Cannabis.com डेटा में सेंध

जिन डेटा श्रेणियों की पुष्टि हुई है, उनमें जन्मतिथियाँ, ईमेल पते, भौगोलिक स्थान की जानकारी, पुराने पासवर्ड, इंस्टेंट मैसेजिंग ID, IP पते, पासवर्ड, निजी संदेश, उपयोगकर्ता नाम और साइट पर गतिविधि शामिल हैं। इनमें से हर फ़ील्ड अपने आप में जोखिम पैदा कर सकती है। जब ये सभी एक ही समूह के खातों के डेटा में साथ मौजूद हों, तो हमलावरों के लिए लोगों की पहचान करना, उनकी प्रोफ़ाइल तैयार करना और लक्षित फ़िशिंग के तरीके बनाना आसान हो सकता है।

ईमेल पतों और उपयोगकर्ता नामों के ज़रिए अलग-अलग साइटों पर किसी व्यक्ति के खातों का मिलान किया जा सकता है। पासवर्ड और पुराने पासवर्ड वाली फ़ील्ड में मौजूद पासवर्ड दूसरे खातों पर आज़माए जा सकते हैं, इस अनुमान के आधार पर कि उपयोगकर्ता ने अन्य सेवाओं पर भी वही या मिलते-जुलते पासवर्ड चुने होंगे। IP पते और भौगोलिक स्थान की जानकारी से खाताधारक के अनुमानित क्षेत्र या पहले के कनेक्शन के पैटर्न का पता चल सकता है। जन्मतिथि जैसी प्रोफ़ाइल जानकारी से पहचान सत्यापन के सवालों के जवाब का अनुमान लगाना आसान हो सकता है।

निजी संदेश इस घटना के सबसे संवेदनशील हिस्सों में से एक हैं। फ़ोरम पर हुई बातचीत में व्यक्तिगत पसंद, सामाजिक संबंध, व्यावसायिक संपर्क, स्वास्थ्य संबंधी संकेत या ऐसे विचार शामिल हो सकते हैं जिन्हें उपयोगकर्ता ने सार्वजनिक रूप से साझा नहीं किया है। हमलावर इन संदेशों का इस्तेमाल ब्लैकमेल, प्रतिष्ठा को नुकसान पहुँचाने, लक्षित धोखाधड़ी या सोशल इंजीनियरिंग के लिए कर सकते हैं। साइट पर गतिविधि से जुड़े डेटा से यह अतिरिक्त जानकारी भी मिलती है कि कौन-से विषय पढ़े जाते हैं, फ़ोरम के किन हिस्सों में गतिविधि होती है या खाता कितना सक्रिय है।

Cannabis.com की इस घटना की पुष्ट तारीख 5 फ़रवरी 2014 मानी जानी चाहिए। इसे डेटाबेस में 1 जून 2014 को जोड़ा गया था। प्रभावित अलग-अलग खातों की संख्या 2,27,746 है। यह डेटा Cannabis.com के मारिजुआना-विषयक vBulletin फ़ोरम से जुड़ा है और लीक होने के बाद सार्वजनिक रूप से प्रसारित हुआ था। किसी हमलावर समूह को इस घटना के लिए स्पष्ट रूप से ज़िम्मेदार ठहराने की पुष्टि नहीं हुई है, इसलिए इसे अंजाम देने वालों के बारे में जानकारी निश्चित नहीं मानी जाती।

इस घटना के दायरे की सीमा भी महत्वपूर्ण है। यह घटना Cannabis.com फ़ोरम के खातों और फ़ोरम से जुड़े उपयोगकर्ता डेटा से संबंधित है। भुगतान कार्ड, बैंक खातों, पासपोर्ट, आधिकारिक पहचान संख्याओं या सीधे वित्तीय लेनदेन के इतिहास से जुड़े डेटा की पुष्टि नहीं हुई है। डेटा श्रेणियों में निजी संदेश और साइट पर गतिविधि शामिल होने के कारण यह घटना निजता के लिहाज़ से गंभीर है, लेकिन अपुष्ट डेटा श्रेणियों को शामिल करना उपयोगकर्ता को गुमराह करेगा। इसलिए जोखिम का आकलन केवल पुष्ट श्रेणियों के आधार पर किया जाना चाहिए।

डेटा सेट में लगभग दस हज़ार निजी संदेश होने के कारण इसके प्रभाव को केवल खातों की संख्या से नहीं मापा जा सकता। जिन लोगों ने उसी ईमेल पते से दूसरे फ़ोरम या सोशल मीडिया खातों पर पंजीकरण किया है, उनके लिए एक खाते से दूसरे खाते तक जोखिम फैल सकता है। हालाँकि, इसका यह मतलब नहीं है कि Cannabis.com पर आने वाला हर व्यक्ति प्रभावित हुआ है। जोखिम उन उपयोगकर्ताओं तक सीमित है जिनका फ़ोरम पर खाता है और जिनका डेटा लीक हुआ है।

सबसे अधिक जोखिम उन लोगों को है जो 2014 से पहले या उस समय के आसपास Cannabis.com फ़ोरम के सदस्य थे, जिन्होंने अन्य सेवाओं के लिए उसी ईमेल पते का इस्तेमाल किया था और जिन्होंने फ़ोरम का पासवर्ड दूसरे खातों पर भी रखा था। खास तौर पर, पुराने पासवर्ड को दूसरे खातों पर आज़माने से वर्षों बाद भी खातों पर कब्ज़ा करने के प्रयासों का रास्ता खुल सकता है। पासवर्ड में मामूली बदलाव करके उनका दोबारा इस्तेमाल करने वाले लोगों को भी इसी तरह का जोखिम रहता है।

फ़ोरम पर अपना असली नाम, स्थान, जन्मतिथि या इंस्टेंट मैसेजिंग खाता साझा करने वाले उपयोगकर्ताओं के फ़ोरम खाते को उनकी वास्तविक पहचान से जोड़ने का जोखिम अधिक होता है। जो लोग काम, परिवार, स्वास्थ्य, कानूनी स्थिति या व्यक्तिगत पसंद के कारण अपनी फ़ोरम सदस्यता सार्वजनिक नहीं होने देना चाहते, उन्हें प्रतिष्ठा और निजता से जुड़े जोखिमों का सामना करना पड़ सकता है। अगर निजी संदेशों में फ़ोन नंबर, पते, कामकाजी संबंध, खरीदारी के इरादे या अन्य व्यक्तिगत विवरण शामिल हैं, तो जोखिम फ़ोरम खाते से आगे तक फैल जाता है।

कंपनी के ईमेल पते से पंजीकरण करने वाले उपयोगकर्ताओं के लिए एक अतिरिक्त जोखिम यह है कि फ़ोरम पर उनकी गतिविधि को उनके कार्यस्थल की पहचान से जोड़ा जा सकता है। इससे हमलावर अधिक विश्वसनीय लगने वाले फ़िशिंग संदेश तैयार कर सकते हैं। अगर अलग-अलग प्लेटफ़ॉर्म पर उपयोगकर्ता नाम एक ही है, तो फ़ोरम के डेटा का मिलान सोशल मीडिया, मैसेजिंग खातों या अन्य समुदायों की प्रोफ़ाइल से किया जा सकता है।

अगर Cannabis.com खाते से जुड़ा ईमेल पता अब भी इस्तेमाल में है, तो सबसे पहले उन सभी खातों के पासवर्ड बदलने चाहिए जिन पर वही या मिलते-जुलते पासवर्ड इस्तेमाल किए गए हैं। हर सेवा के लिए अलग, लंबा और बेतरतीब पासवर्ड चुना जाना चाहिए। जहाँ संभव हो, खातों पर दो-कारक प्रमाणीकरण चालू करना चाहिए। भले ही पुराने फ़ोरम का पासवर्ड आज सक्रिय न दिखे, लेकिन अगर उसे पहले दूसरे खातों पर इस्तेमाल किया गया था, तो जोखिम बना रहता है।

ईमेल खाते को भी सुरक्षित करना चाहिए, क्योंकि लीक हुई फ़ोरम जानकारी का इस्तेमाल अक्सर ईमेल खाते को निशाना बनाने वाले फ़िशिंग प्रयासों में किया जाता है। उपयोगकर्ता को Cannabis.com या फ़ोरम के इतिहास का ज़िक्र करने वाले संदेशों के प्रति सतर्क रहना चाहिए, उनमें दिए गए लिंक पर सीधे क्लिक नहीं करना चाहिए और पासवर्ड रीसेट करने की सूचनाओं को ध्यान से जाँचना चाहिए। अप्रत्याशित लॉगिन अलर्ट, नए डिवाइस की सूचनाओं और संदिग्ध सत्रों की जाँच सुरक्षा सेटिंग के ज़रिए करनी चाहिए।

अगर निजी संदेशों में व्यक्तिगत जानकारी साझा की गई है, तो केवल पासवर्ड बदलने से जोखिम खत्म नहीं होता। उपयोगकर्ता को संदेशों में उल्लिखित अन्य लोगों, खातों या संचार माध्यमों की समीक्षा करनी चाहिए। जो फ़ोन नंबर, पते, उपयोगकर्ता नाम या सोशल मीडिया संबंधी जानकारी उजागर हुई हो सकती है, उनकी निजता सेटिंग अधिक कड़ी करनी चाहिए। अगर दूसरे प्लेटफ़ॉर्म पर भी वही उपयोगकर्ता नाम इस्तेमाल होता है, तो खोज में दिखाई देने और प्रोफ़ाइल की दृश्यता को सीमित करना उपयोगी है।

फ़ोरम में हुई इस तरह की पुरानी डेटा सेंध का इस्तेमाल डेटा ऑनलाइन जारी होने के वर्षों बाद भी फ़िशिंग और खातों पर कब्ज़ा करने के प्रयासों में किया जा सकता है। इसलिए उपयोगकर्ताओं को केवल उन खातों का आकलन नहीं करना चाहिए जो घटना के समय उनके पास थे, बल्कि उन सभी महत्वपूर्ण खातों का भी करना चाहिए जो उन्होंने वर्षों के दौरान उसी ईमेल पते से खोले हैं। पासवर्ड मैनेजर का इस्तेमाल करना, हर खाते के लिए अलग पासवर्ड बनाना और संग्रहित रिकॉर्ड से पुराने पासवर्ड पूरी तरह हटाना दीर्घकालिक सुरक्षा के लिए महत्वपूर्ण हैं।

व्यक्तिगत जानकारी के मामले में सबसे उचित रणनीति फ़ोरम और सामुदायिक साइटों पर कम से कम डेटा साझा करना है। जन्मतिथि, स्थान, इंस्टेंट मैसेजिंग ID और असली नाम जैसी फ़ील्ड अनिवार्य न हों, तो उन्हें खाली छोड़ना चाहिए या उनकी दृश्यता सीमित करनी चाहिए। उपयोगकर्ता नाम का चयन भी महत्वपूर्ण है। कई साइटों पर एक ही उपयोगकर्ता नाम इस्तेमाल करने से अलग-अलग डेटा सेट को जोड़ना आसान हो जाता है।

कंपनियों को यह नहीं भूलना चाहिए कि पुराने फ़ोरम डेटा लीक के कारण कर्मचारियों को भी निशाना बनाया जा सकता है। सुरक्षा टीमों को कर्मचारियों के ईमेल पतों से जुड़े पुराने पासवर्ड के दोबारा इस्तेमाल को कम करना चाहिए, बहु-कारक प्रमाणीकरण को बढ़ावा देना चाहिए और ऐसे फ़िशिंग तरीकों के प्रति जागरूकता प्रशिक्षण देना चाहिए जिनमें संवेदनशील समुदायों की सदस्यता से जुड़ी जानकारी का इस्तेमाल होता है। पुरानी डेटा सेंध से मिला डेटा नए हमलों में इस्तेमाल किया जा सकता है, इसलिए निगरानी और पासवर्ड संबंधी सुरक्षित तौर-तरीकों को लगातार बनाए रखना ज़रूरी है।

जो उपयोगकर्ता यह जानना चाहता है कि वह Cannabis.com डेटा लीक से प्रभावित हुआ था या नहीं, उसे किसी भरोसेमंद सत्यापन स्क्रीन पर अपना ईमेल पता जाँचना चाहिए। अगर परिणाम सकारात्मक है, तो इसका यह मतलब ज़रूरी नहीं है कि उपयोगकर्ता का Cannabis.com खाता इस समय सक्रिय है। यह बताता है कि ईमेल पता 2014 के फ़ोरम डेटा में मौजूद था। फिर भी, अगर पुराने पासवर्ड और उपयोगकर्ता नाम का इस्तेमाल अन्य सेवाओं पर किया गया था, तो तुरंत सुरक्षा उपाय करने की ज़रूरत है।

अगर परिणाम नकारात्मक है, तो इस बात को नज़रअंदाज़ नहीं करना चाहिए कि उसी व्यक्ति ने अलग-अलग ईमेल पतों से पंजीकरण किया हो सकता है। पुराने व्यक्तिगत ईमेल पतों, काम के ईमेल पतों और छद्म नामों से खोले गए खातों की अलग-अलग जाँच करनी चाहिए। सकारात्मक परिणाम पाने वाले उपयोगकर्ताओं को पासवर्ड बदलने के बाद खाता पुनर्प्राप्ति के लिए दिए गए ईमेल पतों, सुरक्षा प्रश्नों और जुड़े हुए डिवाइस की भी समीक्षा करनी चाहिए।

Cannabis.com के डेटा में सेंध दिखाती है कि संवेदनशील समुदायों में इस्तेमाल किए जाने वाले खातों को सामान्य फ़ोरम खाते नहीं समझना चाहिए। ईमेल, पासवर्ड, IP पते और निजी संदेशों का एक साथ मौजूद होना वास्तविक पहचान से जुड़ाव, सामाजिक दबाव, लक्षित फ़िशिंग और खातों पर कब्ज़े का लगातार जोखिम पैदा करता है। सबसे प्रभावी तरीका है लीक हुए पासवर्ड का इस्तेमाल पूरी तरह बंद करना, उसी ईमेल पते से जुड़े महत्वपूर्ण खातों की सुरक्षा मज़बूत करना और दोबारा आकलन करना कि निजी संदेशों में शामिल व्यक्तिगत जानकारी से आज भी कोई जोखिम है या नहीं।