Duowan.com डेटा उजागर होने का कथित मामला

Duowan.com के मामले में जिन डेटा श्रेणियों का सत्यापन किया जा सकता है, वे ईमेल पते, उपयोगकर्ता नाम और पासवर्ड हैं। पासवर्ड सादे टेक्स्ट में मिलने के कारण यह घटना केवल प्रोफ़ाइल जानकारी लीक होने से अधिक जोखिमपूर्ण है। हैश किए गए पासवर्ड लीक होने पर हमलावर को पासवर्ड क्रैक करना पड़ता है, जबकि सादे टेक्स्ट में पासवर्ड लीक होने पर ब्रूट फ़ोर्स और पासवर्ड के दोबारा इस्तेमाल पर आधारित हमले अधिक सीधे तरीके से किए जा सकते हैं। यदि उपयोगकर्ता ने अन्य सेवाओं पर अपने ईमेल पते के साथ वही पासवर्ड इस्तेमाल किया था, तो इस संयोजन का उपयोग लॉगिन विवरणों को आज़माने के लिए किया जा सकता है।

उपयोगकर्ता नाम वाले फ़ील्ड को भी नज़रअंदाज़ नहीं करना चाहिए। गेमिंग और फ़ोरम समुदायों में इस्तेमाल होने वाले उपनाम कई वर्षों तक अलग-अलग प्लेटफ़ॉर्म पर दोहराए जा सकते हैं। जब किसी हमलावर को ईमेल पता, उपयोगकर्ता नाम और पासवर्ड एक साथ मिलते हैं, तो वह न केवल खाते में प्रवेश की कोशिश करता है, बल्कि उसी व्यक्ति की अन्य ऑनलाइन प्रोफ़ाइल से उसका मिलान करने का प्रयास भी कर सकता है। इससे लक्षित फ़िशिंग संदेश, खाते के बारे में नकली चेतावनियाँ और पुराने गेम खाते के बहाने भेजे गए लिंक अधिक विश्वसनीय लग सकते हैं।

इस रिकॉर्ड के भरोसेमंद दायरे में 26,39,894 खाते आते हैं। घटना को 2011 के आसपास की माना जाता है और सिस्टम में इसकी तारीख 1 जनवरी 2011 दर्ज है। चीन से जुड़े पुराने डेटासेट में घटना का सटीक दिन, हमले का तरीका या कंपनी का आधिकारिक बयान हमेशा उपलब्ध नहीं होता। इसलिए Duowan.com के बारे में विवरण में किसी निश्चित तकनीकी हमले का दावा नहीं होना चाहिए। मूल्यांकन सीमित लेकिन सावधानीपूर्वक होना चाहिए और डेटासेट की मौजूदगी तथा उसमें शामिल सत्यापन योग्य फ़ील्ड पर आधारित होना चाहिए।

इस रिकॉर्ड में पूरा नाम, फ़ोन नंबर, भौतिक पता, IP पता, भुगतान कार्ड, निजी संदेश, गेम के भीतर की गई खरीदारी का इतिहास या डिवाइस की जानकारी सत्यापित डेटा श्रेणियाँ नहीं हैं। कुछ द्वितीयक अभिलेखों में पंक्तियों की संख्या अलग दिखाई दे सकती है, लेकिन उपयोगकर्ता को दिखाई जाने वाली मुख्य रिकॉर्ड संख्या 26,39,894 ही रखी जानी चाहिए। रिकॉर्ड को पूरी तरह मनगढ़ंत नहीं मानना चाहिए। फिर भी, पूर्ण सत्यापन का स्तर सीमित होने के कारण विवरण में निर्णायक निष्कर्ष देने के बजाय सुरक्षा संबंधी सावधान भाषा का इस्तेमाल होना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जो अपने Duowan.com या उससे संबद्ध गेमिंग समुदाय के खातों का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। यदि ईमेल खाते, सोशल मीडिया, गेम स्टोर, फ़ोरम और मैसेजिंग प्लेटफ़ॉर्म पर एक ही पासवर्ड लगाया गया है, तो यह पुराना डेटा लीक खातों पर अनधिकृत नियंत्रण के नए प्रयासों का कारण बन सकता है। जिन लोगों ने लगभग 2011 से अपना पासवर्ड नहीं बदला है, या जो उसी पासवर्ड के मूल हिस्से में मामूली बदलाव करके उसका इस्तेमाल जारी रखे हुए हैं, उन्हें अधिक जोखिम है।

दूसरे जोखिम समूह में वे लोग आते हैं जो अलग-अलग गेम और सामुदायिक खातों में एक ही उपयोगकर्ता नाम इस्तेमाल करते हैं। अकेला उपयोगकर्ता नाम संवेदनशील नहीं लग सकता, लेकिन ईमेल पते और पासवर्ड के साथ मिलकर वह आपस में जुड़े खातों का खाका बनाने में मदद कर सकता है। कॉर्पोरेट ईमेल पते से पंजीकरण करने वाले उपयोगकर्ताओं के लिए जोखिम और भी अधिक है, क्योंकि पुराने गेम खाते का पासवर्ड कार्यस्थल के खाते के विरुद्ध स्वचालित लॉगिन प्रयासों या लक्षित फ़िशिंग संदेशों में इस्तेमाल किया जा सकता है।

यदि आपका ईमेल पता Duowan.com के पंजीकरण रिकॉर्ड में मिलता है, तो पहला कदम पासवर्ड का दोबारा इस्तेमाल बंद करना है। यदि Duowan.com के लिए इस्तेमाल किया गया पासवर्ड या उससे बहुत मिलता-जुलता पासवर्ड किसी अन्य खाते पर भी इस्तेमाल हो रहा है, तो उसे तुरंत बदलना चाहिए और हर सेवा के लिए अलग, मज़बूत पासवर्ड रखना चाहिए। ईमेल खाते को प्राथमिकता देनी चाहिए, क्योंकि कई सेवाओं के पासवर्ड रीसेट लिंक ईमेल पर भेजे जाते हैं। यदि ईमेल खाते पर अनधिकृत नियंत्रण हो जाए, तो अन्य खाते भी जोखिम में पड़ जाते हैं।

पुराने पासवर्ड दोहराने से बचने का सबसे व्यावहारिक तरीका पासवर्ड मैनेजर का इस्तेमाल करना है। जिन खातों में दो-चरणीय सत्यापन की सुविधा है, उनमें उसे चालू करना चाहिए। उपयोगकर्ताओं को पुराने गेम खातों, खाते के सत्यापन, पुरस्कार, दंड या सुरक्षा चेतावनियों के बहाने भेजे गए लिंक से सावधान रहना चाहिए। सादे टेक्स्ट में पासवर्ड वाले पुराने रिकॉर्ड लंबे समय तक हमलावरों के हाथों में घूमते रह सकते हैं। इसलिए केवल Duowan.com खाते पर ध्यान देना पर्याप्त नहीं है; एक ही पासवर्ड इस्तेमाल करने वाले सभी खातों की जाँच करनी चाहिए।

यह घटना दिखाती है कि डिजिटल सुरक्षा के लिए खातों की सूची बनाते समय पुराने गेम और फ़ोरम खातों को नहीं भूलना चाहिए। उपयोगकर्ताओं को वे खाते बंद कर देने चाहिए जिनका वे अब इस्तेमाल नहीं करते। जिन खातों को बंद नहीं किया जा सकता, उनके लिए अलग-अलग पासवर्ड रखने चाहिए और जहाँ संभव हो, अपने ईमेल पते अपडेट करने चाहिए। वर्षों तक सभी फ़ोरम पर एक ही ईमेल पता इस्तेमाल करने से डेटा लीक होने की स्थिति में अलग-अलग प्रोफ़ाइल को आपस में जोड़ना आसान हो जाता है। अलग-अलग उद्देश्यों के लिए अलग ईमेल उपनाम और हर खाते के लिए अलग पासवर्ड इस्तेमाल करने से लंबे समय में यह जुड़ाव कमज़ोर पड़ता है।

कंपनियों के लिए यह रिकॉर्ड उस जोखिम की याद दिलाता है जो कर्मचारियों के निजी खातों पर कार्यस्थल का ईमेल पता इस्तेमाल करने से पैदा हो सकता है। कॉर्पोरेट सुरक्षा टीमों को सीमित सत्यापन वाले पुराने डेटा लीक को भी पासवर्ड के दोबारा इस्तेमाल के संकेत के रूप में देखना चाहिए। कर्मचारी जागरूकता प्रशिक्षण में सादे टेक्स्ट में पासवर्ड लीक होने के लंबे समय तक रहने वाले प्रभाव को समझाना चाहिए। साथ ही, कॉर्पोरेट लॉगिन के लिए बहु-कारक प्रमाणीकरण और लीक या उजागर हो चुके पासवर्ड की जाँच जैसे उपाय नियमित रूप से जारी रखने चाहिए।

इस रिकॉर्ड में किसी ईमेल पते का होना अपने आप में यह साबित नहीं करता कि संबंधित व्यक्ति ऐसे हमले का शिकार हुआ है जिसके सभी विवरण पूरी तरह ज्ञात हैं। फिर भी, यह एक गंभीर चेतावनी है कि ईमेल पते, उपयोगकर्ता नाम और पासवर्ड का संयोजन इंटरनेट पर प्रसारित हुआ हो सकता है। इसलिए उपयोगकर्ता को स्पष्ट कदम उठाने चाहिए: पुराने पासवर्ड का इस्तेमाल बंद करें, मिलते-जुलते पासवर्ड भी छोड़ दें, उसी ईमेल पते से पंजीकृत खातों की समीक्षा करें और महत्वपूर्ण खातों पर दो-कारक प्रमाणीकरण चालू करें।

Duowan.com के डेटा लीक के प्रति सही दृष्टिकोण बढ़ा-चढ़ाकर अतिरिक्त दावे करना नहीं, बल्कि सत्यापन योग्य जोखिम पर जल्दी कार्रवाई करना है। भुगतान कार्ड, फ़ोन, पते या निजी संदेशों जैसी श्रेणियों को इस रिकॉर्ड के सत्यापित दायरे में नहीं जोड़ना चाहिए। इसके साथ ही, सादे टेक्स्ट में दर्ज पासवर्ड के जोखिम को कम करके भी नहीं आँकना चाहिए। जिन खातों में आपने वही लॉगिन विवरण इस्तेमाल किए थे, उन सभी को अपडेट करके, ईमेल खाते की सुरक्षा मज़बूत करके और संदिग्ध लॉगिन पर नज़र रखकर आप इस पुराने रिकॉर्ड को अपने वर्तमान खातों पर असर डालने से रोक सकते हैं।