Cit0day: डेटा उजागर होने का कथित मामला

सत्यापित डेटा श्रेणियों में ईमेल पते और पासवर्ड शामिल हैं। अलग-अलग प्लेटफ़ॉर्म पर किसी व्यक्ति को खोजने और उसकी पहचान को अन्य खातों से जोड़ने के लिए हमलावर मुख्य रूप से ईमेल पते का इस्तेमाल करते हैं। वहीं, पासवर्ड संबंधी डेटा सीधे तौर पर जोखिम बढ़ाता है। हैश किए गए रूप में रखे गए पासवर्ड भी कमज़ोर एल्गोरिदम, बिना सॉल्ट के भंडारण या आसानी से अनुमान लगाए जा सकने वाले पासवर्ड के कारण समय के साथ क्रैक किए जा सकते हैं। सादे पाठ में मौजूद पासवर्ड हमलावर सीधे इस्तेमाल कर सकते हैं। इसी वजह से, एक ही पासवर्ड के दोबारा इस्तेमाल का फ़ायदा उठाकर खातों पर कब्ज़ा करने के प्रयासों के लिए Cit0day एक बहुत सुविधाजनक डेटा स्रोत है।

इस लीक का खतरा किसी एक सेवा के पुराने खाते तक सीमित नहीं है। यदि किसी उपयोगकर्ता ने फ़ोरम, गेम, खरीदारी की साइटों, सोशल मीडिया, ईमेल या काम से जुड़े खातों में एक ही ईमेल और पासवर्ड का संयोजन इस्तेमाल किया है, तो जोखिम एक खाते से दूसरे खाते तक फैलता जाता है। हमलावर अलग-अलग सेवाओं पर वही संयोजन आज़मा सकते हैं, लॉगिन के प्रयास सफल होने पर खाते की रिकवरी के विकल्प बदल सकते हैं या जुड़े हुए खातों को निशाना बना सकते हैं। इसके अलावा, केवल ईमेल पते का इस्तेमाल भी फ़िशिंग संदेश भेजने के लिए किया जा सकता है। पासवर्ड संबंधी डेटा मौजूद होने के कारण उपयोगकर्ताओं को केवल संबंधित पुराने खाते की ही नहीं, बल्कि उन सभी खातों की समीक्षा करनी चाहिए जिनमें उसी पासवर्ड का इस्तेमाल हुआ है।

सत्यापित दायरा 22,68,83,414 अलग-अलग ईमेल पतों से जुड़ा है। बताया गया है कि डेटासेट में 23,000 से अधिक फ़ाइलें और साइट प्रविष्टियाँ हैं। कुछ फ़ाइलों में ईमेल पते और पासवर्ड के हैश हैं, कुछ में क्रैक किए गए पासवर्ड हैं और कुछ में ईमेल-पासवर्ड के जोड़े सादे पाठ में हैं। इस घटना के लिए डेटा श्रेणियाँ ईमेल पतों और पासवर्ड तक सीमित हैं। इस संदर्भ में पूरा नाम, फ़ोन नंबर, भौतिक पता, भुगतान संबंधी जानकारी, जन्मतिथि या सरकारी पहचान-पत्र जैसे अतिरिक्त फ़ील्ड सत्यापित नहीं किए गए हैं। इसलिए विवरण में केवल सत्यापित फ़ील्ड ही शामिल हैं।

इस प्रविष्टि को असत्यापित श्रेणी में ही रखा जाना चाहिए। इसका कारण यह नहीं है कि डेटासेट पूरी तरह नकली है, बल्कि यह है कि इसका कोई एक स्पष्ट स्रोत नहीं है, किसी एक संस्था की ओर से सूचना नहीं दी गई है और हर उप-फ़ाइल का निर्णायक सत्यापन उपलब्ध नहीं है। समीक्षाओं से पता चलता है कि संग्रह में वास्तविक खातों से जुड़े कई विश्वसनीय संकेत हैं; फिर भी, हर साइट और हर फ़ाइल पर एक ही स्तर का भरोसा करना सही नहीं होगा। उपयोगकर्ताओं की सुरक्षा के लिए यह अंतर महत्वपूर्ण है। यदि जाँच का नतीजा सकारात्मक हो, तो जोखिम को गंभीरता से लेना चाहिए, लेकिन हर उपयोगकर्ता के लिए निश्चित रूप से यह नहीं कहा जाना चाहिए कि किस खास साइट से उसका डेटा लीक हुआ था।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो कई सेवाओं पर एक ही पासवर्ड दोबारा इस्तेमाल करते हैं। Cit0day जैसे संग्रहों की मदद से हमलावर बड़ी संख्या में ईमेल और पासवर्ड के जोड़े आज़मा सकते हैं। ऐसे संग्रहों में अक्सर पुराने फ़ोरम खाते, छोटी ई-कॉमर्स साइटें, गेमिंग समुदाय, शौक से जुड़े प्लेटफ़ॉर्म और इस्तेमाल न की जाने वाली वेब सदस्यताएँ मिल सकती हैं। यदि किसी उपयोगकर्ता ने पुराने खाते पर कमज़ोर पासवर्ड इस्तेमाल किया था और किसी अधिक महत्वपूर्ण सेवा के लिए भी वही पासवर्ड चुना था, तो कम महत्व की दिखने वाली सदस्यता भी महत्वपूर्ण खातों के लिए जोखिम बन सकती है।

दूसरे जोखिम समूह में वे लोग आते हैं जो अभी भी अपना पुराना ईमेल पता सक्रिय रूप से इस्तेमाल करते हैं या जिन्होंने एक ही ईमेल पते से कई खाते बनाए हैं। यदि ईमेल पता वर्षों तक एक ही रहे, तो अलग-अलग डेटा उल्लंघनों से मिले डेटा को एक ही उपयोगकर्ता की प्रोफ़ाइल से जोड़ा जा सकता है। निजी फ़ोरम या छोटी वेबसाइटों पर अपनी कंपनी का ईमेल पता इस्तेमाल करने वालों के लिए जोखिम और भी अधिक है; हमलावर निजी डेटा के आधार पर उनके काम के खाते को निशाना बनाने वाले संदेश तैयार कर सकते हैं। अपने पुराने खाते भूल चुके उपयोगकर्ता भी जोखिम से मुक्त नहीं हैं, क्योंकि इन खातों में बचे पुराने पासवर्ड नए हमलों में इस्तेमाल किए जा सकते हैं।

पहला कदम यह है कि Cit0day के नतीजे में दिखने वाले ईमेल पते के साथ पहले इस्तेमाल किए गए पासवर्ड की समीक्षा की जाए। यदि किसी सक्रिय खाते पर अभी भी वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल हो रहा है, तो तुरंत एक अलग और मज़बूत पासवर्ड सेट करना चाहिए। ईमेल खाते, वित्तीय खाते, सोशल मीडिया प्रोफ़ाइल, क्लाउड स्टोरेज, काम से जुड़े सिस्टम और ऐसे मुख्य खाते प्राथमिकता में होने चाहिए जिनसे पासवर्ड रीसेट करने के लिंक तक पहुँचा जा सकता है। पासवर्ड मैनेजर का इस्तेमाल करने से हर सेवा के लिए लंबे और अलग-अलग पासवर्ड बनाना आसान होता है। बहु-कारक प्रमाणीकरण का समर्थन करने वाले सभी महत्वपूर्ण खातों पर इसे चालू करना चाहिए।

दूसरा कदम ईमेल खाते की सुरक्षा सेटिंग की जाँच करना है। अनजान सत्रों, फ़ॉरवर्डिंग नियमों, स्वचालित फ़िल्टर, रिकवरी पतों और जुड़े हुए डिवाइसों की जाँच करनी चाहिए। हमलावर जिन खातों में प्रवेश कर चुके हों, उनमें पहुँच बनाए रखने के लिए ऐसे फ़ॉरवर्डिंग नियम जोड़ सकते हैं जो बिना किसी स्पष्ट संकेत के काम करते रहें। पुराने और इस्तेमाल न होने वाले खाते बंद कर देने चाहिए या कम-से-कम उनके पासवर्ड अलग-अलग कर देने चाहिए। चूँकि उपयोगकर्ता को ठीक-ठीक यह पता न चल पाए कि लीक किस साइट से हुआ था, इसलिए सुरक्षा के कदम केवल एक खाते तक सीमित नहीं रखने चाहिए। उन सभी खातों की समीक्षा करके उन्हें सुरक्षित करना चाहिए जिनमें पहले एक ही ईमेल और पासवर्ड इस्तेमाल किया गया था।

Cit0day जैसे संग्रह एक ही पासवर्ड को दोबारा इस्तेमाल करने के दीर्घकालिक प्रभावों को स्पष्ट रूप से दिखाते हैं। यदि किसी उपयोगकर्ता ने वर्षों पहले कम महत्व की समझी जाने वाली साइट पर वही पासवर्ड इस्तेमाल किया था, तो बाद में उस जानकारी को कहीं अधिक महत्वपूर्ण खातों पर आज़माया जा सकता है। लंबी अवधि की सुरक्षा का आधार हर खाते के लिए अलग पासवर्ड, पासवर्ड मैनेजर और बहु-कारक प्रमाणीकरण है। हर सेवा के लिए अलग पासवर्ड इस्तेमाल करने पर एक साइट का लीक दूसरे खातों को प्रभावित नहीं करता। ईमेल खाते को भी सुरक्षित रखना चाहिए, क्योंकि अन्य खातों की रिकवरी आम तौर पर ईमेल इनबॉक्स के ज़रिए होती है।

उपयोगकर्ताओं को नियमित अंतराल पर अपने पुराने खातों की सूची की समीक्षा करनी चाहिए। इस्तेमाल न होने वाली सदस्यताएँ बंद करनी चाहिए, ज़रूरी खातों के पासवर्ड अपडेट करने चाहिए और कई प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम के आधार पर खातों को आपस में जोड़ पाने का जोखिम कम करना चाहिए। वहीं, संगठन ऐसे जागरूकता अभियान चला सकते हैं जो कर्मचारियों को निजी वेब सदस्यताओं के लिए कंपनी के ईमेल पतों का इस्तेमाल सीमित करने के लिए प्रेरित करें। पासवर्ड की सुरक्षा का मतलब केवल मज़बूत पासवर्ड चुनना नहीं है; एक ही पासवर्ड कभी दोबारा इस्तेमाल न करना और पुराने खातों को नियंत्रण में रखना भी उतना ही महत्वपूर्ण है।

LeakData पर Cit0day की जाँच करने से आपको यह समझने में मदद मिलती है कि आपका ईमेल पता लॉगिन विवरणों के इस बड़े संग्रह में मौजूद है या नहीं। यदि नतीजा सकारात्मक हो, तो पहले उन सभी महत्वपूर्ण खातों की सूची बनाएँ जिन्हें आप उसी ईमेल पते से इस्तेमाल करते हैं। फिर एक जैसे या मिलते-जुलते पासवर्ड वाले खातों को अलग छाँटें और हर खाते के लिए एक अलग पासवर्ड सेट करें। अपने ईमेल खाते पर बहु-कारक प्रमाणीकरण चालू करें, लॉगिन इतिहास की समीक्षा करें और ऐसे सभी डिवाइस हटा दें जिन्हें आप नहीं पहचानते। सुनिश्चित करें कि महत्वपूर्ण खातों में दर्ज रिकवरी ईमेल और फ़ोन संबंधी जानकारी आपकी ही है।

अधिकांश उपयोगकर्ताओं के लिए निश्चित रूप से यह जान पाना संभव नहीं हो सकता कि इस उल्लंघन का स्रोत कौन-सी एक साइट थी। इसलिए सबसे उचित कदम उन सभी खातों को सुरक्षित करना है जिनमें आपके पुराने पासवर्ड इस्तेमाल हुए हैं। पासवर्ड मैनेजर का इस्तेमाल करना, पुराने और कमज़ोर पासवर्ड पहचानना, एक ही पासवर्ड वाले खातों के लिए अलग-अलग पासवर्ड रखना और इस्तेमाल न होने वाली सदस्यताएँ बंद करना लंबे समय तक सुरक्षा देता है। Cit0day के नतीजे को केवल एक पुरानी घटना न समझें; ईमेल और पासवर्ड के जोड़े वर्षों बाद भी खातों में प्रवेश के स्वचालित प्रयासों में इस्तेमाल किए जा सकते हैं। यदि आपके खातों पर अलग-अलग पासवर्ड और बहु-कारक प्रमाणीकरण हैं, तो ऐसे संग्रहों का प्रभाव काफ़ी कम हो जाता है।