ClickASnap: डेटा में सेंध

ClickASnap की घटना में खाते की सुरक्षा के लिहाज़ से ईमेल पते, उपयोगकर्ता नाम और पासवर्ड हैश सबसे बुनियादी जोखिम वाले क्षेत्र हैं। ईमेल पते और उपयोगकर्ता नाम की जोड़ी से ऐसी पहचान मिलती है जिसका इस्तेमाल हमलावर खाते खोजने, पासवर्ड रीसेट करने और लक्षित फ़िशिंग प्रयासों के लिए कर सकते हैं। भले ही पासवर्ड SHA-512 हैश के रूप में हों, यदि उपयोगकर्ता ने छोटा, आसानी से अनुमान लगाया जा सकने वाला या किसी अन्य जगह भी इस्तेमाल किया गया पासवर्ड चुना हो, तो समय के साथ इस हैश से पासवर्ड निकाला जा सकता है। इसलिए, एक ही पासवर्ड का कई जगह इस्तेमाल इस घटना के सबसे महत्वपूर्ण व्यावहारिक जोखिमों में से एक है।

सशुल्क सदस्यता रिकॉर्ड से जुड़े नाम, भौतिक पते और भुगतान की गई रकम जैसी जानकारी एक अलग तरह का जोखिम पैदा करती है। इससे यह पता चल सकता है कि उपयोगकर्ता प्लेटफ़ॉर्म पर किस कंटेंट क्रिएटर को भुगतान करता है या उसने कौन-सी सदस्यता ली है। इस जानकारी का इस्तेमाल नकली भुगतान सूचनाओं, सदस्यता नवीनीकरण, कमाई की पुष्टि, कर फ़ॉर्म, फ़ोटो बिक्री के भुगतान या खाते के सत्यापन से जुड़े संदेशों के लिए किया जा सकता है। सोशल मीडिया प्रोफ़ाइल की मदद से उपयोगकर्ता की फ़ोटोग्राफ़र के रूप में पहचान को उसके अन्य ऑनलाइन प्रोफ़ाइल से भी जोड़ा जा सकता है। इससे निजता का जोखिम पैदा होता है, खासकर छद्म नाम से काम करने वाले कंटेंट क्रिएटर के लिए।

इस रिकॉर्ड में सत्यापित प्रभावित खातों की संख्या 32,62,980 है। घटना की तारीख 24 सितंबर 2022 दर्ज है। सत्यापित फ़ील्ड में ईमेल पते, उपयोगकर्ता नाम, पासवर्ड हैश, नाम, भौतिक पते, खरीद/सदस्यता रिकॉर्ड और सोशल मीडिया प्रोफ़ाइल शामिल हैं। यह विशेष रूप से ध्यान देने योग्य है कि नाम, पता और भुगतान की गई रकम की जानकारी केवल सशुल्क सदस्यता रिकॉर्ड तक सीमित हो सकती है; यह नहीं मानना चाहिए कि ये फ़ील्ड हर उपयोगकर्ता के लिए मौजूद हैं। किसी सामान्य उपयोगकर्ता खाते को सशुल्क सदस्यता रिकॉर्ड के समान दायरे में नहीं मानना चाहिए।

इस रिकॉर्ड में फ़ोटो सामग्री, फ़ोटो मेटाडेटा, भुगतान कार्ड नंबर, बैंक की जानकारी, सरकारी पहचान दस्तावेज़ या प्लेटफ़ॉर्म पर कमाई की शेष राशि की कोई सत्यापित डेटा श्रेणी शामिल नहीं है। भले ही कुछ व्यापक विवरणों में अतिरिक्त फ़ील्ड का उल्लेख हो, इस रिकॉर्ड की डेटा श्रेणियों की सूची केवल उन्हीं फ़ील्ड तक सीमित रहनी चाहिए जिनकी पुष्टि की जा सकती है। उपयोगकर्ता को 'वित्तीय जानकारी लीक हुई थी' जैसी व्यापक बात कहने के बजाय, यह कहना अधिक सटीक होगा कि 'सदस्यता या खरीद रिकॉर्ड में भुगतान की गई रकम शामिल थी।'

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने ClickASnap खाते का पासवर्ड अन्य प्लेटफ़ॉर्म पर भी इस्तेमाल करते हैं। फ़ोटो समुदायों, सोशल मीडिया खातों, ईमेल खातों और भुगतान सूचनाओं से जुड़े खातों की सबसे पहले जाँच करनी चाहिए। जो लोग कई फ़ोटो साइटों या सोशल मीडिया प्रोफ़ाइल पर एक ही उपयोगकर्ता नाम इस्तेमाल करते हैं, उनके अलग-अलग प्रोफ़ाइल को आपस में जोड़ने का जोखिम अधिक होता है। जब उपयोगकर्ता नाम के साथ सोशल मीडिया प्रोफ़ाइल की जानकारी भी दिखाई देती है, तो हमलावर अलग-अलग प्लेटफ़ॉर्म के ज़रिए उसी व्यक्ति तक पहुँच सकता है।

सशुल्क सदस्यता या कंटेंट क्रिएटर मॉडल का इस्तेमाल करने वाले उपयोगकर्ता नकली भुगतान, कमाई, सदस्यता नवीनीकरण और कर सूचनाओं से जुड़े हमलों के प्रति भी अधिक संवेदनशील होते हैं। जिन लोगों का भौतिक पता पंजीकरण रिकॉर्ड में शामिल है, उन्हें पता सत्यापन, शिपिंग, बिल या सदस्यता सूचना जैसे संदेश अधिक विश्वसनीय लग सकते हैं। पेशेवर या अर्ध-पेशेवर फ़ोटोग्राफ़र के लिए निजता का जोखिम भी महत्वपूर्ण है, क्योंकि एक ही पंजीकरण रिकॉर्ड में वास्तविक नाम, पता और सोशल प्रोफ़ाइल होने से उनकी ऑनलाइन रचनात्मक पहचान को वास्तविक जीवन की जानकारी से जोड़ना आसान हो सकता है।

ClickASnap खाते में इस्तेमाल किया गया पासवर्ड बदल देना चाहिए। यदि अन्य खातों में भी वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, तो उन खातों में भी अलग-अलग और मज़बूत पासवर्ड रखने चाहिए। ईमेल खातों, सोशल मीडिया प्रोफ़ाइल, फ़ोटो साझा करने वाली साइटों, भुगतान सूचनाओं और क्लाउड स्टोरेज सेवाओं को प्राथमिकता देनी चाहिए। पासवर्ड मैनेजर के इस्तेमाल से हर सेवा के लिए अलग पासवर्ड बनाना आसान होता है। SHA-512 हैशिंग का इस्तेमाल किसी कमज़ोर पासवर्ड के बार-बार उपयोग को सुरक्षित नहीं बनाता।

उपयोगकर्ताओं को अपने सोशल मीडिया खातों से जुड़े ऐप्लिकेशन और सत्रों की जाँच करनी चाहिए। अनजान कनेक्शन हटाने चाहिए और बहु-कारक प्रमाणीकरण चालू करना चाहिए। ClickASnap, फ़ोटो बिक्री, सदस्यता, कमाई के भुगतान, कॉपीराइट नोटिस या खाते के सत्यापन से जुड़े संदेशों के लिंक की सावधानी से जाँच करनी चाहिए। भले ही भुगतान कार्ड नंबर इस रिकॉर्ड का सत्यापित फ़ील्ड न हो, उपयोगकर्ता से कार्ड या बैंक की जानकारी माँगने वाले संदेशों को उच्च जोखिम वाला मानना चाहिए। यदि कोई लेन-देन करना हो, तो परिचित वेब पते से सीधे प्लेटफ़ॉर्म पर जाकर करना चाहिए।

कंटेंट क्रिएटर प्लेटफ़ॉर्म पर खाते की सुरक्षा केवल पासवर्ड की सुरक्षा तक सीमित नहीं है; वास्तविक पहचान, भुगतान से जुड़े संदर्भ और सोशल प्रोफ़ाइल के लिंक को एक साथ ध्यान में रखना चाहिए। लंबे समय के लिए, उपयोगकर्ताओं को फ़ोटो साझा करने, बिक्री, सोशल मीडिया और ईमेल खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए। छद्म नाम से काम करने वाले उपयोगकर्ताओं को अपना वास्तविक नाम और पता केवल उन्हीं फ़ील्ड में देना चाहिए जहाँ यह अनिवार्य हो, और सार्वजनिक प्रोफ़ाइल पर अनावश्यक व्यक्तिगत जानकारी नहीं छोड़नी चाहिए। पुराने सदस्यता और भुगतान रिकॉर्ड की नियमित अंतराल पर जाँच करनी चाहिए।

प्लेटफ़ॉर्म के दृष्टिकोण से, सशुल्क सदस्यता और कंटेंट क्रिएटर के डेटा के लिए सुरक्षा की अलग-अलग परतें ज़रूरी हैं। जब एक ही घटना में उपयोगकर्ता डेटा, भुगतान की रकम की जानकारी और सोशल प्रोफ़ाइल के लिंक उजागर होते हैं, तो हमलावर अधिक विश्वसनीय लगने वाले बहाने बना सकते हैं। इसलिए, एक्सेस अनुमतियों, डेटा निर्यात के नियंत्रणों, पासवर्ड रखने के तरीकों और घटना की सूचना देने की प्रक्रियाओं का नियमित परीक्षण होना चाहिए। उपयोगकर्ताओं को भी फ़ोटो समुदायों के अपने खातों को कम जोखिम वाले शौक के खाते नहीं, बल्कि अपने व्यक्तिगत ब्रांड और आय के स्रोत से जुड़े खाते मानकर उनका आकलन करना चाहिए।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि संबंधित ईमेल पता ClickASnap के डेटा लीक से जुड़े खातों में शामिल है। मिलान मिलने का अर्थ यह नहीं है कि उपयोगकर्ता का भुगतान कार्ड, बैंक खाता या फ़ोटो फ़ाइलें इस रिकॉर्ड के सत्यापित दायरे में शामिल हैं। जोखिम ईमेल, उपयोगकर्ता नाम, पासवर्ड हैश, सोशल मीडिया प्रोफ़ाइल और कुछ सशुल्क सदस्यता रिकॉर्ड में नाम, पता तथा भुगतान की गई रकम जैसे फ़ील्ड से जुड़ा है। उपयोगकर्ता को सबसे पहले एक ही पासवर्ड का कई जगह इस्तेमाल बंद करना चाहिए और अपने ईमेल खाते को सुरक्षित करना चाहिए।

अगला कदम सोशल मीडिया प्रोफ़ाइल और कंटेंट क्रिएटर खातों के कनेक्शन की समीक्षा करना है। अनजान सत्र बंद करने चाहिए, जुड़े हुए ऐप्लिकेशन हटाने चाहिए और बहु-कारक प्रमाणीकरण चालू करना चाहिए। आधिकारिक माध्यम से पुष्टि किए बिना सदस्यता या भुगतान से जुड़े संदेशों पर कोई कार्रवाई नहीं करनी चाहिए। जिन उपयोगकर्ताओं के भौतिक पते सशुल्क सदस्यता रिकॉर्ड में शामिल हुए हो सकते हैं, उन्हें नकली बिल, डिलीवरी या खाते के सत्यापन से जुड़े संदेशों से सावधान रहना चाहिए।