Cutout.Pro: डेटा में सेंध

डेटा की जिन श्रेणियों के उजागर होने की पुष्टि हुई है, वे हैं ईमेल पते, IP पते, नाम और पासवर्ड। पासवर्ड सादे पाठ (प्लेन टेक्स्ट) में संग्रहीत नहीं थे; वे सॉल्ट के साथ बनाए गए MD5 हैश के रूप में मौजूद थे। सॉल्ट के कारण एक जैसे पासवर्ड से अलग-अलग हैश बनते हैं और पहले से गणना करके तैयार की गई रेनबो टेबल से सुरक्षा मिलती है। लेकिन आधुनिक पासवर्ड भंडारण के लिए MD5 एक तेज़ और कमज़ोर एल्गोरिदम है। इसलिए छोटे, आम या शब्दकोश के शब्दों पर आधारित पासवर्ड का अब भी ऑफ़लाइन अनुमान लगाकर पता लगाया जा सकता है। ईमेल पते के साथ नाम मिलने पर लक्षित फ़िशिंग में मदद मिल सकती है, जबकि IP पते से नेटवर्क या क्षेत्र के बारे में मोटा अंदाज़ा मिल सकता है। फ़ोन नंबर, भौतिक पते, भुगतान कार्ड और उपयोगकर्ताओं द्वारा संसाधित की गई फ़ोटो या वीडियो फ़ाइलें उन डेटा श्रेणियों में शामिल नहीं हैं जिनके उजागर होने की पुष्टि हुई है। इस पेज पर दी गई 1,99,72,829 की संख्या सत्यापित खातों की मान्य कुल संख्या है। इसे पूर्णांकित करके दिए गए “2 करोड़” के विवरण से जोड़कर नहीं गिनना चाहिए।

डेटा लीक की मान्य तारीख 26 फ़रवरी 2024 है। लगभग 2 करोड़ उपयोगकर्ता रिकॉर्ड एक साइबर अपराध फ़ोरम पर पोस्ट किए जाने की पहली सार्वजनिक चेतावनी 27 फ़रवरी को सामने आई। 29 फ़रवरी और 4 मार्च की स्वतंत्र रिपोर्टों से इस घटना की जानकारी अधिक लोगों तक पहुँची। सत्यापित रिकॉर्ड को 28 फ़रवरी को डेटा लीक सूची में जोड़ा गया। रिकॉर्ड को सीधे Cutout.Pro खातों से संबद्ध पाया गया और चार मान्य फ़ील्ड के आधार पर उनका सत्यापन किया गया। सॉल्ट के साथ बनाए गए MD5 हैश सीधे पढ़े जा सकने वाले पासवर्ड नहीं होते, लेकिन MD5 की तेज़ गणना क्षमता के कारण हमलावर बड़ी संख्या में संभावित पासवर्ड जाँच सकता है। विश्वसनीय स्रोतों से यह स्थापित नहीं हुआ कि शुरुआती पहुँच कैसे मिली, किस कमज़ोरी का इस्तेमाल हुआ या घुसपैठिए की पहुँच कितने समय तक बनी रही होगी। इसलिए यहाँ इन विवरणों का अनुमान नहीं लगाया गया है। यह Cutout.Pro की अवसंरचना से जुड़ा सत्यापित डेटाबेस लीक है, न कि असंबंधित वेबसाइटों से इकट्ठा किए गए पासवर्ड का संकलन या जानकारी चुराने वाले मैलवेयर से प्राप्त डेटा।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने फ़रवरी 2024 तक Cutout.Pro खाता बनाया था। जिन लोगों ने ईमेल, सोशल मीडिया, क्लाउड स्टोरेज, किसी डिज़ाइन टूल या अन्य AI सेवा के लिए भी वही पासवर्ड इस्तेमाल किया था, उनके खातों पर अनधिकृत नियंत्रण का जोखिम अधिक है। सॉल्ट के साथ बनाया गया MD5 हैश खुद पासवर्ड नहीं होता, लेकिन यदि किसी कमज़ोर पासवर्ड का ऑफ़लाइन अनुमान लगाकर पता लगा लिया जाए, तो प्राप्त पासवर्ड को दूसरी सेवाओं पर भी आज़माया जा सकता है। इस सेवा के टूल प्रोग्राम के माध्यम से इस्तेमाल करने वाली डिज़ाइन एजेंसियों, ई-कॉमर्स टीमों, फ़ोटोग्राफ़रों और डेवलपरों को लक्षित फ़र्ज़ी बिल, उपयोग-सीमा संबंधी चेतावनियाँ, सदस्यता नवीनीकरण या फ़ाइल साझा करने के संदेश मिल सकते हैं, क्योंकि उनके व्यावसायिक ईमेल पते उपयोगी संदर्भ देते हैं। IP पते से कनेक्शन के क्षेत्र या कॉर्पोरेट नेटवर्क प्रदाता का मोटा अंदाज़ा मिल सकता है, लेकिन उससे सटीक स्थान स्थापित नहीं होता। यह रिकॉर्ड इस बात की पुष्टि नहीं करता कि संसाधित की गई इमेज फ़ाइलें उजागर हुई थीं। इसलिए इसे उपयोगकर्ताओं की निजी तस्वीरें लीक होने के प्रमाण के रूप में नहीं देखा जाना चाहिए।

आपकी पहली प्राथमिकता उस पासवर्ड को बदलना है जो डेटा लीक के दौरान Cutout.Pro के लिए इस्तेमाल किया गया था। जहाँ भी वह अब तक इस्तेमाल हो रहा है, वहाँ उसकी जगह एक मज़बूत, अलग पासवर्ड रखें। सबसे पहले संबंधित ईमेल खाते को सुरक्षित करें, क्योंकि पासवर्ड रीसेट करने के लिंक और सुरक्षा सूचनाएँ वहाँ आ सकती हैं। ईमेल, क्लाउड स्टोरेज, भुगतान और डिज़ाइन खातों पर बहु-कारक प्रमाणीकरण सक्षम करें। जहाँ उपलब्ध हों, वहाँ ऑथेंटिकेटर ऐप, पासकी या हार्डवेयर सुरक्षा कुंजी को प्राथमिकता दें। Cutout.Pro के सक्रिय सत्रों, जुड़े हुए ऐप्लिकेशन और प्रोग्राम के ज़रिए पहुँच देने वाली कुंजियों की समीक्षा करें; अनजान सत्र बंद करें और संदिग्ध कुंजियों को नई कुंजियों से बदलें। पासवर्ड बदलने के लिए किसी संदेश में दिए लिंक पर जाने के बजाय ब्राउज़र में cutout.pro टाइप करके शुरुआत करें। “आपकी फ़ाइल संसाधित हो गई है”, “आपके क्रेडिट समाप्त हो गए हैं” या “आपकी सदस्यता निलंबित कर दी गई है” जैसे जल्द कार्रवाई का दबाव बनाने वाले संदेशों में भेजने वाले का डोमेन जाँचें।

हर सेवा के लिए एक यादृच्छिक, अलग पासवर्ड बनाने से एक पासवर्ड हैश क्रैक होने का असर दूसरे खातों पर नहीं पड़ता। लॉगिन विवरण किसी भरोसेमंद पासवर्ड मैनेजर में रखें और उसके मुख्य खाते को मज़बूत बहु-कारक प्रमाणीकरण से सुरक्षित करें। पासवर्ड पर निर्भरता कम करने के लिए जहाँ उपलब्ध हों, वहाँ पासकी का इस्तेमाल करें। टीम खातों में एक ही लॉगिन साझा करने के बजाय हर उपयोगकर्ता के लिए अलग पहुँच और भूमिका के आधार पर अनुमतियाँ तय करें। पूर्व कर्मचारियों की पहुँच तुरंत हटा दें। प्रोग्राम के ज़रिए पहुँच देने वाली कुंजियाँ कभी भी सोर्स कोड, सार्वजनिक रिपॉज़िटरी या सहायता संबंधी संदेशों में न रखें; उन्हें नियमित रूप से बदलें और केवल आवश्यक अनुमतियाँ दें। क्लाइंट की फ़ाइलें किसी इमेज प्रोसेसिंग सेवा पर अपलोड करने से पहले उनकी संवेदनशीलता का आकलन करें, अनावश्यक पहचान दस्तावेज़ या मेटाडेटा हटा दें और डेटा रखने की अवधि से जुड़ी अनुबंध की शर्तें पढ़ें। डेटा लीक की लगातार मिलने वाली सूचनाएँ उसी ईमेल पते के किसी अन्य घटना में सामने आने पर तेज़ी से कार्रवाई करने में मदद कर सकती हैं।

यह जानने के लिए कि आपका डेटा Cutout.Pro के रिकॉर्ड में है या नहीं, किसी भरोसेमंद डेटा लीक खोज सेवा से अपने हर मौजूदा और पुराने ईमेल पते की जाँच करें, जिसका इस्तेमाल आपने 2024 तक किया हो। मिलान मिलने का मतलब है कि वह पता एक सत्यापित डेटासेट में मौजूद है, जिसमें नाम, IP पता और सॉल्ट के साथ बनाया गया MD5 पासवर्ड हैश भी हो सकता है। इससे यह साबित नहीं होता कि पासवर्ड सफलतापूर्वक क्रैक किया गया था, लेकिन यह चेतावनी उस पासवर्ड को सुरक्षित मानना बंद करने के लिए पर्याप्त है। पुराने कॉर्पोरेट ईमेल पते भी शामिल करें, क्योंकि बंद हो चुका मेलबॉक्स पुराने रिकॉर्ड में बना रह सकता है और उसी पासवर्ड का कहीं और इस्तेमाल अब भी जारी हो सकता है। निजी डेटा आगे साझा किए बिना परिणाम दर्ज करें और पासवर्ड बदलने में ईमेल, वित्तीय और क्लाउड खातों को प्राथमिकता दें। अनुमति के बिना किसी दूसरे व्यक्ति का ईमेल पता न खोजें; इस जानकारी का इस्तेमाल केवल अपने खातों या संगठन के उन संसाधनों की सुरक्षा के लिए करें, जिनका प्रबंधन करने की आपको अनुमति है।