E-Pal: डेटा में सेंध

जब E-Pal के पंजीकरण रिकॉर्ड में ईमेल पता और यूज़रनेम दोनों मौजूद हों, तो हमलावर गेमिंग और सामाजिक संपर्क वाले प्लेटफ़ॉर्म पर उपयोगकर्ता की अलग-अलग प्रोफ़ाइलों को आपस में जोड़ने की कोशिश कर सकता है। वहीं, खरीद रिकॉर्ड का इस्तेमाल सोशल इंजीनियरिंग में यह समझने के लिए किया जा सकता है कि कोई व्यक्ति प्लेटफ़ॉर्म की सेवाओं का कैसे उपयोग करता है, उसके ऑर्डर इतिहास का संदर्भ क्या है या उसने किन प्रकार की सेवाओं के लिए भुगतान किया है। केवल इन फ़ील्डों की मौजूदगी का अर्थ यह नहीं है कि भुगतान कार्ड की जानकारी भी मौजूद है; हालाँकि, इनके कारण फ़र्ज़ी रिफ़ंड, ऑर्डर सत्यापन या सहायता संबंधी संदेश अधिक विश्वसनीय लग सकते हैं।

इस रिकॉर्ड में पासवर्ड लीक होने की पुष्टि नहीं हुई है, इसलिए लॉगिन क्रेडेंशियल को सीधे क्रैक करने का जोखिम सीमित है। फिर भी, ईमेल पते और यूज़रनेम की जोड़ी खाते पर कब्ज़ा करने के प्रयासों का शुरुआती आधार बन सकती है। यदि अलग-अलग गेमिंग समुदायों या सामाजिक संपर्क वाले खातों में एक ही यूज़रनेम इस्तेमाल किया गया हो, तो प्रोफ़ाइलों को आपस में जोड़ने का जोखिम बढ़ जाता है। खरीदारी से जुड़ी जानकारी भी हमलावर को ऐसे फ़र्ज़ी बिल, सहायता अनुरोध या खाता सत्यापन संदेश तैयार करने का अवसर देती है जो उपयोगकर्ता के लिए खास तौर पर बनाए गए लगते हों।

इस रिकॉर्ड का सत्यापित मुख्य दायरा 1,08,887 अलग-अलग ईमेल पते हैं। लगभग 10 लाख खरीद या ऑर्डर रिकॉर्ड डेटासेट की पंक्तियों की संख्या बताते हैं; इस संख्या को अलग-अलग व्यक्तियों की संख्या नहीं समझना चाहिए। एक ही उपयोगकर्ता ने कई लेनदेन किए हो सकते हैं। इसलिए उपयोगकर्ता को सही जानकारी देते समय अलग-अलग ईमेल पतों की संख्या और लेनदेन रिकॉर्ड की संख्या को अलग रखना चाहिए।

सत्यापित डेटा श्रेणियाँ ईमेल पते, यूज़रनेम और खरीद रिकॉर्ड हैं। पासवर्ड, IP पते, फ़ोन नंबर, भौतिक पते, भुगतान कार्ड, बैंक खाते, वास्तविक नाम, निजी संदेश या खाते में मौजूद शेष राशि को इस रिकॉर्ड के सत्यापित दायरे में नहीं जोड़ना चाहिए। खरीद संबंधी डेटा की मौजूदगी से यह निष्कर्ष नहीं निकलता कि भुगतान कार्ड या बैंक की जानकारी लीक हुई है। इसका सही दायरा उपयोगकर्ता खाते की पहचान करने वाले विवरण और प्लेटफ़ॉर्म के भीतर हुए लेनदेन से जुड़ी जानकारी तक है।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने E-Pal पर सेवाएँ खरीदी हैं या यूज़रनेम के साथ एक ऐसी प्रोफ़ाइल बनाई है जो दूसरों को दिखाई देती है। इन उपयोगकर्ताओं को फ़र्ज़ी ऑर्डर पुष्टियों, रिटर्न की सूचनाओं, सहायता अनुरोधों, सदस्यता संबंधी अलर्ट या खाता सत्यापन लिंक के ज़रिए निशाना बनाया जा सकता है। जब ईमेल पता और यूज़रनेम एक साथ इस्तेमाल किए जाते हैं, तो संदेश ऐसा लग सकता है मानो वह प्लेटफ़ॉर्म पर उपयोगकर्ता के वास्तविक इतिहास पर आधारित हो।

जो लोग गेम और सामाजिक समुदायों में एक ही यूज़रनेम दोबारा इस्तेमाल करते हैं, उनकी प्रोफ़ाइलों को आपस में जोड़ने का जोखिम अधिक होता है। यदि अलग-अलग प्लेटफ़ॉर्म पर एक ही यूज़रनेम मौजूद हो, तो हमलावर उस व्यक्ति की गेमिंग पसंद, सामाजिक संपर्कों या सेवाओं के उपयोग का अनुमान लगाने की कोशिश कर सकते हैं। कॉर्पोरेट ईमेल पते से पंजीकरण करने वाले उपयोगकर्ताओं के लिए यह जोखिम उनके निजी सामाजिक या गेमिंग खाते से जुड़ी जानकारी के आधार पर काम के ईमेल पर भेजे जाने वाले लक्षित फ़िशिंग संदेशों के रूप में सामने आ सकता है।

यदि आपका ईमेल पता E-Pal के किसी पंजीकरण रिकॉर्ड में दिखाई देता है, तो अपने इनबॉक्स में आए ऑर्डर, रिटर्न, सहायता, खाता सत्यापन या प्रचार अभियान संबंधी संदेशों की सावधानी से जाँच करें। संदेश में दिए गए लिंक पर क्लिक करने के बजाय संबंधित खाते के आधिकारिक पते से सीधे लॉगिन करें। हालाँकि इस पंजीकरण रिकॉर्ड से पासवर्ड लीक होने की पुष्टि नहीं होती, फिर भी उसी ईमेल पते और यूज़रनेम का इस्तेमाल करने वाले अन्य खातों पर दो-कारक प्रमाणीकरण चालू करना और यह जाँचना उचित सावधानी है कि कहीं एक ही पासवर्ड कई खातों में तो इस्तेमाल नहीं हो रहा।

खरीदारी के इतिहास से जुड़ी जानकारी के कारण फ़र्ज़ी रिटर्न या भुगतान सत्यापन संदेश अधिक विश्वसनीय लग सकते हैं। इस रिकॉर्ड में कार्ड की जानकारी की पुष्टि नहीं हुई है, इसलिए घबराने के बजाय भुगतान अनुरोधों की पुष्टि आधिकारिक माध्यमों से करनी चाहिए। जिन गेम, सोशल मीडिया और सामुदायिक खातों में आप एक ही यूज़रनेम इस्तेमाल करते हैं, उनकी गोपनीयता सेटिंग जाँचें। इस्तेमाल न किए जा रहे खातों पर अपने यूज़रनेम की दृश्यता कम करने या खाता बंद करने से जोखिम घटता है।

E-Pal की घटना दिखाती है कि खरीद रिकॉर्ड में भुगतान कार्ड की जानकारी न होने पर भी वे उपयोगकर्ता को लक्षित सोशल इंजीनियरिंग के जोखिम में डाल सकते हैं। प्लेटफ़ॉर्म को लेनदेन का डेटा आवश्यकता से अधिक समय तक नहीं रखना चाहिए, उपयोगकर्ता की पहचान करने वाले विवरण न्यूनतम रखने चाहिए और खरीदारी के इतिहास तक पहुँच की कड़ी निगरानी करनी चाहिए। उपयोगकर्ता अलग-अलग सामाजिक और गेमिंग सेवाओं के लिए अलग ईमेल उपनाम इस्तेमाल करें, तो उनकी प्रोफ़ाइलों को आपस में जोड़ना कठिन हो जाता है।

लंबी अवधि में उपयोगकर्ताओं को गेम, सामाजिक संपर्क, मार्केटप्लेस और भुगतान खातों के लिए अलग-अलग पासवर्ड रखने चाहिए। भले ही इस रिकॉर्ड में पासवर्ड सत्यापित डेटा श्रेणी न हो, ईमेल पता लीक होने से लक्षित लॉगिन प्रयास बढ़ सकते हैं। दो-कारक प्रमाणीकरण, हर खाते के लिए अलग पासवर्ड, एक ही यूज़रनेम का कम इस्तेमाल और संदिग्ध लेनदेन संदेशों की आधिकारिक माध्यमों से पुष्टि करने की आदत ऐसे रिकॉर्ड से होने वाले प्रभाव को सीमित करती है।

यदि आपका ईमेल पता इस रिकॉर्ड में दिखाई देता है, तो यह निष्कर्ष न निकालें कि आपका भुगतान कार्ड या पासवर्ड लीक हुआ है; ये फ़ील्ड सत्यापित दायरे में शामिल नहीं हैं। हालाँकि, आपका ईमेल पता, यूज़रनेम और खरीदारी से जुड़ी जानकारी किसी डेटासेट में मौजूद हो सकते हैं। इस संयोजन का इस्तेमाल फ़र्ज़ी सहायता, रिफ़ंड, ऑर्डर सत्यापन या प्रचार संदेशों में किया जा सकता है।

सही कदम यह है कि संदिग्ध लिंक से बचें, E-Pal और संबंधित सामाजिक या गेमिंग खातों की सीधे जाँच करें, जिन खातों में एक ही यूज़रनेम इस्तेमाल करते हैं उनकी गोपनीयता सेटिंग की समीक्षा करें और महत्वपूर्ण खातों पर दो-कारक प्रमाणीकरण चालू करें। E-Pal की डेटा लीक की घटना दिखाती है कि पासवर्ड के बिना भी रिकॉर्ड, खरीदारी के इतिहास से जुड़ी जानकारी के साथ मिलकर, सोशल इंजीनियरिंग और प्रोफ़ाइल की निजता के लिए जोखिम पैदा कर सकते हैं।