Chegg: डेटा में सेंध

Chegg से लीक हुए डेटा में जिन प्रमुख प्रकारों की पुष्टि हुई है, वे हैं ईमेल पते, नाम, उपयोगकर्ता नाम, पासवर्ड, फ़ोन नंबर और डाक पते। अकेला ईमेल पता भी फ़िशिंग और खातों में प्रवेश की जाँच करने वाले हमलों के लिए उपयोगी संकेतक है। उपयोगकर्ता नाम और वास्तविक नाम की जानकारी से ऐसे हमलों को व्यक्ति के अनुरूप ढाला जा सकता है। जिन खातों में डाक पता या फ़ोन नंबर मौजूद है, उनके लिए हमलावर अधिक विश्वसनीय लगने वाली सूचनाएँ, डिलीवरी के बहाने भेजे गए नकली संदेश या सहायता केंद्र का प्रतिनिधि बनकर किए जाने वाले कॉल तैयार कर सकते हैं।

सबसे अहम पहलू पासवर्ड हैश हैं। कमज़ोर MD5 विधि का सॉल्ट के बिना इस्तेमाल किए जाने के कारण पासवर्ड तोड़ने की संभावना विशेष रूप से अधिक है, खासकर जब पासवर्ड छोटा हो, शब्दकोश के शब्दों पर आधारित हो या दोबारा इस्तेमाल किया गया हो। यदि किसी छात्र या पूर्व छात्र ने अपने ईमेल खाते, स्कूल पोर्टल, फ़ाइल संग्रहण सेवा या भुगतान खाते में वही पासवर्ड इस्तेमाल किया था, तो जोखिम Chegg खाते तक सीमित नहीं रहता। इसलिए Chegg में डेटा सेंध को केवल शिक्षा से जुड़े किसी पुराने खाते की घटना नहीं, बल्कि पहचान की सुरक्षा से जुड़ा व्यापक जोखिम माना जाना चाहिए, जो पासवर्ड के दोबारा इस्तेमाल और खाता पुनर्प्राप्ति के लिए पूछे जाने वाले प्रश्नों को भी प्रभावित कर सकता है।

घटना का समय अप्रैल 2018 के अंत का होने की पुष्टि हुई है। Chegg के अनुसार, इसका प्रभाव लगभग 4 करोड़ सक्रिय और पूर्व उपयोगकर्ताओं तक हो सकता था। जाँच के लिए इस्तेमाल किए गए सत्यापित डेटा-समूह में 3,97,21,127 खाते हैं। इस अंतर के कारणों में रिपोर्ट में शामिल करने के अलग-अलग मानदंड, दोहराई गई प्रविष्टियों को हटाना, सत्यापित किए जा सकने वाले खातों का दायरा और लीक हुए डेटा-समूह का वह हिस्सा शामिल हो सकते हैं जिसे बाद में सत्यापित किया गया। इस पेज पर दिखाई गई संख्या उन सत्यापित रिकॉर्ड को दर्शाती है जिनका मिलान उपयोगकर्ताओं की ‘खाते की सुरक्षा’ की जाँच में हुआ है।

डेटा फ़ील्ड के मुख्य स्वीकृत दायरे में नाम, ईमेल, उपयोगकर्ता नाम, पासवर्ड हैश, डाक पता और फ़ोन नंबर शामिल हैं। अतिरिक्त आधिकारिक समीक्षाओं में छात्रवृत्ति आवेदन प्रक्रिया के दौरान कुछ उपयोगकर्ता समूहों के लिए जन्मतिथि, माता-पिता की आय की सीमा, धार्मिक संप्रदाय, जातीय मूल, यौन अभिविन्यास और दिव्यांगता जैसे संवेदनशील फ़ील्ड का भी उल्लेख किया गया है। हालांकि, इस पेज पर सूचीबद्ध मुख्य डेटा श्रेणियाँ केवल उन फ़ील्ड तक सीमित हैं जिनकी सत्यापित खातों के समूह में नियमित रूप से निगरानी की जाती है। इससे यह सुनिश्चित होता है कि उपयोगकर्ता को ज़रूरत से ज़्यादा या अपुष्ट फ़ील्ड न दिखाए जाएँ।

Chegg खाते वाले छात्र, पूर्व छात्र, शिक्षक, पाठ्यक्रम से जुड़ी सहायता लेने वाले उपयोगकर्ता और स्कूल या कामकाज के खातों के लिए उसी ईमेल पते का इस्तेमाल करने वाले लोग प्रमुख जोखिम समूह में आते हैं। Chegg का इस्तेमाल पाठ्यपुस्तकें किराए पर लेने, पढ़ाई में सहायता, लेखन और उद्धरण संबंधी सेवाओं के लिए किया जाता है। इसलिए इससे लीक हुआ डेटा नकली संदेश तैयार करने के लिए अनुकूल आधार बन सकता है, खासकर पढ़ाई के सत्रों, छात्रवृत्ति आवेदन, खाता नवीनीकरण और छात्रों को मिलने वाली छूट के समय।

पासवर्ड दोबारा इस्तेमाल करने वाले उपयोगकर्ताओं को भी अधिक जोखिम है। यदि बिना सॉल्ट वाले MD5 हैश तोड़ लिए जाते हैं, तो हमलावर अलग-अलग साइटों पर उसी ईमेल और पासवर्ड के संयोजन को आज़मा सकते हैं। जिन लोगों के फ़ोन नंबर या पते की जानकारी मौजूद है, उन्हें भेजे जाने वाले धोखाधड़ी के संदेश अधिक वास्तविक लग सकते हैं। जिन्होंने किसी पारिवारिक ईमेल पते, स्कूल खाते या कामकाज के खाते से Chegg पर पंजीकरण किया था, उनके लिए असर का दायरा और व्यापक है। ऐसा इसलिए है क्योंकि शिक्षा से जुड़े खाते के माध्यम से दूसरे व्यक्तिगत खातों, क्लाउड फ़ाइलों या कॉर्पोरेट सेवाओं तक पहुँचने का प्रयास किया जा सकता है।

उन सभी खातों के पासवर्ड तुरंत बदलने चाहिए जिनमें Chegg वाला या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। हर सेवा के लिए नया पासवर्ड अलग होना चाहिए, पासवर्ड मैनेजर से बनाया जाना चाहिए और पहले किसी अन्य खाते में इस्तेमाल न किया गया हो। सबसे पहले ईमेल खाते, स्कूल पोर्टल, फ़ाइल संग्रहण सेवा, सोशल मीडिया खाते और भुगतान खाते की जाँच करनी चाहिए। हमलावर आम तौर पर पहले ईमेल खाते को और फिर दूसरे खातों की पुनर्प्राप्ति प्रक्रियाओं को निशाना बनाते हैं।

बहु-कारक प्रमाणीकरण सक्षम करना चाहिए और खाता पुनर्प्राप्ति के लिए दर्ज ईमेल पतों तथा फ़ोन नंबरों की समीक्षा करनी चाहिए। Chegg, पाठ्यक्रम से जुड़ी सहायता, छात्रवृत्ति के अवसरों, बिल के रिफ़ंड या खाता सत्यापन से संबंधित संदेशों के लिंक पर क्लिक करने से पहले डोमेन नाम जाँचना चाहिए। जिन उपयोगकर्ताओं के पते और फ़ोन की जानकारी लीक हुई है, उन्हें शिपिंग सेवाओं, छात्र छूट, वित्तीय सहायता या सहायता केंद्रों की ओर से होने का दावा करने वाले कॉल और संदेशों के प्रति अतिरिक्त सावधानी बरतनी चाहिए। संदिग्ध सत्रों, पासवर्ड रीसेट ईमेल और अनजान डिवाइस की सूचनाओं को तुरंत बंद कर देना चाहिए। सक्रिय सत्रों को ‘खाते की सुरक्षा’ पेजों से समाप्त करना चाहिए।

Chegg में डेटा सेंध की घटना दिखाती है कि शिक्षा से जुड़े पुराने खातों का इस्तेमाल भी कई साल बाद खातों पर अनधिकृत नियंत्रण पाने के प्रयासों में किया जा सकता है। उपयोगकर्ताओं को पासवर्ड नियमित रूप से जाँचने, पासवर्ड मैनेजर इस्तेमाल करने, बहु-कारक प्रमाणीकरण सक्षम करने और ईमेल एलियस इस्तेमाल करने जैसी स्थायी आदतें विकसित करनी चाहिए। शिक्षा, खरीदारी, सोशल मीडिया और वित्तीय खातों के लिए अलग-अलग ईमेल पते इस्तेमाल करने से किसी एक डेटा लीक का असर दूसरे खातों तक फैलने की संभावना कम होती है।

कॉर्पोरेट और स्कूल के खातों में ऐसी पासवर्ड नीतियाँ महत्वपूर्ण हैं जो छात्र सेवाओं वाला पासवर्ड दोबारा इस्तेमाल करने से रोकें। लीक हुए पासवर्ड की जाँच और जोखिम वाले सत्रों की चेतावनियाँ भी महत्वपूर्ण हैं। सुरक्षा टीमों को Chegg से जुड़े ईमेल पतों में पासवर्ड दोबारा इस्तेमाल किए जाने के जोखिम की समीक्षा करनी चाहिए। वे अधिक जोखिम वाले उपयोगकर्ताओं से अतिरिक्त सत्यापन भी माँग सकती हैं। उपयोगकर्ता पुराने खाते हटाकर, प्रोफ़ाइल की अनावश्यक जानकारी कम करके और सुरक्षा सूचनाएँ चालू रखकर दीर्घकालिक सुरक्षा बढ़ा सकते हैं।

यदि ‘खाते की सुरक्षा’ की जाँच में Chegg का परिणाम दिखाई देता है, तो इसका अर्थ है कि संबंधित ईमेल पता 2018 में Chegg से हुई डेटा सेंध से जुड़े खातों के सत्यापित समूह में शामिल है। इस परिणाम का अर्थ यह नहीं है कि आपका मौजूदा Chegg खाता आज भी किसी अनधिकृत व्यक्ति के नियंत्रण में है। हालांकि, पहले इस्तेमाल किए गए पासवर्ड, ईमेल पते और प्रोफ़ाइल की जानकारी दूसरे खातों को निशाना बनाने के प्रयासों में इस्तेमाल की जा सकती है। इसलिए जहाँ भी वही पासवर्ड इस्तेमाल किया गया है, वहाँ पासवर्ड बदलना और बहु-कारक प्रमाणीकरण सक्षम करना प्राथमिक कदम होना चाहिए।

भले ही Chegg खाता अब इस्तेमाल न किया जा रहा हो, ईमेल की सुरक्षा, पुनर्प्राप्ति सेटिंग और पासवर्ड के इतिहास की जाँच करनी चाहिए। यदि शिक्षा से जुड़ा खाता, कामकाज का खाता या व्यक्तिगत ईमेल उसी पासवर्ड पैटर्न के कारण प्रभावित हुआ है, तो जोखिम अधिक है। जिन उपयोगकर्ताओं का डाक पता या फ़ोन नंबर लीक में शामिल हो सकता है, उन्हें व्यक्तिगत जानकारी वाले नकली सहायता संदेशों के प्रति अधिक सावधान रहना चाहिए। सबसे उचित तरीका यह है कि Chegg के परिणाम को पुरानी सूचना समझकर नज़रअंदाज़ करने के बजाय पासवर्ड का दोबारा इस्तेमाल बंद किया जाए, सत्रों के इतिहास की समीक्षा की जाए और खाता पुनर्प्राप्ति के माध्यमों को मज़बूत बनाया जाए।