DaFont डेटा में सेंध

सत्यापित डेटा श्रेणियाँ ईमेल पते, यूज़रनेम और पासवर्ड हैं। पासवर्ड फ़ील्ड बिना सॉल्ट वाले MD5 हैश प्रारूप में है; इसका मतलब यह नहीं है कि पासवर्ड सीधे पढ़े जा सकने वाले रूप में प्रकाशित हुआ है। फिर भी, MD5 एक तेज़ और कमज़ोर हैशिंग विधि है, इसलिए हमलावर विशेष रूप से सरल या पहले लीक हो चुके पासवर्ड का आसानी से अनुमान लगा सकते हैं। सॉल्ट का इस्तेमाल न होने से एक ही पासवर्ड इस्तेमाल करने वाले खातों को उनके समान हैश मानों के आधार पर आपस में जोड़ना भी आसान हो जाता है।

जब कोई ईमेल पता और यूज़रनेम एक साथ मिलते हैं, तो उपयोगकर्ताओं को अन्य रचनात्मक प्लेटफ़ॉर्म, फ़ोरम, डिज़ाइन समुदायों या सोशल मीडिया प्रोफ़ाइल से जोड़ना संभव हो सकता है। केवल DaFont का खाता बहुत मूल्यवान नहीं लग सकता; लेकिन अगर उसी पासवर्ड का इस्तेमाल दूसरी सेवाओं पर भी हुआ हो, तो जोखिम बढ़ जाता है। फ़ॉन्ट, लाइसेंस, डाउनलोड लिंक या खाते की चेतावनी से जुड़े लक्षित फ़र्ज़ी संदेश विश्वसनीय लग सकते हैं, खासकर डिज़ाइनरों, एजेंसी कर्मचारियों या काम के टूल में वही ईमेल पता इस्तेमाल करने वाले लोगों को।

इस रिकॉर्ड में 6,37,340 प्रभावित खाते शामिल हैं और घटना की दर्ज तारीख 16 मई 2017 है। हालाँकि कुछ तकनीकी रिपोर्टों में मूल डेटाबेस की पंक्तियों की अधिक संख्या का उल्लेख है, इस रिकॉर्ड में इस्तेमाल की गई संख्या सत्यापित खातों के दायरे को दर्शाती है। घटना की मुख्य डेटा श्रेणियाँ ईमेल पता, यूज़रनेम और बिना सॉल्ट वाला MD5 पासवर्ड हैश हैं। बाद में साइट ने कहा कि उसने पासवर्ड संग्रहीत करने की व्यवस्था को अधिक सुरक्षित बनाया था और उपयोगकर्ताओं के लिए पासवर्ड बदलना अनिवार्य कर दिया था।

इस रिकॉर्ड में IP पता, फ़ोन नंबर, भौतिक पता, भुगतान कार्ड, बैंक खाता, जन्मतिथि, असली नाम या निजी संदेशों की सामग्री को सत्यापित डेटा श्रेणी नहीं माना गया है। इस घटना को DaFont उपयोगकर्ता खातों के डेटा तक सीमित मानकर आकलन करना चाहिए। मिलान मिलने का मतलब है कि संबंधित ईमेल पता DaFont डेटासेट में मौजूद है; इसका मतलब यह नहीं है कि उपयोगकर्ता की फ़ॉन्ट फ़ाइलें, भुगतान संबंधी जानकारी या डिवाइस प्रभावित हुए थे।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने DaFont खाते का पासवर्ड दूसरे खातों पर भी इस्तेमाल करते हैं। पुराने और कम प्राथमिकता वाले खातों के पासवर्ड अक्सर याद नहीं रहते; लेकिन हमलावर इन पासवर्ड का इस्तेमाल स्वचालित लॉगिन प्रयासों में कर सकते हैं। अगर ईमेल पता और यूज़रनेम एक ही हों, तो अलग-अलग डिज़ाइन समुदायों या सोशल मीडिया खातों को भी आपस में जोड़ा जा सकता है।

डिज़ाइनरों, एजेंसी कर्मचारियों, फ़ॉन्ट निर्माताओं और रचनात्मक समुदायों में सक्रिय उपयोगकर्ताओं को लक्षित फ़िशिंग का अधिक जोखिम है। फ़र्ज़ी फ़ॉन्ट लाइसेंस, कॉपीराइट नोटिस, डाउनलोड पैकेज, डिज़ाइन फ़ाइलें या खाते की सुरक्षा से जुड़े संदेश असली लग सकते हैं। काम के ईमेल से पंजीकरण करने वाले उपयोगकर्ताओं के लिए यह जोखिम संगठन की सुरक्षा तक भी पहुँच सकता है। इसलिए केवल DaFont खाते पर ही नहीं, बल्कि उन सभी खातों पर ध्यान देना चाहिए जिनमें वही ईमेल पता और एक जैसे या मिलते-जुलते पासवर्ड इस्तेमाल होते हैं।

जिस उपयोगकर्ता को इस रिकॉर्ड में मिलान दिखाई दे, उसे अपने DaFont खाते का पासवर्ड और उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल होता है। नए पासवर्ड हर खाते के लिए अलग, लंबे और अनुमान लगाने में कठिन होने चाहिए। ईमेल खाते की सुरक्षा को प्राथमिकता देनी चाहिए, बहु-कारक प्रमाणीकरण सक्षम करना चाहिए और हाल के सत्रों की जाँच करनी चाहिए। पुराने पासवर्ड में छोटे बदलाव करके बनाए गए पासवर्ड को भी सुरक्षित नहीं मानना चाहिए।

फ़ॉन्ट डाउनलोड, लाइसेंस उल्लंघन, कॉपीराइट नोटिस, मुफ़्त पैकेज, डिज़ाइन फ़ाइल या खाता सत्यापन से जुड़े अप्रत्याशित संदेशों पर ध्यान देना चाहिए। लिंक और अटैचमेंट खोलने से पहले डोमेन नाम और प्रेषक की पुष्टि करनी चाहिए। किसी प्रेषक का यूज़रनेम या पुरानी DaFont सदस्यता के बारे में जानना उसे भरोसेमंद नहीं बनाता। पासवर्ड, सत्यापन कोड, ईमेल तक पहुँच या खाता वापस पाने से जुड़ी जानकारी तीसरे पक्षों के साथ साझा नहीं करनी चाहिए।

DaFont की घटना दिखाती है कि कम प्राथमिकता वाले माने जाने वाले रचनात्मक समुदायों के खाते भी पासवर्ड सुरक्षा के लिहाज़ से महत्वपूर्ण हैं। उपयोगकर्ताओं को हर फ़ोरम, डाउनलोड साइट, डिज़ाइन समुदाय और काम के टूल के लिए अलग पासवर्ड इस्तेमाल करना चाहिए। पासवर्ड मैनेजर का इस्तेमाल करने से यह देखना आसान होता है कि पुराने पासवर्ड कहाँ दोबारा इस्तेमाल किए गए हैं, और मज़बूत पासवर्ड बनाना भी आसान होता है। इस्तेमाल न होने वाले खातों को बंद कर देना चाहिए या कम से कम उनका पासवर्ड बदलकर ऐसा पासवर्ड रखना चाहिए जो किसी दूसरे खाते पर इस्तेमाल न हो।

लंबी अवधि में अलग-अलग यूज़रनेम और ईमेल पते रखना भी उपयोगी है। जब एक ही यूज़रनेम और ईमेल का संयोजन अलग-अलग डिज़ाइन समुदायों में इस्तेमाल होता है, तो प्रोफ़ाइलों को आसानी से आपस में जोड़ा जा सकता है। रचनात्मक काम में इस्तेमाल होने वाली फ़ाइलों और फ़ॉन्ट के लिंक में मैलवेयर या फ़िशिंग हो सकती है, इसलिए उपयोगकर्ताओं को केवल भरोसेमंद स्रोतों से डाउनलोड करना चाहिए और अप्रत्याशित लाइसेंस या कॉपीराइट संदेशों की पुष्टि किसी अलग माध्यम से करनी चाहिए।

इस रिकॉर्ड में मिलान मिलने का मतलब है कि संबंधित ईमेल पता उन खातों में शामिल है जो मई 2017 के DaFont डेटा उल्लंघन में देखे गए थे। मिलान मिलने का मतलब यह नहीं है कि घटना चालू वर्ष में हुई थी; इस रिकॉर्ड में घटना की तारीख 16 मई 2017 है। सत्यापित दायरा ईमेल पते, यूज़रनेम और बिना सॉल्ट वाले MD5 पासवर्ड हैश तक सीमित है।

उपयोगकर्ता को सबसे पहले उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ एक ही पासवर्ड इस्तेमाल होता है, अपने ईमेल खाते को दो-कारक प्रमाणीकरण से सुरक्षित करना चाहिए और रचनात्मक प्लेटफ़ॉर्म पर इस्तेमाल किए गए पुराने यूज़रनेम और पासवर्ड के संयोजनों की समीक्षा करनी चाहिए। भले ही DaFont खाते का अब सक्रिय रूप से इस्तेमाल न हो रहा हो, अगर उसी पासवर्ड का इस्तेमाल दूसरी सेवाओं पर हुआ है, तो जोखिम बना रहता है। बिना सॉल्ट वाला MD5 हैश प्रारूप और कमज़ोर पासवर्ड का चुनाव मिलकर लंबे समय तक खाते की सुरक्षा के लिए जोखिम पैदा कर सकते हैं।