CashCrate डेटा में सेंध

CashCrate के मामले में सत्यापित डेटा के प्रकार ईमेल पते, नाम, भौतिक पते और पासवर्ड हैं। नाम के साथ ईमेल पता उजागर होने से किसी व्यक्ति को निशाना बनाकर भेजे गए फिशिंग संदेश अधिक विश्वसनीय लग सकते हैं। वहीं, भौतिक पते की जानकारी से जोखिम ऑनलाइन खाते की सुरक्षा तक सीमित नहीं रहता। उपयोगकर्ता के स्थान और सामान की डिलीवरी से जुड़ी परिस्थितियों के आधार पर शिपिंग, पुरस्कार, पुरस्कार ड्रॉ, कर या भुगतान की फ़र्ज़ी सूचनाएँ तैयार की जा सकती हैं। ऐसी जानकारी का इस्तेमाल कई साल बाद भी सोशल इंजीनियरिंग के लिए किया जा सकता है, विशेषकर उन उपयोगकर्ताओं के मामले में जो लंबे समय से एक ही पते पर रह रहे हों।

इस घटना का सबसे गंभीर पहलू यह है कि कुछ पासवर्ड प्लेन टेक्स्ट में हैं, जबकि अन्य कमज़ोर MD5 हैश से जुड़े हैं। प्लेन टेक्स्ट पासवर्ड होने का मतलब है कि हमलावर किसी डिक्रिप्शन प्रक्रिया के बिना ही अलग-अलग सेवाओं में लॉगिन करने की कोशिश कर सकता है। MD5 जैसी कमज़ोर हैश विधियाँ, जिनकी गणना तेज़ी से की जा सकती है, आधुनिक हमले के साधनों से पर्याप्त सुरक्षा भी नहीं देतीं। यदि उपयोगकर्ता ने अपने ईमेल खाते, खरीदारी की वेबसाइट, सोशल मीडिया, भुगतान सेवा या काम से जुड़े खाते में वही पासवर्ड इस्तेमाल किया है, तो CashCrate के अलावा दूसरे खाते भी जोखिम में हो सकते हैं।

इस रिकॉर्ड में सत्यापित प्रभावित खातों की संख्या 68,44,490 है। घटना नवंबर 2016 की मानी जाती है, जबकि डेटा लीक का सार्वजनिक खुलासा 2017 में हुआ था। सत्यापित डेटा की श्रेणियाँ नाम, ईमेल पता, भौतिक पता और पासवर्ड तक सीमित हैं। सार्वजनिक रूप से उपलब्ध जानकारी में यह उल्लेख किया गया है कि कुछ खातों के पासवर्ड प्लेन टेक्स्ट में रखे गए हैं, जबकि नए खातों के लिए MD5 हैश का इस्तेमाल किया गया है। इसलिए पासवर्ड की सुरक्षा का आकलन करते समय दोनों स्थितियों को ध्यान में रखना चाहिए।

इस रिकॉर्ड में फ़ोन नंबर, जन्मतिथि, भुगतान कार्ड, बैंक खाता, आधिकारिक पहचान संख्या या सर्वेक्षण के उत्तर जैसी जानकारी को डेटा की श्रेणियों में शामिल नहीं किया गया है, क्योंकि इनके लिए उतने ही सत्यापित प्रमाण उपलब्ध नहीं हैं। भौतिक पते की जानकारी सत्यापित है, इसलिए उपयोगकर्ता की सुरक्षा के लिहाज़ से इसे जोखिम की एक अलग श्रेणी माना जाना चाहिए। इसके अलावा, प्रभावित खातों की संख्या से यह साबित नहीं होता कि यह प्लेटफ़ॉर्म के अब तक के सभी उपयोगकर्ताओं की संख्या है या डेटा की हर पंक्ति किसी अलग व्यक्ति की है। यहाँ दी गई संख्या सत्यापित खातों के दायरे को दर्शाती है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने CashCrate खाते का पासवर्ड दूसरे प्लेटफ़ॉर्म पर भी इस्तेमाल करते हैं। ईमेल खाते जैसा या उससे मिलता-जुलता पासवर्ड इस्तेमाल करना विशेष रूप से ख़तरनाक है, क्योंकि यदि ईमेल खाते की सुरक्षा भंग हो जाए, तो पासवर्ड रीसेट लिंक के ज़रिए दूसरे खातों तक पहुँच हासिल की जा सकती है। यदि खरीदारी की वेबसाइटों, भुगतान सेवाओं या सोशल मीडिया खातों पर भी वही पासवर्ड इस्तेमाल किया गया है, तो हमलावर सबसे पहले इन्हीं में लॉगिन करने की कोशिश करेगा। यदि भौतिक पता भी लीक हुआ है, तो इससे धोखाधड़ी वाले संदेश उपयोगकर्ता के लिए विशेष रूप से तैयार किए गए लग सकते हैं।

दूसरे जोखिम समूह में वे उपयोगकर्ता हैं जो पुरस्कारों, सर्वेक्षणों, प्रचार प्रस्तावों और शिपिंग से जुड़े संदेशों पर स्वाभाविक रूप से जल्दी प्रतिक्रिया दे सकते हैं। CashCrate जैसे पुरस्कार-आधारित प्लेटफ़ॉर्म के उपयोगकर्ता भुगतान की सूचनाओं, पुरस्कार ड्रॉ के नतीजों, सामान की डिलीवरी या खाते के सत्यापन से जुड़े संदेशों के अभ्यस्त हो सकते हैं। हमलावर फ़र्ज़ी लिंक, हानिकारक फ़ाइलें या व्यक्तिगत जानकारी माँगने वाले फ़ॉर्म भेजकर इस अपेक्षा का फ़ायदा उठा सकते हैं। जब नाम और पते की यही जानकारी अलग-अलग डेटा सेट से मिलाई जाती है, तो उपयोगकर्ता की ऑनलाइन और ऑफ़लाइन गतिविधियों से जुड़ी अधिक विस्तृत प्रोफ़ाइल तैयार हो सकती है।

CashCrate के लिए इस्तेमाल किए गए पासवर्ड को सुरक्षित नहीं माना जाना चाहिए। उपयोगकर्ता को सबसे पहले उन सभी खातों की पहचान करनी चाहिए जिनमें वही पासवर्ड इस्तेमाल किया गया है, और हर खाते के लिए अलग, लंबा तथा अनुमान लगाने में कठिन पासवर्ड बनाना चाहिए। ईमेल खातों, भुगतान सेवाओं, खरीदारी की वेबसाइटों और सोशल मीडिया खातों को विशेष प्राथमिकता देनी चाहिए। एक ही पासवर्ड दोबारा इस्तेमाल करने से बचने के लिए पासवर्ड मैनेजर का उपयोग करना चाहिए। पहले इस्तेमाल किए गए पासवर्ड में मामूली बदलाव करके उसे फिर से इस्तेमाल नहीं करना चाहिए। हमलावर पुराने पासवर्ड के आधार पर बनाए गए नए पासवर्ड भी आज़मा सकते हैं।

ईमेल खाते पर बहु-कारक प्रमाणीकरण सक्षम करना चाहिए और हाल के सत्रों, खाता पुनर्प्राप्ति के लिए दर्ज ईमेल पतों, फ़ोन नंबरों तथा जुड़े हुए ऐप्लिकेशन की जाँच करनी चाहिए। भौतिक पते की जानकारी उजागर होने के कारण माल की डिलीवरी, पुरस्कारों, पुरस्कार ड्रॉ, सर्वेक्षणों के भुगतान या कर रिफ़ंड से जुड़े संदेशों के प्रति सावधानी बरतनी चाहिए। किसी भी प्लेटफ़ॉर्म को ईमेल के ज़रिए उपयोगकर्ता का पासवर्ड नहीं माँगना चाहिए। अप्रत्याशित लिंक सीधे नहीं खोलने चाहिए; उपयोगकर्ता को संबंधित सेवा का पता ब्राउज़र में स्वयं दर्ज करना चाहिए। संदिग्ध भुगतान या शिपिंग सूचनाओं पर आधिकारिक माध्यमों से पुष्टि किए बिना कार्रवाई नहीं करनी चाहिए।

CashCrate की घटना दिखाती है कि पुरस्कार और सर्वेक्षण प्लेटफ़ॉर्म पर रखी गई जानकारी भी बहुत मूल्यवान होती है। लंबे समय तक सुरक्षा बनाए रखने के लिए उपयोगकर्ताओं को हर सेवा के लिए अलग पासवर्ड इस्तेमाल करना चाहिए, ऐसे खाते बंद कर देने चाहिए जिनका अब उपयोग नहीं होता, और प्लेटफ़ॉर्म पर आवश्यकता से अधिक व्यक्तिगत जानकारी नहीं रखनी चाहिए। भौतिक पते जैसी जानकारी केवल तभी साझा करनी चाहिए जब वह वास्तव में ज़रूरी हो। यदि खाता बंद करना संभव न हो, तो प्रोफ़ाइल से अनावश्यक जानकारी हटानी चाहिए और खाते के लिए अलग पासवर्ड इस्तेमाल करना चाहिए। सर्वेक्षण और पुरस्कार सेवाओं के लिए अलग ईमेल पता इस्तेमाल करके उपयोगकर्ता अपने मुख्य ईमेल खाते को बेहतर सुरक्षा दे सकता है।

संगठन की सुरक्षा के लिहाज़ से भी निजी खातों के पासवर्ड का दोबारा इस्तेमाल गंभीरता से लिया जाना चाहिए। कर्मचारियों को निजी प्लेटफ़ॉर्म के पासवर्ड काम से जुड़े खातों पर इस्तेमाल नहीं करने चाहिए। संगठन ऐसी नीतियों से इस जोखिम को कम कर सकते हैं जो बहु-कारक प्रमाणीकरण, जोखिमभरे लॉगिन की पहचान, डेटा लीक में उजागर हुए पासवर्ड की जाँच और पासवर्ड मैनेजर के इस्तेमाल को बढ़ावा दें। उपयोगकर्ता जागरूकता प्रशिक्षण में यह समझाना चाहिए कि खाते की सुरक्षा में कमज़ोर कड़ी केवल बड़े सोशल मीडिया प्लेटफ़ॉर्म पर होने वाले डेटा लीक ही नहीं, बल्कि छोटे दिखने वाले पुरस्कार और सर्वेक्षण प्लेटफ़ॉर्म भी हो सकते हैं।

इस रिकॉर्ड में किसी ईमेल पते का मिलान मिलने से पता चलता है कि वह पता CashCrate डेटा लीक की सत्यापित खाता सूची में मौजूद है। मिलान मिलने का मतलब यह नहीं है कि आज उपयोगकर्ता के सभी खातों की सुरक्षा भंग हो चुकी है। हालाँकि, यदि लीक हुए पासवर्ड का इस्तेमाल कहीं और भी किया गया था, तो जोखिम अब भी बना रह सकता है। पहला कदम है CashCrate के लिए इस्तेमाल किया गया पासवर्ड याद करने की कोशिश करना और उन सभी खातों के पासवर्ड बदलना जहाँ वही पासवर्ड इस्तेमाल हुआ हो सकता है। यदि पासवर्ड याद न आए, तो 2016 में इस्तेमाल किए गए पुराने पासवर्ड के पैटर्न को भी जोखिमपूर्ण माना जाना चाहिए।

उपयोगकर्ताओं को उन संदेशों की अधिक सावधानी से जाँच करनी चाहिए जिनमें उनका नाम, ईमेल पता और भौतिक पता दिया गया हो। असली लगने वाली शिपिंग, पुरस्कार या भुगतान की सूचनाएँ भी फ़र्ज़ी हो सकती हैं। पासवर्ड बदलने के बाद सुरक्षा संबंधी चेतावनियों पर नज़र रखनी चाहिए। यदि अप्रत्याशित लॉगिन की सूचना मिले, तो संबंधित खाते के सभी सत्र बंद कर देने चाहिए। इस घटना का लंबे समय तक रहने वाला प्रभाव मुख्यतः एक ही पासवर्ड को कई जगह इस्तेमाल करने के कारण है। इसलिए केवल एक बार पासवर्ड बदलना पर्याप्त नहीं माना जाना चाहिए, और सभी महत्वपूर्ण खातों पर अलग-अलग पासवर्ड तथा बहु-कारक प्रमाणीकरण के मानक लागू किए जाने चाहिए।