China EKO के डेटा में 2017 की सेंध (3,48,555 रिकॉर्ड)

China EKO की वेबसाइट chinaeko.com पर संचालित होती थी और चीनी भाषा की सामग्री में इसका नाम 中国宜高 मिलता है। संग्रहित आधिकारिक पृष्ठ पुष्टि करते हैं कि यह घरेलू सजावट, फर्नीचर और भवन निर्माण सामग्री से जुड़े उत्पाद बेचती थी।

उजागर डेटासेट की संरचना वेबसाइट के उपयोगकर्ता खातों के फ़ील्ड से मेल खाती है। सार्वजनिक रूप से उपलब्ध विश्वसनीय स्रोत यह स्पष्ट नहीं करते कि शुरुआती पहुँच कैसे हासिल की गई, पहुँच कितने समय तक बनी रही या इसके लिए कौन ज़िम्मेदार था।

कई डेटा उल्लंघन कैटलॉग इस घटना को जनवरी 2017 का बताते हैं। इसलिए यह कैटलॉग महीने तक की सटीकता दर्शाने के लिए 1 जनवरी 2017 की तारीख इस्तेमाल करता है; इसका यह दावा नहीं है कि घटना ठीक उसी दिन हुई थी।

डेटासेट को बाद में सूचियों में दर्ज किए जाने की तारीखों को हमले की तारीख नहीं माना गया है। संगठन की ओर से जारी घटना की कोई सूचना नहीं मिली, इसलिए अनधिकृत पहुँच का सटीक दिन अब भी अपुष्ट है।

रिपोर्टों के अनुसार, प्रभावित डेटा में उपयोगकर्ता नाम, ईमेल पते, पासवर्ड हैश और पासवर्ड सॉल्ट शामिल थे। सॉल्ट प्रत्येक पासवर्ड के लिए इस्तेमाल किया जाने वाला एक अतिरिक्त इनपुट होता है, लेकिन पुरानी या कमज़ोर पासवर्ड हैशिंग विधि इस्तेमाल किए जाने पर यह अपने आप में पर्याप्त सुरक्षा नहीं देता।

स्रोतों के अनुसार, पासवर्ड डेटा की संरचना vBulletin जैसी थी। साधारण पाठ में मौजूद पासवर्ड, भुगतान कार्ड, बैंक खाते और सरकारी पहचान संबंधी जानकारी को सूची में शामिल नहीं किया गया है, क्योंकि विश्वसनीय साक्ष्य इन फ़ील्ड के मौजूद होने की पुष्टि नहीं करते।

पासवर्ड हैश पर ऑफ़लाइन तरीके से पासवर्ड का अनुमान लगाने वाले हमले किए जा सकते हैं। दूसरी सेवाओं पर भी वही पासवर्ड इस्तेमाल करने से China EKO के बाहर के खातों में भी सेंध लगने का जोखिम बढ़ जाता है।

ईमेल पते और उपयोगकर्ता नाम लक्षित फ़िशिंग, धोखाधड़ी वाले पासवर्ड रीसेट संदेशों और खाता पुनर्प्राप्ति के प्रयासों में इस्तेमाल किए जा सकते हैं। मूल खाता पुराना होने पर भी वही संपर्क जानकारी दूसरी जगह इस्तेमाल हो रही हो सकती है।

अगर China EKO पर इस्तेमाल किया गया पासवर्ड कहीं और भी इस्तेमाल किया गया था, तो उन खातों के पासवर्ड बदलकर मज़बूत और अलग-अलग पासवर्ड रखने चाहिए। हर सेवा के लिए अलग पासवर्ड इस्तेमाल करने से एक जगह लगी सेंध का असर दूसरी सेवाओं तक फैलने का जोखिम कम होता है।

जहाँ भी उपलब्ध हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। पासवर्ड रीसेट, साइन-इन या खाता पुनर्प्राप्ति की कोई अप्रत्याशित सूचना मिलने पर संदेश के लिंक खोलने के बजाय सीधे सेवा के आधिकारिक पते पर जाएँ।

अगर वही ईमेल पता अब भी सक्रिय है, तो अनजान डिवाइस के सत्रों, ईमेल फ़ॉरवर्डिंग नियमों और खाता पुनर्प्राप्ति के विकल्पों की जाँच करें। संदिग्ध बदलाव मिलने पर सक्रिय सत्रों से साइन आउट करें और खाता पुनर्प्राप्ति की जानकारी अपडेट करें।

कई स्वतंत्र कैटलॉग और स्रोत आर्काइव के तकनीकी सारांश में डेटासेट का आकार और फ़ील्ड संरचना मेल खाते हैं। ये निष्कर्ष इस डेटा को China EKO के खातों से जोड़ने का आधार देते हैं।

इस रिकॉर्ड को सत्यापित का दर्जा नहीं दिया गया है, क्योंकि संगठन की ओर से जारी घटना की कोई सूचना या पहुँच की सटीक तारीख नहीं मिली। प्रभावित रिकॉर्ड की संख्या स्रोत में मौजूद सभी रिकॉर्ड की कुल संख्या के अनुसार दी गई है; अन्य सेवाओं में पार्सिंग और डुप्लिकेट हटाने से मिले अलग-अलग नतीजों को उसी माप के रूप में प्रस्तुत नहीं किया गया है।