Choco.ci: डेटा उजागर होने का कथित मामला

Choco.ci का रिकॉर्ड बनाने से पहले मौजूदा रिकॉर्ड में शीर्षक, डोमेन नाम, मिलते-जुलते ब्रांड नाम, घटना की तारीख और पंजीकरणों की संख्या का मिलान किया गया। उसी घटना को दर्शाने वाला कोई रिकॉर्ड नहीं मिला, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। मिलते-जुलते नामों वाले, लेकिन अलग डोमेन या अलग घटनाओं से संबंधित रिकॉर्ड को इस निर्णय में शामिल नहीं किया गया।

लक्षित सूचियों में रिकॉर्ड की संख्या और सत्यापित किए जा सकने वाले विवरणों की संख्या में अंतर हो सकता है। इसकी वजह कच्चे डेटा की पंक्तियों, अलग-अलग खातों, दोहराए गए ईमेल पतों, साफ़ किए गए रिकॉर्ड, फ़ोरम की पंक्तियों, प्रोफ़ाइल की पंक्तियों या दोबारा संकलित किए गए डेटा सेटों के बीच अंतर हो सकता है। इस पृष्ठ पर दिखाई गई सबसे बड़ी संख्या के बजाय 37,686 को आधार बनाया गया है, क्योंकि डेटा प्रकारों के साथ इस संख्या की भी लगातार पुष्टि होती है।

Choco.ci का मूल्यांकन आइवरी कोस्ट स्थित समाचार और ऑनलाइन मीडिया प्लेटफ़ॉर्म के रूप में किया गया है। समाचार साइट के खाते कम जोखिम वाले लग सकते हैं, लेकिन प्लेन टेक्स्ट पासवर्ड मिलने पर उसी ईमेल से बनाए गए अन्य खातों के लिए गंभीर जोखिम पैदा होता है।

इस घटना में ईमेल पते और प्लेन टेक्स्ट पासवर्ड होने की पुष्टि हुई है। प्लेन टेक्स्ट पासवर्ड मिलने पर तुरंत कार्रवाई ज़रूरी है, क्योंकि हमलावर पासवर्ड क्रैक किए बिना उसी ईमेल और पासवर्ड के संयोजन को दूसरी सेवाओं पर आज़मा सकता है।

Choco.ci की घटना में जोखिम सामान्य ईमेल लीक से अधिक है, क्योंकि प्लेन टेक्स्ट पासवर्ड की जानकारी मिली है। पासवर्ड डेटा हमलावरों को अलग-अलग संयोजन आज़माने में लगने वाला समय कम करता है, उसी पासवर्ड वाली दूसरी सेवाओं पर स्वचालित लॉगिन प्रयास आसान बनाता है और पासवर्ड रीसेट के संदेशों को अधिक विश्वसनीय बनाता है।

केवल ईमेल पता सीमित निजी जानकारी लग सकता है, लेकिन उपयोगकर्ता नाम, IP पता, फ़ोन नंबर, पूरा नाम, जन्मतिथि या पासवर्ड की जानकारी के साथ जुड़ने पर यह हमले का प्रभावी आधार बन जाता है। यदि उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेमिंग, वित्तीय सेवाओं या सोशल मीडिया के खातों के लिए एक ही ईमेल पता इस्तेमाल करता है, तो इसका असर संबंधित प्लेटफ़ॉर्म से आगे भी फैल सकता है।

यह घटना पुरानी होने के बावजूद सुरक्षा की दृष्टि से आज भी प्रासंगिक है। बड़ी संख्या में उपयोगकर्ता पुराने पासवर्ड के पैटर्न में मामूली बदलाव करके उन्हें दोबारा इस्तेमाल करते हैं। इसलिए Choco.ci जैसी पुरानी डेटा सेंध का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, क्रेडेंशियल स्टफ़िंग और लक्षित फ़िशिंग प्रयासों के लिए किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना है कि उन्होंने पहले Choco.ci या choco.educarriere.ci पर कौन-सा ईमेल पता और पासवर्ड इस्तेमाल किया हो सकता है। यदि उसी पैटर्न के पासवर्ड दूसरे खातों पर भी इस्तेमाल हुए हैं, तो केवल संबंधित साइट पर बदलाव करना पर्याप्त नहीं है। बार-बार इस्तेमाल किए गए सभी पासवर्ड की जगह हर खाते के लिए अलग और यादृच्छिक पासवर्ड रखना ज़रूरी है।

इस घटना के बाद उठाए जा सकने वाले सबसे प्रभावी कदमों में पासवर्ड मैनेजर का इस्तेमाल शामिल है। हर साइट के लिए अलग पासवर्ड रखने से एक डेटा सेंध का असर क्रमशः दूसरे खातों तक फैलने से रोका जा सकता है। ब्राउज़र में सहेजे गए पुराने पासवर्ड भी जाँचे जाने चाहिए और कमज़ोर या दोहराए गए पासवर्ड बदले जाने चाहिए।

दो-कारक प्रमाणीकरण को विशेष रूप से ईमेल खातों, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइल, गेमिंग खातों और एडमिन पैनल के लिए प्राथमिकता दी जाती है। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजियाँ SMS-आधारित प्रमाणीकरण की तुलना में अधिक मज़बूत सुरक्षा देती हैं।

ईमेल खाते के फ़ॉरवर्डिंग नियम, रिकवरी पते, जुड़े हुए ऐप्लिकेशन, भरोसेमंद डिवाइसों की सूची और हाल के सत्र जाँचे जाने चाहिए। हमलावर सीधे Choco.ci खाते तक पहुँच न भी सके, तब भी वह ईमेल खाते के ज़रिए दूसरी सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग के लिए पुरानी सेवा का नाम, उपयोगकर्ता नाम, उद्योग से जुड़ी जानकारी, देश, शौक या पंजीकरण की तारीख इस्तेमाल की जा सकती है। उपयोगकर्ताओं को मिले हुए लिंक पर सीधे क्लिक करने के बजाय पता खुद टाइप करना चाहिए, पुष्टि किए बिना अटैचमेंट नहीं खोलने चाहिए और तुरंत कार्रवाई का दबाव बनाने वाले संदेशों से सावधान रहना चाहिए।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन किया जाना चाहिए। यदि किसी कर्मचारी ने निजी लगने वाले खाते पर अपना कामकाजी ईमेल इस्तेमाल किया है, तो उसी पासवर्ड को कंपनी की प्रणालियों पर आज़माया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा स्कैन, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्वपूर्ण हैं।

साइट संचालकों के लिए मुख्य सीख पासवर्ड भंडारण और न्यूनतम डेटा संग्रह से जुड़ी है। प्लेन टेक्स्ट या आसानी से क्रैक किए जा सकने वाले हैश प्रारूप उपयोगकर्ता की सुरक्षा को सीधे कमज़ोर करते हैं। आधुनिक प्रणालियों में मज़बूत, साल्ट-युक्त और धीमी पासवर्ड व्युत्पत्ति विधियों का इस्तेमाल किया जाना चाहिए। उपयोगकर्ताओं के लॉगिन के दौरान पुराने हैश प्रारूपों को धीरे-धीरे अपडेट किया जाना चाहिए।

बैकअप, परीक्षण परिवेश, निर्यात की गई फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनल और अनावश्यक एक्सेस अधिकारों की नियमित जाँच होनी चाहिए। कई डेटा लीक मुख्य ऐप्लिकेशन के दिखाई देने वाले हिस्से से नहीं, बल्कि भुला दी गई सहायक प्रणालियों या व्यापक अधिकारों वाले खातों से होते हैं।

जिन संस्थानों में घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचना देने, पासवर्ड रीसेट करने, लॉग की समीक्षा करने और जुड़ी हुई प्रणालियों की जाँच में देरी होती है। किन प्रणालियों की निगरानी होगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को सूचित किया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

लक्षित पंक्ति में दी गई लगभग 40 हज़ार की संख्या और सीधे तौर पर पुष्ट 37,686 रिकॉर्ड के बीच अंतर मिला। इस पृष्ठ पर सीधे तौर पर पुष्ट संख्या इस्तेमाल की गई है।

फ़्रांसीसी भाषा और स्थानीय समाचारों का संदर्भ, समाचार सदस्यता, खाता सत्यापन या स्थानीय अभियान से जुड़े फ़र्ज़ी संदेशों को अधिक विश्वसनीय बना सकता है। उपयोगकर्ताओं को लिंक के बजाय आधिकारिक पता खुद दर्ज करके इस्तेमाल करना चाहिए।

सबडोमेन का प्रारूप जस का तस रखा गया है। वेबसाइट फ़ील्ड में `choco.educarriere.ci` रखा गया है, ताकि इससे प्रोटोकॉल या दोहरा https न बने।

इस रिकॉर्ड में नाम, फ़ोन और पते के फ़ील्ड नहीं जोड़े गए हैं, क्योंकि इनके मौजूद होने की पुष्टि नहीं हुई है। प्लेन टेक्स्ट पासवर्ड और ईमेल के फ़ील्ड जोखिम का मुख्य स्रोत हैं।

Choco.ci के लोगो की छवि का रिकॉर्ड से मिलान किया गया है। रिकॉर्ड पृष्ठ को इस तरह सेट किया गया है कि वह किसी बाहरी स्रोत पर निर्भर हुए बिना लोगो दिखाए।

इस रिकॉर्ड से असत्यापित डेटा प्रकार जानबूझकर बाहर रखे गए हैं। डेटा श्रेणियों की लंबी सूची बनाने के बजाय पुष्ट फ़ील्ड साफ़ तौर पर दिखाना उपयोगकर्ता का भरोसा बनाए रखने के लिए अधिक उपयोगी है। डेटा सेंध से जुड़े पृष्ठों का उद्देश्य डरावना दिखना नहीं, बल्कि सही दायरा और लागू किए जा सकने वाले सुरक्षा उपाय स्पष्ट करना है।

यह पृष्ठ Choco.ci डेटा सेंध, choco.educarriere.ci डेटा लीक, Choco.ci पासवर्ड लीक और Choco.ci उपयोगकर्ता डेटा जैसे अलग-अलग नामों के अंतर्गत सीधी और व्यावहारिक जानकारी देने के लिए तैयार किया गया है। इसमें सत्यापित डोमेन और व्यावहारिक सुरक्षा कदम समझाए गए हैं।

यह रिकॉर्ड देखने पर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का ही नहीं, बल्कि उसी ईमेल पते से बनाए गए दूसरे खातों का भी मूल्यांकन करना चाहिए। जिन खातों में पुराने पासवर्ड दोबारा इस्तेमाल होते हैं, वे खास तौर पर हमलावरों का पहला निशाना बनते हैं। पुराने खाते बंद करने से भी लंबे समय में जोखिम कम होता है।

पासवर्ड के दोहराव को कम करने के लिए नए पासवर्ड में ब्रांड के नाम, जन्म के वर्ष, उपयोगकर्ता नाम, टीमों के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले अतिरिक्त अंश शामिल नहीं होने चाहिए। पासवर्ड के अंत में कोई छोटी संख्या या विशेष चिह्न जोड़ देने से वह सुरक्षित नहीं हो जाता। हमलावरों के उपकरण इन पैटर्न को तेज़ी से आज़मा लेते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, उसी पासवर्ड वाले सभी खातों को अपडेट करें, दो-कारक प्रमाणीकरण चालू करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय साइट का सीधा पता इस्तेमाल करें।

सुरक्षा टीमों को इस रिकॉर्ड का मूल्यांकन कर्मचारियों के डोमेन नामों से मेल खाने वाले ईमेल पतों के संदर्भ में करना चाहिए। पुराने फ़ोरम, खरीदारी, वित्तीय या सामुदायिक खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्ष्य सूचियों में अधिक जानकारी जोड़ सकते हैं।

ऐसी घटनाओं में डेटा को न्यूनतम रखना बेहद महत्वपूर्ण है। अनावश्यक प्रोफ़ाइल फ़ील्ड का डेटा एकत्र नहीं किया जाना चाहिए, निष्क्रिय खातों को उचित डेटा प्रतिधारण नीतियों के अनुसार हटाया जाना चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित रखी जानी चाहिए और डेटा निर्यात की प्रक्रियाओं पर अतिरिक्त निगरानी होनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को खातों की सुरक्षा-संबंधी देखरेख पूरी करनी चाहिए। पुराने और भूले हुए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अपडेट करना और महत्वपूर्ण खातों पर लॉगिन सूचनाएँ चालू करना स्थायी सुरक्षा देता है।

प्रभावित खातों की संख्या, पासवर्ड जानकारी का प्रकार, डेटा श्रेणियों के ज़रिए खातों पर कब्ज़ा किए जाने की संभावना और घटना में दोबारा इस्तेमाल किए जा सकने वाले क्रेडेंशियल शामिल होने या न होने को ध्यान में रखते हुए इस पृष्ठ पर जोखिम का स्तर अत्यंत गंभीर निर्धारित किया गया है। अत्यंत गंभीर स्तर का अर्थ यह नहीं है कि दुरुपयोग निश्चित रूप से हुआ है; इसका अर्थ है कि उपयोगकर्ता को तेज़ी से कार्रवाई करने की ज़रूरत है।

निष्कर्षतः, Choco.ci का यह रिकॉर्ड जुलाई 2018 की अवधि की एक ही डेटा सेंध का रिकॉर्ड है, जो 37,686 खातों को प्रभावित करती है और जिसमें ईमेल पते तथा प्लेन टेक्स्ट पासवर्ड के फ़ील्ड शामिल हैं। उपयोगकर्ताओं को हर खाते के लिए अलग पासवर्ड इस्तेमाल करने, दो-कारक प्रमाणीकरण चालू करने, ईमेल की सुरक्षा सेटिंग जाँचने और संदिग्ध लॉगिन चेतावनियों पर नज़र रखने की सलाह दी जाती है।

Choco.ci के रिकॉर्ड में संख्या, शीर्षक और डोमेन का मूल्यांकन एक साथ किया गया है। इसलिए उसी नाम से प्रसारित हो रहे सूचियों के अस्पष्ट अंश इस पृष्ठ पर शामिल नहीं किए गए हैं। उपयोगकर्ता को दिखने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा श्रेणियों को सरल रखना विशेष रूप से महत्वपूर्ण है, क्योंकि अपुष्ट फ़ील्ड जोड़ने से उपयोगकर्ता का जोखिम आकलन प्रभावित होता है। इसलिए इस रिकॉर्ड में ईमेल पते और प्लेन टेक्स्ट पासवर्ड के अलावा अन्य दावों को सिद्ध डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

choco.educarriere.ci डोमेन से जुड़ी पुरानी सदस्यताएँ भुला दी गई हो सकती हैं। यदि भूले हुए खातों का पासवर्ड बदलना संभव नहीं है, तो अधिक व्यावहारिक प्राथमिकता उन दूसरी सेवाओं को ढूँढ़ना और सुरक्षित करना है जहाँ वही पासवर्ड इस्तेमाल हो रहा है।

जब उपयोगकर्ता नाम, ईमेल या फ़ोन की जानकारी दूसरे लीक के साथ जुड़ जाती है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, कार्यक्षेत्र या पिछली सदस्यताओं के पैटर्न का अनुमान लगाना आसान हो जाता है। इसलिए एक अकेली डेटा सेंध छोटी लगने पर भी संयुक्त जोखिम अधिक होता है।

संस्थानों के नज़रिए से, नियमित जागरूकता प्रशिक्षण में कर्मचारियों की निजी सदस्यताओं के लिए कामकाजी ईमेल के इस्तेमाल पर चर्चा होनी चाहिए। ऐसे रिकॉर्ड चेतावनी का संकेत देते हैं, जिनसे पासवर्ड के दोबारा इस्तेमाल और निजी प्लेटफ़ॉर्म पर कॉर्पोरेट पहचान की दृश्यता का आकलन किया जा सकता है।

यदि उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल दिखता है, तो उसे सबसे महत्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले खरीदारी खाते।

यदि खाता बंद करना संभव है, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी एक अच्छा कदम है। जिन खातों को बंद नहीं किया जा सकता, उनका पासवर्ड कम-से-कम अन्य खातों से अलग रखा जाना चाहिए, प्रोफ़ाइल की जानकारी न्यूनतम की जानी चाहिए और लॉगिन सूचनाएँ चालू की जानी चाहिए।