ClixSense डेटा में सेंध

ClixSense डेटा उल्लंघन में शामिल फ़ील्ड ऐसे हैं जो उपयोगकर्ता के खाते की सुरक्षा और वास्तविक जीवन की पहचान, दोनों को प्रभावित कर सकते हैं। जब ईमेल पता, उपयोगकर्ता नाम और प्लेन टेक्स्ट पासवर्ड एक साथ उपलब्ध हों, तो हमलावर दूसरी सेवाओं पर सीधे लॉगिन करने की कोशिश कर सकता है। पासवर्ड को प्लेन टेक्स्ट में रखना सबसे जोखिमपूर्ण है, क्योंकि इन्हें जानने के लिए हैशिंग या अनुमान लगाने की प्रक्रिया की ज़रूरत नहीं होती। यदि उपयोगकर्ता ने अपने ईमेल खाते, सोशल मीडिया प्लेटफ़ॉर्म, भुगतान सेवाओं या दूसरी सर्वेक्षण साइटों पर वही पासवर्ड इस्तेमाल किया है, तो जोखिम ClixSense खाते तक सीमित नहीं रहता।

नाम, जन्मतिथि, लिंग, भौतिक पता और IP पता जैसे फ़ील्ड सोशल इंजीनियरिंग का जोखिम बढ़ाते हैं। खाते की शेष राशि, पिछले भुगतानों का विवरण, भुगतान का तरीका और साइट पर की गई गतिविधियाँ यह समझने में मदद कर सकती हैं कि उपयोगकर्ता प्लेटफ़ॉर्म पर कैसे कमाई करता है। इस जानकारी से भुगतान की फ़र्ज़ी सूचनाएँ, खाते की शेष राशि लौटाने के संदेश, रिवॉर्ड की पुष्टि, कर संबंधी फ़ॉर्म, सर्वेक्षण के भुगतान या प्रोफ़ाइल अपडेट के संदेश तैयार किए जा सकते हैं। अतिरिक्त ऑनलाइन कमाई वाले प्लेटफ़ॉर्म पर भरोसा करके व्यक्तिगत और वित्तीय जानकारी साझा करने वाले उपयोगकर्ताओं के लिए हमलावरों के संदेश अधिक विश्वसनीय लग सकते हैं।

इस रिकॉर्ड में सत्यापित प्रभावित खातों की संख्या 24,24,784 है। हालाँकि ऐसी रिपोर्टें हैं कि हमलावरों ने एक बड़े डेटा सेट का उल्लेख किया था, इस रिकॉर्ड का आधार खातों का वही दायरा है जो सत्यापित है और सार्वजनिक रूप से सामने आया है। घटना की तारीख 4 सितंबर 2016 दर्ज है। डेटा की श्रेणियाँ खाते की शेष राशि, जन्मतिथि, ईमेल पता, लिंग, IP पता, नाम, पासवर्ड, पिछले भुगतानों का विवरण, भुगतान का तरीका, भौतिक पता, उपयोगकर्ता नाम और साइट पर की गई गतिविधियों तक सीमित हैं।

इस रिकॉर्ड में भुगतान कार्ड नंबर, बैंक खाता नंबर, आधिकारिक पहचान दस्तावेज़, सामाजिक सुरक्षा संख्या या स्वास्थ्य संबंधी डेटा सत्यापित डेटा श्रेणियाँ नहीं हैं। भुगतान के तरीके वाले फ़ील्ड को उपयोगकर्ता की भुगतान संबंधी प्राथमिकताओं या प्लेटफ़ॉर्म के भीतर भुगतान के प्रकार की जानकारी के रूप में समझना चाहिए। इसका अर्थ यह नहीं है कि कार्ड नंबर या बैंक खाते की जानकारी सत्यापित दायरे में शामिल है। साइट पर की गई गतिविधियों से आशय प्लेटफ़ॉर्म पर उपयोगकर्ता के कामों, विज्ञापनों, सर्वेक्षणों या खाते की गतिविधियों से जुड़ी जानकारी है। इस फ़ील्ड में जानकारी का विस्तार हर उपयोगकर्ता के लिए एक जैसा नहीं माना जाना चाहिए।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने ClixSense खाते का पासवर्ड दूसरे खातों पर भी इस्तेमाल करते हैं। पासवर्ड प्लेन टेक्स्ट में मौजूद होने के कारण हमलावर के लिए वही जानकारी दूसरी साइटों पर आज़माना बहुत आसान है। सबसे पहले ईमेल खातों, भुगतान सेवाओं, सोशल मीडिया, खरीदारी की साइटों और दूसरे सर्वेक्षण या रिवॉर्ड प्लेटफ़ॉर्म की जाँच की जानी चाहिए। यदि ईमेल खाते में सेंध लग जाती है, तो दूसरे खातों के पासवर्ड रीसेट लिंक भी हमलावर के हाथ लग सकते हैं।

दूसरे जोखिम समूह में वे लोग आते हैं जो अतिरिक्त ऑनलाइन कमाई वाले प्लेटफ़ॉर्म का नियमित रूप से इस्तेमाल करते हैं और ऐसी सेवाओं पर भुगतान के तरीके की जानकारी साझा करते हैं। खाते की शेष राशि और पिछले भुगतानों का विवरण यह संकेत दे सकते हैं कि उपयोगकर्ता प्लेटफ़ॉर्म से कमाई करता है। इस जानकारी का इस्तेमाल भुगतान के फ़र्ज़ी अनुरोधों, कर संबंधी सूचनाओं, रिवॉर्ड ट्रांसफ़र या शेष राशि वापस दिलाने के संदेशों के लिए किया जा सकता है। जिन उपयोगकर्ताओं का भौतिक पता और जन्मतिथि उपलब्ध हो, उन्हें अधिक व्यक्तिगत ढंग से फ़िशिंग संदेशों का निशाना बनाया जा सकता है। कंपनियों के नज़रिए से, निजी रिवॉर्ड खातों के पासवर्ड को काम से जुड़े खातों पर दोबारा इस्तेमाल करना सुरक्षा का गंभीर जोखिम है।

ClixSense के लिए इस्तेमाल किए गए पासवर्ड को अब सुरक्षित नहीं मानना चाहिए। उपयोगकर्ता को उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। पासवर्ड मैनेजर की मदद से हर सेवा के लिए एक अलग और लंबा पासवर्ड बनाना चाहिए। पुराने पासवर्ड के अंत में कोई अंक जोड़ना, एक अक्षर बदलना या उसी तरह का पैटर्न इस्तेमाल करना पर्याप्त नहीं है। सुरक्षा के लिए ईमेल खातों, भुगतान सेवाओं, सोशल मीडिया खातों और कमाई के दूसरे प्लेटफ़ॉर्म को प्राथमिकता देनी चाहिए।

ईमेल खाते पर बहु-कारक प्रमाणीकरण चालू करना चाहिए और हाल के सत्रों, जुड़े हुए डिवाइसों, खाता रिकवरी के लिए दिए गए ईमेल पतों तथा फ़ॉरवर्डिंग नियमों की जाँच करनी चाहिए। भुगतान या सर्वेक्षण से जुड़े संदेशों पर विशेष ध्यान देना चाहिए। खाते की शेष राशि लौटाने, भुगतान का तरीका अपडेट करने, कर संबंधी फ़ॉर्म, गिफ़्ट कार्ड या प्रोफ़ाइल सत्यापन के अनुरोधों पर आधिकारिक माध्यमों से पुष्टि किए बिना कार्रवाई नहीं करनी चाहिए। उपयोगकर्ता से उसका मौजूदा पासवर्ड, सत्यापन कोड, कार्ड की जानकारी या बैंक की जानकारी माँगने वाले संदेशों को अत्यधिक जोखिमपूर्ण मानना चाहिए।

ClixSense की घटना दिखाती है कि व्यक्तिगत डेटा के मामले में ऑनलाइन रिवॉर्ड और छोटे ऑनलाइन कामों वाले प्लेटफ़ॉर्म को कम जोखिम वाला नहीं मानना चाहिए। ऐसी सेवाओं में नाम, पता, जन्मतिथि, भुगतान का तरीका और खाते की शेष राशि जैसे फ़ील्ड एक साथ मौजूद हो सकते हैं। लंबी अवधि में उपयोगकर्ताओं को सर्वेक्षण और रिवॉर्ड सेवाओं के लिए अलग ईमेल पता इस्तेमाल करने, प्रोफ़ाइल से अनावश्यक जानकारी हटाने और इस्तेमाल न होने वाले खाते बंद करने पर विचार करना चाहिए। भुगतान के तरीके की जानकारी केवल ज़रूरत होने पर साझा करनी चाहिए और पुराने भुगतान रिकॉर्ड की नियमित समीक्षा करनी चाहिए।

कंपनियों के लिए पासवर्ड को प्लेन टेक्स्ट में रखना अस्वीकार्य है। पासवर्ड को ऐसे मज़बूत, आधुनिक तरीकों से सुरक्षित रखना चाहिए जिनमें प्रोसेसिंग धीमी हो। पहुँच के अधिकारों, पुराने सर्वरों और डेटाबेस कनेक्शन की नियमित जाँच होनी चाहिए। उपयोगकर्ताओं की शेष राशि और पिछले भुगतानों के विवरण जैसे फ़ील्ड को भी व्यक्तिगत डेटा सुरक्षा के दायरे में संभालना चाहिए। कंपनियों की सुरक्षा टीमों को यह ध्यान में रखना चाहिए कि कर्मचारी निजी तौर पर अतिरिक्त कमाई के लिए इस्तेमाल किए जाने वाले प्लेटफ़ॉर्म के पासवर्ड अपने काम से जुड़े खातों पर भी इस्तेमाल कर सकते हैं। उन्हें लीक हुए पासवर्ड की जाँच और बहु-कारक प्रमाणीकरण के लिए मानक प्रक्रियाएँ तय करनी चाहिए।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि संबंधित ईमेल पता ClixSense डेटा उल्लंघन से जुड़े खातों में शामिल है। मिलान मिलने का यह अर्थ नहीं है कि भुगतान कार्ड या बैंक खाते की जानकारी इस रिकॉर्ड के सत्यापित दायरे में शामिल है। हालाँकि, प्लेन टेक्स्ट पासवर्ड, खाते की शेष राशि, पिछले भुगतानों का विवरण और भुगतान के तरीके जैसे फ़ील्ड के कारण जोखिम गंभीर है। उपयोगकर्ता को सबसे पहले यह सुनिश्चित करना चाहिए कि किसी दूसरे खाते पर वही पासवर्ड इस्तेमाल नहीं किया जा रहा है।

पासवर्ड बदलने के बाद ईमेल खातों और भुगतान सेवाओं के सत्रों की जाँच करनी चाहिए। अनजान सत्र बंद कर देने चाहिए, बहु-कारक प्रमाणीकरण चालू करना चाहिए और खाता रिकवरी के विकल्प अपडेट करने चाहिए। सर्वेक्षण, रिवॉर्ड, शेष राशि लौटाने या भुगतान अपडेट से जुड़े संदेशों पर तब तक कार्रवाई नहीं करनी चाहिए जब तक आधिकारिक माध्यमों से उनकी पुष्टि न हो जाए। यह घटना पुरानी होने पर भी, प्लेन टेक्स्ट पासवर्ड और भुगतान संबंधी जानकारी का इस्तेमाल कई साल बाद तक फ़िशिंग और स्वचालित लॉगिन प्रयासों में किया जा सकता है।