BlackBerry Fans: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, IP पते, उपयोगकर्ता नाम और पासवर्ड शामिल हैं। अकेले ईमेल पते से जोखिम कम लग सकता है, लेकिन जब वह उपयोगकर्ता नाम और पासवर्ड के संयोजन के साथ मिलता है, तो हमलावर के लिए खातों का मिलान करना और पासवर्ड का अनुमान लगाना आसान हो जाता है। IP पते से उपयोगकर्ता के कनेक्शन के अनुमानित क्षेत्र, सेवाओं तक पहुँचने की आदतों या पिछले सत्र के स्थान के बारे में संकेत मिल सकते हैं। खास तौर पर उन उपयोगकर्ताओं की ऑनलाइन पहचानों को आपस में जोड़ा जा सकता है, जिन्होंने तकनीकी समुदायों में लंबे समय से एक ही उपनाम इस्तेमाल किया है।

पासवर्ड फ़ील्ड का सॉल्टयुक्त MD5 के रूप में सहेजा जाना एक महत्वपूर्ण तकनीकी विवरण है। सॉल्ट के इस्तेमाल से इस बात की संभावना कम होती है कि एक ही पासवर्ड वाले उपयोगकर्ताओं के हैश एक जैसे हों। हालाँकि, MD5 की गणना बहुत तेज़ी से की जा सकती है, इसलिए कमजोर या छोटे पासवर्ड, या पहले दूसरे डेटासेट में मिल चुके पासवर्ड का हैश से पता लगाना व्यवहार में संभव है। इसलिए जोखिम केवल BlackBerry Fans खाते तक सीमित नहीं है। यदि उपयोगकर्ता ने दूसरे फ़ोरम, खरीदारी की साइटों, सोशल नेटवर्क या ईमेल खातों पर भी वही ईमेल और पासवर्ड इस्तेमाल किया है, तो हमलावर व्यवस्थित, लेकिन गैर-स्वचालित प्रयासों के जरिए इन अलग-अलग सेवाओं तक पहुँच पाने की कोशिश कर सकते हैं।

व्यक्तियों की अपुष्ट संख्या, अपुष्ट डेटा फ़ील्ड और हमलावरों के अपुष्ट दावों को घटना के सार्वजनिक दायरे का हिस्सा नहीं माना जाता। नाम, फ़ोन नंबर, भुगतान कार्ड, भौतिक पता, निजी संदेशों की सामग्री या सरकारी पहचान-पत्र की जानकारी सत्यापित फ़ील्ड में शामिल नहीं हैं। इसलिए उपयोगकर्ता को दिया जाने वाला जोखिम आकलन केवल उन फ़ील्ड पर आधारित होना चाहिए जिन्हें सत्यापित किया जा सकता है।

यह भी ध्यान रखना चाहिए कि घटना BlackBerry ब्रांड के कॉर्पोरेट सिस्टम से नहीं, बल्कि BlackBerry में रुचि रखने वाले लोगों के एक स्वतंत्र समुदाय के डोमेन नाम से जुड़ी है। रिकॉर्ड में डोमेन नाम blackberryfans.org माना गया है। BlackBerry उपकरणों, कॉर्पोरेट उत्पादों या उनसे जुड़ी सुरक्षा सेवाओं पर उल्लंघन का सीधा आरोप नहीं लगाया जाना चाहिए। यह अंतर दोहरे पंजीकरण को रोकता है और उपयोगकर्ताओं को गलत कंपनी या सेवा के संबंध में अनावश्यक कदम उठाने से भी बचाता है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो BlackBerry Fans पर इस्तेमाल किए गए ईमेल पते और पासवर्ड का इस्तेमाल दूसरे खातों पर भी करते हैं। इन लोगों के पासवर्ड हैश क्रैक हो जाएँ या पहले से ज्ञात पासवर्ड सूचियों से मेल खाएँ, तो उनके अलग-अलग खातों में लॉगिन करने के प्रयास हो सकते हैं। उन लोगों की पहचानों का मिलान किए जाने का जोखिम भी बढ़ जाता है, जिन्होंने तकनीकी फ़ोरम, डेवलपर समुदायों या सोशल प्रोफ़ाइल पर वर्षों से एक ही उपयोगकर्ता नाम इस्तेमाल किया है।

पुराने उपकरणों से जुड़े समुदायों के सदस्य अक्सर वर्षों पहले बनाए गए खाते भूल जाते हैं। इस वजह से डेटा उल्लंघन की सूचना मिलने पर वे उस खाते की मौजूदा अहमियत को कम आँक सकते हैं। लेकिन यदि पुराने फ़ोरम खाते का पासवर्ड ईमेल खाते या किसी दूसरे मुख्य खाते के पासवर्ड जैसा ही है, तो जोखिम अब भी बना हुआ है। जिन लोगों ने निजी ईमेल खाते से पंजीकरण किया था, पुराना और छोटा पासवर्ड इस्तेमाल किया था या दो-कारक प्रमाणीकरण का इस्तेमाल नहीं करते, उन्हें खास तौर पर सावधान रहना चाहिए।

यदि BlackBerry Fans खाते में इस्तेमाल किया गया पासवर्ड अभी भी याद है, तो उन सभी खातों का पासवर्ड बदल देना चाहिए जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। ईमेल खातों, सोशल मीडिया, क्लाउड स्टोरेज, वित्तीय लेनदेन के लिए इस्तेमाल की जाने वाली सेवाओं और काम से जुड़े खातों को प्राथमिकता देनी चाहिए। हर खाते के लिए अलग और लंबा पासवर्ड चुनना चाहिए तथा उसे पासवर्ड मैनेजर में सहेजना चाहिए। यदि पुराने खाते तक पहुँच संभव है, तो वहाँ भी पासवर्ड बदलने की प्रक्रिया पूरी करनी चाहिए और संभव हो तो सक्रिय सत्र बंद कर देने चाहिए।

ईमेल पता और उपयोगकर्ता नाम एक साथ उजागर हुए हैं, इसलिए फ़िशिंग संदेशों से सावधान रहना चाहिए। BlackBerry, पुराने उपकरणों के लिए सहायता, फ़ोरम खातों, पासवर्ड रीसेट या सुरक्षा चेतावनियों से जुड़े संदेश असली लग सकते हैं। उपयोगकर्ताओं को लिंक पर क्लिक करने के बजाय अपने ब्राउज़र से सीधे संबंधित सेवा पर जाना चाहिए, आने वाले संदेशों में मौजूद फ़ाइलें नहीं खोलनी चाहिए और जाँचना चाहिए कि पासवर्ड रीसेट का अनुरोध वास्तव में उन्होंने ही किया है या नहीं। महत्वपूर्ण खातों पर दो-कारक प्रमाणीकरण चालू करना चाहिए।

यह घटना दिखाती है कि पुराने सामुदायिक खातों को भी सुरक्षा सूची में शामिल किया जाना चाहिए। उपयोगकर्ताओं ने वर्षों के दौरान जिन फ़ोरम, उपकरण-संबंधी समुदायों और विशिष्ट रुचियों वाली सेवाओं पर पंजीकरण किया है, उनकी नियमित समीक्षा की जानी चाहिए। जो खाते अब इस्तेमाल नहीं होते, उन्हें बंद कर देना चाहिए। जिन्हें बंद नहीं किया जा सकता, उनके लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए और प्रोफ़ाइल से अनावश्यक विवरण हटा देने चाहिए। यदि कई जगह एक ही उपनाम इस्तेमाल करना जरूरी हो, तो यह याद रखना चाहिए कि उसे व्यक्तिगत पहचान से जोड़ा जा सकता है।

ऐसे समुदायों में कर्मचारियों के कॉर्पोरेट ईमेल पते इस्तेमाल किए गए हो सकते हैं। इसलिए पासवर्ड का दोबारा इस्तेमाल रोकने वाली नीति, बहु-कारक प्रमाणीकरण, लीक हुए पासवर्ड की जाँच और नियमित सुरक्षा जागरूकता प्रशिक्षण एक साथ लागू किए जाने चाहिए। डेटा लीक किसी छोटी सामुदायिक साइट पर हुआ हो, तब भी वही लॉगिन विवरण दूसरी जगह इस्तेमाल किए जाने से उसका प्रभाव अधिक व्यापक हो सकता है।

भले ही पासवर्ड अब याद न हो, 2022 से पहले इस्तेमाल किए गए पुराने पासवर्ड पैटर्न बदल देने चाहिए। खास तौर पर उन खातों की जाँच करनी चाहिए जो उसी ईमेल पते से खोले गए थे और लंबे समय से इस्तेमाल नहीं हुए हैं।

जाँच में कोई मेल मिलने का मतलब जरूरी नहीं है कि पासवर्ड सादे पाठ में हासिल कर लिया गया हो। फिर भी, पासवर्ड हैश का उजागर होना अपने आप में पर्याप्त सुरक्षा चेतावनी है। सबसे उचित तरीका यह है कि हर खाते का पासवर्ड अलग रखा जाए, महत्वपूर्ण खातों पर दो-कारक प्रमाणीकरण इस्तेमाल किया जाए, मिलने वाली सूचनाओं और रीसेट संदेशों को सावधानी से परखा जाए तथा उसी उपयोगकर्ता नाम से जुड़ी दूसरी प्रोफ़ाइल की समीक्षा की जाए। ये कदम BlackBerry Fans डेटा लीक के कारण खातों पर कब्जे और लक्षित धोखाधड़ी का जोखिम काफी कम करते हैं।