Dodonew.com डेटा उजागर होने का कथित मामला

Dodonew.com के रजिस्टर में सत्यापित डेटा के प्रकार ईमेल पते और उपयोगकर्ता नाम हैं। इन फ़ील्ड में पासवर्ड नहीं है, लेकिन ये बताते हैं कि किसी खाते से कौन-सा उपयोगकर्ता नाम और ईमेल पता जुड़ा है। यदि एक ही उपयोगकर्ता नाम अलग-अलग प्लेटफ़ॉर्म पर इस्तेमाल किया जाता है, तो हमलावर उसी व्यक्ति को सोशल मीडिया, फ़ोरम, गेम, खरीदारी या काम से जुड़े प्लेटफ़ॉर्म पर खोज सकते हैं। वहीं, ईमेल पता स्पैम और फ़िशिंग संदेशों का निशाना बन सकता है। इसलिए इस रजिस्टर को खाते के पासवर्ड के लिए सीधे जोखिम के बजाय खातों का पता लगाए जाने, पहचान का मिलान किए जाने और व्यक्तिगत जानकारी के आधार पर संदेश भेजे जाने के जोखिम के रूप में देखा जाना चाहिए।

इस रिकॉर्ड में पासवर्ड वाले फ़ील्ड का सत्यापन नहीं हुआ है, इसलिए उपयोगकर्ता को यह संदेश नहीं दिया जाना चाहिए कि उनका पासवर्ड किसी के हाथ लग गया है। फिर भी, ईमेल पते और उपयोगकर्ता नाम के बीच पुराना मेल लंबे समय तक उपयोगी रह सकता है। हमलावर यह दावा करते हुए फर्जी सुरक्षा सूचनाएँ या खाता सत्यापन संदेश तैयार कर सकते हैं कि उपयोगकर्ता चीन स्थित किसी पुरानी वेबसाइट से जुड़ा है। यदि उपयोगकर्ता नाम वही रहा है, तो अलग-अलग सेवाओं पर एक ही पहचान से जुड़ी प्रोफ़ाइलों को आपस में जोड़ा जा सकता है। ऐसे पुराने रिकॉर्ड खास तौर पर उन लोगों को निशाना बनाने वाले नए स्पैम और सोशल इंजीनियरिंग अभियानों में इस्तेमाल किए जा सकते हैं जो वर्षों से एक ही ईमेल पता इस्तेमाल कर रहे हैं।

इस रिकॉर्ड में दी गई संख्या 87,18,404 Dodonew.com से जुड़े खाता रिकॉर्डों के दायरे को दर्शाती है। इसे अलग-अलग वास्तविक व्यक्तियों की संख्या नहीं समझना चाहिए; इसमें पुराने या दोहराए गए रिकॉर्ड हो सकते हैं, या एक ही व्यक्ति के कई रिकॉर्ड हो सकते हैं। घटना की तारीख दिसंबर 2011 दर्ज है। डेटा पुराना होने के कारण कुछ ईमेल पते अब इस्तेमाल में नहीं हैं, कुछ उपयोगकर्ता नाम बदल चुके हैं, या कुछ रिकॉर्डों की प्रासंगिकता खत्म हो गई हो सकती है। फिर भी, ईमेल पते अक्सर कई वर्षों तक वही रहते हैं, इसलिए इस रिकॉर्ड को अब भी उपयोगकर्ता के सामने सुरक्षा चेतावनी के रूप में दिखाया जा सकता है।

इस रिकॉर्ड का सत्यापन सीमित है। उपलब्ध जानकारी संकेत देती है कि Dodonew.com का डेटा वास्तविक हो सकता है, लेकिन चीन से प्राप्त डेटा लीक की पुरानी घटनाओं में वेबसाइट का स्वामित्व, डेटा का स्रोत और स्वतंत्र सत्यापन की पूरी कड़ी हमेशा स्पष्ट रूप से स्थापित नहीं हो पाती। इसलिए isVerified फ़ील्ड को सत्यापित के रूप में चिह्नित नहीं किया जाना चाहिए। डेटा फ़ील्ड का दायरा भी नहीं बढ़ाया जाना चाहिए: इस रिकॉर्ड के लिए ईमेल पतों और उपयोगकर्ता नामों के अलावा खाते, संपर्क, वित्तीय जानकारी या आधिकारिक पहचान से जुड़े अतिरिक्त फ़ील्ड सत्यापित नहीं हैं। उपयोगकर्ता को दिया जाने वाला संदेश सीमित सत्यापन और सीमित डेटा फ़ील्ड के दायरे में ही रहना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2011 से पहले या उस दौरान Dodonew.com पर खाता बनाया था, अन्य प्लेटफ़ॉर्म पर वही उपयोगकर्ता नाम इस्तेमाल किया था, या कई वर्षों तक अपना ईमेल पता नहीं बदला। इन लोगों के लिए जोखिम यह है कि कोई हमलावर पुराने उपयोगकर्ता नाम का मौजूदा खातों से मिलान करके व्यक्तिगत जानकारी के आधार पर संदेश तैयार कर सकता है। यदि उपयोगकर्ता नाम कोई वास्तविक नाम, उपनाम या अन्य प्लेटफ़ॉर्म पर जानी-पहचानी पहचान है, तो उसी व्यक्ति के अलग-अलग डिजिटल निशानों को जोड़ा जा सकता है। यह जोखिम खास तौर पर उन लोगों के लिए अधिक स्पष्ट होता है जो पहले से फ़ोरम और सोशल प्लेटफ़ॉर्म पर सक्रिय रहे हैं।

चीन स्थित या चीनी भाषा की सेवाओं से न जुड़े उपयोगकर्ता भी यह रिकॉर्ड देखकर हैरान हो सकते हैं। इससे हर बार यह साबित नहीं होता कि उपयोगकर्ता ने स्वयं वेबसाइट पर पंजीकरण किया था; ईमेल पता दूसरी सूचियों से जोड़ा गया हो सकता है, उपयोगकर्ता ने कभी पुराना खाता खोला हो और फिर उसे भूल गया हो, या बाद में इस डेटा को अलग-अलग स्रोतों के डेटा के साथ मिला दिया गया हो। इसलिए निश्चित रूप से यह कहना सही नहीं है कि उपयोगकर्ता ने कोई खास काम किया था। फिर भी, ईमेल पते और उपयोगकर्ता नाम के बीच मेल सामने आ जाने के कारण स्पैम, फर्जी सदस्यता सूचनाओं और खातों का पता लगाए जाने के जोखिमों पर ध्यान देना चाहिए।

जिन उपयोगकर्ताओं की जानकारी Dodonew.com के रिकॉर्ड से मेल खाती है, उनके लिए पहला कदम अपने ईमेल खाते की सुरक्षा जाँचना है। इस रिकॉर्ड में पासवर्ड सत्यापित फ़ील्ड नहीं है, इसलिए सीधे इस घटना के कारण पासवर्ड बदलना आवश्यक बताने वाला संदेश नहीं दिया जाना चाहिए। हालांकि, यदि ईमेल खाता अन्य डेटा लीक से प्रभावित हुआ है, तो एक मजबूत और अनूठा पासवर्ड इस्तेमाल करना चाहिए। बहु-कारक प्रमाणीकरण चालू करना चाहिए और अनजान सत्रों तथा ईमेल फ़ॉरवर्ड करने के नियमों की जाँच करनी चाहिए। उपयोगकर्ता को पुरानी सदस्यताओं, चीन स्थित सेवाओं, खाता सत्यापन या सुरक्षा सूचनाओं से जुड़े अप्रत्याशित संदेशों के प्रति सावधान रहना चाहिए।

दूसरा कदम उपयोगकर्ता नाम की फिर से समीक्षा करना है। यदि संवेदनशील या पेशेवर खातों में वही उपयोगकर्ता नाम इस्तेमाल होता है, तो इन खातों की दृश्यता और गोपनीयता सेटिंग की जाँच करनी चाहिए। यदि उपयोगकर्ता नहीं चाहते कि पुराने उपयोगकर्ता नाम के सहारे उन्हें अलग-अलग प्लेटफ़ॉर्म पर आसानी से खोजा जा सके, तो महत्वपूर्ण खातों के लिए अलग उपयोगकर्ता नाम चुना जा सकता है। संदिग्ध ईमेल संदेशों के लिंक पर सीधे क्लिक नहीं करना चाहिए और लॉगिन के लिए ज्ञात वेब पतों का इस्तेमाल करना चाहिए। संदेश में उपयोगकर्ता का पुराना उपनाम दिखाई देने पर भी यह नहीं माना जा सकता कि संदेश भरोसेमंद है।

Dodonew.com की घटना दिखाती है कि बिना पासवर्ड वाले पुराने रिकॉर्ड भी डिजिटल पहचान का मिलान करने में उपयोगी हो सकते हैं। उपयोगकर्ताओं को अपने पुराने खातों, उपनामों और लंबे समय से इस्तेमाल किए जा रहे ईमेल पतों की नियमित समीक्षा करनी चाहिए। महत्वपूर्ण खातों के लिए अलग ईमेल पता या उपयोगकर्ता नाम इस्तेमाल करने से अलग-अलग डिजिटल निशानों को आसानी से जोड़ना कठिन हो जाता है। न्यूज़लेटर और पुरानी सदस्यताओं से जुड़े खातों की छँटाई करनी चाहिए, अनुपयोगी खाते बंद करने चाहिए और अनावश्यक फ़ॉर्म में मुख्य ईमेल पता साझा नहीं करना चाहिए।

प्लेटफ़ॉर्म संचालकों के लिए सीख यह है कि केवल पासवर्ड या भुगतान डेटा ही नहीं, बल्कि ईमेल पते और उपयोगकर्ता नाम जैसी खाते की बुनियादी जानकारी की भी सुरक्षा करनी चाहिए। पुराने डेटा को अनावश्यक रूप से नहीं रखना चाहिए, डेटाबेस तक पहुँच सीमित करनी चाहिए और डेटा लीक होने पर स्पष्ट रूप से बताना चाहिए कि किन फ़ील्ड का सत्यापन हुआ है। यदि सत्यापन सीमित है, तो उपयोगकर्ता को यह बात ईमानदारी से समझानी चाहिए। जोखिम को बढ़ा-चढ़ाकर बताने से उपयोगकर्ता अनावश्यक रूप से घबरा सकते हैं और सही कदम उठाने से उनका ध्यान हट सकता है।

यदि इस पृष्ठ पर सत्यापन का परिणाम Dodonew.com के रिकॉर्ड से मेल खाता है, तो उपयोगकर्ता को इसे ईमेल पते और उपयोगकर्ता नाम का ऐसा रिकॉर्ड मानना चाहिए जिसका सत्यापन सीमित है। पहला कदम ईमेल खाते और उसी उपयोगकर्ता नाम वाले महत्वपूर्ण खातों की जाँच करना है। अप्रत्याशित सदस्यता सूचनाओं, खाता सत्यापन संदेशों या पुरानी वेबसाइटों से जुड़े संदेशों को ध्यान से परखना चाहिए और उनके लिंक सीधे नहीं खोलने चाहिए। इस रिकॉर्ड में पासवर्ड सत्यापित फ़ील्ड नहीं है, इसलिए कार्रवाई का केंद्र ईमेल सुरक्षा, स्पैम के प्रति जागरूकता और उपयोगकर्ता नामों का मिलान किए जाने का जोखिम होना चाहिए।

Dodonew.com का रिकॉर्ड पुराना है, लेकिन ईमेल पते और उपयोगकर्ता नाम के बीच मेल वर्षों तक बना रह सकता है। उपयोगकर्ता को इस रिकॉर्ड को ऐसी पुरानी घटना के रूप में देखना चाहिए जिसका सत्यापन सीमित है, लेकिन इसे पूरी तरह अप्रासंगिक नहीं मानना चाहिए। मुख्य ईमेल खाते की सुरक्षा मजबूत करने, एक ही उपयोगकर्ता नाम के बार-बार इस्तेमाल को कम करने, किसी अलग माध्यम से संदिग्ध संदेशों की पुष्टि करने और अनावश्यक पुराने खातों को हटाने से इस रिकॉर्ड से पैदा हो सकने वाला जोखिम कम होता है।