Couchsurfing (2020) की डेटा सुरक्षा में सेंध

उस समय जाँचे गए नमूने और उसी दौर की रिपोर्टों के अनुसार, बिक्री के लिए पेश किए गए डेटा में ईमेल पते, असली नाम, उपयोगकर्ता ID और खाते की सेटिंग्स शामिल थीं। रिपोर्टों में स्पष्ट रूप से बताया गया था कि बिक्री के लिए पेश किए गए पैकेज में पासवर्ड नहीं थे, इसलिए इस रिकॉर्ड में यह दावा नहीं किया जाना चाहिए कि पासवर्ड हैश, सादे टेक्स्ट में पासवर्ड या सीधे लॉगिन करने के क्रेडेंशियल उजागर हुए थे। विश्वसनीय साक्ष्य भी यह स्थापित नहीं करते कि उसमें फ़ोन नंबर, भुगतान कार्ड, निजी संदेश, पहचान दस्तावेज़, सटीक स्थान, यात्रा इतिहास या प्रोफ़ाइल में लिखे विवरण मौजूद थे। फिर भी, ईमेल पते, नाम और प्लेटफ़ॉर्म-विशिष्ट उपयोगकर्ता ID को एक साथ जोड़कर लक्षित फ़िशिंग की जा सकती है, स्पैम और सहायता के नाम पर धोखाधड़ी वाले संदेश भेजे जा सकते हैं तथा सार्वजनिक स्रोतों में मिली प्रोफ़ाइल से जानकारी का मिलान किया जा सकता है। लगभग 1.7 करोड़ का आँकड़ा विज्ञापित खाता रिकॉर्ड की संख्या बताता है, न कि अलग-अलग लोगों की पूरी तरह सत्यापित संख्या।

यह डेटासेट जुलाई 2020 की शुरुआत में सामने आया था। पहले इसे निजी मैसेजिंग चैनलों पर और बाद में अपराधियों के सार्वजनिक फ़ोरम पर पेश किया गया। विक्रेता ने दावा किया कि रिकॉर्ड Couchsurfing के सर्वर से लिए गए थे और पैकेज की कीमत US$700 रखी थी। सुरक्षा संबंधी रिपोर्टिंग करने वाले पत्रकारों को दिए गए एक छोटे नमूने में उपयोगकर्ता ID, असली नाम, ईमेल पते और खाते की सेटिंग्स से जुड़े फ़ील्ड थे। कंपनी ने कहा कि उसने जाँच के लिए एक बाहरी साइबर सुरक्षा फ़र्म की सेवाएँ ली थीं और कानून प्रवर्तन एजेंसियों से संपर्क किया था। सार्वजनिक रूप से उपलब्ध किसी अंतिम घटना रिपोर्ट ने यह स्थापित नहीं किया कि डेटा तक पहुँच किस सटीक तारीख को हुई थी या घुसपैठ का पुष्ट तरीका क्या था। गलत जगह रखी गई बैकअप फ़ाइल को एक संभावित स्रोत बताया गया था, लेकिन यह केवल एक अनुमान था, प्रमाणित मूल कारण नहीं। इसलिए इस रिकॉर्ड में घटना की अवधि जुलाई 2020 की शुरुआत बताई गई है, किसी सटीक दिन का दावा नहीं किया गया है। Couchsurfing खातों के संरचित फ़ील्ड इस सामग्री को लॉगिन क्रेडेंशियल के किसी सामान्य संग्रह से अलग बनाते हैं। वहीं, सार्वजनिक रूप से निर्णायक सत्यापन न होने के कारण इस रिकॉर्ड में दावों के साथ यह अनिश्चितता स्पष्ट रखना आवश्यक है।

डेटा उजागर होने का सबसे अधिक जोखिम उन लोगों के लिए है जिनका 2020 से पहले Couchsurfing खाता था और जिन्होंने अपने मुख्य ईमेल पते के साथ अपना असली नाम इस्तेमाल किया था। प्लेटफ़ॉर्म, खाते के अस्तित्व और उपयोगकर्ता ID की जानकारी मिलने पर हमलावर सुरक्षा, सदस्यता शुल्क, प्रोफ़ाइल सत्यापन, मेज़बानी के अनुरोधों या यात्रा संबंधी संदेशों के बारे में विश्वसनीय लगने वाली सूचनाएँ तैयार कर सकता है। रिपोर्ट किए गए डेटासेट में पासवर्ड न होने से खाते पर अनधिकृत नियंत्रण का जोखिम समाप्त नहीं होता: हमलावर फिर भी ईमेल का इस्तेमाल करके पासवर्ड रीसेट लिंक चुरा सकते हैं, एक बार इस्तेमाल होने वाला कोड माँग सकते हैं या किसी सदस्य को धोखाधड़ी वाले साइन-इन पेज पर भेज सकते हैं। यदि वही ईमेल दूसरी सेवाओं पर भी इस्तेमाल होता है, तो इन रिकॉर्ड की मदद से प्रोफ़ाइल का मिलान और व्यक्ति-विशेष को निशाना बनाकर धोखाधड़ी की जा सकती है। पहचान से जुड़ा पुराना डेटा कई साल बाद भी ठगी को विश्वसनीय बना सकता है। बिक्री के पैकेज में किसी खाते का रिकॉर्ड मौजूद होना यह साबित नहीं करता कि उस खाते तक पहुँच बनाई गई थी या निजी संदेश पढ़े गए थे; इन निष्कर्षों के लिए अलग साक्ष्य आवश्यक हैं।

यदि आप अब भी 2020 के समय वाला Couchsurfing पासवर्ड इस्तेमाल कर रहे हैं, या आपने वही पासवर्ड दूसरी जगहों पर भी इस्तेमाल किया था, तो सावधानी के तौर पर हर जगह उसकी जगह लंबा और अलग पासवर्ड रखें, भले ही इस पैकेज में पासवर्ड होने की रिपोर्ट नहीं थी। सबसे पहले अपने मुख्य ईमेल खाते को सुरक्षित करें: अनजान सत्रों, फ़ॉरवर्डिंग नियमों और रिकवरी पतों की समीक्षा करें, फिर बहु-कारक प्रमाणीकरण चालू करें। Couchsurfing में प्रोफ़ाइल, गोपनीयता और संचार की सेटिंग्स जाँचें। जो बदलाव आपने नहीं किए हैं, उनकी सूचना आधिकारिक सहायता माध्यम से दें। सदस्यता नवीनीकरण, भुगतान की समस्याओं, प्रोफ़ाइल की मंज़ूरी, मेज़बानी के अनुरोधों या आपातकालीन यात्रा सहायता से जुड़े संदेशों के लिंक न खोलें। साइट या ऐप सीधे खोलें और भेजने वाले का डोमेन जाँचें। यह न मानें कि आपका नाम या उपयोगकर्ता ID जानने वाला व्यक्ति वास्तव में कर्मचारी, मेज़बान या यात्री है। बिना माँगे आए किसी संदेश के जवाब में कभी पासवर्ड, एक बार इस्तेमाल होने वाला कोड या भुगतान की जानकारी न दें; किसी अलग, भरोसेमंद माध्यम से अनुरोध की पुष्टि करें।

हर सेवा के लिए अलग लॉगिन क्रेडेंशियल बनाने के लिए पासवर्ड मैनेजर इस्तेमाल करें, ताकि भविष्य में किसी दूसरे स्रोत से क्रेडेंशियल लीक होने का असर आपके अन्य खातों तक न फैले। ईमेल पर बहु-कारक प्रमाणीकरण चालू रखें और रिकवरी विकल्पों की नियमित समीक्षा करें; यात्रा संबंधी संदेश उस खाते से जुड़े मेलबॉक्स में सेंध लगाने की कोशिश की शुरुआत हो सकते हैं। यदि असली नाम से जुड़ी अनावश्यक जानकारी, निजी लिंक और प्रोफ़ाइल का पाठ सार्वजनिक रूप से उपलब्ध हैं, तो उनकी दृश्यता सीमित करें। यात्रा से जुड़े वे खाते बंद करें जिनका अब आप इस्तेमाल नहीं करते, पुराने तृतीय-पक्ष कनेक्शन हटाएँ और समय-समय पर पुराने सत्र समाप्त करें। किसी संदेश में खाते की सही जानकारी होना यह साबित नहीं करता कि उसे भेजने वाला वैध है; सेंध से मिले डेटा की मदद से अपराधी ऐसा संदर्भ तैयार कर सकते हैं जो सही लगता हो। पासवर्ड रीसेट, नए सत्र और ईमेल बदलने से जुड़ी अप्रत्याशित सूचनाओं पर नज़र रखें। बाद में मिलने वाली सुरक्षा सूचनाओं पर कार्रवाई केवल संगठन के आधिकारिक डोमेन के ज़रिए करें।

इस पेज पर दिए गए सुरक्षित खोज फ़ील्ड का इस्तेमाल करके अपने उन सभी मौजूदा और पुराने ईमेल पतों की जाँच करें जिनका इस्तेमाल आपने 2020 से पहले Couchsurfing पर किया हो। मिलान मिलने से यह पता चल सकता है कि वह पता इस घटना से जुड़े रिकॉर्ड में मौजूद है; इसका मतलब यह नहीं है कि पासवर्ड उजागर हुआ था, खाते पर अनधिकृत नियंत्रण कर लिया गया था या पूरी प्रोफ़ाइल सार्वजनिक हो गई थी। यदि आपको कोई परिणाम मिलता है, तो पहचानें कि खाते के लिए कौन-सा मेलबॉक्स इस्तेमाल किया गया था, उसके सुरक्षा इतिहास और Couchsurfing की सेटिंग्स की समीक्षा करें, और दोबारा इस्तेमाल किए गए पासवर्ड बदलें। कोई परिणाम न मिलना भी पूरी गारंटी नहीं है, क्योंकि डेटासेट अधूरा हो सकता है, पता किसी अलग रूप में लिखा गया हो सकता है या आपका डेटा किसी दूसरी घटना से जुड़ा हो सकता है। केवल वही पहचानकर्ता दर्ज करें जिसे यह खोज स्वीकार करती है; डेटा सेंध जाँचने वाली किसी सेवा में कभी पासवर्ड, एक बार इस्तेमाल होने वाला कोड, भुगतान कार्ड या निजी संदेश की सामग्री न डालें। यदि कोई अप्रत्याशित अलर्ट दिखाई दे, तो उसमें दिए गए लिंक का इस्तेमाल न करें और आधिकारिक ऐप या डोमेन के ज़रिए अपने खाते तक पहुँचें।