CloudPets डेटा में सेंध

सत्यापित प्रमुख डेटा श्रेणियाँ ईमेल पते, परिवार के सदस्यों के नाम और पासवर्ड हैं। रिपोर्टों के अनुसार, पासवर्ड फ़ील्ड bcrypt हैश प्रारूप में था। इसका अर्थ यह नहीं है कि हर पासवर्ड सीधे पढ़े जा सकने वाले रूप में रखा गया था। फिर भी, कमज़ोर पासवर्ड या कई खातों में इस्तेमाल किए गए एक ही पासवर्ड से जोखिम पैदा होता है। स्रोत यह भी बताते हैं कि पूरे सिस्टम में बच्चों की प्रोफ़ाइल से जुड़ी फ़ोटो और वॉइस रिकॉर्डिंग के संदर्भ उजागर हुए थे। इस अतिरिक्त जानकारी के कारण CloudPets की घटना सामान्य खाता सूचियों के लीक होने से अधिक संवेदनशील है।

जब बच्चों के नाम, पारिवारिक संबंध और वॉइस मैसेज की सामग्री एक साथ उपलब्ध हों, तो जोखिम केवल फ़िशिंग या खाते पर अनधिकृत नियंत्रण तक सीमित नहीं रहता। सोशल इंजीनियरिंग में भरोसा जीतने के लिए परिवार के सदस्यों के नामों का इस्तेमाल किया जा सकता है। वहीं, वॉइस रिकॉर्डिंग और प्रोफ़ाइल फ़ोटो के संदर्भों को ऐसा डेटा माना जाना चाहिए, जो सीधे बच्चों के निजी जीवन से जुड़ा है। इसलिए इस घटना के कारण परिवारों को भेजे जाने वाले फ़र्ज़ी सहायता संदेशों, खिलौने के अपडेट की सूचनाओं, खाता रिकवरी अनुरोधों या बच्चे की प्रोफ़ाइल से जुड़े बहकाने वाले संपर्क प्रयासों का जोखिम अधिक है।

इस रिकॉर्ड में दिखाई गई 5,83,503 खातों की संख्या उन रिकॉर्डों के दायरे को दर्शाती है, जिन्हें ईमेल पते के ज़रिए खोजा जा सकता है। घटना में खुले तौर पर सुलभ पूरे सिस्टम का दायरा इससे बड़ा है और उसमें 8,21,000 से अधिक खाता रिकॉर्ड शामिल होने की बात कही गई है। इन दोनों संख्याओं को एक ही अर्थ में नहीं लेना चाहिए। उपयोगकर्ता का मिलान मिलने से पता चलता है कि संबंधित ईमेल पता खोज के लिए उपलब्ध CloudPets खाता डेटा में मौजूद है। पूरे सिस्टम में मौजूद अतिरिक्त फ़ाइल संदर्भों का आकलन अलग से किया जाना चाहिए।

सत्यापित डेटा फ़ील्ड में ईमेल पते, परिवार के सदस्यों के नाम, पासवर्ड हैश और पूरे सिस्टम में बच्चे की प्रोफ़ाइल से जुड़े तस्वीरों तथा ऑडियो मैसेज के संदर्भ शामिल हैं। भुगतान कार्ड, बैंक खाते, सरकारी पहचान संख्या, भौतिक पते या स्वास्थ्य संबंधी डेटा को सत्यापित डेटा श्रेणियाँ नहीं माना गया है। हालाँकि कंपनी ने ऑडियो रिकॉर्डिंग सीधे चुराए जाने से इनकार किया है, स्वतंत्र विश्लेषणों से पता चला है कि सिस्टम की संरचना के ज़रिए रिकॉर्ड फ़ाइलों तक पहुँचने के रास्ते उजागर हो सकते थे और इस डेटा को लेकर फिरौती की माँग की गई थी।

सबसे अधिक जोखिम उन अभिभावकों को है जिन्होंने CloudPets खाता बनाया था, उन परिवारों को जिन्होंने बच्चे की प्रोफ़ाइल जोड़ी थी, और उन लोगों को जिन्होंने दूसरे खातों में भी उसी पासवर्ड का इस्तेमाल किया था। ईमेल पते और परिवार के सदस्य के नाम को एक साथ इस्तेमाल करके हमलावर अधिक विश्वसनीय लगने वाले संदेश बना सकते हैं। उदाहरण के लिए, खिलौने के अपडेट, वॉइस मैसेज बहाल करने, बच्चे की प्रोफ़ाइल के सत्यापन या अभिभावक के खाते की सुरक्षा चेतावनी जैसे दिखने वाले संदेश उपयोगकर्ता को कोई लिंक खोलने या अपना पासवर्ड साझा करने के लिए प्रेरित कर सकते हैं।

बच्चों के नाम और वॉइस मैसेज से जुड़ी जानकारी के कारण जोखिम पूरे परिवार से संबंधित है। भले ही अभिभावक का खाता सुरक्षित दिखाई दे, बच्चे के नाम या पारिवारिक संबंधों की जानकारी का दुरुपयोग हो सकता है। कमज़ोर पासवर्ड इस्तेमाल करने वाले या ईमेल, सोशल मीडिया, खरीदारी और गेमिंग खातों में एक ही पासवर्ड रखने वाले उपयोगकर्ताओं के खातों पर अनधिकृत नियंत्रण का जोखिम अधिक है। इसके अलावा, भले ही कोई पुराना खिलौना खाता भुला दिया गया हो, उस समय इस्तेमाल किया गया ईमेल और पासवर्ड का संयोजन अब भी दूसरी सेवाओं पर काम कर सकता है।

इस रिकॉर्ड में मिलान मिलने पर उपयोगकर्ता को CloudPets में इस्तेमाल किया गया पासवर्ड बदलना चाहिए। साथ ही उन सभी खातों के पासवर्ड भी बदलने चाहिए, जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया था। ईमेल खाते की सुरक्षा को प्राथमिकता देनी चाहिए, बहु-कारक प्रमाणीकरण चालू करना चाहिए और हाल के सत्रों की समीक्षा करनी चाहिए। अगर दूसरे खातों में पुराने पासवर्ड में मामूली बदलाव करके उसका इस्तेमाल जारी है, तो उस पासवर्ड और उससे बने सभी रूपों का इस्तेमाल पूरी तरह बंद कर देना चाहिए। पासवर्ड मैनेजर से हर खाते के लिए अलग पासवर्ड बनाना और पुराने पासवर्ड का हिसाब रखना, दोनों आसान होते हैं।

परिवारों को बच्चे के नाम, खिलौने के खातों, वॉइस मैसेज या प्रोफ़ाइल फ़ोटो से जुड़े अप्रत्याशित संदेशों से सावधान रहना चाहिए। CloudPets खाता वापस पाने, वॉइस रिकॉर्डिंग डाउनलोड करने, बच्चे की प्रोफ़ाइल हटाने, खिलौने का कनेक्शन दोबारा चालू करने या सुरक्षा सत्यापन करने का दावा करने वाले लिंक सीधे नहीं खोलने चाहिए। अगर कोई कार्रवाई ज़रूरी हो, तो सेवा का ज्ञात डोमेन नाम खुद टाइप करना चाहिए या किसी विश्वसनीय माध्यम से पुष्टि करनी चाहिए। बच्चे का नाम, फ़ोटो, वॉइस रिकॉर्डिंग या खाते का विवरण माँगने वाले किसी भी व्यक्ति के साथ जानकारी साझा नहीं करनी चाहिए।

CloudPets की घटना दिखाती है कि इंटरनेट से जुड़े खिलौनों के ज़रिए इकट्ठा किया गया डेटा परिवार की गोपनीयता के लिए कितना संवेदनशील हो सकता है। परिवारों को इंटरनेट से जुड़े खिलौनों, बच्चों के ऐप और स्मार्ट डिवाइस खातों में यथासंभव कम जानकारी साझा करनी चाहिए। बच्चे का असली नाम, जन्मतिथि, फ़ोटो, वॉइस रिकॉर्डिंग और पारिवारिक संबंधों की जानकारी केवल तभी इस्तेमाल करनी चाहिए, जब यह ज़रूरी हो और सुरक्षा नियंत्रणों की समझ हो। इस्तेमाल में न आने वाले खिलौनों और बच्चों के ऐप के खाते बंद कर देने चाहिए या उनकी प्रोफ़ाइल में मौजूद जानकारी कम कर देनी चाहिए।

लंबी अवधि के लिए, बच्चों के लिए बने उपकरण खरीदते समय अभिभावकों को डेटा भंडारण, कनेक्शन की अनुमतियों, खाते की सुरक्षा और निर्माता से मिलने वाली सहायता जैसे मुद्दों को अपने निर्णय का हिस्सा बनाना चाहिए। अगर उपकरण में माइक्रोफ़ोन, कैमरा, Bluetooth या इंटरनेट कनेक्शन का इस्तेमाल होता है, तो यह जाँचना चाहिए कि इकट्ठा किया गया डेटा कहाँ रखा जाता है और उसे कैसे हटाया जा सकता है। बच्चे का डेटा एक बार उजागर हो जाए, तो उसे पासवर्ड की तरह आसानी से बदला नहीं जा सकता। इसलिए सुरक्षा का तरीका केवल घटना के बाद कदम उठाने तक सीमित नहीं होना चाहिए; उसमें उपकरण का चुनाव और डेटा को न्यूनतम रखने की रणनीति भी शामिल होनी चाहिए।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि संबंधित ईमेल पता उन खातों में शामिल है, जिन्हें CloudPets डेटा लीक के संदर्भ में खोजा जा सकता है। मिलान मिलने पर ईमेल, परिवार के सदस्य के नाम और पासवर्ड की सुरक्षा से जुड़े कदम उठाने की ज़रूरत है। पूरे सिस्टम में मौजूद अतिरिक्त फ़ाइल संदर्भों के दायरे का आकलन अलग से किया जाना चाहिए। चूँकि यह घटना बच्चों और परिवार के डेटा से जुड़ी है, इसलिए जोखिम के आकलन में केवल खाताधारक ही नहीं, बल्कि घर के बच्चों की गोपनीयता भी शामिल होनी चाहिए।

उपयोगकर्ता को सबसे पहले हर खाते के लिए अलग पासवर्ड रखना चाहिए, अपने ईमेल खाते की सुरक्षा मज़बूत करनी चाहिए और पुराने खिलौनों या बच्चों के ऐप के खाते बंद करने पर विचार करना चाहिए। बच्चे के नाम, वॉइस रिकॉर्डिंग, खिलौने के खाते या प्रोफ़ाइल फ़ोटो से जुड़े संदेशों को किसी अलग माध्यम से सत्यापित किए बिना विश्वसनीय नहीं मानना चाहिए। घटना पुरानी होने पर भी पारिवारिक संबंधों और बच्चे की प्रोफ़ाइल से जुड़ा डेटा लंबे समय तक सोशल इंजीनियरिंग का जोखिम पैदा कर सकता है। इसलिए किसी रिकॉर्ड से मिलान मिलने पर सुरक्षा और गोपनीयता संबंधी कदमों को उच्च प्राथमिकता देनी चाहिए।