Epik: डेटा में सेंध

सत्यापित डेटा सेट में ईमेल पते, नाम, फ़ोन नंबर, भौतिक पते, खरीदारी की जानकारी और अलग-अलग स्वरूपों में संग्रहीत पासवर्ड शामिल थे। “अलग-अलग स्वरूप” का मतलब यह नहीं है कि हर पासवर्ड की सुरक्षा एक ही तरीके से की गई थी या सभी पासवर्ड सादे टेक्स्ट में थे; हर रिकॉर्ड में किसी एक ही एल्गोरिदम के इस्तेमाल की पुष्टि नहीं हुई है। यह डेटा संग्रह केवल Epik के ग्राहकों तक सीमित नहीं था। Epik के सिस्टम में WHOIS रिकॉर्ड भी रखे जाते थे, इसलिए इसमें ऐसे डोमेन मालिकों की संपर्क जानकारी भी थी जिन्होंने कंपनी के साथ कभी सीधे लेन-देन नहीं किया था। डोमेन की गोपनीयता के लिए इस्तेमाल किए गए ईमेल पतों के छिपाए हुए रूप भी इस गिनती में शामिल हो सकते हैं। इसलिए इस घटना के डेटा में किसी पते का होना यह साबित नहीं करता कि उस पते का मालिक Epik का ग्राहक था। ईमेल पते, नाम, फ़ोन नंबर, घर या कार्यालय के पते और खरीदारी से जुड़ी जानकारी को एक साथ इस्तेमाल करके लक्षित फ़िशिंग, सहायता के नाम पर फ़र्जी कॉल और खाता बहाली की प्रक्रिया का दुरुपयोग किया जा सकता है।

घटना की मानक तिथि 13 सितंबर 2021 है। अनधिकृत पहुँच के ज़रिए डोमेन रजिस्ट्रार और वेब होस्टिंग प्रदाता Epik का एक व्यापक डेटा संग्रह निकाल लिया गया था। सार्वजनिक रूप से जारी किए गए पैकेज का आकार लगभग 180 GB बताया गया था, और कंपनी ने बाद में अपने सिस्टम में अनधिकृत घुसपैठ की पुष्टि की। डेटा संग्रह का आकार और प्रभावित लोगों की संख्या अलग-अलग माप हैं: यह गिनती 1,50,03,961 अलग-अलग ईमेल पतों पर आधारित है। ग्राहक खातों के डेटा के साथ रखे गए WHOIS रिकॉर्ड यह स्पष्ट करते हैं कि घटना का दायरा सक्रिय ग्राहकों तक सीमित क्यों नहीं माना जा सकता। कुछ WHOIS प्रविष्टियों में पुराने स्वामित्व का विवरण हो सकता है, इसलिए किसी ईमेल पते के मिलान से सीधे यह निष्कर्ष नहीं निकाला जा सकता कि संबंधित व्यक्ति अभी भी उस डोमेन का मालिक है। शुरुआती पहुँच का तरीका, सिस्टम में घुसपैठिए के बने रहने की सटीक अवधि और हर पासवर्ड के लिए इस्तेमाल किया गया सुरक्षा स्वरूप सभी खातों के लिए निर्णायक रूप से दर्ज नहीं किए गए थे, इसलिए इन विवरणों का अनुमान नहीं लगाना चाहिए।

सबसे सीधे तौर पर उजागर हुए समूह में ग्राहक, पूर्व ग्राहक, डोमेन प्रशासक और होस्टिंग उपयोगकर्ता शामिल हैं जिनका सितंबर 2021 में या उससे पहले Epik खाता था। दूसरे समूह में ऐसे डोमेन मालिक और संगठनों के संपर्क व्यक्ति आते हैं जिनकी जानकारी संग्रहीत WHOIS रिकॉर्ड में मौजूद थी, भले ही उनका Epik के साथ कोई अनुबंध संबंधी रिश्ता न रहा हो। गोपनीयता या प्रॉक्सी पंजीकरण सेवाओं का इस्तेमाल करने वाले लोग भी छिपाए गए पतों, फ़ॉरवर्डिंग पतों या पुराने रिकॉर्ड के ज़रिए इस डेटा में शामिल हो सकते हैं। व्यावसायिक डोमेन संभालने वाले कर्मचारियों के लिए जोखिम उनके निजी खाते तक सीमित नहीं है: अपराधी नाम, फ़ोन नंबर, पते और खरीदारी से जुड़ी जानकारी को जोड़कर डोमेन हस्तांतरण, DNS बदलाव या फ़र्जी बिल से जुड़े विश्वसनीय लगने वाले अनुरोध तैयार कर सकते हैं। इसलिए इस घटना के डेटा में किसी का शामिल होना यह साबित नहीं करता कि वह अभी Epik का इस्तेमाल करता है, लेकिन इससे लक्षित धोखाधड़ी फिर भी अधिक विश्वसनीय लग सकती है।

यदि आपका Epik खाता है, तो सीधे आधिकारिक साइट पर जाकर उसका पासवर्ड बदलें; इसके बाद हर दूसरे खाते पर इस्तेमाल हो रहा वही या उससे मिलता-जुलता पासवर्ड भी बदलें। पासवर्ड का दोबारा इस्तेमाल किसी पुराने डेटा लीक के वर्षों बाद भी ईमेल, क्लाउड स्टोरेज, सोशल मीडिया या वित्तीय सेवाओं में स्वचालित लॉगिन प्रयासों का आधार बन सकता है। हर सेवा के लिए लंबा और अलग पासवर्ड बनाएँ, पासवर्ड मैनेजर का इस्तेमाल करें और जिन खातों पर सुविधा उपलब्ध हो, वहाँ बहु-कारक प्रमाणीकरण चालू करें। डोमेन मालिकों को रजिस्ट्रार लॉक की स्थिति, हस्तांतरण की अनुमति, खाता बहाली के विवरण, नेमसर्वर और DNS रिकॉर्ड की जाँच करनी चाहिए। किसी अप्रत्याशित रीसेट, डोमेन हस्तांतरण या संपर्क विवरण में बदलाव को मंज़ूरी देने से पहले स्वयं आधिकारिक साइट खोलकर साइन इन करें। खरीदारी की जानकारी उन डेटा श्रेणियों में शामिल है जिनके उजागर होने का दस्तावेज़ी प्रमाण है, लेकिन भुगतान कार्ड की जानकारी उजागर होने की पुष्टि नहीं हुई है; फिर भी अप्रत्याशित शुल्क और नवीनीकरण के फ़र्जी बिलों की जाँच करें। निलंबन संबंधी संदेशों में दिए गए लिंक न खोलें और एक बार इस्तेमाल होने वाला कोड कभी किसी को न बताएँ।

स्थायी सुरक्षा के लिए केवल एक बार पासवर्ड बदलना पर्याप्त नहीं है; खातों और डोमेन की पूरी सूची रखना ज़रूरी है। निजी और संगठनात्मक खातों में हर खाते के लिए अलग पासवर्ड रखने का नियम अपनाएँ, ऐप या हार्डवेयर कुंजी पर आधारित बहु-कारक प्रमाणीकरण को प्राथमिकता दें और तय अंतराल पर खाता बहाली के माध्यमों की समीक्षा करें। महत्वपूर्ण डोमेन के लिए, जहाँ सुविधा उपलब्ध हो, रजिस्ट्री लॉक, बदलाव की मंज़ूरी या कई प्रशासकों वाली कार्यप्रणालियों का इस्तेमाल करें। DNS, नेमसर्वर, पंजीकरणकर्ता के संपर्क विवरण और नवीनीकरण में बदलाव के अलर्ट डोमेन पर कब्ज़ा करने की कोशिश को शुरुआती चरण में सामने ला सकते हैं। WHOIS गोपनीयता से जानकारी की सार्वजनिक दृश्यता कम हो सकती है, लेकिन इससे पहले एकत्र किए गए रिकॉर्ड वापस नहीं लिए जा सकते। इसलिए पुराने पतों और फ़ोन नंबरों को ऐसी जानकारी मानें जो किसी धोखेबाज़ के काम आ सकती है। संगठनों को डोमेन प्रशासन के लिए भूमिका-आधारित मेलबॉक्स इस्तेमाल करने चाहिए, काम की ज़रूरत के अनुसार पहुँच सीमित रखनी चाहिए और कर्मचारियों के जाने पर उनकी पहुँच तुरंत हटा देनी चाहिए। डेटा लीक की निरंतर निगरानी और बदलावों के लॉग की समीक्षा से किसी एक सुरक्षा उपाय पर निर्भरता कम होती है।

LeakData के ज़रिए यह जाँचते समय कि आपका ईमेल पता Epik की घटना से जुड़ा है या नहीं, परिणाम को उसके संदर्भ में समझें। मिलान मिलने का मतलब है कि पता सत्यापित डेटा सेट में मौजूद है; इससे यह पता नहीं चलता कि उस व्यक्ति ने Epik की कोई सेवा खरीदी थी, वह अब भी ग्राहक है या वर्तमान में किसी संबंधित डोमेन का मालिक है। यदि मिलान मिलता है, तो उस पते से बनाए गए Epik, रजिस्ट्रार, होस्टिंग और प्रशासनिक खातों की सूची तैयार करें। फिर जाँचें कि हर पासवर्ड अलग है या नहीं, बहु-कारक प्रमाणीकरण की स्थिति क्या है, खाता बहाली के विवरण सही हैं या नहीं और डोमेन लॉक लगे हैं या नहीं। मिलान न मिलने का मतलब यह नहीं है कि आप निश्चित रूप से प्रभावित नहीं हुए हैं, क्योंकि डेटा सेट अधूरा हो सकता है, कोई दूसरा पता इस्तेमाल किया गया हो सकता है या आगे और जानकारी सामने आ सकती है। खाते की गतिविधि के अलर्ट चालू रखें और समय-समय पर निगरानी जारी रखें। इस घटना से जुड़े संदेशों में दिखाए गए नाम पर भरोसा करने के बजाय भेजने वाले के डोमेन और लिंक के गंतव्य की जाँच करें। संदिग्ध अनुरोधों की पुष्टि के लिए स्वयं आधिकारिक सहायता माध्यम खोलें।