Ducks Unlimited: डेटा में सेंध

सत्यापित डेटा प्रकारों में जन्मतिथियाँ, ईमेल पते, नाम, फ़ोन नंबर, भौतिक पते और बिना सॉल्ट वाले MD5 पासवर्ड हैश शामिल हैं। ईमेल, नाम, फ़ोन नंबर और पते को एक साथ देखने पर उपयोगकर्ता की पहचान की तस्वीर काफ़ी स्पष्ट हो जाती है। जन्मतिथि जुड़ने से सदस्यता के फ़र्ज़ी सत्यापन, दान संबंधी अपडेट, पते की पुष्टि या खाता पुनर्प्राप्ति के संदेश अधिक विश्वसनीय लग सकते हैं। भौतिक पते वाला फ़ील्ड विशेष रूप से महत्वपूर्ण है, क्योंकि जोखिम केवल ऑनलाइन खाते की सुरक्षा तक सीमित नहीं है; इससे डाक और फ़ोन के ज़रिए लक्षित धोखाधड़ी का रास्ता भी खुल सकता है।

पासवर्ड हैश, साधारण टेक्स्ट वाला पासवर्ड नहीं होता, लेकिन बिना सॉल्ट वाली MD5 संरचना को मज़बूत सुरक्षा नहीं माना जाता। हमलावर कमज़ोर पासवर्ड का अधिक आसानी से अनुमान लगा सकते हैं और उसी ईमेल से जुड़े दूसरे खातों पर उन्हें आज़मा सकते हैं। सदस्यता या दान से जुड़े संगठनों के उपयोगकर्ताओं ने दूसरे संघों, खरीदारी की साइटों, फ़ोरम या ईमेल खातों पर भी वही ईमेल और पासवर्ड इस्तेमाल किया हो सकता है। इसलिए Ducks Unlimited में डेटा सेंध का आकलन केवल स्पैम के जोखिम तक सीमित नहीं होना चाहिए। खातों पर अनधिकृत कब्ज़े, दानदाताओं से धोखाधड़ी और पते की गोपनीयता के जोखिमों को भी ध्यान में रखना चाहिए।

घटना की सत्यापित तारीख 29 जनवरी 2021 के रूप में दर्ज है। इस डेटासेट की रिपोर्ट Ducks Unlimited के एक ऐसे डेटाबेस के संदर्भ में की गई थी, जिसकी खरीद-बिक्री 2021 के मध्य में ऑनलाइन हुई थी। इसे 16 नवंबर 2021 को सत्यापित डेटा सेंध के रिकॉर्ड में जोड़ा गया। इस रिकॉर्ड में 13,24,364 विशिष्ट ईमेल पते हैं। कुछ विवरणों में लगभग 13 लाख उपयोगकर्ताओं या सदस्यों का उल्लेख हो सकता है; यह पृष्ठ क्वेरी में इस्तेमाल किए गए विशिष्ट ईमेल पतों की सटीक संख्या पर आधारित है।

इसका दायरा दो मुख्य सूचियों के आधार पर समझना चाहिए: सदस्यता सूची और वेबसाइट के उपयोगकर्ताओं की सूची। इसका अर्थ यह नहीं है कि हर मिलान वाले व्यक्ति के लिए सभी समान डेटा फ़ील्ड मौजूद हैं। कुछ रिकॉर्ड सदस्य की जानकारी से जुड़े हो सकते हैं, जबकि अन्य वेब खाते की जानकारी से जुड़े हो सकते हैं। सत्यापित फ़ील्ड जन्मतिथि, ईमेल, नाम, फ़ोन नंबर, भौतिक पता और पासवर्ड हैश हैं। क्रेडिट कार्ड, बैंक खाते, दान की राशि, आधिकारिक पहचान-पत्र या संवेदनशील स्वास्थ्य डेटा इस रिकॉर्ड के लिए सत्यापित डेटा श्रेणियाँ नहीं हैं।

सबसे अधिक जोखिम वाले समूह में Ducks Unlimited के सदस्य, दानदाता और वेबसाइट पर खाता रखने वाले उपयोगकर्ता शामिल हैं। सदस्यता सूची में शामिल लोगों के लिए पता, फ़ोन नंबर और जन्मतिथि जैसे फ़ील्ड गोपनीयता का अधिक प्रत्यक्ष जोखिम पैदा कर सकते हैं। वेबसाइट पर खाता रखने वाले उपयोगकर्ताओं के लिए एक ही पासवर्ड कई जगह इस्तेमाल करने का जोखिम प्रमुख है। यदि दूसरे खातों पर भी वही ईमेल और पासवर्ड इस्तेमाल किए गए हैं, तो हमलावर इस जानकारी को अलग-अलग सेवाओं पर आज़मा सकते हैं। दान के नवीनीकरण या सदस्यता के सत्यापन से जुड़े फ़र्ज़ी संदेशों में दानदाता या सदस्य होने के संबंध का इस्तेमाल भरोसा पैदा करने के लिए किया जा सकता है।

जिन लोगों के भौतिक पते और फ़ोन नंबर लीक हुए हैं, उन्हें डाक, फ़ोन या ईमेल के ज़रिए निशाना बनाया जा सकता है। हमलावर संगठन के नाम से फ़र्ज़ी दान अभियान, सदस्यता अपडेट, पुरस्कार की सूचना या खाते के सत्यापन का संदेश तैयार कर सकता है। इन संदेशों में जन्मतिथि का इस्तेमाल भी अतिरिक्त भरोसा पैदा करने के लिए किया जा सकता है। रिकॉर्ड पुराना होने पर भी पता और जन्मतिथि जैसे फ़ील्ड लंबे समय तक अपरिवर्तित रह सकते हैं। इसलिए उपयोगकर्ताओं को केवल अपने पासवर्ड ही नहीं, बल्कि अपने संचार माध्यमों की भी सुरक्षा करनी चाहिए।

यदि Ducks Unlimited खाते के लिए इस्तेमाल किया गया पासवर्ड किसी दूसरे खाते पर अब भी सक्रिय है, तो उसे तुरंत बदल देना चाहिए। यदि ईमेल, दान, खरीदारी, सोशल मीडिया या फ़ोरम के खातों पर वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, तो इन सभी खातों के लिए अलग-अलग पासवर्ड रखने चाहिए। मुख्य ईमेल खाते पर दो-कारक प्रमाणीकरण चालू करना चाहिए। यदि ईमेल खाते में सेंध लग जाती है, तो दूसरे खातों के पासवर्ड रीसेट लिंक भी जोखिम में पड़ जाते हैं। पासवर्ड मैनेजर के इस्तेमाल से यह पता लगाना आसान होता है कि पुराने पासवर्ड कहाँ-कहाँ दोहराए गए हैं।

फ़ोन, डाक और ईमेल से मिलने वाले दान, सदस्यता नवीनीकरण, पते के सत्यापन या खाते के अपडेट संबंधी अनुरोधों की सावधानी से जाँच करनी चाहिए। संदेश में आपका नाम, पता या जन्मतिथि सही होने पर भी केवल इससे उसके सुरक्षित होने की पुष्टि नहीं होती। भुगतान, कार्ड नंबर, बैंक की जानकारी, एक बार इस्तेमाल होने वाला कोड या पासवर्ड माँगने वाले अनुरोधों पर आगे बढ़ना रोक देना चाहिए और लेन-देन की पुष्टि परिचित आधिकारिक माध्यमों से करनी चाहिए। इस घटना में, भले ही भुगतान प्राप्तकर्ता सत्यापित न हुआ हो, लीक हुई संपर्क जानकारी का इस्तेमाल बाद में धोखे से भुगतान संबंधी जानकारी हासिल करने के लिए किया जा सकता है।

लंबे समय की सुरक्षा के लिए सदस्यता और दान से जुड़े खातों पर अलग-अलग, अनूठे पासवर्ड इस्तेमाल करने चाहिए। दान, अभियान और सदस्यता के कई खातों के लिए एक ही ईमेल पता इस्तेमाल करने से लक्षित धोखाधड़ी का जोखिम बढ़ता है। उपयोगकर्ताओं को वे वेब खाते बंद कर देने चाहिए जिन्हें वे अब इस्तेमाल नहीं करते, अपनी संचार प्राथमिकताओं की समीक्षा करनी चाहिए और प्रोफ़ाइल में अनावश्यक फ़ील्ड कम से कम रखने चाहिए। भौतिक पते और फ़ोन की जानकारी वाले खातों की नियमित जाँच करनी चाहिए। पुराने पते भी सोशल इंजीनियरिंग में पिछली प्रमाणीकरण जानकारी के रूप में इस्तेमाल किए जा सकते हैं।

संगठन के स्तर पर यह घटना दिखाती है कि सदस्यता और दान से जुड़े डेटा को संवेदनशील व्यक्तिगत डेटा माना जाना चाहिए। पासवर्ड हैश को बिना सॉल्ट वाले MD5 जैसे कमज़ोर तरीकों से संग्रहीत नहीं करना चाहिए; आधुनिक, अधिक गणनात्मक लागत वाली और सॉल्ट युक्त हैश विधियों का इस्तेमाल करना चाहिए। सदस्यों और वेब उपयोगकर्ताओं की सूचियाँ अनावश्यक रूप से लंबे समय तक नहीं रखनी चाहिए, पहुँच अनुमतियाँ न्यूनतम होनी चाहिए, बड़ी मात्रा में डेटा निर्यात की गतिविधियों की निगरानी करनी चाहिए और सेंध के बाद दी जाने वाली सूचनाएँ स्पष्ट होनी चाहिए। दानदाताओं का भरोसा केवल भुगतान संबंधी डेटा की सुरक्षा पर नहीं, बल्कि पते और संपर्क जानकारी की सुरक्षा पर भी निर्भर करता है।

यदि आपको इस रिकॉर्ड में मिलान दिखता है, तो आपका ईमेल पता Ducks Unlimited में डेटा सेंध से जुड़े 13,24,364 विशिष्ट ईमेल पतों में मिला हो सकता है। मिलान होने का अर्थ यह नहीं है कि आपके भुगतान कार्ड या बैंक की जानकारी लीक हुई है। सत्यापित फ़ील्ड जन्मतिथि, ईमेल, नाम, फ़ोन नंबर, भौतिक पता और बिना सॉल्ट वाला MD5 पासवर्ड हैश हैं। पहला कदम यह जाँचना है कि आपने इस खाते का पुराना पासवर्ड और कहाँ-कहाँ इस्तेमाल किया है।

यदि आपका पुराना पासवर्ड दूसरे खातों पर इस्तेमाल हो रहा है, तो उसे बदल दें। अपने ईमेल खाते पर दो-चरणीय सत्यापन चालू करें और सदस्यता या दान से जुड़े संदेशों की पुष्टि सीधे आधिकारिक माध्यमों से करें। पते और फ़ोन की जानकारी वाले संदेशों में भुगतान या सत्यापन संबंधी जानकारी जल्दबाज़ी में साझा न करें। Ducks Unlimited में डेटा सेंध को केवल सदस्यता सूची के लीक होने की घटना मानना पर्याप्त नहीं है। सही दृष्टिकोण यह स्वीकार करना है कि पते और फ़ोन की जानकारी के साथ कमज़ोर पासवर्ड हैश जुड़ने से खातों और धोखाधड़ी से जुड़े दीर्घकालिक जोखिम पैदा हो सकते हैं।