Telegram पर पोस्ट की गई कॉम्बोलिस्ट

Telegram पर पोस्ट की गई कॉम्बोलिस्ट में ईमेल पते, उपयोगकर्ता नाम और पासवर्ड जैसी सत्यापित डेटा श्रेणियाँ शामिल हैं। इन तीनों फ़ील्ड के एक साथ मिलने पर खाते पर अनधिकृत नियंत्रण का जोखिम गंभीर हो जाता है। ईमेल पता या उपयोगकर्ता नाम बताता है कि हमलावर किस पहचान से लॉगिन करने का प्रयास करेगा; वहीं, यदि पासवर्ड अन्य सेवाओं पर उसी या मिलते-जुलते रूप में इस्तेमाल किया गया हो, तो वह सीधे लॉगिन के प्रयासों का आधार बनता है। इसलिए इस परिणाम को सामान्य स्पैम चेतावनी के बजाय पासवर्ड सुरक्षा से जुड़ी उच्च-प्राथमिकता वाली चेतावनी मानना चाहिए।

इस डेटासेट में नाम, फ़ोन नंबर, भौतिक पते, भुगतान कार्ड या आधिकारिक पहचान संख्या सत्यापित डेटा श्रेणियों के रूप में शामिल नहीं हैं। मुख्य जोखिम प्रमाणीकरण संबंधी जानकारी से जुड़ा है। कुछ पंक्तियों में उस वेबसाइट की जानकारी भी हो सकती है जहाँ पासवर्ड दर्ज किया गया था। इससे हमलावरों के लिए यह समझना आसान हो सकता है कि किस सेवा पर लॉगिन आज़माना है। हालाँकि, उपयोगकर्ता की स्क्रीन पर हमेशा यह नहीं दिखाया जा सकता कि कौन-सा पासवर्ड किस साइट से जुड़ा है। इस अनिश्चितता के कारण, एक से अधिक जगह इस्तेमाल किए गए सभी पासवर्ड को जोखिमपूर्ण मानना ज़रूरी है।

कॉम्बोलिस्ट के स्रोतों में अक्सर पुराने डेटा लीक, दोबारा संकलित सूचियाँ, अनुमान लगाकर बनाए गए कमज़ोर पासवर्ड या जानकारी चुराने वाले मैलवेयर के लॉग शामिल होते हैं। इसलिए एक ही ईमेल पता कई ऐसे पासवर्ड के साथ दिखाई दे सकता है, जो अतीत में अलग-अलग सेवाओं पर इस्तेमाल किए गए हों। कोई उपयोगकर्ता आज मज़बूत पासवर्ड इस्तेमाल कर रहा हो, तब भी जोखिम बना रहता है यदि उसका कोई पुराना पासवर्ड दूसरे खातों पर अब भी मान्य है। संगठनों के लिए, ऐसी सूचियों में कर्मचारियों के ईमेल पते दिखाई देने से खातों के क्रेडेंशियल का अनुमान लगाने वाले लक्षित हमले और फ़िशिंग संदेश बढ़ सकते हैं।

सत्यापित दायरे में 28 मई 2024 का संग्रह और 36,14,68,099 अलग-अलग खाते शामिल हैं। रिकॉर्ड 3 जून 2024 को जोड़ा गया था और अंतिम अपडेट 11 जून 2024 को किया गया था। ईमेल पते, पासवर्ड और उपयोगकर्ता नाम इसकी डेटा श्रेणियाँ हैं। यह घटना इस बात का संकेत नहीं देती कि Telegram सेवा के सिस्टम में सेंध लगी है। इसे अधिक सटीक रूप से ऐसे डेटासेट के तौर पर समझना चाहिए, जिसमें दुर्भावनापूर्ण Telegram चैनलों पर साझा की गई क्रेडेंशियल सूचियों को एकत्र करके सत्यापित और वर्गीकृत किया गया है।

उपयोगकर्ता की सुरक्षा के लिए यह अंतर महत्वपूर्ण है। मिलान का परिणाम आने का मतलब यह नहीं है कि उपयोगकर्ता के Telegram खाते में सेंध लगी है। उपयोगकर्ता का ईमेल पता, उपयोगकर्ता नाम या पासवर्ड अलग-अलग स्रोतों की सूचियों में आया हो सकता है, और वे सूचियाँ Telegram चैनलों पर वितरित की गई हो सकती हैं। इसलिए कार्रवाई किसी एक सोशल मैसेजिंग खाते तक सीमित रखने के बजाय उन सभी महत्वपूर्ण खातों पर की जानी चाहिए जहाँ वही ईमेल पता और पासवर्ड इस्तेमाल किए गए हो सकते हैं।

मूल डेटा की पंक्तियों की संख्या को अलग-अलग खातों की संख्या नहीं समझना चाहिए। लगभग 200 करोड़ पंक्तियों में एक ही ईमेल पता अलग-अलग पासवर्ड या अलग-अलग स्रोतों के साथ दोबारा आ सकता है। उपयोगकर्ता को दिखाई जाने वाली प्रभावित खातों की संख्या अलग-अलग ईमेल पतों के स्तर पर सत्यापित संख्या है। असत्यापित फ़ील्ड को डेटा श्रेणियों में नहीं जोड़ना चाहिए, इस घटना को किसी एक ब्रांड में सेंध लगने के रूप में प्रस्तुत नहीं करना चाहिए, और इसका दायरा क्रेडेंशियल संग्रह तक ही सीमित रखना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जो कई सेवाओं पर एक ही पासवर्ड इस्तेमाल करते हैं। यदि कोई पासवर्ड किसी पुराने फ़ोरम, गेम खाते, खरीदारी की साइट या ट्रायल खाते पर इस्तेमाल किया गया था और बाद में उसे ईमेल, सोशल मीडिया, वित्तीय या काम से जुड़े खातों पर दोबारा इस्तेमाल किया गया, तो यह डेटासेट हमलावरों को लॉगिन आज़माने के लिए तैयार सूची दे सकता है। पासवर्ड लंबा हो, तब भी जोखिम बना रहता है यदि वह केवल एक खाते के लिए अलग से नहीं रखा गया है। इसलिए सभी महत्वपूर्ण खातों के लिए अलग-अलग पासवर्ड होना अनिवार्य है।

दूसरा जोखिम समूह उन कर्मचारियों का है जो अपने कॉर्पोरेट ईमेल पते से निजी सेवाओं पर खाते खोलते हैं। किसी कर्मचारी का कॉर्पोरेट ईमेल पता और पासवर्ड कॉम्बोलिस्ट में दिखाई देना यह साबित नहीं करता कि कंपनी के सिस्टम में सेंध लगी है; हालाँकि, इससे हमलावरों को कंपनी के डोमेन पर लॉगिन आज़माने का अवसर मिलता है। प्रशासकों तथा वित्त, मानव संसाधन, सहायता और तकनीकी टीमों के खातों की जाँच को प्राथमिकता देनी चाहिए। संगठनों को असफल लॉगिन प्रयासों, असामान्य स्थानों और नए उपकरणों पर शुरू हुए सेशन की बारीकी से निगरानी करनी चाहिए।

तीसरा जोखिम समूह उन उपयोगकर्ताओं का है जिनके उपकरणों पर पहले जानकारी चुराने वाला मैलवेयर चला हो सकता है। यदि डेटा का ऐसा कोई स्रोत मौजूद हो, तो केवल पासवर्ड बदलना पर्याप्त नहीं हो सकता। ब्राउज़र में सहेजे गए पासवर्ड, सेशन कुकी और फ़ॉर्म रिकॉर्ड भी जोखिम में हो सकते हैं। उपयोगकर्ताओं को भरोसेमंद सुरक्षा सॉफ़्टवेयर से अपने उपकरण स्कैन करने चाहिए, अनजान ब्राउज़र एक्सटेंशन हटाने चाहिए, सक्रिय सेशन समाप्त करने चाहिए और महत्वपूर्ण खातों के लिए सुरक्षा कुंजी या मज़बूत दो-कारक प्रमाणीकरण इस्तेमाल करना चाहिए।

जिन उपयोगकर्ताओं के विवरण का मिलान मिलता है, उन्हें सबसे पहले अपने ईमेल खातों के पासवर्ड बदलने चाहिए और फिर सभी महत्वपूर्ण खातों के पासवर्ड बदलने चाहिए। एक जैसे या मिलते-जुलते पासवर्ड से पूरी तरह बचना चाहिए और हर सेवा के लिए अलग और लंबा पासवर्ड चुनना चाहिए। पासवर्ड मैनेजर का इस्तेमाल इस प्रक्रिया को भरोसेमंद बनाता है। पुराने पासवर्ड के अंत में कोई अंक जोड़ना या किसी अक्षर में छोटा-सा बदलाव करना पर्याप्त नहीं है; हमलावर आसानी से इन बदले हुए रूपों को आज़मा सकते हैं।

दूसरा कदम बहु-कारक प्रमाणीकरण सक्षम करना है। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजी केवल SMS कोड की तुलना में अधिक मज़बूत सुरक्षा देती है। खाते की सेटिंग में सक्रिय सेशन, अपरिचित उपकरण, हाल में जोड़े गए रिकवरी ईमेल पते, फ़ॉरवर्डिंग नियम और हाल की लॉगिन गतिविधियाँ जाँचनी चाहिए। संदिग्ध सेशन समाप्त करने चाहिए, खाता पुनर्प्राप्ति की जानकारी अपडेट करनी चाहिए और सुरक्षा सूचनाएँ चालू रखनी चाहिए।

तीसरा कदम उपकरणों की सुरक्षा जाँचना है। जानकारी चुराने वाले मैलवेयर की संभावना को देखते हुए, उपयोगकर्ताओं को अपने कंप्यूटर और फ़ोन अपडेट करने चाहिए, अनजान ऐप्लिकेशन हटाने चाहिए, ब्राउज़र एक्सटेंशन की समीक्षा करनी चाहिए और भरोसेमंद सुरक्षा स्कैन चलाना चाहिए। यदि उसी उपकरण पर काम से जुड़ा खाता, वित्तीय खाता या मुख्य ईमेल खाता इस्तेमाल किया गया था, तो इन खातों के सेशन भी समाप्त करने चाहिए और इन पर पहुँच नियंत्रण लागू करना चाहिए।

लंबी अवधि में सबसे प्रभावी बचाव हर सेवा के लिए अलग पासवर्ड रखने की पद्धति और मज़बूत दो-कारक प्रमाणीकरण है। हर सेवा पर अलग पासवर्ड इस्तेमाल करने से कॉम्बोलिस्ट में दिखाई देने वाले क्रेडेंशियल का असर दूसरे खातों तक नहीं फैल सकता। उपयोगकर्ताओं को पासवर्ड मैनेजर से रैंडम पासवर्ड बनाने चाहिए, पुराने खाते बंद करने चाहिए, इस्तेमाल न की जा रही सेवाओं पर सेशन समाप्त करने चाहिए और नियमित रूप से डेटा लीक की जाँच करने की आदत डालनी चाहिए।

संस्थानों के लिए स्थायी रणनीति यह है कि बाहरी क्रेडेंशियल संग्रहों में कर्मचारियों के ईमेल पते दिखाई देने की निगरानी की जाए और परिणामों को जोखिम के स्तर के अनुसार प्राथमिकता दी जाए। अधिक अधिकार वाले खातों के लिए सुरक्षा कुंजियाँ, अनिवार्य बहु-कारक प्रमाणीकरण, जोखिम-आधारित लॉगिन नियंत्रण और लीक हुए पासवर्ड को रोकने वाले नियम एक साथ इस्तेमाल करने चाहिए। हेल्प डेस्क प्रक्रियाओं में पासवर्ड रीसेट के अनुरोधों की पुष्टि मज़बूत प्रमाणीकरण से करनी चाहिए।

यह घटना यह भी दिखाती है कि उपकरणों को सुरक्षित बनाए रखना पासवर्ड सुरक्षा जितना ही महत्वपूर्ण है। उपयोगकर्ताओं को ऑपरेटिंग सिस्टम और ब्राउज़र के अपडेट टालने नहीं चाहिए, पायरेटेड सॉफ़्टवेयर और अनजान प्लगइन से बचना चाहिए और अपना मुख्य ईमेल खाता केवल भरोसेमंद उपकरणों पर इस्तेमाल करना चाहिए। जानकारी चुराने वाला मैलवेयर केवल पासवर्ड ही नहीं, बल्कि सक्रिय सेशन को भी निशाना बना सकता है। इसलिए नियमित रूप से सेशन समाप्त करना और सुरक्षा सूचनाओं पर नज़र रखना दीर्घकालिक बचाव का हिस्सा है।

यदि आपका ईमेल पता Telegram पर पोस्ट की गई कॉम्बोलिस्ट डेटा लीक में दिखाई देता है, तो इसे किसी विशेष सेवा में सीधे सेंध लगने के रूप में न समझें। अधिक सटीक आकलन यह है कि आपका ईमेल पता, उपयोगकर्ता नाम या पासवर्ड दुर्भावनापूर्ण चैनलों के ज़रिए साझा किए गए क्रेडेंशियल के बड़े संग्रह में शामिल हुआ हो सकता है। मुख्य लक्ष्य यह पता लगाना है कि क्या वही पासवर्ड दूसरे खातों पर भी इस्तेमाल किया जा रहा है और एक से अधिक जगह इस्तेमाल किए गए पासवर्ड को जल्द से जल्द बदलना है।

यदि जाँच में मिलान मिलता है, तो ईमेल खातों, वित्तीय खातों, सोशल मीडिया, काम के लिए इस्तेमाल किए जाने वाले टूल और क्लाउड सेवाओं की समीक्षा को प्राथमिकता देनी चाहिए। सभी महत्वपूर्ण खातों पर अलग-अलग पासवर्ड, बहु-कारक प्रमाणीकरण, सेशन नियंत्रण और उपकरण सुरक्षा के कदम लागू करने चाहिए। कॉर्पोरेट ईमेल पतों के मामले में, डोमेन-आधारित निगरानी से जोखिम वाले कर्मचारी खातों को प्राथमिकता देना आसान होता है। नियमित जाँच से उस जोखिम का जल्दी पता लगाने में मदद मिलती है जो खातों पर लॉगिन आज़माने वाले नए हमलों में पुरानी कॉम्बोलिस्ट के दोबारा इस्तेमाल से पैदा होता है।