BuyMixtapes: डेटा उजागर होने का कथित मामला

BuyMixtapes का रिकॉर्ड बनाने से पहले मौजूदा रिकॉर्डों में शीर्षक, ब्रांड का नाम, डोमेन नाम, घटना की तारीख, रिकॉर्डों की संख्या और मिलती-जुलती वर्तनी की जाँच की गई। उसी घटना को दर्शाने वाला कोई रिकॉर्ड नहीं मिला, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। जो रिकॉर्ड मिलते-जुलते दिखते थे, लेकिन उनका डोमेन या घटना का समय अलग था, या जिनके लिए पर्याप्त समर्थन नहीं था, उन्हें इस निर्णय में शामिल नहीं किया गया।

लक्षित सूचियों में रिकॉर्डों की अनुमानित संख्या और सत्यापित किए जा सकने वाले विवरणों की संख्या में अंतर हो सकता है। इसकी वजह कच्ची डेटा पंक्तियों, अलग-अलग ईमेल पतों, दोहराए गए खातों, साफ़ किए गए रिकॉर्डों, फ़ोरम प्रोफ़ाइलों, पुरानी निर्यात फ़ाइलों या नए रूप में पैक किए गए डेटा सेटों के बीच अंतर हो सकता है। इस पृष्ठ पर सबसे बड़ी बताई गई संख्या के बजाय 28,035 को आधार बनाया गया है, क्योंकि डेटा प्रकारों से जुड़े प्रमाण लगातार इस संख्या की पुष्टि करते हैं।

BuyMixtapes को केवल पासवर्ड से जुड़ी तकनीकी समस्या नहीं मानना चाहिए, भले ही इसका आकलन संगीत, मिक्सटेप प्रकाशन और डाउनलोड प्लेटफ़ॉर्मों के संदर्भ में किया जा रहा हो। उपयोगकर्ता को इस प्लेटफ़ॉर्म की अपनी पुरानी सदस्यता याद न होने पर भी, दूसरी सेवाओं पर वही ईमेल और पासवर्ड इस्तेमाल करने की आदत जारी हो सकती है।

इस घटना में प्रमाणों से पुष्ट डेटा फ़ील्ड केवल ईमेल पतों और सादे पाठ में मौजूद पासवर्ड तक सीमित थे। संगीत प्लेटफ़ॉर्म के संदर्भ में, कलाकारों, संगीत शैलियों, समुदायों और सदस्यताओं में उपयोगकर्ताओं की रुचि के आधार पर उन्हें फ़र्ज़ी प्रचार अभियानों, डाउनलोड लिंक या कॉपीराइट नोटिस जैसे संदेशों से निशाना बनाया जा सकता है।

इस घटना में जोखिम किसी सामान्य ईमेल सूची से अधिक है, क्योंकि सादे पाठ में पासवर्ड की जानकारी होने के प्रमाण हैं। पासवर्ड डेटा से हमलावरों के लिए संगीत, सोशल मीडिया, ईमेल और खरीदारी सेवाओं पर वही पासवर्ड आज़माना आसान हो जाता है।

अकेला ईमेल पता सीमित निजी जानकारी लग सकता है, लेकिन उपयोगकर्ता नाम, पूरे नाम, पंजीकरण की तारीख, विज़िट की तारीख, देश, रुचि या पासवर्ड की जानकारी के साथ मिलकर यह हमले का एक प्रभावी माध्यम बन जाता है। यदि उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेमिंग, स्वास्थ्य, वित्त, सोशल मीडिया या मनोरंजन खातों के लिए एक ही ईमेल पता इस्तेमाल करता है, तो असर संबंधित प्लेटफ़ॉर्म से आगे भी फैल सकता है।

यह घटना पुरानी होने पर भी सुरक्षा की दृष्टि से इसका महत्व बना हुआ है। बड़ी संख्या में उपयोगकर्ता पुराने पासवर्ड के ढाँचे में छोटे बदलाव करके उन्हें दोबारा इस्तेमाल करते हैं। इसलिए BuyMixtapes जैसी पुरानी डेटा उल्लंघन की घटना का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, लीक हुए लॉगिन विवरणों को दूसरे खातों पर आज़माने और लक्षित फ़िशिंग प्रयासों के लिए किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना है कि उन्होंने पहले BuyMixtapes या www.buymixtapes.com पर कौन-सा ईमेल पता और पासवर्ड इस्तेमाल किया होगा। यदि दूसरे खातों पर भी उसी ढाँचे के पासवर्ड इस्तेमाल किए गए हैं, तो केवल संबंधित साइट पर बदलाव करना पर्याप्त नहीं है। दोबारा इस्तेमाल किए गए सभी पासवर्ड की जगह अनोखे और बेतरतीब पासवर्ड रखने चाहिए।

इस घटना के बाद उठाए जा सकने वाले सबसे प्रभावी कदमों में पासवर्ड मैनेजर का इस्तेमाल शामिल है। हर साइट के लिए अलग पासवर्ड बनाने से एक डेटा उल्लंघन का असर सिलसिलेवार ढंग से दूसरे खातों तक पहुँचने से रोका जा सकता है। ब्राउज़र में सहेजे गए पुराने पासवर्ड की भी समीक्षा करनी चाहिए और कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड हटाने चाहिए।

ईमेल खातों, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइलों, नौकरी खोजने वाले खातों, गेमिंग खातों, खरीदारी खातों और एडमिन पैनलों के लिए दो-कारक प्रमाणीकरण को विशेष प्राथमिकता देनी चाहिए। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजी, SMS-आधारित सत्यापन की तुलना में अधिक मज़बूत सुरक्षा देती है।

ईमेल खाते के फ़ॉरवर्डिंग नियमों, रिकवरी पतों, जुड़े हुए ऐप्लिकेशनों, विश्वसनीय डिवाइसों की सूची और हाल के सत्रों की जाँच करनी चाहिए। हमलावर सीधे BuyMixtapes खाते तक न पहुँच सके, तब भी वह ईमेल खाते के ज़रिए दूसरी सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग में पुरानी सेवा का नाम, उपयोगकर्ता नाम, उद्योग से जुड़ी जानकारी, देश, शौक, खरीदारी का इतिहास, समुदाय की सदस्यता या पंजीकरण की तारीख का इस्तेमाल हो सकता है। उपयोगकर्ताओं को मिले हुए लिंक पर सीधे क्लिक करने के बजाय पता स्वयं टाइप करना चाहिए, सत्यापन के बिना फ़ाइल अटैचमेंट नहीं खोलने चाहिए और तत्काल कार्रवाई का दबाव बनाने वाले संदेशों से सावधान रहना चाहिए।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन करना चाहिए। यदि किसी कर्मचारी ने निजी दिखने वाले खाते में अपने काम का ईमेल इस्तेमाल किया था, तो कंपनी के सिस्टम पर भी वही पासवर्ड आज़माया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा स्कैन, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्वपूर्ण हैं।

साइट मालिकों के लिए मुख्य सीख पासवर्ड के भंडारण और न्यूनतम डेटा रखने से जुड़ी है। सादे पाठ या आसानी से तोड़े जा सकने वाले हैश प्रारूप सीधे उपयोगकर्ता की सुरक्षा को कमज़ोर करते हैं। आधुनिक सिस्टम में मज़बूत, सॉल्ट का उपयोग करने वाली और धीमी पासवर्ड व्युत्पत्ति विधियाँ अपनानी चाहिए। उपयोगकर्ता के लॉगिन के दौरान पुराने हैश प्रारूपों को धीरे-धीरे नए प्रारूपों में बदलना चाहिए।

बैकअप, परीक्षण परिवेश, निर्यात फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनलों, प्लगइन और अनावश्यक अनुमतियों का नियमित ऑडिट करना चाहिए। कई डेटा लीक मुख्य ऐप्लिकेशन के दिखाई देने वाले हिस्से के बजाय भुला दिए गए सहायक सिस्टमों या व्यापक अधिकार वाले खातों से होते हैं।

जिन संस्थानों के पास घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचना देने, पासवर्ड रीसेट करने, लॉग की समीक्षा करने और जुड़े हुए सिस्टमों की जाँच में देरी होती है। किन सिस्टमों की निगरानी की जाएगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को बताया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

प्रत्यक्ष विवरणों में लगभग 31 हज़ार कच्चे रिकॉर्ड और 28,035 अलग-अलग ईमेल खाते दिखाई देते हैं, इसलिए उपयोगकर्ताओं की संख्या के लिए 28,035 को लिया गया है।

मौजूदा प्रत्यक्ष जाँच के दौरान सुरक्षा सत्यापन के कारण पहुँच सीमित थी। डोमेन इस्तेमाल में दिखाई दे रहा था, इसलिए रिकॉर्ड को अप्रचलित के रूप में चिह्नित नहीं किया गया।

इस रिकॉर्ड को संवेदनशील श्रेणी में चिह्नित नहीं किया गया है। हालाँकि, सादे पाठ में पासवर्ड होने के कारण खाते पर अनधिकृत कब्ज़े का जोखिम अधिक है।

संगीत सामग्री से जुड़े पुराने खातों को आम तौर पर कम जोखिम वाला माना जाता है, लेकिन यदि वही पासवर्ड दूसरे प्लेटफ़ॉर्मों पर इस्तेमाल हुआ हो, तो ऐसे छोटे खाते हमलावरों के लिए एक प्रभावी शुरुआती बिंदु बन सकते हैं।

BuyMixtapes के लोगो की छवि का रिकॉर्ड से मिलान किया गया और वेबसाइट का पता केवल डोमेन नाम के रूप में रखा गया। पृष्ठ बनाते समय लिंक गलत ढंग से दिखाई न दे, इसलिए इसकी विशेष रूप से जाँच की गई।

इस रिकॉर्ड में असत्यापित डेटा प्रकार जानबूझकर शामिल नहीं किए गए हैं। डेटा श्रेणियों की लंबी सूची बनाने के बजाय प्रमाणों से पुष्ट फ़ील्ड को स्पष्ट रूप से दिखाना उपयोगकर्ता का भरोसा बनाए रखने के लिए अधिक उपयोगी है। डेटा उल्लंघन के पृष्ठों का उद्देश्य डरावना दिखना नहीं, बल्कि सही दायरे और लागू किए जा सकने वाले सुरक्षा उपायों को स्पष्ट रूप से समझाना है।

यह पृष्ठ BuyMixtapes डेटा उल्लंघन, www.buymixtapes.com डेटा लीक, BuyMixtapes पासवर्ड लीक और BuyMixtapes उपयोगकर्ता डेटा जैसे अलग-अलग नामों के अंतर्गत सरल और व्यावहारिक जानकारी देने के लिए तैयार किया गया है। पाठ में सत्यापित पहलुओं और व्यावहारिक सुरक्षा कदमों को समझाया गया है।

यह रिकॉर्ड देखने पर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का नहीं, बल्कि उसी ईमेल पते से खोले गए दूसरे खातों का भी आकलन करना चाहिए। जिन खातों में पुराने पासवर्ड दोबारा इस्तेमाल किए जाते हैं, वे खास तौर पर हमलावरों का पहला निशाना बनते हैं। पुराने खाते बंद करने से भी लंबे समय में जोखिम कम होता है।

पासवर्ड के दोबारा इस्तेमाल को कम करने के लिए नए पासवर्ड में ब्रांड के नाम, जन्म के वर्ष, उपयोगकर्ता नाम, टीम के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले अतिरिक्त अंश नहीं होने चाहिए। पासवर्ड के अंत में छोटी-सी संख्या या विशेष चिह्न जोड़ने से वह सुरक्षित नहीं हो जाता; हमलावरों के टूल ऐसे ढाँचों को तेज़ी से आज़माते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, वही पासवर्ड इस्तेमाल करने वाले सभी खातों को अपडेट करें, दो-कारक प्रमाणीकरण चालू करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय सीधे साइट का पता इस्तेमाल करें।

सुरक्षा टीमों को इस रिकॉर्ड का आकलन ऐसे ईमेल पतों के संदर्भ में करना चाहिए जो कर्मचारियों के ईमेल डोमेन नामों से मेल खाते हों। पुराने फ़ोरम, खरीदारी, मीडिया, गेमिंग, डेटिंग या समुदाय के खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्ष्य सूचियों में अतिरिक्त जानकारी जोड़ सकते हैं।

ऐसी घटनाओं में न्यूनतम डेटा रखना बेहद महत्वपूर्ण है। अनावश्यक प्रोफ़ाइल फ़ील्ड एकत्र नहीं करने चाहिए, निष्क्रिय खातों को उचित डेटा प्रतिधारण नीतियों के अनुसार हटाना चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित रखनी चाहिए और डेटा निर्यात की गतिविधियों पर अतिरिक्त निगरानी करनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को अपने खातों की सुरक्षा से जुड़े रखरखाव के काम पूरे करने चाहिए। पुराने और भूले हुए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अपडेट करना और महत्वपूर्ण खातों पर लॉगिन सूचनाएँ चालू करना स्थायी सुरक्षा देता है।

प्रभावित खातों की संख्या, पासवर्ड की जानकारी के प्रकार, खाते पर अनधिकृत कब्ज़े में डेटा श्रेणियों के संभावित उपयोग और घटना में दोबारा इस्तेमाल किए जा सकने वाले लॉगिन विवरण शामिल होने या न होने को ध्यान में रखकर इस पृष्ठ का जोखिम स्तर अत्यंत गंभीर निर्धारित किया गया है। अत्यंत गंभीर स्तर का मतलब यह नहीं है कि दुरुपयोग निश्चित रूप से हुआ है; इसका मतलब है कि उपयोगकर्ता को तेज़ी से कार्रवाई करने की ज़रूरत है।

संक्षेप में, BuyMixtapes का यह रिकॉर्ड अगस्त 2018 की एक डेटा उल्लंघन घटना से संबंधित है, जिसने 28,035 खातों को प्रभावित किया और जिसमें ईमेल पतों तथा सादे पाठ में मौजूद पासवर्ड के फ़ील्ड शामिल थे। उपयोगकर्ताओं को अनोखे पासवर्ड इस्तेमाल करने, दो-कारक प्रमाणीकरण चालू करने, अपने ईमेल की सुरक्षा सेटिंग्स जाँचने और संदिग्ध लॉगिन की चेतावनियों पर नज़र रखने की सलाह दी जाती है।

BuyMixtapes रिकॉर्ड में संख्या, शीर्षक, डोमेन और डेटा श्रेणियों का एक साथ आकलन किया गया है। इसलिए उसी नाम से प्रसारित हो रही सूचियों की अस्पष्ट प्रविष्टियाँ इस पृष्ठ पर नहीं लाई गई हैं। उपयोगकर्ता को दिखने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा श्रेणियों को सरल रखना विशेष रूप से महत्वपूर्ण है, क्योंकि प्रमाणों से पुष्ट न होने वाले फ़ील्ड जोड़ने से उपयोगकर्ता का जोखिम आकलन प्रभावित होता है। इसलिए इस रिकॉर्ड में ईमेल पतों और सादे पाठ में मौजूद पासवर्ड के अलावा अन्य दावों को प्रमाणित डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

www.buymixtapes.com डोमेन से जुड़ी पुरानी सदस्यताएँ भुलाई जा चुकी हो सकती हैं। यदि भूले हुए खातों में पासवर्ड बदलना संभव न हो, तो अधिक व्यावहारिक प्राथमिकता उन दूसरी सेवाओं को ढूँढ़ना और सुरक्षित करना है जहाँ वही पासवर्ड इस्तेमाल हुआ है।

जब उपयोगकर्ता नाम, ईमेल या प्रोफ़ाइल की जानकारी दूसरे लीक के साथ मिल जाती है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, कार्यक्षेत्र या पिछली सदस्यताओं से जुड़ी आदतों का अनुमान लगाना आसान हो जाता है। इसलिए कोई एक डेटा उल्लंघन छोटा लगे, तब भी उससे बनने वाला संयुक्त जोखिम अधिक होता है।

संस्थानों के नज़रिए से, कर्मचारियों की निजी सदस्यताओं में काम के ईमेल के इस्तेमाल का विषय नियमित जागरूकता प्रशिक्षण में शामिल होना चाहिए। ऐसे रिकॉर्ड पासवर्ड के दोबारा इस्तेमाल और निजी प्लेटफ़ॉर्मों पर कॉर्पोरेट पहचान की दृश्यता को मापने के लिए चेतावनी का संकेत देते हैं।

यदि उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल दिखाई दे, तो उसे सबसे महत्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले खरीदारी खाते।

यदि खाते बंद करना संभव हो, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी अच्छा कदम है। जो खाते बंद नहीं किए जा सकते, उनमें कम से कम पासवर्ड अनोखा रखना चाहिए, प्रोफ़ाइल की जानकारी न्यूनतम करनी चाहिए और लॉगिन सूचनाएँ चालू करनी चाहिए।