DLH.net डेटा में सेंध

DLH.net रिकॉर्ड में प्रमुख डेटा प्रकार ईमेल पते, जन्मतिथियाँ, नाम, उपयोगकर्ता नाम, वेबसाइट पर गतिविधि और पासवर्ड हैश हैं। पासवर्ड फ़ील्ड के बारे में बताया गया था कि उसमें सीधे पढ़े जा सकने वाले पासवर्ड नहीं, बल्कि सॉल्टेड MD5 पासवर्ड हैश थे। यह अंतर महत्वपूर्ण है; हैश वैल्यू सीधे पढ़ा जा सकने वाला पासवर्ड नहीं होती। लेकिन आधुनिक मानकों के अनुसार MD5 को कमजोर माना जाता है, इसलिए खास तौर पर आम, छोटे या कई जगह इस्तेमाल किए गए पासवर्ड अधिक जोखिम में हैं। हमलावर शब्दकोश सूचियों की मदद से इन हैश वैल्यू से मेल खाने वाले पासवर्ड खोजने की कोशिश कर सकते हैं और उन अन्य गेम, स्टोर या ईमेल खातों में प्रवेश का प्रयास कर सकते हैं जहाँ उसी ईमेल के साथ वही पासवर्ड इस्तेमाल किया गया हो।

जन्मतिथि और नाम की जानकारी, उपयोगकर्ता नाम और साइट पर गतिविधि के साथ मिलकर, लक्षित सोशल इंजीनियरिंग का जोखिम बढ़ाती है। गेमिंग समुदायों में उपयोगकर्ता अलग-अलग प्लेटफ़ॉर्म पर एक ही उपनाम इस्तेमाल कर सकते हैं, इसलिए DLH.net का उपयोगकर्ता नाम अन्य फ़ोरम, स्टोर या गेमिंग नेटवर्क के खातों से जोड़ा जा सकता है। वेबसाइट पर गतिविधि से यह संकेत मिल सकता है कि किसी व्यक्ति की रुचि किस तरह की सामग्री या गेम कीज़ में है। ये फ़ील्ड अपने आप में वित्तीय डेटा नहीं हैं, लेकिन इनके आधार पर विश्वसनीय लगने वाले पासवर्ड रीसेट संदेश, फ़र्जी खाता सत्यापन अनुरोध या गेम कीज़ के बहाने ठगी के संदेश तैयार किए जा सकते हैं।

सत्यापित दायरा DLH.net की सदस्यता से जुड़े डेटा और 31 जुलाई 2016 की तारीख वाले रिकॉर्डों तक सीमित है। इस रिकॉर्ड में प्रभावित खातों की संख्या 32,64,710 रखी गई है। कुछ सार्वजनिक रिकॉर्डों में 33 लाख सब्सक्राइबर IDs लिखा है; यह पूर्णांकित आँकड़ा है। दूसरी सेवा में दिखाई देने वाली 26,38,182 पंक्तियाँ संभवतः उसी घटना के केवल किसी खास खोजयोग्य हिस्से या डेटा को अलग तरीके से संसाधित करने के परिणाम को दर्शाती हैं। इसलिए इन संख्याओं को एक ही अर्थ में नहीं लेना चाहिए: यहाँ सेंध से प्रभावित खातों की संख्या अलग-अलग खाता IDs की मुख्य गणना पर आधारित है; पंक्तियों की कम संख्या का अर्थ यह नहीं है कि पूरी घटना का दायरा छोटा था।

घटना की सीमाओं को भी उतनी ही सावधानी से समझना चाहिए। सत्यापित उपयोगकर्ता डेटा फ़ील्ड खाते और प्रोफ़ाइल की जानकारी से संबंधित हैं; क्रेडिट कार्ड नंबर, भुगतान खाता, आधिकारिक पहचान संख्या या निजी संदेशों की सामग्री इस रिकॉर्ड के सत्यापित डेटा प्रकारों में शामिल नहीं हैं। घटना के संदर्भ में गेम एक्टिवेशन कीज़ का उल्लेख है, लेकिन यह पृष्ठ यह नहीं मानता कि ये कीज़ वैध हैं, सभी कीज़ अनुपयोगी हो गई हैं या हर उपयोगकर्ता खाते से ठीक एक की जुड़ी हुई है। कंपनी के पिछले खंडन को देखते हुए हमले के तकनीकी तरीके के बारे में भी निश्चित या व्यापक दावे नहीं किए गए हैं; उपयोगकर्ता को प्रभावित करने वाले सत्यापित डेटा फ़ील्ड को ही आधार बनाया गया है।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2016 से पहले DLH.net पर खाता खोला था, न्यूज़लेटर या फ़ोरम सदस्यता का उपयोग किया था और गेम कीज़ के अभियानों में भाग लिया था। Steam, गेम फ़ोरम, स्टोर या सोशल प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम इस्तेमाल करने वाले लोगों के खातों को आपस में जोड़ना अधिक आसान हो सकता है। जब ईमेल पता और उपयोगकर्ता नाम एक साथ दिखाई देते हैं, तो हमलावर अलग-अलग प्लेटफ़ॉर्म पर उसी व्यक्ति को खोजने की कोशिश कर सकता है। जन्मतिथि की जानकारी का दुरुपयोग खाता पुनर्प्राप्ति के प्रश्नों, उम्र के आधार पर प्रोफ़ाइल सत्यापन या भरोसेमंद लगने की कोशिश करने वाले संदेशों में भी किया जा सकता है।

अलग-अलग साइटों पर एक ही पासवर्ड इस्तेमाल करने वाले उपयोगकर्ता भी जोखिम में हैं। पासवर्ड हैश वास्तविक पासवर्ड नहीं होता, फिर भी MD5 की कमजोर संरचना के कारण पुराने और सरल पासवर्ड का अनुमान लगाना अधिक आसान हो सकता है। भले ही यह माना जाए कि 2016 में इस्तेमाल किया गया पासवर्ड आज सक्रिय नहीं है, अलग-अलग खातों में उसी तरह के पासवर्ड अब भी इस्तेमाल हो सकते हैं। गेमिंग समुदायों में उपयोगकर्ता ऐसी पुरानी डेटा सेंध के असर को कम आँक सकते हैं, क्योंकि पुराने फ़ोरम खाते, उपहार में कीज़ के वितरण और अभियान पंजीकरण भुला दिए जाते हैं। DLH.net डेटा सेंध खास तौर पर उन लोगों के लिए महत्वपूर्ण है जिन्होंने पुराने गेमिंग खातों और अपने मुख्य ईमेल खाते में एक ही पासवर्ड इस्तेमाल किया था।

DLH.net के लिए इस्तेमाल किया गया पासवर्ड अब कहीं भी सक्रिय नहीं होना चाहिए। यदि वही या उससे मिलता-जुलता पासवर्ड अन्य खातों में इस्तेमाल किया गया है, तो उन सभी खातों के लिए अलग-अलग, मजबूत पासवर्ड तय करने चाहिए। ईमेल खातों, गेम स्टोर, Steam जैसे प्लेटफ़ॉर्म, भुगतान से जुड़े खातों और उन फ़ोरम को प्राथमिकता देनी चाहिए जहाँ वही उपयोगकर्ता नाम इस्तेमाल होता है। सभी महत्वपूर्ण खातों में दो-कारक प्रमाणीकरण चालू करना चाहिए, यदि वे इसकी सुविधा देते हों। सेंध पुरानी होने पर भी लीक हुए ईमेल और उपयोगकर्ता नाम के जोड़ों को वर्षों बाद स्वचालित लॉगिन प्रयासों या फ़िशिंग अभियानों में फिर इस्तेमाल किया जा सकता है।

पासवर्ड रीसेट संदेशों, गेम कीज़ के उपहारों, मुफ्त गेम अभियानों, खाता निलंबन की चेतावनियों या जन्मतिथि सत्यापन अनुरोधों जैसे संदेशों पर सावधानी बरतनी चाहिए। लिंक पर क्लिक करने के बजाय उपयोगकर्ताओं को संबंधित प्लेटफ़ॉर्म का पता खुद ब्राउज़र में टाइप करना चाहिए। ईमेल खाते में अनपेक्षित फ़ॉरवर्डिंग नियमों, अपरिचित सत्रों और संदिग्ध पुनर्प्राप्ति विकल्पों की जाँच करनी चाहिए। वही उपयोगकर्ता नाम कहीं और दिखाई देना अपने आप में खाते में सेंध का प्रमाण नहीं है; लेकिन ईमेल, जन्मतिथि और पहले इस्तेमाल किए गए पासवर्ड के साथ मिलाकर देखने पर यह खाते की सुरक्षा के लिए एक गंभीर चेतावनी है।

DLH.net डेटा सेंध दिखाती है कि सुरक्षा योजना में पुराने गेम और फ़ोरम खातों को नहीं भूलना चाहिए। उपयोगकर्ताओं को अब वे खाते बंद कर देने चाहिए जिनका वे उपयोग नहीं करते, स्थायी ईमेल पता केवल महत्वपूर्ण खातों के लिए इस्तेमाल करना चाहिए और अभियानों या फ़ोरम सदस्यताओं के लिए अलग ईमेल पते को प्राथमिकता देनी चाहिए। पासवर्ड मैनेजर से हर खाते के लिए अलग पासवर्ड बनाना आसान होता है और पुराने पासवर्ड के पैटर्न पहचानने में मदद मिलती है। जब जन्मतिथि जैसी न बदलने वाली जानकारी लीक हो जाए, तो उस जानकारी पर आधारित सुरक्षा प्रश्नों को विश्वसनीय नहीं मानना चाहिए।

प्लेटफ़ॉर्म संचालकों के लिए सबक यह है कि पासवर्ड हैश को आधुनिक एल्गोरिदम से सुरक्षित रखा जाए और उपयोगकर्ता गतिविधि जैसे सहायक डेटा क्षेत्रों का अनावश्यक विस्तार न किया जाए। MD5 जैसे पुराने तरीके, सॉल्ट किए जाने पर भी, आधुनिक हमलों की क्षमताओं के सामने पर्याप्त नहीं माने जाते। गेमिंग समुदायों, फ़ोरम और अभियान साइटों को खाते के डेटा को कम जोखिम वाला नहीं समझना चाहिए, क्योंकि वही उपयोगकर्ता नाम और ईमेल अन्य प्लेटफ़ॉर्म तक पहुँचने की कड़ी बन सकते हैं। नियमित रूप से सुरक्षा कमजोरियों का आकलन, पहुँच पर पाबंदियाँ, पुराने सत्रों को हटाना और डेटा तक असामान्य पहुँच का जल्दी पता लगाना दीर्घकालीन सुरक्षा को मजबूत करते हैं।

यदि इस रिकॉर्ड में आपकी जानकारी से मेल मिलता है, तो आपका ईमेल पता DLH.net डेटा सेंध से जुड़े खाता डेटा में शामिल रहा हो सकता है। इसका अर्थ यह नहीं है कि आज आपके खाते में सेंध लग चुकी है; लेकिन यह संकेत देता है कि 2016 के दौरान इस्तेमाल किए गए पासवर्ड, उपयोगकर्ता नाम, जन्मतिथि और वेबसाइट पर गतिविधि जैसे फ़ील्ड सुरक्षा जोखिम बन गए हैं। पहला कदम है DLH.net के साथ उसी अवधि में इस्तेमाल किए गए पासवर्ड की पहचान करना और उन सभी को अलग-अलग पासवर्ड से बदलना। खास तौर पर मुख्य ईमेल खाते को सुरक्षित रखना चाहिए, पुनर्प्राप्ति विकल्प अपडेट करने चाहिए और दो-कारक प्रमाणीकरण चालू करना चाहिए।

घटना पुरानी है, इसलिए यह नहीं मानना चाहिए कि जोखिम समाप्त हो गया है। पुराने डेटा लीक की जानकारी को वर्षों बाद अन्य डेटा के साथ जोड़कर खातों में प्रवेश के नए प्रयासों या व्यक्ति-विशेष के लिए तैयार किए गए धोखाधड़ी संदेशों में इस्तेमाल किया जा सकता है। अपने पहले इस्तेमाल किए गए उपयोगकर्ता नामों, गेमिंग प्लेटफ़ॉर्म खातों और पुरानी फ़ोरम सदस्यताओं की समीक्षा करें। यदि आज भी उसी तरह के पासवर्ड इस्तेमाल हो रहे हैं, तो उन्हें बदलें। इस रिकॉर्ड का उद्देश्य DLH.net डेटा सेंध को बिना बढ़ा-चढ़ाकर प्रस्तुत करना, विवादित विवरणों को सीमित रखना और सत्यापित डेटा फ़ील्ड स्पष्ट रूप से दिखाना है, ताकि उपयोगकर्ता खाते की सुरक्षा से जुड़े निर्णयों को सही प्राथमिकता दे सकें।