Duolingo: डेटा में सेंध

सत्यापित डेटा के प्रकारों में ईमेल पते, नाम, उपयोगकर्ता नाम, बोली जाने वाली या सीखी जाने वाली भाषाएँ और सीखने की प्रगति से जुड़ी कुछ जानकारी शामिल है। ईमेल पता, उपयोगकर्ता नाम और नाम एक साथ उपलब्ध होने पर अलग-अलग प्लेटफ़ॉर्म पर मौजूद किसी व्यक्ति की प्रोफ़ाइलों को आपस में जोड़ा जा सकता है। भाषा की पसंद से हमलावर को यह समझने में मदद मिल सकती है कि संदेश किस भाषा में भेजना है और उसे सीखने के किस लक्ष्य से जोड़ना है। सीखने की प्रगति या स्कोर जैसी जानकारी से यह धारणा भी अधिक मज़बूत हो सकती है कि खाता वास्तव में किसी Duolingo उपयोगकर्ता का है।

इस घटना में पासवर्ड की जानकारी सत्यापित डेटा फ़ील्ड में शामिल नहीं है। इसलिए उपयोगकर्ता को यह आभास नहीं देना चाहिए कि उनका पासवर्ड लीक हो गया है। जोखिम खाते में सीधे सेंध लगने का कम और ईमेल पते को Duolingo प्रोफ़ाइल से जोड़कर इस जानकारी का इस्तेमाल लक्षित संदेशों में करने का अधिक है। उदाहरण के लिए, भाषा पाठ्यक्रम, सदस्यता के नवीनीकरण, खाते के सत्यापन, स्तर घटने या लगातार सीखने का क्रम टूटने की चेतावनी वाले संदेश अधिक विश्वसनीय लग सकते हैं। उपयोगकर्ताओं को किसी संदेश में अपना उपयोगकर्ता नाम या सीखी जा रही भाषा का उल्लेख होने को उस संदेश की प्रामाणिकता का प्रमाण नहीं मानना चाहिए।

घटना की सत्यापित तारीख जनवरी 2023 के रूप में दर्ज है; डेटासेट अगस्त 2023 में अधिक व्यापक रूप से प्रसारित हुआ। प्रभावित रिकॉर्ड की संख्या 26,76,696 ही रखी गई है। कुछ स्रोत लगभग 26 लाख या 27 लाख उपयोगकर्ताओं का उल्लेख कर सकते हैं; ये उसी घटना की पूर्णांकित संख्याएँ हैं। इस रिकॉर्ड में दी गई संख्या खोज में इस्तेमाल किए गए अलग-अलग रिकॉर्ड की गिनती है। डेटा फ़ील्ड भाषा सीखने की प्रोफ़ाइल और ईमेल पते को उससे जोड़ने तक सीमित हैं।

इसका दायरा बढ़ाकर नहीं बताना चाहिए। इस रिकॉर्ड में पासवर्ड, भुगतान कार्ड, बैंक खाते, सरकारी पहचान पत्र, फ़ोन नंबर, भौतिक पते, निजी पाठों की सामग्री या निजी संदेश सत्यापित डेटा श्रेणियाँ नहीं हैं। हालाँकि प्रोफ़ाइल की कुछ जानकारी सार्वजनिक हो सकती है, लेकिन बड़े पैमाने पर उसे निजी ईमेल पतों से जोड़ने पर निजता पर असर बढ़ जाता है। इसलिए इस रिकॉर्ड को सार्वजनिक प्रोफ़ाइलों की सूची जैसा बिल्कुल मामूली मामला नहीं समझना चाहिए। इसका सही आकलन खाते पर सीधे कब्ज़ा होने के आधार पर नहीं, बल्कि ईमेल और प्रोफ़ाइल डेटा को जोड़ने से पैदा होने वाले जोखिम के आधार पर किया जाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जो Duolingo पर अपना असली नाम, आसानी से पहचाना जा सकने वाला उपयोगकर्ता नाम या मुख्य ईमेल पता इस्तेमाल करते हैं। जो लोग सोशल नेटवर्क, शैक्षिक प्लेटफ़ॉर्म या काम से जुड़ी प्रोफ़ाइलों पर एक ही उपयोगकर्ता नाम रखते हैं, उनकी अलग-अलग प्रोफ़ाइलों को आपस में जोड़ना आसान होता है। भाषा की पसंद और सीखने की प्रगति से उपयोगकर्ता के व्यक्तिगत लक्ष्यों या कुछ देशों में उनकी रुचि का संकेत मिल सकता है। हालाँकि इस जानकारी को अपने आप में अत्यधिक संवेदनशील डेटा नहीं माना जाता, लेकिन ईमेल और नाम के साथ जुड़ने पर यह लक्षित संदेशों को अधिक सटीक और विश्वसनीय दिखा सकती है।

विद्यार्थियों, शिक्षकों, परीक्षाओं की तैयारी करने वालों, प्रवास या काम के लिए भाषा सीखने वालों और शैक्षिक खातों के लिए अपना मुख्य ईमेल इस्तेमाल करने वालों के बारे में अधिक जानकारी सामने आ सकती है। हमलावर इन विषयों को परीक्षा, प्रमाणपत्र, सदस्यता, उपहार, खाते के सत्यापन या सीखने की शृंखला से जुड़ी फ़र्ज़ी सूचनाओं के साथ जोड़ सकते हैं। चूँकि पासवर्ड लीक नहीं हुआ है, इसलिए खाते पर सीधे कब्ज़ा होने का जोखिम सीमित है; फिर भी, सोशल इंजीनियरिंग, स्पैम और प्रोफ़ाइल की जानकारी को आपस में जोड़ने का जोखिम वास्तविक है।

अपने Duolingo खाते के लिए मज़बूत और अलग पासवर्ड इस्तेमाल करना सुरक्षा का एक अच्छा कदम है। हालाँकि इस मामले में पासवर्ड लीक होने की पुष्टि नहीं हुई है, इसलिए मुख्य प्राथमिकता संदिग्ध संदेशों को पहचानना है। Duolingo के नाम से आने वाले खाते के सत्यापन, सदस्यता, स्तर घटने, लगातार सीखने के क्रम, प्रमाणपत्र या प्रचार अभियान से जुड़े संदेशों के लिंक पर सावधानी बरतनी चाहिए। संदेश में आपका नाम, उपयोगकर्ता नाम या सीखी जा रही भाषा सही होने पर भी यह जानकारी किसी डेटासेट से ली गई हो सकती है। अगर कोई कार्रवाई आवश्यक हो, तो आधिकारिक पते से सीधे सेवा पर जाकर ही उसे पूरा करना चाहिए।

अपनी प्रोफ़ाइल में दिखाई देने वाली जानकारी की समीक्षा करें, ताकि आपके असली नाम, सार्वजनिक उपयोगकर्ता नाम और मुख्य ईमेल को आपस में जोड़ना कम आसान हो। अगर मुख्य ईमेल पता बहुत अधिक प्रशिक्षण सत्रों, प्रचार अभियानों या सोशल खातों में इस्तेमाल होता है, तो अलग-अलग ईमेल पते इस्तेमाल करने पर विचार किया जा सकता है। अप्रत्याशित ईमेल और संदेशों में पासवर्ड, भुगतान की जानकारी या एक बार इस्तेमाल होने वाले कोड साझा नहीं करने चाहिए। ईमेल खाते पर दो-कारक प्रमाणीकरण सक्षम करना चाहिए और संदिग्ध सत्रों की जाँच करनी चाहिए। इस मामले में पासवर्ड लीक न होने का अर्थ यह नहीं है कि सभी जोखिमों को नज़रअंदाज़ कर दिया जाए।

लंबी अवधि में उपयोगकर्ताओं को नियमित रूप से जाँच करनी चाहिए कि शैक्षिक और सोशल प्लेटफ़ॉर्म पर उनकी प्रोफ़ाइल की कौन-सी जानकारी सार्वजनिक है। असली नाम, उपयोगकर्ता नाम, भाषा सीखने के लक्ष्य, प्रोफ़ाइल फ़ोटो और ईमेल से जुड़ाव एक साथ सामने आने पर किसी व्यक्ति की पहचान आसानी से हो सकती है। हर सेवा के लिए मुख्य ईमेल पता इस्तेमाल करने के बजाय अलग-अलग उद्देश्यों के लिए अलग पते रखने से बड़े पैमाने पर डेटा एकत्र करने की ऐसी घटनाओं का असर कम होता है। खाते की सुरक्षा के लिए पासवर्ड मैनेजर और दो-कारक प्रमाणीकरण का इस्तेमाल भी जारी रखना चाहिए।

प्लेटफ़ॉर्म संचालकों के नज़रिए से, Duolingo की घटना दिखाती है कि सार्वजनिक दिखाई देने वाला डेटा भी निजी ईमेल पतों से जुड़ने पर निजता के लिए जोखिम पैदा कर सकता है। दुरुपयोग रोकने के लिए खातों की जानकारी खोजने की प्रक्रियाओं पर सीमाएँ होनी चाहिए, बड़े पैमाने पर डेटा निकालने की गतिविधियों का जल्दी पता लगाया जाना चाहिए और निजी फ़ील्ड तथा प्रोफ़ाइल फ़ील्ड के बीच का संबंध अनावश्यक रूप से उजागर नहीं होना चाहिए। शैक्षिक प्लेटफ़ॉर्म को उपयोगकर्ताओं के सीखने के लक्ष्यों और भाषा की पसंद जैसी जानकारी को केवल सामान्य प्रोफ़ाइल जानकारी नहीं मानना चाहिए।

अगर इस रिकॉर्ड में आपकी जानकारी का मिलान मिलता है, तो आपका खाता Duolingo डेटा उल्लंघन से जुड़े 26,76,696 रिकॉर्ड में शामिल हो सकता है। मिलान मिलने का अर्थ यह नहीं है कि आपका पासवर्ड या भुगतान की जानकारी लीक हुई है। सत्यापित फ़ील्ड में ईमेल, नाम, उपयोगकर्ता नाम, बोली जाने वाली या सीखी जाने वाली भाषाएँ और सीखने की प्रगति से जुड़ी कुछ जानकारी शामिल है। पहला कदम इस ईमेल पते पर आने वाले Duolingo से संबंधित संदेशों के प्रति अधिक सावधान रहना और सीधे लिंक पर क्लिक न करना है।

अपनी Duolingo प्रोफ़ाइल पर दिखाई देने वाली जानकारी जाँचें, अपने मुख्य ईमेल पते को अनावश्यक जगहों पर दिखने से यथासंभव रोकें और अपने ईमेल खाते पर अतिरिक्त सत्यापन सक्षम रखें। अगर आप दूसरे प्लेटफ़ॉर्म पर भी वही उपयोगकर्ता नाम इस्तेमाल करते हैं, तो प्रोफ़ाइल की जानकारी को आपस में जोड़ने के जोखिम पर विचार करें। Duolingo डेटा उल्लंघन के प्रति सही रवैया यह है कि घटना को बढ़ा-चढ़ाकर पासवर्ड लीक के रूप में पेश न किया जाए, बल्कि अपनी प्रोफ़ाइल और सीखने से जुड़े डेटा को ईमेल पते से जोड़ने के कारण पैदा होने वाले लक्षित संदेशों और निजता के जोखिमों को कम किया जाए।