Catho: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, नाम, उपयोगकर्ता नाम और पासवर्ड शामिल हैं। सबसे संवेदनशील फ़ील्ड पासवर्ड की जानकारी है, क्योंकि सादे टेक्स्ट में लिखे पासवर्ड को क्रैक करने की किसी अतिरिक्त प्रक्रिया के बिना दूसरी सेवाओं पर आज़माया जा सकता है। यदि किसी उपयोगकर्ता ने अलग-अलग खातों में एक ही या मिलता-जुलता पासवर्ड इस्तेमाल किया है, तो एक लीक से ईमेल खातों, सोशल मीडिया प्रोफ़ाइल, नौकरी की तलाश वाले खातों, वित्तीय सेवाओं या कंपनी की आंतरिक प्रणालियों तक जोखिम की शृंखला बन सकती है। वहीं, ईमेल पते और उपयोगकर्ता नाम हमलावरों को खाते खोजने, स्वचालित तरीके से लॉगिन के प्रयास करने और पासवर्ड रीसेट प्रक्रियाओं को निशाना बनाने का अवसर देते हैं।

केवल नाम की जानकारी बहुत गोपनीय नहीं लग सकती; लेकिन ईमेल पते और उपयोगकर्ता नाम के साथ जुड़ने पर यह किसी व्यक्ति के लिए खास तौर पर तैयार किए गए संदेश बनाने के लिए पर्याप्त संदर्भ देती है। विशेष रूप से नौकरी विज्ञापन वाले प्लेटफ़ॉर्म के उपयोगकर्ता नौकरी के प्रस्ताव, बायोडाटा अपडेट, कंपनियों के निमंत्रण या इंटरव्यू का समय तय करने जैसे विषयों पर स्वाभाविक रूप से अधिक ध्यान देते हैं। इसलिए लीक हुए फ़ील्ड का इस्तेमाल लक्षित फ़िशिंग, नकली नौकरी विज्ञापनों, दुर्भावनापूर्ण फ़ाइलों वाले आवेदन फ़ॉर्म और खाता सत्यापन के नाम पर भेजे गए लिंक के लिए किया जा सकता है। पासवर्ड सादे टेक्स्ट में होने से जोखिम बढ़ जाता है, क्योंकि हमलावर सीधे यह भी देख सकता है कि उपयोगकर्ता किस पासवर्ड को तरजीह देता है।

इस रिकॉर्ड के लिए सत्यापित प्रभावित खातों की संख्या 11,73,012 है, जो अलग-अलग ईमेल पतों पर आधारित है। यह भी बताया गया है कि घटना से जुड़े डेटासेट में लगभग 1.1 करोड़ रिकॉर्ड हैं; हालाँकि, इस बड़ी संख्या को अलग-अलग उपयोगकर्ताओं की संख्या नहीं मानना चाहिए। सार्वजनिक रूप से पुष्टि की गई जाँचों में लीक हुए फ़ील्ड के रूप में नाम, उपयोगकर्ता नाम, ईमेल पता और सादे टेक्स्ट में लिखा पासवर्ड सूचीबद्ध किए गए हैं। फ़ोन नंबर, भौतिक पता, पहचान संख्या, भुगतान कार्ड, बैंक की जानकारी या बायोडाटा की सामग्री जैसे फ़ील्ड के लिए उसी स्तर के सत्यापित साक्ष्य नहीं हैं, इसलिए इस रिकॉर्ड में ऐसी डेटा श्रेणियाँ शामिल नहीं हैं।

घटना का समय लगभग मार्च 2020 दर्ज किया गया है। बताया गया है कि बाद में इस डेटासेट को अन्य डेटा उल्लंघनों से जुड़े डेटासेट के साथ बिक्री के लिए रखा गया था। यह समयक्रम संकेत देता है कि उपयोगकर्ताओं को लीक का तुरंत पता न चला हो और तीसरे पक्ष लंबे समय तक पासवर्ड आज़माते रहे हों। इसलिए, भले ही Catho का खाता बाद में बंद कर दिया गया हो, दूसरे खातों में वही पासवर्ड इस्तेमाल किए जाने पर जोखिम बना रहता है। दायरे का आकलन करते समय दोहराई गई पंक्तियों और अलग-अलग ईमेल पतों की संख्या के बीच अंतर बनाए रखना चाहिए। उपयोगकर्ता को वास्तविकता से अधिक व्यापक या असत्यापित प्रभाव का आभास नहीं दिया जाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने Catho पर खाता बनाया है और दूसरी सेवाओं पर भी वही पासवर्ड इस्तेमाल किया है। इन उपयोगकर्ताओं के खातों पर कब्ज़ा होने की संभावना अन्य डेटा उल्लंघनों की तुलना में अधिक है, क्योंकि हमलावर के पास सीधे ऐसा पासवर्ड होता है जिसे आज़माया जा सकता है। नौकरी की तलाश कर रहे उपयोगकर्ता नकली भर्ती संदेशों के झाँसे में भी अधिक आसानी से आ सकते हैं, क्योंकि वास्तविक करियर अवसर और दुर्भावनापूर्ण लिंक के बीच अंतर करना हमेशा आसान नहीं होता। नाम, ईमेल और प्लेटफ़ॉर्म से जुड़ा संदर्भ एक साथ उपलब्ध होने पर संदेश अधिक व्यक्तिगत और विश्वसनीय लग सकते हैं।

दूसरा जोखिम समूह उन लोगों का है जो अपने Catho खाते के ईमेल पते को काम के ईमेल, शैक्षणिक संस्थान के खाते या लंबे समय से इस्तेमाल किए जा रहे निजी खाते के रूप में भी उपयोग करते हैं। ऐसे पतों को सामाजिक संपर्कों, काम के इतिहास और अन्य ऑनलाइन खातों से जोड़ा जा सकता है। उपयोगकर्ता नाम लीक होने पर अलग-अलग प्लेटफ़ॉर्म पर उसी उपनाम की खोज भी की जा सकती है। कंपनी की सुरक्षा टीमों के दृष्टिकोण से, यदि कर्मचारी कंपनी के खातों में अपने निजी नौकरी खोज खातों जैसे पासवर्ड इस्तेमाल करते हैं, तो जोखिम बढ़ जाता है। इसलिए केवल Catho खाते की नहीं, बल्कि उन्हीं लॉगिन विवरणों से जुड़े सभी खातों की समीक्षा करना आवश्यक है।

Catho खाते में इस्तेमाल किए गए पासवर्ड को अब सुरक्षित नहीं मानना चाहिए। उपयोगकर्ता को पहले Catho पर, और फिर उन सभी खातों में जहाँ वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, अलग और मज़बूत पासवर्ड तय करने चाहिए। यदि याद नहीं है कि एक ही पासवर्ड कई जगह इस्तेमाल किया गया था या नहीं, तो पहले ईमेल खातों, सोशल मीडिया खातों, नौकरी खोजने की साइटों, क्लाउड स्टोरेज सेवाओं और वित्तीय खातों की जाँच करनी चाहिए। पासवर्ड मैनेजर का इस्तेमाल करने से हर सेवा के लिए अलग और लंबा पासवर्ड बनाना आसान हो जाता है।

ईमेल खाते में बहु-कारक प्रमाणीकरण सक्षम करना चाहिए और हाल के लॉगिन तथा जुड़े हुए एप्लिकेशन की समीक्षा करनी चाहिए। संदिग्ध सत्र बंद कर देने चाहिए और अनजान फ़ॉरवर्डिंग नियम, खाता रिकवरी के लिए दर्ज ईमेल पते और फ़ोन नंबर हटा देने चाहिए। Catho या नौकरी की तलाश के संदर्भ में आए संदेशों के अटैचमेंट और लिंक की सावधानी से जाँच करनी चाहिए। भुगतान की माँग करने वाले नौकरी के प्रस्ताव, निजी दस्तावेज़ माँगने वाले फ़ॉर्म, जल्द भर्ती का वादा करने वाले संदेश और खाता सत्यापन के बहाने पासवर्ड माँगने वाले पृष्ठ उच्च जोखिम वाले माने जाने चाहिए।

यह घटना दिखाती है कि नौकरी खोजने के प्लेटफ़ॉर्म पर इस्तेमाल होने वाले खातों में भी पहचान से जुड़ी महत्वपूर्ण जानकारी होती है। लंबी अवधि में हर प्लेटफ़ॉर्म के लिए अलग पासवर्ड इस्तेमाल करना बुनियादी नियम होना चाहिए। भर्ती और करियर से जुड़े खातों के लिए सार्वजनिक रूप से उपलब्ध ईमेल पते के बजाय अलग पता चुनकर उपयोगकर्ता जोखिम सीमित कर सकते हैं। पुराने नौकरी खोज खातों की नियमित जाँच करनी चाहिए, इस्तेमाल न होने वाले खाते बंद कर देने चाहिए और प्रोफ़ाइल से वह जानकारी हटा देनी चाहिए जिसे बनाए रखना ज़रूरी नहीं है। इससे भविष्य की किसी घटना में उजागर हो सकने वाले डेटा की मात्रा कम होती है।

कंपनियों के दृष्टिकोण से, कर्मचारी जागरूकता प्रशिक्षण में स्पष्ट रूप से समझाया जाना चाहिए कि निजी खातों के पासवर्ड दोबारा इस्तेमाल करने से कंपनी के लिए जोखिम पैदा हो सकते हैं। कंपनी के खातों पर बहु-कारक प्रमाणीकरण, संदिग्ध लॉगिन की निगरानी, पासवर्ड के दोबारा इस्तेमाल को कम करने वाली नीतियाँ और फ़िशिंग से बचाव मज़बूत करने वाले नियंत्रण लागू किए जाने चाहिए। भले ही उपयोगकर्ताओं को निजी और काम के खातों पर एक ही पैटर्न के पासवर्ड इस्तेमाल करने से रोका न जा सके, शुरुआती चेतावनी और तेज़ी से पासवर्ड बदलने की प्रक्रियाएँ नुकसान कम कर सकती हैं। सुरक्षा टीमों की निगरानी में नौकरी की तलाश से जुड़े धोखाधड़ी वाले संदेशों को भी शामिल करना चाहिए।

इस रिकॉर्ड में दिखने वाला मिलान बताता है कि संबंधित ईमेल पता Catho डेटा उल्लंघन से जुड़ी अलग-अलग ईमेल पतों की सूची में शामिल है। मिलान का मतलब यह नहीं है कि उपयोगकर्ता के सभी खातों की सुरक्षा भंग हो चुकी है; हालाँकि, यह मानकर चलना चाहिए कि लीक हुए पासवर्ड को दूसरी सेवाओं पर आज़माया गया हो सकता है। प्राथमिकता उन खातों के पासवर्ड बदलने की है जिनमें वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, और ईमेल खाते की सुरक्षा मज़बूत करने की है। ईमेल खाता सुरक्षित होने तक दूसरे खातों को सुरक्षित नहीं माना जा सकता, क्योंकि पासवर्ड रीसेट लिंक आमतौर पर ईमेल पर ही आते हैं।

उपयोगकर्ताओं को पुराने संदेशों, पासवर्ड रिकॉर्ड और Catho से जुड़े उसी समय के दौरान इस्तेमाल किए गए खातों की जाँच करनी चाहिए। संदिग्ध लॉगिन अलर्ट, अप्रत्याशित पासवर्ड रीसेट ईमेल या नौकरी के प्रस्ताव जैसे दिखने वाले लिंक को गंभीरता से लेना चाहिए। हालाँकि इस घटना का सत्यापित दायरा सीमित है, सादे टेक्स्ट में लिखे पासवर्ड शामिल होने के कारण इसका प्रभाव लंबे समय तक रह सकता है। सबसे सुरक्षित तरीका यह सुनिश्चित करना है कि लीक हुआ पासवर्ड अब कहीं भी इस्तेमाल न हो, बहु-कारक प्रमाणीकरण सक्षम किया जाए और नौकरी की तलाश से जुड़े संदेशों के प्रति अधिक सावधानी बरती जाए।