Eroticy डेटा उजागर होने का कथित मामला

सत्यापित डेटा श्रेणियों में ईमेल पते, IP पते, नाम, पासवर्ड, भुगतान का इतिहास, फ़ोन नंबर, भौतिक पते, उपयोगकर्ता नाम और साइट पर गतिविधि शामिल हैं। यह संयोजन सामान्य खातों की सूची से अधिक गंभीर है, क्योंकि एक ही फ़ाइल में संपर्क जानकारी, स्थान से जुड़ा डेटा, भुगतान संबंधों की जानकारी और वयस्क सामग्री की सदस्यता का संदर्भ मौजूद हैं। हमलावर इन फ़ील्ड का इस्तेमाल अलग-अलग जगहों पर किसी व्यक्ति की पहचान का मिलान करने, फ़िशिंग, ब्लैकमेल, खातों पर कब्ज़ा करने और सामाजिक दबाव डालने के लिए कर सकते हैं।

ईमेल पतों और उपयोगकर्ता नामों का मिलान अलग-अलग प्लेटफ़ॉर्म पर मौजूद किसी व्यक्ति की प्रोफ़ाइल से किया जा सकता है। पासवर्ड, खासकर यदि वे सादे टेक्स्ट में या कमज़ोर सुरक्षा के साथ संग्रहीत हों, तो सीधे दूसरे खातों पर आज़माए जा सकते हैं। IP पते अनुमानित स्थान और कनेक्शन के इतिहास के बारे में संकेत देते हैं। फ़ोन नंबर और भौतिक पते वाले फ़ील्ड ऑनलाइन दायरे से बाहर उत्पीड़न, फ़र्ज़ी डिलीवरी, फ़िशिंग के प्रयासों या किसी खास व्यक्ति को निशाना बनाकर धोखाधड़ी करने के लिए अधिक ठोस जानकारी देते हैं।

भुगतान का इतिहास और साइट पर गतिविधि न केवल संभावित वित्तीय संबंध के बारे में, बल्कि इस बारे में भी संदर्भ दे सकते हैं कि उपयोगकर्ता ने कब और किस तरह की सेवा या सदस्यता व्यवस्था के साथ संपर्क किया था। जब यह संदर्भ किसी वयस्क सामग्री सेवा से जुड़ता है, तो निजता पर उसका असर बढ़ जाता है। इसलिए Eroticy लीक को केवल पासवर्ड सुरक्षा की समस्या नहीं, बल्कि व्यक्तिगत प्रतिष्ठा और निजी जीवन की गोपनीयता के लिए भी जोखिम माना जाना चाहिए।

Eroticy घटना के लिए दर्ज डेटा उल्लंघन की तारीख 1 जून 2015 है। इसे डेटाबेस में जोड़ने की तारीख 10 जनवरी 2017 है और प्रभावित अलग-अलग खातों की संख्या 13,70,175 है। उपलब्ध जानकारी के अनुसार, डेटासेट 2016 के अंत में प्रसारित होता देखा गया था, इसमें बड़ी संख्या में व्यक्तिगत जानकारी वाले फ़ील्ड हैं और कुछ प्रभावित व्यक्तियों ने डेटा के असली होने की पुष्टि की है। फिर भी, इस घटना की स्थिति अप्रमाणित ही रहनी चाहिए, क्योंकि यह साबित नहीं हुआ है कि डेटा केवल Eroticy सिस्टम से आया था।

उपयोगकर्ता को सही जानकारी देने के लिए यह अंतर महत्वपूर्ण है। डेटा वास्तविक व्यक्तियों का हो सकता है और गंभीर जोखिम पैदा कर सकता है, लेकिन घटना के सटीक स्रोत को लेकर अनिश्चितता है। इसलिए विवरण में किसी निश्चित हमलावर, निश्चित तकनीकी कारण या ऐसे सिस्टम घटक के बारे में दावे नहीं होने चाहिए जिसकी पुष्टि नहीं हुई है। इसी कारण भुगतान कार्ड नंबर, बैंक खाता, आधिकारिक पहचान संख्या, सामाजिक सुरक्षा संख्या या पासपोर्ट जैसे फ़ील्ड को सत्यापित डेटा श्रेणियों में नहीं जोड़ा जाना चाहिए।

इसका दायरा उस डेटासेट तक सीमित है जो Eroticy के नाम से प्रसारित हो रहा है और जिसमें वयस्क सदस्यता/एफ़िलिएट तंत्र से जुड़े संकेत हैं। अलग-अलग स्रोतों में पंक्तियों की संख्या अधिक दिख सकती है, लेकिन अलग-अलग खातों की गिनती के लिए 13,70,175 का ही उपयोग किया जाना चाहिए। दोहराई गई पंक्तियाँ, पुराने सदस्यता रिकॉर्ड या कई सिस्टम टेबल से आई जानकारी कुल पंक्तियों की संख्या बढ़ा सकती है। उपयोगकर्ता को दिखाए जाने वाले प्रभाव के लिए अलग-अलग खातों की संख्या को ही आधार बनाना चाहिए।

सबसे अधिक जोखिम उन व्यक्तियों को है जिन्होंने 2015 से पहले या उसके आसपास Eroticy से जुड़ी वयस्क सामग्री साइटों, भुगतान प्रक्रियाओं या सदस्यता पृष्ठों पर एक ही ईमेल और पासवर्ड का इस्तेमाल किया था। जो उपयोगकर्ता सोशल मीडिया, ईमेल, गैर-बैंक भुगतान खातों या फ़ोरम पर वही पासवर्ड दोबारा इस्तेमाल करते हैं, उनके खातों पर कब्ज़ा होने का जोखिम अधिक है। पासवर्ड पुराना लगे, तब भी हमलावर उससे मिलते-जुलते पासवर्ड पैटर्न आज़मा सकते हैं।

जिन लोगों ने उसी सदस्यता व्यवस्था में अपना फ़ोन नंबर, असली नाम और भौतिक पता साझा किया है, उन्हें निशाना बनाकर धोखाधड़ी किए जाने का जोखिम अधिक है। हमलावर वयस्क सामग्री के संदर्भ का इस्तेमाल करके उपयोगकर्ता को डराने, पैसे माँगने या झूठी धमकी को विश्वसनीय बनाने की कोशिश कर सकते हैं। कॉर्पोरेट ईमेल इस्तेमाल करने वालों की निजी सदस्यता का संबंध उनकी पेशेवर पहचान से जुड़ जाने पर उनकी प्रतिष्ठा को भी जोखिम हो सकता है।

जिन उपयोगकर्ताओं के लिए भुगतान के इतिहास वाला फ़ील्ड मौजूद है, उन्हें फ़र्ज़ी बिल, सदस्यता नवीनीकरण की सूचनाओं या भुगतान वापसी के नाम पर आने वाले फ़िशिंग संदेशों से अधिक सावधान रहना चाहिए। साइट पर गतिविधि और उपयोगकर्ता नाम की जानकारी से पुराने व्यवहार की प्रोफ़ाइल भी बनाई जा सकती है। घटना का सटीक स्रोत अनिश्चित होने पर भी ये जोखिम खत्म नहीं होते, क्योंकि व्यक्तिगत डेटा असली और हमलों में इस्तेमाल किए जाने योग्य दिखाई देता है।

प्रभावित उपयोगकर्ता को सबसे पहले वह पासवर्ड पूरी तरह इस्तेमाल करना बंद कर देना चाहिए जो उसने Eroticy या उससे संभवतः जुड़ी वयस्क सदस्यता सेवाओं पर इस्तेमाल किया था। यदि वही या उससे मिलता-जुलता पासवर्ड दूसरे खातों पर भी काम करता है, तो हर खाते के लिए अलग और लंबा नया पासवर्ड चुना जाना चाहिए। ईमेल, सोशल मीडिया, भुगतान सेवाओं और पासवर्ड रीसेट के लिए इस्तेमाल होने वाले मुख्य खातों को प्राथमिकता से सुरक्षित करना चाहिए। उपयुक्त खातों पर दो-कारक प्रमाणीकरण चालू करना चाहिए।

फ़ोन नंबर और भौतिक पता लीक हुए हो सकते हैं, इसलिए उपयोगकर्ता को अचानक आने वाली कॉल, डिलीवरी संदेशों, फ़र्ज़ी भुगतान अनुरोधों और वयस्क सामग्री से जुड़े धमकी भरे संदेशों से सावधान रहना चाहिए। किसी संदेश में वास्तविक सेवा का नाम, पुराना पासवर्ड या पते की जानकारी होना यह साबित नहीं करता कि संदेश भरोसेमंद है। पासवर्ड रीसेट लिंक, भुगतान सूचनाओं और सदस्यता रद्द करने के फ़ॉर्म की जाँच केवल सीधे किसी भरोसेमंद ब्राउज़र सत्र से करनी चाहिए।

जिन उपयोगकर्ताओं का भुगतान इतिहास मौजूद है, उन्हें कार्ड स्टेटमेंट और भुगतान सेवा की सूचनाओं में असामान्य गतिविधियों की जाँच करनी चाहिए। इस घटना में कार्ड नंबर वाला कोई सत्यापित फ़ील्ड सीधे शामिल नहीं है, लेकिन भुगतान का संदर्भ फिर भी धोखाधड़ी वाले संदेशों को अधिक विश्वसनीय बना सकता है। उपयोगकर्ता को उसी ईमेल पते से मिले वयस्क सामग्री संबंधी धमकी या ब्लैकमेल के संदेशों के जवाब में भुगतान नहीं भेजना चाहिए। खाते की सुरक्षा से जुड़े कोई साक्ष्य उपलब्ध हों, तो उन्हें अलग से सुरक्षित रखना चाहिए।

Erotic की घटना दिखाती है कि संवेदनशील सदस्यताओं के लिए असली पहचान और मुख्य ईमेल पता इस्तेमाल करने से लंबे समय तक जोखिम बना रह सकता है। उपयोगकर्ताओं को ऐसे प्लेटफ़ॉर्म पर अलग ईमेल उपनाम, अलग पासवर्ड और सीमित प्रोफ़ाइल जानकारी को प्राथमिकता देनी चाहिए। फ़ोन, पता, असली नाम और स्थान जैसे गैर-अनिवार्य फ़ील्ड खाली छोड़ देने चाहिए या उनकी दृश्यता कम कर देनी चाहिए। पासवर्ड दोबारा इस्तेमाल करने की आदत को स्थायी रूप से कम करने के लिए पासवर्ड मैनेजर सबसे प्रभावी साधनों में से एक है।

निजता के लिहाज़ से सबसे सुरक्षित तरीका यह है कि संवेदनशील सेवाओं में इस्तेमाल होने वाली खाते की जानकारी को मुख्य पहचान से अलग रखा जाए। उपयोगकर्ता नाम दूसरी सोशल प्रोफ़ाइल जैसा नहीं होना चाहिए और ईमेल पता सीधे व्यक्तिगत या पेशेवर पहचान से नहीं जुड़ा होना चाहिए। पुराने पासवर्ड संग्रह से निकाल लेने चाहिए और सुरक्षा प्रश्न व्यक्तिगत जानकारी पर आधारित नहीं होने चाहिए। यदि फ़ोन नंबर अनिवार्य नहीं है, तो उसे खाते में नहीं जोड़ना चाहिए। यदि वह आवश्यक हो, तो केवल सत्यापन के लिए इस्तेमाल होने वाले संपर्क माध्यम को प्राथमिकता देनी चाहिए।

संगठनों को याद रखना चाहिए कि वयस्क सामग्री या संवेदनशील प्लेटफ़ॉर्म से हुए लीक के कारण कर्मचारियों को निशाना बनाकर ब्लैकमेल संदेश भेजे जा सकते हैं। सुरक्षा जागरूकता प्रशिक्षण में पासवर्ड के तकनीकी नियमों के साथ-साथ व्यक्तिगत डेटा से जुड़े ब्लैकमेल और सामाजिक दबाव की स्थितियों को भी शामिल करना चाहिए। ऐसी घटनाओं में लक्ष्य व्यक्ति को कलंकित करना नहीं, बल्कि खाते की सुरक्षा और निजता से जुड़े जोखिम कम करना है।

जो उपयोगकर्ता यह जानना चाहता है कि वह Eroticy डेटा लीक से प्रभावित है या नहीं, उसे किसी भरोसेमंद खाता सत्यापन स्क्रीन पर संबंधित ईमेल पते की जाँच करनी चाहिए। यदि परिणाम सकारात्मक आता है, तो इसका मतलब है कि ईमेल पता Eroticy के नाम से प्रसारित संवेदनशील और अप्रमाणित डेटासेट में शामिल है। स्रोत की अनिश्चितता का मतलब यह नहीं कि कोई जोखिम नहीं है। यदि पासवर्ड, फ़ोन, पता और भुगतान इतिहास जैसे फ़ील्ड असली हैं, तो हमलावर अब भी उनका इस्तेमाल कर सकते हैं।

जिन उपयोगकर्ताओं की जाँच का परिणाम सकारात्मक आता है, उन्हें उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वे वही पासवर्ड इस्तेमाल करते हैं। उन्हें अपने मुख्य ईमेल खाते की लॉगिन और रिकवरी सेटिंग की समीक्षा करनी चाहिए, दो-कारक प्रमाणीकरण चालू करना चाहिए और वयस्क सामग्री के संदर्भ वाले ब्लैकमेल संदेशों के लिए तैयार रहना चाहिए। पुराने ईमेल पतों और उपनामों की भी जाँच करनी चाहिए, क्योंकि डेटासेट में पुराने सदस्यता रिकॉर्ड हो सकते हैं। यदि परिणाम नकारात्मक आता है, तब भी उसी अवधि में इस्तेमाल किए गए अन्य ईमेल पतों की अलग-अलग जाँच करनी चाहिए।

इस डेटा उल्लंघन के लिए सबसे उपयुक्त कार्रवाई केवल पासवर्ड बदलने तक सीमित नहीं है। उपयोगकर्ता को पहचान के मिलान, फ़ोन पर उत्पीड़न, भौतिक पते के इस्तेमाल, भुगतान संबंधी धोखाधड़ी और निजता से जुड़े दबाव के जोखिमों से एक साथ निपटना चाहिए। Eroticy खाते को संवेदनशील और अप्रमाणित माना जाना चाहिए, लेकिन इसमें मौजूद व्यक्तिगत डेटा के प्रकारों को देखते हुए इसे ऐसा लीक समझना चाहिए जिसके लिए उच्च प्राथमिकता पर सुरक्षा उपाय अपनाना आवश्यक है।