिक सूची में 1,50,25,407 अलग-अलग ईमेल पते दर्ज हैं, जबकि कंपनी की सूचना में कहा गया था कि लगभग 2 करोड़ उपयोगकर्ताओं के विवरण प्रभावित हुए हो सकते हैं। इन आँकड़ों का दायरा अलग-अलग है, इसलिए इन्हें जोड़कर एक कुल संख्या नहीं बनानी चाहिए। पासवर्ड सादे पाठ के बजाय bcrypt हैश के रूप में संग्रहीत थे। कमज़ोर या कई जगह इस्तेमाल किए गए पासवर्ड का अब भी ऑफ़लाइन अनुमान लगाया जा सकता है, जिससे अन्य सेवाओं के खातों को भी खतरा हो सकता है। कंपनी ने कहा था कि कुछ Facebook प्रमाणीकरण टोकन की वैधता समाप्त हो चुकी थी, इसलिए उनकी मौजूदगी का अपने-आप यह अर्थ नहीं है कि किसी सक्रिय सत्र तक पहुँच संभव थी। कंपनी ने यह भी बताया कि भुगतान संबंधी जानकारी, सोशल सिक्योरिटी नंबर और उपयोगकर्ताओं व कोचों के बीच की बातचीत हासिल नहीं की गई थी।

सेंध जुलाई 2018 में लगी थी और बताया गया था कि उस महीने के बाद बनाए गए खाते प्रभावित नहीं हुए। 8fit को 8 फ़रवरी 2019 को एक संभावित घटना की जानकारी मिली। उसी महीने यह डेटा डार्क वेब के एक बाज़ार में बिक्री के लिए दिखाई दिया और 21 मार्च 2019 को इसे सत्यापित सूची में जोड़ा गया। कंपनी ने कहा कि उसने जाँच शुरू की, सुरक्षा कंपनियों और कानून प्रवर्तन एजेंसियों के साथ काम किया, उपयोगकर्ताओं से संपर्क किया और अपने सिस्टम की सुरक्षा मज़बूत की। साक्ष्य 8fit के उपयोगकर्ता डेटा के सीधे लीक होने की पुष्टि करते हैं, लेकिन जिस विशिष्ट तकनीकी खामी से पहुँच संभव हुई, उसका सार्वजनिक सत्यापन नहीं हुआ है। इसलिए इस घटना को किसी तीसरे पक्ष के आपूर्तिकर्ता की सुरक्षा में सेंध के बजाय डेटाबेस लीक के रूप में वर्गीकृत किया गया है। इससे यह दावा नहीं किया जाता कि SQL injection, किसी कर्मचारी का खाता, क्लाउड कॉन्फ़िगरेशन या पहुँच का कोई अन्य तरीका इसके लिए ज़िम्मेदार था।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2018 का अपना 8fit पासवर्ड ईमेल, सोशल मीडिया, खरीदारी या कार्यस्थल के खातों पर भी इस्तेमाल किया था। Bcrypt सुरक्षा की एक मज़बूत परत देता है, लेकिन पर्याप्त समय और कंप्यूटिंग क्षमता मिलने पर छोटे, आसानी से अनुमान लगाए जा सकने वाले या आम पासवर्ड का फिर भी अनुमान लगाया जा सकता है। नाम, लिंग, स्थान, IP पता और प्रोफ़ाइल तस्वीर किसी हमलावर को फ़िटनेस सदस्यता, सब्सक्रिप्शन, कोच की सहायता या पासवर्ड रीसेट से जुड़े विश्वसनीय दिखने वाले संदेश बनाने में मदद कर सकते हैं। रिकॉर्ड में मेल मिलने से यह साबित नहीं होता कि फिलहाल खाते पर किसी और ने कब्ज़ा कर लिया है, भुगतान संबंधी जानकारी चोरी हुई है या स्वास्थ्य संबंधी रिकॉर्ड उजागर हुए हैं। जिन टोकनों की वैधता समाप्त हो चुकी है, वे किसी मौजूदा Facebook सत्र तक सीधे पहुँच नहीं देते, हालाँकि जुड़े हुए खातों और ऐप की अनुमतियों की समीक्षा करना उपयोगी रहता है। निष्क्रिय 8fit खाता भी जोखिम के लिहाज़ से महत्त्वपूर्ण हो सकता है, अगर वही ईमेल और पासवर्ड बनाने का वही ढाँचा अन्य जगहों पर अब भी इस्तेमाल हो रहा हो। सही आकलन के लिए पासवर्ड के दोबारा इस्तेमाल, उसे आखिरी बार बदलने के समय, सक्रिय सत्रों और व्यक्तिगत जानकारी के आधार पर तैयार किए गए संदिग्ध संदेशों को साथ में देखना चाहिए।

अगर आपने 2018 के अपने 8fit खाते का पासवर्ड या उससे मिलता-जुलता पासवर्ड कहीं और इस्तेमाल किया था, तो हर प्रभावित सेवा के लिए एक लंबा और अलग पासवर्ड बनाएँ। सबसे पहले अपने मुख्य ईमेल खाते, पासवर्ड मैनेजर, वित्तीय सेवाओं और ऐसी अन्य डिजिटल पहचानों को सुरक्षित करें जिनके ज़रिए खाते रीसेट किए जा सकते हैं। सक्रिय सत्रों और पहचाने हुए डिवाइस की समीक्षा करें, खाता वापस पाने के लिए दर्ज जानकारी की पुष्टि करें और जहाँ उपलब्ध हो, पासकी या बहु-कारक प्रमाणीकरण चालू करें। उसी पासवर्ड में कोई अंक या चिह्न जोड़ देने से उसे स्वतंत्र पासवर्ड न मानें। उन संदेशों के लिंक न खोलें जो 8fit, फ़िटनेस योजनाओं, सदस्यता के नवीनीकरण, भुगतान की समस्याओं या कोच से संपर्क के बहाने भेजे गए हों। इसके बजाय, परिचित वेबसाइट या ऐप सीधे खोलें। जुड़े हुए Facebook और अन्य सोशल खातों पर ऐप की अनुमतियों की समीक्षा करें और उन ऐप की पहुँच हटा दें जिनका आप अब इस्तेमाल नहीं करते। अगर आपको किसी अनपेक्षित रीसेट, नए डिवाइस के अलर्ट या फ़ॉरवर्डिंग नियम की सूचना दिखे, तो उस सेवा की आधिकारिक खाता पुनर्प्राप्ति प्रक्रिया शुरू करें।

हर सेवा के लिए अलग, बेतरतीब पासवर्ड बनाने वाला पासवर्ड मैनेजर एक खाते के बाद दूसरे खातों पर भी कब्ज़ा होने का जोखिम सीमित करता है, भले ही किसी पुराने bcrypt हैश से अंततः पासवर्ड का अनुमान लगा लिया जाए। जहाँ सुविधा उपलब्ध हो, पासकी अपनाएँ और मुख्य ईमेल खाते पर फ़िशिंग-प्रतिरोधी प्रमाणीकरण इस्तेमाल करें। खाता वापस पाने के कोड ऑफ़लाइन रखें और जुड़े हुए ऐप व सोशल लॉगिन की अनुमतियों की नियमित समीक्षा करें। याद रखें कि प्रोफ़ाइल फ़ोटो, स्थान और फ़िटनेस में आपकी रुचि का इस्तेमाल करके लक्षित संदेशों को अधिक विश्वसनीय बनाया जा सकता है। संवेदनशील अनुरोधों की पुष्टि किसी अलग माध्यम से करें। जिन संगठनों को अपने कर्मचारियों के ईमेल पतों का रिकॉर्ड में मेल मिलता है, उन्हें पासवर्ड रीसेट के साथ सत्रों को निरस्त करना, पासवर्ड के दोबारा इस्तेमाल को रोकना और संदिग्ध साइन-इन की निगरानी करना चाहिए। सेवा प्रदाताओं को आधुनिक पासवर्ड-हैशिंग पैरामीटर, अलग-अलग सॉल्ट, पहुँच का विभाजन, डेटा को न्यूनतम रखना और सुरक्षा घटनाओं का पता लगाना, इन उपायों का संयुक्त रूप से उपयोग करना चाहिए। इस्तेमाल न होने वाले खाते और प्रोफ़ाइल के अनावश्यक फ़ील्ड नियमित अंतराल पर हटाए जाने चाहिए।

सुरक्षित खोज फ़ील्ड में अपना ईमेल पता दर्ज करके जाँचें कि वह 8fit के रिकॉर्ड में मौजूद है या नहीं। मेल मिलने पर पासवर्ड बदलने को प्राथमिकता दें। परिणाम मिलने का यह अर्थ नहीं है कि bcrypt हैश से पासवर्ड निश्चित रूप से पता लगा लिया गया था, खाते पर किसी और ने कब्ज़ा कर लिया था या भुगतान और स्वास्थ्य संबंधी डेटा उजागर हुआ था। यह केवल बताता है कि ईमेल पता सत्यापित डेटासेट में मौजूद है। याद करें कि उस समय आप किस तरह के पासवर्ड बनाते थे। वही या उससे मिलता-जुलता पासवर्ड जहाँ भी अब तक इस्तेमाल हो रहा है, उसे बदलें और मुख्य ईमेल खाते के हाल के सत्रों की समीक्षा करें। फ़िटनेस या सब्सक्रिप्शन से जुड़े अनपेक्षित संदेशों की पुष्टि ऐप को सीधे खोलकर करें। कोई परिणाम न मिलने से यह गारंटी नहीं मिलती कि ईमेल पता किसी भी अन्य घटना में शामिल नहीं था। अगर पुराने डेटा का वर्षों बाद दोबारा इस्तेमाल किया जाए, तो लगातार निगरानी, हर खाते के लिए अलग पासवर्ड, मज़बूत प्रमाणीकरण और जुड़े हुए ऐप की समीक्षा प्रभावी सुरक्षा देते हैं।