CafePress: डेटा में सेंध

सत्यापित मुख्य डेटा प्रकारों में ईमेल पते, नाम, फ़ोन नंबर, डाक पते और पासवर्ड शामिल हैं। पासवर्ड SHA-1 हैश के रूप में संग्रहीत थे, इसलिए छोटे या आम तौर पर इस्तेमाल होने वाले पासवर्ड को ऑफ़लाइन अनुमान लगाकर पता करने का जोखिम अधिक था। किसी ईमेल पते के साथ नाम, फ़ोन नंबर या घर का पता जोड़ने से लक्षित फ़िशिंग, नकली डिलीवरी सूचनाएँ, फ़ोन पर की जाने वाली धोखाधड़ी और खाता पुनर्प्राप्ति के दुरुपयोग के प्रयास कहीं अधिक विश्वसनीय लग सकते हैं। एक नियामकीय जाँच में कई मिलियन सुरक्षा प्रश्नों और उत्तरों, 1,80,000 से अधिक Social Security नंबरों तथा दसियों हज़ार आंशिक भुगतान-कार्ड नंबरों और उनकी समाप्ति तिथियों की भी जानकारी दी गई। ये अतिरिक्त श्रेणियाँ अपेक्षाकृत छोटे समूहों से संबंधित थीं और इनका यह अर्थ नहीं निकालना चाहिए कि सभी 2 करोड़ 32 लाख ईमेल पते इनसे प्रभावित हुए। यह दावा करने का कोई सत्यापित आधार नहीं है कि पूरे कार्ड नंबर, CVV कोड या हर उपयोगकर्ता का वित्तीय डेटा उजागर हुआ था।

इस घटना की संदर्भ तिथि 20 फरवरी 2019 है। रिपोर्टों के अनुसार, उसी महीने एक हमलावर ने सुरक्षा खामियों का फ़ायदा उठाया था। लगभग एक महीने बाद कंपनी को एक सुरक्षा खामी और उपभोक्ताओं के चोरी हुए डेटा के बारे में सूचित किया गया। हालाँकि सुरक्षा खामी दूर कर दी गई थी, लेकिन विस्तृत जाँच में कई महीनों की देरी हुई। अप्रैल 2019 में एक और चेतावनी मिलने के बाद भी ग्राहकों को तत्काल और स्पष्ट जानकारी नहीं दी गई। अगस्त में उपयोगकर्ताओं के लिए पासवर्ड बदलना अनिवार्य किया गया, लेकिन शुरुआत में इसे सामान्य पासवर्ड नीति में बदलाव के तौर पर पेश किया गया। प्रभावित ग्राहकों को सितंबर 2019 तक सूचित न करने से वह अवधि बढ़ गई, जिसके दौरान चोरी हुए पासवर्ड और खाता पुनर्प्राप्ति के उत्तरों का दुरुपयोग हो सकता था। हमलावर ने शुरुआत में किस सटीक तकनीक से पहुँच हासिल की, इसका सार्वजनिक रूप से विस्तृत विवरण नहीं दिया गया। इसलिए इस घटना को किसी खास सुरक्षा खामी के दोहन या हमले के तरीके से जोड़ना अटकल होगी।

सबसे बड़े जोखिम समूह में वे लोग शामिल हैं जिनके ईमेल पते घटना के समय CafePress खातों से जुड़े थे। जिन्होंने यही पासवर्ड कहीं और भी इस्तेमाल किया था, उन्हें क्रेडेंशियल स्टफिंग का जोखिम है, जबकि जिन उपयोगकर्ताओं के नाम, पते या फ़ोन नंबर मौजूद थे, उन्हें उनकी निजी जानकारी के आधार पर तैयार किए गए धोखाधड़ी वाले संदेश या कॉल मिल सकते हैं। जिन लोगों के सुरक्षा प्रश्नों के उत्तर शामिल थे, उन्हें अन्य सेवाओं पर दोहराए गए उन्हीं उत्तरों को खाता पुनर्प्राप्ति की ऐसी गोपनीय जानकारी मानना चाहिए जो अब सुरक्षित नहीं है। जिस छोटे समूह के Social Security नंबर उजागर हुए, उसे पहचान की चोरी और धोखाधड़ी से खाते खोले जाने का अधिक जोखिम है। जिन उपयोगकर्ताओं के कार्ड की आंशिक जानकारी मौजूद थी, उन्हें कार्ड की गतिविधि और बैंक से मिलने वाले संदेशों पर कड़ी नज़र रखनी चाहिए। घटना से पहले खाता बंद कर देना अपने आप में इस बात का प्रमाण नहीं है कि पहले से रखे गए डेटा का प्रभावित प्रणालियों में कोई हिस्सा मौजूद नहीं था।

CafePress का पासवर्ड और किसी अन्य सेवा पर इस्तेमाल होने वाला हर समान या मिलता-जुलता पासवर्ड बदलें। हर खाते के लिए लंबा और अलग पासवर्ड रखें। जहाँ भी बहु-कारक प्रमाणीकरण उपलब्ध हो, उसे सक्रिय करें और भविष्य में पासवर्ड दोहराने से बचने के लिए पासवर्ड मैनेजर का इस्तेमाल करें। अलग-अलग सेवाओं पर दोहराए गए सुरक्षा प्रश्नों के उत्तर बदलें और महत्वपूर्ण खातों से जुड़े पुनर्प्राप्ति ईमेल पते तथा फ़ोन नंबर की जाँच करें। CafePress से संबंधित ऐसे अप्रत्याशित संदेशों के लिंक न खोलें जो पासवर्ड रीसेट, ऑर्डर, रिफ़ंड या डिलीवरी के बारे में हों। सेवा पर जाने के लिए उसका ज्ञात पता स्वयं टाइप करें। जिन लोगों को विशेष रूप से बताया गया हो कि उनका Social Security नंबर इस घटना में शामिल हो सकता है, उन्हें अपनी क्रेडिट रिपोर्ट की समीक्षा करनी चाहिए और जहाँ उचित हो, धोखाधड़ी की चेतावनी दर्ज कराने या क्रेडिट फ़्रीज़ पर विचार करना चाहिए। जिनकी कार्ड संबंधी आंशिक जानकारी प्रभावित हुई हो, उन्हें लेनदेन पर नज़र रखनी चाहिए और किसी भी संदिग्ध गतिविधि की सूचना तुरंत कार्ड जारीकर्ता को देनी चाहिए।

हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण और खाता पुनर्प्राप्ति सेटिंग्स की नियमित समीक्षा ऐसे बुनियादी उपाय हैं जिन्हें हर खाते पर अपनाया जा सकता है और जो मज़बूत सुरक्षा देते हैं। यदि उजागर हुआ ईमेल पता बदला नहीं जा सकता, तो अप्रत्याशित साइन-इन और पासवर्ड रीसेट संदेशों को शुरुआती चेतावनी के संकेत मानें। अपराधी असली पते, फ़ोन नंबर और खरीदारी से जुड़ी जानकारी का इस्तेमाल करके अपने अनुरोधों को वैध दिखा सकते हैं। इसलिए तुरंत कार्रवाई की माँग करने वाले अनुरोधों की पुष्टि किसी अलग, भरोसेमंद माध्यम से करें। जिन उपयोगकर्ताओं की पहचान संबंधी जानकारी प्रभावित हुई हो, उन्हें समय-समय पर क्रेडिट रिपोर्ट पर नज़र रखनी चाहिए। इस्तेमाल में न आने वाले खाते बंद करते समय डेटा मिटाने या उसे कितने समय तक रखा जाएगा, यह स्पष्ट करने का अलग अनुरोध भी करना चाहिए। सेवा संचालकों के लिए आधुनिक पासवर्ड हैशिंग, संवेदनशील पहचान संबंधी जानकारी का एन्क्रिप्शन, अनावश्यक डेटा को मिटाना, परखी हुई घटना-प्रतिक्रिया प्रक्रिया और ग्राहकों को समय पर सूचना देना ऐसे स्थायी सुरक्षा उपाय हैं जो भविष्य के डेटा लीक से होने वाले नुकसान को सीमित करते हैं।

LeakData में अपना ईमेल पता खोजें और देखें कि वह CafePress डेटा लीक के रिकॉर्ड से मेल खाता है या नहीं। केवल उन्हीं पतों की जाँच करें जो आपके हैं या जिनकी जाँच करने की आपको अनुमति है। मिलान मिलने का अर्थ है कि वह पता सत्यापित डेटासेट में मौजूद है। इससे यह साबित नहीं होता कि खाते पर किसी और ने नियंत्रण कर लिया था या सूची में दिए गए हर प्रकार का डेटा आपके व्यक्तिगत रिकॉर्ड में मौजूद था। यदि खोज में कोई परिणाम न मिले, तो भी किसी अन्य भरोसेमंद माध्यम से मिली सुरक्षा सूचना को नज़रअंदाज़ न करें, क्योंकि डेटासेट का दायरा और सत्यापन समय के साथ बदल सकते हैं। मिलान मिलने पर सबसे पहले दोबारा इस्तेमाल किए गए पासवर्ड बदलें। उसके बाद अपने मामले से संबंधित डेटा श्रेणियों के अनुसार पुनर्प्राप्ति सेटिंग्स और वित्तीय गतिविधि की समीक्षा करें।