Disqus डेटा में सेंध

उजागर डेटाबेस स्नैपशॉट में ईमेल पते, Disqus उपयोगकर्ता नाम, पंजीकरण की तारीखें और आखिरी लॉगिन की तारीखें सादे टेक्स्ट में मौजूद थीं। प्रभावित खातों की पुष्ट संख्या अलग-अलग ईमेल पतों से जुड़े 1,75,51,044 खाते है। लगभग एक-तिहाई खातों में सादे टेक्स्ट वाले पासवर्ड के बजाय सॉल्ट किए गए SHA-1 पासवर्ड हैश थे; इसलिए “पासवर्ड” डेटा श्रेणी का मतलब उन हैश मानों से है, न कि पढ़े जा सकने वाले लॉगिन क्रेडेंशियल से। जिन उपयोगकर्ताओं ने किसी सोशल प्रमाणीकरण प्रदाता के माध्यम से लॉगिन किया था, उनके लिए Disqus पासवर्ड के बजाय उन बाहरी खातों के संदर्भ दर्ज थे। SHA-1 और सॉल्टिंग से पासवर्ड सीधे सामने नहीं आता, लेकिन वे छोटे या आम तौर पर इस्तेमाल किए जाने वाले पासवर्ड को ऑफ़लाइन अनुमान लगाकर पता करने की कोशिशों से पूरी तरह सुरक्षित नहीं रख सकते। ईमेल पते, उपयोगकर्ता नाम और गतिविधि की तारीखों को एक साथ जोड़कर लक्षित फ़िशिंग, स्पैम, पुराने खातों के बीच संबंध खोजने और अन्य सेवाओं पर क्रेडेंशियल स्टफिंग हमले करने में मदद मिल सकती है। इस घटना के दायरे में भुगतान या कार्ड संबंधी जानकारी की मौजूदगी की पुष्टि नहीं हुई है।

उजागर स्नैपशॉट 2012 के उपयोगकर्ता डेटाबेस से लिया गया था। इसमें 2007 तक की पुरानी जानकारी थी और जुलाई 2012 के बाद का कोई डेटा नहीं था। इसलिए इस रिकॉर्ड में 1 जुलाई 2012 को घटना की तारीख के रूप में दर्ज किया गया है, जो केवल घटना के महीने को दर्शाती है; भरोसेमंद सार्वजनिक साक्ष्य से यह स्थापित नहीं होता कि डेटा तक पहुँच किस दिन हासिल की गई या तकनीकी रूप से प्रवेश कैसे किया गया। Disqus को घटना का पता कई साल बाद चला, जब एक स्वतंत्र शोधकर्ता ने 5 अक्टूबर 2017 को इस डेटासेट की सूचना दी। कंपनी ने उसी दिन डेटा प्राप्त किया और उसकी जाँच शुरू की; 6 अक्टूबर को उसने उन खातों के पासवर्ड रीसेट किए जिनके हैश डेटा में मौजूद थे, प्रभावित उपयोगकर्ताओं से संपर्क किया और सार्वजनिक सूचना जारी की। Disqus ने कहा कि उसने 2012 के अंत में SHA-1 की जगह अधिक मजबूत bcrypt पासवर्ड-हैशिंग एल्गोरिदम अपनाया था। सार्वजनिक खुलासे के समय तक इस सेंध से जुड़े अनधिकृत लॉगिन का कोई साक्ष्य नहीं मिला था, लेकिन ऑफ़लाइन तरीके से पासवर्ड का पता लगाए जाने की संभावना के कारण पासवर्ड के दोबारा इस्तेमाल से पैदा होने वाले जोखिम से बचाव ज़रूरी था।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2012 में या उससे पहले सीधे ईमेल पते और पासवर्ड से पंजीकरण किया था और वही या उससे मिलता-जुलता पासवर्ड कहीं और भी इस्तेमाल किया था। लगभग एक-तिहाई खातों वाले हिस्से में मौजूद सॉल्ट किए गए SHA-1 हैश खास तौर पर तब कमजोर पड़ते हैं, जब पासवर्ड छोटे हों या आम शब्दों पर आधारित हों। यदि किसी पासवर्ड का पता लगा लिया जाए, तो हमलावर उसे ईमेल, सोशल मीडिया, फ़ोरम या खरीदारी के खातों पर आज़मा सकते हैं। बाहरी सोशल साइन-इन प्रदाताओं के पासवर्ड इस स्नैपशॉट में नहीं थे, हालांकि ईमेल पता, उपयोगकर्ता नाम और खाते का संदर्भ फिर भी उजागर हुआ हो सकता है। पंजीकरण और आखिरी लॉगिन की तारीखों से हमलावर को सक्रिय और छोड़ दिए गए खातों में अंतर करने तथा किसी संदेश को अधिक विश्वसनीय दिखाने में मदद मिल सकती है। जिन लोगों ने बाद में पासवर्ड बदल लिया और हर जगह अलग-अलग लॉगिन क्रेडेंशियल इस्तेमाल किए, उनके खातों पर अनधिकृत कब्ज़े का जोखिम कम है, लेकिन पुराने ईमेल पते को निशाना बनाने वाली फ़िशिंग अब भी असरदार हो सकती है।

यदि 2012 में इस्तेमाल किया गया आपका Disqus पासवर्ड अब भी किसी अन्य सेवा पर इस्तेमाल हो रहा है, तो जहाँ-जहाँ उसे दोबारा इस्तेमाल किया गया है, वहाँ हर जगह उसकी जगह एक लंबा और अलग पासवर्ड रखें। Disqus ने 2017 में प्रभावित पासवर्ड रीसेट किए थे, लेकिन इससे अन्य साइटों पर इस्तेमाल हो रहे वही पासवर्ड नहीं बदल सकते थे। अपने मुख्य ईमेल खाते, पासवर्ड मैनेजर, सोशल नेटवर्क और उन सेवाओं को प्राथमिकता दें जिनमें भुगतान का कोई तरीका सहेजा हुआ है। ईमेल और अन्य महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण चालू करें, फिर सक्रिय सत्रों, खाता पुनर्प्राप्ति के लिए दर्ज ईमेल पतों और पहचाने गए उपकरणों की समीक्षा करें। किसी संदेश पर केवल इसलिए भरोसा न करें कि उसमें आपकी कोई पुरानी Disqus टिप्पणी, उपयोगकर्ता नाम या पंजीकरण की तारीख दी गई है। पासवर्ड रीसेट करने, खाते की पुष्टि करने या टिप्पणी हटाने का दावा करने वाले संदेशों के लिंक खोलने के बजाय, खुद सेवा की आधिकारिक वेबसाइट पर जाएँ। किसी संदेश या कॉल के माध्यम से कभी भी एक बार इस्तेमाल होने वाला प्रमाणीकरण कोड, मौजूदा पासवर्ड या पासवर्ड मैनेजर का मास्टर पासवर्ड न बताएँ।

हर सेवा के लिए एक यादृच्छिक और अलग पासवर्ड बनाने वाला पासवर्ड मैनेजर यह सुनिश्चित करता है कि किसी एक पुराने हैश से पासवर्ड का पता चलने पर उसका जोखिम दूसरे खातों तक न फैले। महत्वपूर्ण सेवाओं पर बहु-कारक प्रमाणीकरण हमेशा चालू रखें और खाता पुनर्प्राप्ति कोड सुरक्षित रूप से ऑफ़लाइन रखें। टिप्पणी करने वाली सेवाओं, फ़ोरम और सोशल मीडिया के जिन खातों का अब इस्तेमाल नहीं होता, उन्हें बंद कर दें या उनमें बची प्रोफ़ाइल जानकारी कम से कम रखें, क्योंकि भुला दिए गए खातों से पहचान संबंधी जानकारियों को आपस में जोड़ने में मदद मिल सकती है। 2012 की सेंध को केवल पुरानी होने के कारण हानिरहित न मानें; जब वही पासवर्ड या ईमेल से जुड़ा खाता-संबंध आज भी इस्तेमाल में हो, तो उस डेटा की उपयोगिता बनी रहती है। अनपेक्षित लॉगिन और पासवर्ड रीसेट के अलर्ट पर नज़र रखें, समय-समय पर ईमेल फ़ॉरवर्डिंग नियमों की समीक्षा करें और सुरक्षा प्रश्नों के ऐसे उत्तर दोबारा इस्तेमाल न करें जिनका आसानी से पता लगाया जा सकता हो। यह मानकर चलें कि पुराने उपयोगकर्ता नामों को सार्वजनिक प्रोफ़ाइल से जोड़ा जा सकता है, और उन पुराने विवरणों के आधार पर तैयार किए गए संदेशों की अतिरिक्त जाँच करें।

इस पेज पर दिए गए सुरक्षित खोज फ़ील्ड में हर मौजूदा और पुराना ईमेल पता जाँचें जिसे आपने Disqus के साथ इस्तेमाल किया था। खोज में आपका ईमेल पता मिलने का मतलब है कि वह पता सत्यापित डेटाबेस स्नैपशॉट में मौजूद 1,75,51,044 अलग-अलग ईमेल पतों में से एक है; इससे यह साबित नहीं होता कि पासवर्ड का पता लगा लिया गया था या खाते पर अनधिकृत कब्ज़ा हुआ था। यदि खोज में आपका ईमेल पता मिलता है, तो पता लगाएँ कि 2012 के आसपास इस्तेमाल किए गए पासवर्ड को और कहाँ-कहाँ दोबारा इस्तेमाल किया गया था, और जहाँ भी वह अब तक इस्तेमाल हो रहा है, उसे बदल दें। कोई परिणाम न मिलना भी पूरी गारंटी नहीं है, क्योंकि अलग तरह से लिखा गया पता, इस डेटासेट से बाहर का कोई रिकॉर्ड या किसी अन्य सेंध से जुड़ा रिकॉर्ड फिर भी मौजूद हो सकता है। डेटा सेंध की जाँच के लिए की जाने वाली खोज में कभी भी पासवर्ड, सोशल साइन-इन क्रेडेंशियल या प्रमाणीकरण कोड दर्ज न करें। पुराने ईमेल पतों को समय-समय पर दोबारा जाँचने से हाल ही में प्रकाशित सेंध के रिकॉर्ड का जल्दी पता चल सकता है और चोरी हुए डेटा का दुरुपयोग होने से पहले खातों की सुरक्षा मजबूत करने का समय मिल सकता है।