Coinmama: डेटा में सेंध

सत्यापित डेटा श्रेणियाँ ईमेल पते, उपयोगकर्ता नाम और पासवर्ड हैं। पासवर्ड फ़ील्ड को सादे पाठ में मौजूद पासवर्ड नहीं, बल्कि MD5 WordPress हैश प्रारूप में संग्रहीत पासवर्ड डेटा माना जाना चाहिए। आधुनिक पासवर्ड सुरक्षा के लिहाज़ से MD5-आधारित हैश कमज़ोर माने जाते हैं; हमलावर छोटे, आसानी से अनुमान लगाए जा सकने वाले या दोबारा इस्तेमाल किए गए पासवर्ड क्रैक कर सकते हैं। यदि वही ईमेल और पासवर्ड किसी क्रिप्टोकरेंसी एक्सचेंज, वॉलेट, ईमेल इनबॉक्स, बैंक, भुगतान सेवा या सोशल मीडिया खाते पर अब भी मान्य हैं, तो पुरानी डेटा सेंध आज की वित्तीय सुरक्षा को प्रभावित कर सकती है।

उपयोगकर्ता नाम और ईमेल पता हमलावरों को इतनी जानकारी देते हैं कि वे क्रिप्टोकरेंसी उपयोगकर्ताओं को निशाना बनाकर निवेश, खाता सत्यापन, वॉलेट बहाली या सहायता से जुड़े फ़र्ज़ी संदेश तैयार कर सकें। चूँकि Coinmama खाते का संबंध पैसे जमा करने या क्रिप्टो खरीदने से हो सकता है, हमलावर यह मान सकते हैं कि निशाना बनाए गए व्यक्ति के पास डिजिटल संपत्तियाँ होंगी। Coinmama डेटा की सत्यापित श्रेणियों में फ़ोन नंबर, भौतिक पता, भुगतान कार्ड, आधिकारिक पहचान पत्र, वॉलेट पता, लेनदेन का इतिहास या शेष राशि की जानकारी शामिल नहीं है। अन्य खातों तक फैलने वाले जोखिम का आकलन केवल उन्हीं फ़ील्ड तक सीमित रखना चाहिए जिनके प्रभावित होने की पुष्टि हुई है।

Coinmama घटना के लिए LeakData का दायरा 4,78,824 अलग-अलग ईमेल खातों तक ही रखा जाना चाहिए। घटना की तारीख 3 अगस्त 2017 और सत्यापित सूची में जोड़े जाने की तारीख 30 अगस्त 2019 के रूप में दर्ज की जानी चाहिए। हालाँकि फरवरी 2019 की घोषणाओं में लगभग 4,50,000 ईमेल और हैश किए गए पासवर्ड की प्रविष्टियों का उल्लेख था, मुख्य खातों की पुष्ट संख्या 4,78,824 ही रखी गई है। यह अंतर दोहराई गई प्रविष्टियों, सत्यापन प्रक्रिया और अलग-अलग ईमेल खातों की गिनती के कारण हो सकता है; उपयोगकर्ता को दिखाई जाने वाली संख्या अलग-अलग खातों के दायरे के अनुरूप होनी चाहिए।

इसका दायरा केवल Coinmama खाते के डेटा तक सीमित है। डेटा की बिक्री की किसी व्यापक लहर में अन्य ब्रांडों का नाम होना इस रिकॉर्ड में दूसरे प्लेटफ़ॉर्म की डेटा श्रेणियाँ जोड़ने का आधार नहीं है। भुगतान कार्ड, बैंक खाता, पहचान दस्तावेज़, पता, फ़ोन, क्रिप्टो वॉलेट की निजी कुंजी, लेनदेन की सूची या शेष राशि की जानकारी को इस घटना के पुष्ट फ़ील्ड में शामिल नहीं किया जाना चाहिए। यह सीमा क्रिप्टोकरेंसी से जुड़े संदर्भ के कारण अनावश्यक घबराहट से बचाती है और उपयोगकर्ता का ध्यान पासवर्ड के दोबारा इस्तेमाल, खाते पर अनधिकृत नियंत्रण और लक्षित फ़िशिंग जैसे वास्तविक जोखिमों की ओर ले जाती है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने Coinmama खाते का पासवर्ड दूसरे खातों पर भी इस्तेमाल करते हैं। क्रिप्टोकरेंसी खाते इस्तेमाल करने वाले लोग आम तौर पर अपने ईमेल खाते, एक्सचेंज खाते, वॉलेट ऐप, भुगतान के माध्यम और सोशल मीडिया खाते पर एक ही पहचान बनाए रखते हैं। ईमेल और उपयोगकर्ता नाम का मेल हमलावरों को खातों की सूची बनाने का अवसर देता है। यदि पासवर्ड हैश क्रैक किया जा सके, तो उस पासवर्ड को अलग-अलग सेवाओं पर आज़माया जा सकता है और उपयोगकर्ता की डिजिटल संपत्तियों से जुड़े पूरे तंत्र को निशाना बनाया जा सकता है।

क्रिप्टोकरेंसी निवेशकों, अपने पुराने खाते अब इस्तेमाल न करने वाले लोगों और एक ही ईमेल पते से कई एक्सचेंजों पर खाते खोलने वाले उपयोगकर्ताओं को विशेष सावधानी बरतनी चाहिए। इस स्थिति में, भले ही वॉलेट की निजी कुंजी या शेष राशि की जानकारी की पुष्टि न हुई हो, हमलावर उस व्यक्ति को क्रिप्टो उपयोगकर्ता के रूप में चिह्नित कर सकते हैं। ऐसे संदर्भ में फ़र्ज़ी ग्राहक सहायता, तत्काल खाता सत्यापन, निकासी की चेतावनी, कर संबंधी सूचना या वॉलेट बहाली के संदेश अधिक विश्वसनीय लग सकते हैं। जाँच में मेल मिलने पर सुरक्षा कदम उठाना ज़रूरी है, भले ही पुराना खाता बंद हो चुका हो।

जिस उपयोगकर्ता का ईमेल पता Coinmama डेटाबेस में है, उसे सबसे पहले यह सुनिश्चित करना चाहिए कि उसके Coinmama खाते में इस्तेमाल किया गया पुराना पासवर्ड किसी अन्य खाते के लिए मान्य न हो। यदि वही या उससे मिलता-जुलता पासवर्ड ईमेल, क्रिप्टोकरेंसी एक्सचेंज, वॉलेट, भुगतान, बैंक, सोशल मीडिया या काम से जुड़े खातों पर इस्तेमाल किया गया है, तो हर खाते के लिए अलग, लंबा और ऐसा पासवर्ड तय करना चाहिए जिसका अनुमान लगाना कठिन हो। पासवर्ड मैनेजर का इस्तेमाल पासवर्ड दोबारा इस्तेमाल होने का जोखिम कम करता है। पुराने पासवर्ड के ढाँचे में मामूली बदलाव करके उसे बनाए रखना सुरक्षित नहीं माना जाना चाहिए।

ईमेल खाते और क्रिप्टोकरेंसी से जुड़े सभी खातों पर दो-कारक प्रमाणीकरण चालू करना चाहिए। जहाँ संभव हो, ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजी को प्राथमिकता देनी चाहिए। अचानक निकासी की सूचना, वॉलेट बहाली का अनुरोध, निवेश का अवसर, खाता सत्यापन का संदेश या सहायता कॉल मिलने पर किसी लिंक पर क्लिक किए बिना आधिकारिक ऐप या वेबसाइट से उनकी जाँच करनी चाहिए। कोई संदिग्ध सत्र दिखने पर सत्र बंद कर देने चाहिए, रिकवरी ईमेल की समीक्षा करनी चाहिए और दोबारा इस्तेमाल किए गए पासवर्ड पूरी तरह बदल देने चाहिए।

Coinmama डेटा सेंध दिखाती है कि क्रिप्टोकरेंसी खातों में इस्तेमाल की गई पहचान संबंधी जानकारी कई साल बाद भी बड़ा जोखिम पैदा कर सकती है। उपयोगकर्ताओं को क्रिप्टोकरेंसी, ईमेल, बैंक, भुगतान और सोशल मीडिया खातों पर एक ही पासवर्ड दोबारा इस्तेमाल करने से बचना चाहिए। पुराने एक्सचेंज खातों की नियमित समीक्षा करनी चाहिए और इस्तेमाल न होने वाले खातों को बंद कर देना चाहिए या अलग पासवर्ड और मज़बूत बहु-कारक सुरक्षा के साथ अलग रखना चाहिए। चूँकि ईमेल पते और उपयोगकर्ता नाम लंबे समय तक नहीं बदलते, पुरानी सेंध का डेटा नए फ़िशिंग प्रयासों में फिर इस्तेमाल किया जा सकता है।

सेवा प्रदाताओं के लिए मुख्य सीख यह है कि वे पासवर्ड हैश की सुरक्षा के लिए आधुनिक और अधिक संसाधन खर्च करने वाली पासवर्ड संग्रहण विधियाँ अपनाएँ, उपयोगकर्ताओं को बिना देरी सूचना दें और स्पष्ट बताएँ कि कौन-से डेटा फ़ील्ड प्रभावित नहीं हुए हैं। क्रिप्टोकरेंसी के संदर्भ में भुगतान, पहचान और वॉलेट डेटा जैसे फ़ील्ड बेहद संवेदनशील होते हैं, इसलिए असत्यापित फ़ील्ड को घटना के दायरे में शामिल नहीं किया जाना चाहिए। Coinmama के जोखिम संबंधी संचार का ध्यान ईमेल, उपयोगकर्ता नाम और MD5 WordPress पासवर्ड हैश से जुड़े खाते की सुरक्षा के मुद्दों पर ही केंद्रित रहना चाहिए।

Coinmama डेटा सेंध के रिकॉर्ड की जाँच का परिणाम बताता है कि दर्ज किया गया ईमेल पता इस सत्यापित डेटासेट में मौजूद है या नहीं। यदि मेल मिलता है, तो ईमेल पते, उपयोगकर्ता नाम और पासवर्ड हैश को जोखिम में माना जाना चाहिए। यदि मेल नहीं मिलता, तो इसका मतलब केवल यह है कि इस विशेष डेटासेट में कोई मेल नहीं मिला; इससे यह साबित नहीं होता कि उस व्यक्ति का अन्य क्रिप्टोकरेंसी प्लेटफ़ॉर्म या दूसरी डेटा सेंधों से कोई संबंध नहीं है। घटना की तारीख और सत्यापित सूची में जोड़े जाने की तारीख के बीच भ्रम से बचने के लिए तारीखें सही रखना महत्वपूर्ण है।

सही कदम हैं: पुराने पासवर्ड का इस्तेमाल पूरी तरह छोड़ना, दोबारा इस्तेमाल किए गए सभी पासवर्ड बदलना, ईमेल खाते को मज़बूत बहु-कारक सुरक्षा से सुरक्षित करना और क्रिप्टोकरेंसी से जुड़े फ़र्ज़ी सहायता या निवेश संदेशों से सावधान रहना। उपयोगकर्ता को उसी ईमेल और उपयोगकर्ता नाम से खोले गए एक्सचेंज, वॉलेट, भुगतान और सोशल मीडिया खातों की भी जाँच करनी चाहिए। ये कदम इस जोखिम को कम करते हैं कि 2017 की डेटा सेंध आज किसी वित्तीय खाते पर अनधिकृत नियंत्रण या लक्षित फ़िशिंग का कारण बन जाए।