DataCamp डेटा में सेंध

DataCamp रिकॉर्ड में सत्यापित डेटा के प्रकार हैं: ईमेल पते, भौगोलिक स्थान की जानकारी, IP पते, नाम और पासवर्ड हैश। ईमेल पता और नाम मिलकर मंच पर उपयोगकर्ता की पहचान को अधिक स्पष्ट करते हैं। भौगोलिक स्थान और IP पते वाले फ़ील्ड से खाते के इस्तेमाल की परिस्थितियों या पहले कनेक्शन किए गए क्षेत्र के बारे में अतिरिक्त संकेत मिल सकते हैं। DataCamp जैसे शैक्षणिक मंचों पर यह डेटा किसी व्यक्ति की डेटा साइंस, प्रोग्रामिंग, एनालिटिक्स या पेशेवर विकास में रुचि से जुड़ा हो सकता है। इस संदर्भ के कारण लक्षित फ़िशिंग संदेशों में शैक्षणिक खातों, प्रमाणपत्रों, पाठ्यक्रमों तक पहुँच या करियर के अवसरों जैसे विषयों का इस्तेमाल किया जा सकता है।

पासवर्ड फ़ील्ड को bcrypt हैश के रूप में समझना चाहिए। Bcrypt एक धीमी हैशिंग विधि है, जिसे पासवर्ड संग्रहित करने की आधुनिक विधियों में अपेक्षाकृत मज़बूत माना जाता है। इसलिए यह नहीं कहना चाहिए कि हाथ लगे मान सीधे पढ़े जा सकने वाले पासवर्ड हैं। फिर भी, जोखिम पूरी तरह समाप्त नहीं होता। कमज़ोर, छोटे या आम तौर पर इस्तेमाल किए जाने वाले पासवर्ड पर ऑफ़लाइन अनुमान लगाकर किए जाने वाले हमलों का जोखिम अधिक हो सकता है। यदि उपयोगकर्ता ने ईमेल, काम से जुड़े खातों, कोड रिपॉज़िटरी, क्लाउड सेवाओं या अन्य शैक्षणिक मंचों पर वही पासवर्ड इस्तेमाल किया है, तो हमलावर हैश से निकाले गए या अनुमान लगाए गए पासवर्ड को अलग-अलग जगहों पर आज़मा सकते हैं।

इस रिकॉर्ड में इस्तेमाल की गई संख्या 7,60,561 सत्यापित खाता रिकॉर्डों का दायरा दर्शाती है। इस संख्या को हमेशा अलग-अलग व्यक्तियों की संख्या नहीं समझना चाहिए; इसमें पुराने खाते, दोहराए गए रिकॉर्ड या एक ही व्यक्ति के कई खाते हो सकते हैं। हालाँकि रिकॉर्ड में दर्ज तारीख 30 जनवरी 2017 रखी गई है, घटना का पता बाद में चला और उपयोगकर्ता को इसकी सूचना भी बाद में दी गई। यह अंतर महत्वपूर्ण है: उपयोगकर्ता को यह देखना चाहिए कि 2017 के दौरान उन्होंने अपने DataCamp खाते में कौन-सी जानकारी इस्तेमाल की थी और क्या 2018-2019 के दौरान अन्य खातों पर भी वही पासवर्ड इस्तेमाल किया था। तारीख को केवल घोषणा के दिन या केवल रिकॉर्ड में दर्ज तारीख के आधार पर समझाना अधूरा होगा।

डेटा फ़ील्ड की सीमा स्पष्ट है: ईमेल पते, भौगोलिक स्थान की जानकारी, IP पते, नाम और bcrypt पासवर्ड हैश सत्यापित फ़ील्ड हैं। संपर्क की अतिरिक्त जानकारी, वित्तीय जानकारी, सरकारी पहचान-पत्र या पाठ्यक्रम की सामग्री से जुड़े असत्यापित फ़ील्ड इस रिकॉर्ड की सूची में नहीं जोड़े जाने चाहिए। बाद में डेटासेट की बिक्री और अलग-अलग डेटा उल्लंघन सूचियों में उसका दिखाई देना, अपने आप में फ़ील्ड का दायरा बढ़ाने के लिए पर्याप्त नहीं हैं। उपयोगकर्ता को दिखाए जाने वाले विवरण में सत्यापित फ़ील्ड के आधार पर खाते की सुरक्षा और लक्षित संदेशों से जुड़े जोखिम को समझाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने DataCamp पर खाता बनाया है और अन्य सेवाओं पर भी वही पासवर्ड इस्तेमाल किया है। DataCamp के उपयोगकर्ताओं में छात्र, डेटा विश्लेषक, डेवलपर, शिक्षाविद, कंपनियों में प्रशिक्षण ले रहे लोग और करियर बदल रहे पेशेवर शामिल हो सकते हैं। इन समूहों के लिए ईमेल पते और शिक्षण मंच के बीच का संबंध करियर या शिक्षा से जुड़े सोशल इंजीनियरिंग संदेशों को अधिक विश्वसनीय बना सकता है। फ़र्ज़ी प्रमाणपत्र सूचनाओं, खाता सत्यापन के अनुरोधों, पाठ्यक्रम सदस्यता के नवीनीकरण की सूचनाओं या नौकरी के अवसरों वाले लिंक जैसे संदेशों पर ध्यान देना चाहिए।

कंपनी के ईमेल पते से DataCamp खाता खोलने वाले कर्मचारियों के लिए जोखिम का अलग से आकलन किया जाना चाहिए। प्रशिक्षण मंच पर किसी कर्मचारी के खाते का डेटा उल्लंघन होने का सीधे यह अर्थ नहीं है कि संगठन के सिस्टम में सेंध लग चुकी है। हालाँकि, काम के सिस्टम पर भी वही पासवर्ड इस्तेमाल किया गया हो तो जोखिम बढ़ जाता है। IP और भौगोलिक स्थान की जानकारी से कंपनी के नेटवर्क, दूरस्थ काम की व्यवस्था या क्षेत्रीय इस्तेमाल के बारे में अनुमान लगाना भी आसान हो सकता है। इसलिए संगठनों को याद रखना चाहिए कि प्रशिक्षण मंचों के खाते भी पासवर्ड के दोबारा इस्तेमाल से जुड़ी नीतियों और बहु-कारक प्रमाणीकरण के दायरे में आने चाहिए।

जिन उपयोगकर्ताओं की जानकारी DataCamp रिकॉर्ड से मेल खाती है, उनका पहला कदम उस पासवर्ड को बदलना होना चाहिए जिसका उन्होंने अपने DataCamp खाते में संभवतः इस्तेमाल किया था। उन सभी खातों के पासवर्ड भी बदलने चाहिए जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया था। ईमेल खातों, काम से जुड़े खातों, कोड रिपॉज़िटरी, क्लाउड सेवाओं, शिक्षण मंचों और सोशल मीडिया खातों की जाँच पहले करनी चाहिए। नए पासवर्ड हर खाते के लिए अलग होने चाहिए और जहाँ संभव हो, उन्हें पासवर्ड मैनेजर से बनाना चाहिए। यदि DataCamp खाता अभी भी इस्तेमाल हो रहा है, तो उसका पासवर्ड बदलना चाहिए, जुड़े हुए सेशन जाँचने चाहिए और उपलब्ध होने पर बहु-कारक प्रमाणीकरण चालू करना चाहिए।

दूसरा कदम शिक्षा और करियर से जुड़े फ़िशिंग संदेशों से सावधान रहना है। उपयोगकर्ताओं को पाठ्यक्रम प्रमाणपत्रों, सदस्यता नवीनीकरण, भुगतान की समस्याओं, खाते के निलंबन या नौकरी के अवसरों से जुड़े लिंक पर सीधे क्लिक नहीं करना चाहिए। यदि लॉगिन करना ज़रूरी हो, तो सेवा का ज्ञात पता ब्राउज़र में खुद टाइप करना चाहिए या उसे किसी भरोसेमंद बुकमार्क से खोलना चाहिए। कंपनी के उपयोगकर्ताओं को सुरक्षा टीम को सूचित करना चाहिए यदि शैक्षणिक खाते पर इस्तेमाल किया गया पासवर्ड काम से जुड़े खातों में भी इस्तेमाल हुआ हो। संदिग्ध लॉगिन या पासवर्ड रीसेट की सूचना दिखाई देने पर संबंधित खाते के सेशन बंद कर देने चाहिए और खाता पुनर्प्राप्ति के विकल्प जाँचने चाहिए।

DataCamp की घटना दिखाती है कि शैक्षणिक और पेशेवर विकास के मंचों पर मौजूद खाते भी सुरक्षा की दृष्टि से महत्वपूर्ण हैं। उपयोगकर्ताओं को केवल बैंकिंग या ईमेल खातों के लिए ही नहीं, बल्कि शिक्षा, पाठ्यक्रम, फ़ोरम और डेवलपर मंचों के लिए भी अलग-अलग पासवर्ड इस्तेमाल करने चाहिए। पासवर्ड मैनेजर से यह देखना आसान हो जाता है कि एक ही पासवर्ड कहाँ-कहाँ दोहराया गया है। महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण, सेशन इतिहास की जाँच और खाता पुनर्प्राप्ति की जानकारी को अद्यतन रखना लंबे समय तक सुरक्षा देता है। जिन शैक्षणिक खातों का इस्तेमाल नहीं हो रहा है, उन्हें बंद कर देना चाहिए या कम-से-कम उनके पुराने पासवर्ड और प्रोफ़ाइल की जानकारी अद्यतन करनी चाहिए।

मंच संचालकों के लिए सीख यह है कि पासवर्ड हैश को सुरक्षित ढंग से संग्रहित करना ज़रूरी है, लेकिन अपने आप में पर्याप्त नहीं है। Bcrypt का इस्तेमाल जोखिम कम करता है; फिर भी, डेटा उल्लंघन होने पर ईमेल, नाम, IP और स्थान जैसे अन्य फ़ील्ड भी उपयोगकर्ताओं को निशाना बनाने का आधार बन सकते हैं। पहुँच नियंत्रण, नेटवर्क प्रतिबंध, संदिग्ध क्वेरी की निगरानी, पासवर्ड रीसेट प्रक्रियाओं और उपयोगकर्ता सूचनाओं पर एक साथ ध्यान देना चाहिए। साथ ही, केवल आवश्यक डेटा संग्रहित करने की नीति अपनानी चाहिए; पुराने IP और स्थान के रिकॉर्ड ज़रूरी न हों तो उन्हें लंबे समय तक संग्रहित नहीं रखना चाहिए।

यदि इस पेज पर सत्यापन का परिणाम DataCamp रिकॉर्ड से मेल खाता है, तो उपयोगकर्ता को पहले याद करना चाहिए कि उन्होंने किस ईमेल पते से अपना DataCamp खाता खोला था और उस समय कौन-सा पासवर्ड इस्तेमाल किया था। यदि अन्य खातों पर वही पासवर्ड अब भी बना हुआ था, तो उन सभी खातों पर उसे बदलना चाहिए। ईमेल खाते, काम से जुड़े खातों, कोड रिपॉज़िटरी और क्लाउड सेवाओं का लॉगिन इतिहास जाँचना चाहिए, अनजान डिवाइस का कनेक्शन हटाना चाहिए और बहु-कारक प्रमाणीकरण चालू करना चाहिए। शिक्षा और करियर से जुड़े अप्रत्याशित संदेशों की भी जाँच करनी चाहिए और उनके लिंक सीधे इस्तेमाल नहीं करने चाहिए।

हालाँकि DataCamp का डेटा उल्लंघन पुरानी घटना है, एक ही पासवर्ड को कई जगह इस्तेमाल करने का जोखिम आज भी बना रह सकता है। Bcrypt हैशिंग का इस्तेमाल हमलावर का काम कठिन बनाता है, लेकिन कमज़ोर या कई जगह इस्तेमाल किए गए पासवर्ड अब भी जोखिम पैदा करते हैं। उपयोगकर्ताओं को इस रिकॉर्ड को केवल मंच की पुरानी सूचना के रूप में नहीं, बल्कि शैक्षणिक और काम से जुड़े खातों में पासवर्ड संबंधी अच्छी आदतें मज़बूत करने की ठोस चेतावनी के रूप में भी देखना चाहिए। अलग-अलग पासवर्ड पैटर्न, बहु-कारक प्रमाणीकरण और शिक्षा/करियर से जुड़े संदिग्ध संदेशों के प्रति सावधानी इस रिकॉर्ड से उत्पन्न जोखिम को कम करती है।