Canva: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, भौगोलिक स्थान की जानकारी, नाम, पासवर्ड और उपयोगकर्ता नाम शामिल हैं। जो खाते सोशल लॉगिन का इस्तेमाल नहीं करते, उनके पासवर्ड bcrypt हैश मानों से जुड़े हैं। हालांकि bcrypt को पासवर्ड सहेजने के पुराने और तेज़ तरीकों की तुलना में अधिक सुरक्षित माना जाता है, फिर भी कमज़ोर पासवर्ड या अन्य सेवाओं पर दोबारा इस्तेमाल किए गए पासवर्ड से जुड़ा जोखिम बना रहता है। ईमेल पते, उपयोगकर्ता नाम और नाम का संयोजन हमलावरों को अलग-अलग प्लेटफ़ॉर्म पर किसी उपयोगकर्ता के खातों का आपस में मिलान करने में मदद कर सकता है। स्थान की जानकारी का इस्तेमाल फ़र्ज़ी सहायता संदेशों, क्षेत्रीय अभियान से जुड़ी धोखाधड़ी या व्यक्ति को ध्यान में रखकर तैयार किए गए फ़िशिंग प्रयासों में भी हो सकता है। इसलिए इस घटना को केवल डिज़ाइन खाते की समस्या नहीं मानना चाहिए; यदि वही ईमेल पता या पासवर्ड अन्य खातों में भी इस्तेमाल किया गया है, तो अधिक खातों पर अनधिकृत नियंत्रण का जोखिम पैदा होता है।

Canva की इस घटना में सत्यापित खातों की संख्या 13,72,72,116 है। डेटा उल्लंघन की मुख्य तारीख 24 मई 2019, रिकॉर्ड के सत्यापित रूप से जोड़े जाने की तारीख 9 अगस्त 2019 और स्रोत के अंतिम अपडेट की तारीख भी 9 अगस्त 2019 मानी जानी चाहिए। डेटा फ़ील्ड ईमेल पते, भौगोलिक स्थान की जानकारी, नाम, पासवर्ड और उपयोगकर्ता नाम तक सीमित हैं। खाते की सुरक्षा से जुड़े इस विशिष्ट रिकॉर्ड की सत्यापित डेटा श्रेणियों में डिज़ाइन फ़ाइलें, भुगतान कार्ड की जानकारी, टीम की निजी सामग्री, आधिकारिक पहचान दस्तावेज़ या कॉर्पोरेट अनुबंध का डेटा शामिल नहीं हैं। कुछ Bcrypt पासवर्ड हैश को अलग से क्रैक करके बाद में साझा किया जाना एक अतिरिक्त जोखिम कारक है; हालांकि, उपयोगकर्ता को दिखाया जाने वाला मुख्य डेटा फ़ील्ड अब भी पासवर्ड ही माना जाना चाहिए। ये सीमाएँ उपयोगकर्ता को जोखिम की यथार्थपरक और स्पष्ट तस्वीर देती हैं।

सबसे अधिक जोखिम उन लोगों को है जो अपने Canva खाते का ईमेल पता और उससे मिलता-जुलता पासवर्ड अन्य सेवाओं पर इस्तेमाल करते हैं। डिज़ाइनर, सोशल मीडिया प्रबंधक, शिक्षक, विद्यार्थी, मार्केटिंग टीमें और ब्रांड खातों का प्रबंधन करने वाले कर्मचारी उन समूहों में हैं जिन्हें प्राथमिकता देनी चाहिए। यदि Canva खाता कामकाज वाले ईमेल पते से खोला गया था, तो हमलावर इस पते को कंपनी के नाम, उपयोगकर्ता नाम और स्थान की जानकारी के साथ जोड़कर अधिक विश्वसनीय लगने वाले संदेश भेज सकते हैं। यदि वही उपयोगकर्ता नाम पोर्टफ़ोलियो साइटों, सोशल नेटवर्क या कामकाज के टूल पर भी मौजूद है, तो खातों का आपस में मिलान किए जाने का जोखिम बढ़ जाता है। पुराने Canva खाते भी महत्वपूर्ण हैं, क्योंकि पहले इस्तेमाल किए गए पासवर्ड अब भी अन्य सेवाओं पर मान्य हो सकते हैं। जिन उपयोगकर्ताओं की टीम खातों तक पहुँच है, उनके लिए एक ही पासवर्ड का दोबारा इस्तेमाल न केवल व्यक्तिगत खाते, बल्कि ब्रांड की साझा सामग्री को भी जोखिम में डाल सकता है।

प्रभावित उपयोगकर्ता को सबसे पहले अपने Canva खाते का पासवर्ड बदलकर ऐसा मज़बूत पासवर्ड रखना चाहिए जो किसी अन्य सेवा पर इस्तेमाल न हो। यदि वही या उससे मिलता-जुलता पासवर्ड अन्य सेवाओं पर इस्तेमाल किया गया है, तो पासवर्ड बदलते समय ईमेल खातों, सोशल मीडिया प्रोफ़ाइलों, क्लाउड स्टोरेज, सहयोग के टूल, विज्ञापन खातों और भुगतान से जुड़ी सेवाओं को प्राथमिकता देनी चाहिए। पासवर्ड मैनेजर की मदद से हर सेवा के लिए अलग पासवर्ड चुनना चाहिए और जहाँ संभव हो, खातों पर बहु-चरणीय सत्यापन चालू करना चाहिए। जो सूचना संदेश Canva या डिज़ाइन टीम की ओर से भेजे गए लगते हैं, उनमें दिए गए लिंक पर क्लिक करने से पहले पते की जाँच करनी चाहिए। फ़र्ज़ी टेम्पलेट साझा करने वाले संदेशों, ब्रांड फ़ाइलों के निमंत्रणों, इनवॉइस, टीम में शामिल होने के निमंत्रणों या खाता निलंबित करने की बात कहने वाले ईमेल की सावधानी से जाँच करनी चाहिए। कॉर्पोरेट टीमों में प्रशासक खातों के सत्रों, जुड़े हुए ऐप्लिकेशन और टीम की सदस्यताओं की भी जाँच करनी चाहिए।

लंबे समय में, डिज़ाइन और सामग्री तैयार करने वाले प्लेटफ़ॉर्म की सुरक्षा पर भी उतना ही ध्यान देना चाहिए जितना मुख्य ईमेल और वित्तीय खातों की सुरक्षा पर दिया जाता है। हर सेवा के लिए अलग पासवर्ड इस्तेमाल करने से किसी एक डेटा उल्लंघन से होने वाले नुकसान को सीमित किया जा सकता है। टीम खातों के लिए भूमिका के आधार पर पहुँच देने को प्राथमिकता देनी चाहिए, संगठन छोड़ चुके कर्मचारियों की अनुमतियाँ हटा देनी चाहिए और साझा पासवर्ड के इस्तेमाल की अनुमति नहीं देनी चाहिए। कॉर्पोरेट ब्रांडों के लिए डिज़ाइन फ़ाइलों, सोशल मीडिया खातों और विज्ञापन डैशबोर्ड को एक ही सुरक्षा शृंखला का हिस्सा मानना चाहिए। उपयोगकर्ताओं को पुराने Canva खातों और उसी ईमेल पते से बनाए गए अन्य रचनात्मक टूल के खातों की नियमित समीक्षा करनी चाहिए। पासवर्ड मैनेजर, बहु-चरणीय सत्यापन, सत्रों की निगरानी और टीम की पहुँच पर नज़र रखने को सुरक्षा की स्थायी आदत बनाना चाहिए।

जब LeakData पर Canva का परिणाम दिखाई देता है, तो इसका अर्थ है कि ईमेल पता 2019 के Canva खाता डेटा सेट में शामिल है। यह परिणाम इस बात का प्रमाण नहीं है कि उपयोगकर्ता की डिज़ाइन फ़ाइलें या भुगतान संबंधी जानकारी की सुरक्षा भंग हुई है; यह सत्यापित जोखिम प्रोफ़ाइल और खाते की सुरक्षा से जुड़े फ़ील्ड तक सीमित है। उपयोगकर्ता को पहले अपने Canva खाते की जाँच करनी चाहिए और फिर उसी अवधि में इस्तेमाल किए गए पासवर्ड तथा उसी ईमेल पते से खोले गए महत्वपूर्ण खातों की जाँच करनी चाहिए। ईमेल खाते, सोशल मीडिया, ब्रांड डैशबोर्ड, क्लाउड स्टोरेज और टीम के सहयोग टूल की जाँच पहले करनी चाहिए। घटना की मुख्य अवधि मई 2019 है और रिकॉर्ड के सत्यापित रूप से जोड़े जाने की तारीख अगस्त 2019 है। यह समयरेखा ‘खाते की सुरक्षा’ स्क्रीन पर घटना को गलती से हाल की घटना के रूप में पहचाने जाने से रोकती है और उपयोगकर्ता को सही प्राथमिकता क्रम देती है।