Bukalapak: डेटा में सेंध

सत्यापित डेटासेट में ईमेल पते, उपयोगकर्ता नाम, IP पते, नाम और bcrypt तथा सॉल्ट-युक्त SHA-512 से सुरक्षित पासवर्ड हैश शामिल थे। ऐसा कोई प्रमाण नहीं है कि पासवर्ड सादे पाठ के रूप में वितरित किए गए थे, लेकिन मज़बूत हैशिंग भी कमज़ोर या कई जगह इस्तेमाल किए गए पासवर्ड से पैदा होने वाले जोखिम को खत्म नहीं करती। फ़ोरम पर प्रकाशित बिक्री सूचियों में पते, जन्मतिथियाँ और फ़ोन नंबर जैसे फ़ील्ड होने का भी दावा किया गया था, लेकिन इन फ़ील्ड को शामिल नहीं किया गया है क्योंकि मानक डेटा श्रेणियों में उनकी मौजूदगी की पर्याप्त पुष्टि नहीं हुई थी। 1,33,69,666 का आँकड़ा अलग-अलग ईमेल पतों की संख्या बताता है; यह डेटा की कुल पंक्तियों की संख्या, Bukalapak के सभी उपयोगकर्ताओं की संख्या या हर फ़ील्ड से प्रभावित लोगों की संख्या नहीं है।

यह रिकॉर्ड 23 अक्टूबर 2017 तक के Bukalapak बैकअप डेटा से संबंधित है। घटना का पता मार्च 2019 में चला और इसे अप्रैल 2019 में सार्वजनिक डेटा सेंध सूचियों में जोड़ा गया। शुरुआत में पहुँच कैसे हासिल की गई, किस कमजोरी का लाभ उठाया गया और बैकअप किस सिस्टम से निकाला गया, इसकी पुष्टि नहीं हुई है। इसलिए हमले का कोई विस्तृत तरीका तथ्य के रूप में नहीं बताया गया है। मई 2020 में Bukalapak के लगभग 1 करोड़ 30 लाख रिकॉर्ड दोबारा सामने आने को एक नई घटना समझा गया। कंपनी ने कहा कि उसकी जाँच के अनुसार, प्रसारित हो रही खबरें पिछले वर्ष के प्रयास से जुड़ी थीं और कोई नई सेंध नहीं लगी थी। लगभग उसी समय जिस अलग 9 करोड़ 10 लाख रिकॉर्ड वाले डेटासेट की खबर आई थी, वह इंडोनेशिया के एक अन्य ई-कॉमर्स प्लेटफ़ॉर्म का था और उसे Bukalapak के कुल आँकड़े में नहीं जोड़ा जाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिनका Bukalapak खाता 2017 के अंतिम महीनों से पहले मौजूद था और जिन्होंने वही पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल किया था। जिन लोगों ने वर्षों पहले खाता बंद कर दिया था या उसका इस्तेमाल छोड़ दिया था, वे भी अब तक जोखिम में हो सकते हैं, क्योंकि ईमेल पता, उपयोगकर्ता नाम और पासवर्ड हैश बिना बदले प्रसारित होते रह सकते हैं। छोटे, आसानी से अनुमान लगाए जा सकने वाले या शब्दकोश के शब्दों पर आधारित पासवर्ड ऑफ़लाइन अनुमान लगाने के प्रयासों के सामने अधिक कमज़ोर होते हैं, भले ही वे bcrypt या सॉल्ट-युक्त SHA-512 से सुरक्षित हों। यदि ईमेल खाते पर भी वही पासवर्ड लगा था, तो जोखिम बढ़ जाता है, क्योंकि ईमेल तक पहुँच मिलने पर कई सेवाओं के पासवर्ड रीसेट लिंक भी मिल सकते हैं। नाम और IP पता वाले रिकॉर्ड ऐसी लक्षित फ़िशिंग के लिए अधिक उपयोगी होते हैं जिसमें किसी स्थान या पिछली खरीदारी का ज़िक्र किया जाता है। मिलान मिलने का अर्थ यह नहीं है कि भुगतान कार्ड, बैंक खाते या पहचान दस्तावेज़ उजागर हुए थे; ये फ़ील्ड सत्यापित डेटा श्रेणियों में शामिल नहीं हैं।

यदि आपको 2017 में Bukalapak पर इस्तेमाल किया गया पासवर्ड याद है, तो उन सभी खातों की पहचान करें जिनमें अब भी वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल हो रहा है। ईमेल, बैंकिंग, खरीदारी और सोशल मीडिया खातों से शुरुआत करते हुए हर सेवा के लिए एक लंबा अलग पासवर्ड बनाएँ; किसी भरोसेमंद पासवर्ड मैनेजर की मदद से एक ही पासवर्ड का कई जगह इस्तेमाल बंद करना आसान होता है। Bukalapak और ईमेल खाते पर दो-चरणीय सत्यापन चालू करें, फिर सक्रिय सत्रों और जुड़े हुए डिवाइस की समीक्षा करें। ईमेल के रिकवरी पते, फ़ोन नंबर और फ़ॉरवर्डिंग नियमों में ऐसे बदलावों की जाँच करें जिन्हें आप पहचान नहीं पा रहे हैं। ऐसे संदेश का जवाब न दें जो Bukalapak के ऑर्डर, रिफ़ंड, विक्रेता को भुगतान या डेटा सेंध के मुआवज़े का हवाला देकर पासवर्ड, एक बार इस्तेमाल होने वाला कोड या भुगतान माँगे। दिए गए लिंक पर जाने के बजाय ऐप खोलें या आधिकारिक पता खुद टाइप करें। यदि साइन-इन के असफल प्रयास की चेतावनी, अप्रत्याशित पासवर्ड रीसेट या नए डिवाइस की सूचना मिले, तो संबंधित पासवर्ड तुरंत बदलें और अन्य सत्र बंद करें। संदिग्ध संपर्क की तारीख और भेजने वाले का विवरण सुरक्षित रखें तथा सेवा प्रदाता को उसकी सूचना दें।

बैकअप से निकाले गए पुराने लॉगिन विवरण वर्षों तक प्रसारित होते रह सकते हैं, इसलिए घटना पर ध्यान कम होने के साथ सुरक्षा के प्रयास बंद नहीं होने चाहिए। पासवर्ड मैनेजर की सुरक्षा रिपोर्ट का इस्तेमाल करके नियमित अंतराल पर ऐसे पासवर्ड बदलें जो कई जगह इस्तेमाल हो रहे हों, कमज़ोर हों या पहले उजागर हो चुके हों। ईमेल खाते को अपनी डिजिटल पहचान का केंद्र मानें और उसे मज़बूत पासवर्ड, दो-चरणीय सत्यापन तथा अद्यतन रिकवरी विकल्पों से सुरक्षित रखें। यदि कई प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम इस्तेमाल होता है, तो याद रखें कि हमलावर उन खातों को आपस में जोड़ सकते हैं। खरीदारी से जुड़ा कोई संदेश नाम या ऑर्डर का विवरण सही बताए, तो भी वह अपने-आप भरोसेमंद नहीं हो जाता; ऐप में ऑर्डर इतिहास देखकर स्वतंत्र रूप से उसकी पुष्टि करें। किसी ऐसे खाते को बंद करने से पहले जिसका आप इस्तेमाल नहीं करते, सहेजे गए भुगतान के तरीके, जुड़े हुए ऐप और प्रोफ़ाइल के अनावश्यक फ़ील्ड हटा दें। बैकअप रखने और उन तक पहुँच की नीतियों को भी उतनी ही सुरक्षा चाहिए जितनी प्रोडक्शन सिस्टम को। जब Bukalapak से जुड़ा कोई और दावा सामने आए, तो उसकी तारीख, अलग-अलग खातों की कुल संख्या और उजागर हुए फ़ील्ड की तुलना करके तय करें कि वह नई घटना है या पुराने डेटा का दोबारा प्रसार।

लगभग 2017 के समय Bukalapak पर इस्तेमाल किए गए ईमेल पते से LeakData.io पर खोज करें और देखें कि क्या वह इस रिकॉर्ड से मेल खाता है। मिलान मिलने से पता चलता है कि वह पता सत्यापित डेटासेट में मौजूद है; इसका अर्थ यह नहीं है कि उसी रिकॉर्ड में उपयोगकर्ता नाम, IP पता, नाम और पासवर्ड हैश, सभी पूरे रूप में मौजूद थे। कोई परिणाम न मिलने से यह साबित नहीं होता कि किसी दूसरे पते से बनाया गया खाता इसमें मौजूद नहीं है, इसलिए पुराने कामकाजी और निजी ईमेल पतों की अलग-अलग जाँच करें। खोज के परिणाम के जवाब में कभी भी पासवर्ड, पासवर्ड हैश, एक बार इस्तेमाल होने वाला कोड, भुगतान संबंधी जानकारी या पहचान दस्तावेज़ न दें। यदि मिलान मिले, तो पुराने पासवर्ड का कई जगह इस्तेमाल बंद करने, ईमेल खाते को सुरक्षित करने और दो-चरणीय सत्यापन चालू करने को प्राथमिकता दें। 2020 की Bukalapak बिक्री सूचियों को 1 करोड़ 30 लाख खातों की अलग घटना मानकर कुल आँकड़े में न जोड़ें। इसी तरह, दूसरे प्लेटफ़ॉर्म के 9 करोड़ 10 लाख रिकॉर्ड का आँकड़ा इस रिकॉर्ड से न जोड़ें। घटनाओं और मापे गए आँकड़ों की सीमाएँ अलग रखने से जोखिम को बढ़ा-चढ़ाकर पेश करने या गलत संगठन से जोड़ने से बचा जा सकता है।