Eskimi: डेटा में सेंध

पुराने रिकॉर्ड में मौजूद ईमेल पते, उपयोगकर्ता नाम, जन्मतिथि, लिंग और भौगोलिक स्थान को एक साथ देखने पर उपयोगकर्ता की प्रोफ़ाइल के बारे में महत्वपूर्ण जानकारी मिलती है। विज्ञापन तकनीक और उपयोगकर्ताओं को लक्षित करने के संदर्भ में, इन जानकारियों का इस्तेमाल ऐसे संदेश तैयार करने के लिए किया जा सकता है जो उपयोगकर्ता के लिए खास तौर पर तैयार किए गए लगें। भौगोलिक स्थान का फ़ील्ड मौजूद होने का यह मतलब नहीं है कि हर उपयोगकर्ता के सटीक GPS निर्देशांक भी ज़रूर मौजूद हों; यह किसी क्षेत्र, शहर या अधिक सामान्य स्थान की जानकारी भी हो सकती है। फिर भी, ईमेल और उपयोगकर्ता नाम के साथ मिलकर यह निजता का जोखिम बढ़ाती है।

पासवर्ड का फ़ील्ड सबसे गंभीर जोखिमों में से एक है। बिना सॉल्ट वाले MD5 हैश में एक जैसे पासवर्ड का हैश मान भी एक जैसा होता है। इससे हमलावरों के लिए आम पासवर्ड की सूचियों को तेज़ी से आज़माना आसान हो जाता है। हैश मौजूद होने का यह मतलब नहीं है कि पासवर्ड ज़रूर साधारण पाठ के रूप में उजागर हुआ हो; हालांकि, कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड का पता लगाए जाने की संभावना अधिक होती है। यदि किसी उपयोगकर्ता ने वही पासवर्ड ईमेल, सोशल मीडिया, विज्ञापन पैनल या अन्य सेवाओं पर इस्तेमाल किया है, तो इस लीक के आधार पर उसके खातों पर कब्ज़ा करने के प्रयास हो सकते हैं।

इस रिकॉर्ड का मुख्य सत्यापित दायरा 11,97,620 अलग-अलग ईमेल पते हैं। पूरे डेटासेट में लगभग 2 करोड़ 60 लाख रिकॉर्ड होने की सूचना दी गई है। इन दोनों संख्याओं को एक नहीं समझना चाहिए; किसी एक व्यक्ति की कई प्रोफ़ाइल या इवेंट प्रविष्टियाँ हो सकती हैं। घटना की तारीख 25 सितंबर 2020 दर्ज है; इस रिकॉर्ड को 2022 में डेटा उल्लंघन की जाँच करने वाली प्रणालियों में शामिल किए जाने का अर्थ यह नहीं है कि उल्लंघन 2022 में हुआ था।

सत्यापित डेटा श्रेणियाँ जन्मतिथि, ईमेल, लिंग, भौगोलिक स्थान, पासवर्ड और उपयोगकर्ता नाम हैं। फ़ोन नंबर, भौतिक पता, भुगतान कार्ड, बैंक खाता, असली नाम और कुलनाम या विज्ञापन अभियान का बजट इस रिकॉर्ड की सत्यापित डेटा श्रेणियों में शामिल नहीं हैं। हर रिकॉर्ड में स्थान संबंधी डेटा को सटीक या संवेदनशील भी नहीं बताया जाना चाहिए। सही विवरण में प्रोफ़ाइल की जानकारी और कमज़ोर तरीके से हैश किए गए पासवर्ड के जोखिम को साथ समझाना चाहिए, लेकिन सत्यापित दायरे की सीमाओं के भीतर।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने Eskimi खाते का पासवर्ड अन्य खातों पर भी इस्तेमाल करते हैं। यदि ईमेल खाते, सोशल मीडिया, विज्ञापन उपकरणों या व्यावसायिक खातों पर ईमेल और पासवर्ड का वही संयोजन इस्तेमाल किया जाता है, तो हमलावर स्वचालित लॉगिन के प्रयास कर सकते हैं। जन्मतिथि और लिंग की जानकारी का इस्तेमाल खाते की पुनर्प्राप्ति या लक्षित संदेशों में अतिरिक्त संदर्भ के तौर पर किया जा सकता है।

विज्ञापन तकनीक, मार्केटिंग और प्रकाशक खातों से जुड़े उपयोगकर्ताओं को भी सावधानी बरतनी चाहिए। भौगोलिक स्थान और उपयोगकर्ता नाम से यह अनुमान लगाने में मदद मिल सकती है कि कोई व्यक्ति किस बाज़ार या क्षेत्र में सक्रिय है। कॉर्पोरेट ईमेल पते से पंजीकरण करने वालों के लिए यह जोखिम कामकाज से जुड़े खातों तक भी पहुँच सकता है; विज्ञापन पैनल के नकली अलर्ट, बजट की सूचनाएँ, अभियान निलंबित होने की सूचनाएँ या खाता सत्यापन के संदेश अधिक विश्वसनीय लग सकते हैं।

यदि आपका ईमेल पता किसी पुराने रिकॉर्ड में दिखाई देता है, तो सबसे पहले जाँचें कि क्या इस खाते का पासवर्ड अन्य खातों पर भी इस्तेमाल किया गया है। यदि ईमेल, विज्ञापन पैनल, सोशल मीडिया, कामकाज से जुड़े खातों या अन्य सेवाओं पर वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, तो उसे तुरंत बदलें। नए पासवर्ड हर खाते के लिए अलग, लंबे और यादृच्छिक होने चाहिए; उन्हें पासवर्ड मैनेजर में रखना चाहिए। पुराने पासवर्ड में मामूली बदलाव करके उसका इस्तेमाल करना पर्याप्त सुरक्षा नहीं देता।

जिन खातों पर दो-चरणीय सत्यापन उपलब्ध है, वहाँ इसे चालू करें। विज्ञापन खातों, अभियान के बजट, भुगतान की सूचनाओं, खाता निलंबन या सुरक्षा सत्यापन से जुड़े संदेशों के लिंक पर सीधे क्लिक न करें। यदि खाते की जाँच करनी हो, तो संबंधित सेवा का पता ब्राउज़र में खुद टाइप करें। अपने ईमेल खाते में अनजान सत्रों, फ़ॉरवर्डिंग नियमों और खाता पुनर्प्राप्ति की सेटिंग की जाँच करें।

Eskimi की घटना दिखाती है कि AdTech प्लेटफ़ॉर्म पर खाते की पहचान संबंधी जानकारी के साथ प्रोफ़ाइल डेटा लीक होना स्थायी जोखिम पैदा करता है। संगठनों को विज्ञापन और मार्केटिंग खातों के लिए हर खाते का अलग पासवर्ड, बहु-कारक प्रमाणीकरण और भूमिका-आधारित पहुँच का इस्तेमाल करना चाहिए। पासवर्ड संग्रहीत करने के लिए बिना सॉल्ट वाले MD5 जैसे पुराने तरीकों का इस्तेमाल नहीं करना चाहिए; आधुनिक, सॉल्ट वाले और धीमी गणना करने वाले हैश एल्गोरिदम को प्राथमिकता देनी चाहिए। डेटा को कितने समय तक रखा जाए, इससे जुड़ी नीतियों के ज़रिए अनावश्यक प्रोफ़ाइल फ़ील्ड भी सीमित किए जाने चाहिए।

उपयोगकर्ताओं के लिए दीर्घकालिक उपाय यह है कि वे व्यावसायिक और व्यक्तिगत विज्ञापन/मार्केटिंग खातों को अलग-अलग ईमेल पतों से संचालित करें और पासवर्ड कभी दोबारा इस्तेमाल न करें। भौगोलिक स्थान, जन्मतिथि और लिंग जैसी प्रोफ़ाइल जानकारी अनावश्यक रूप से साझा नहीं करनी चाहिए, क्योंकि यह व्यक्तिगत जानकारी है या इसे बदलना मुश्किल होता है। कॉर्पोरेट टीमों को कर्मचारियों के विज्ञापन पैनल खातों पर मज़बूत प्रमाणीकरण और पहुँच की नियमित समीक्षा की प्रक्रियाएँ लागू करनी चाहिए।

यदि आपका ईमेल पता इस रिकॉर्ड में दिखाई देता है, तो इसका अर्थ है कि वह लगभग 2 करोड़ 60 लाख पंक्तियों वाले डेटासेट के 11,97,620 अलग-अलग ईमेल पतों में से एक से मेल खाता है। इसका अर्थ यह नहीं है कि आपका फ़ोन नंबर, भुगतान कार्ड या भौतिक पता लीक हुआ है; ये फ़ील्ड सत्यापित दायरे में शामिल नहीं हैं। इसके विपरीत, ईमेल, उपयोगकर्ता नाम, जन्मतिथि, लिंग, स्थान संबंधी जानकारी और बिना सॉल्ट वाले MD5 पासवर्ड हैश का एक साथ मौजूद होना खाते की सुरक्षा के लिए गंभीर जोखिम है।

सही कदम हैं: पासवर्ड का दोबारा इस्तेमाल तुरंत बंद करना, महत्वपूर्ण खातों पर दो-कारक प्रमाणीकरण चालू करना, विज्ञापन या खाते की सुरक्षा से जुड़े संदेशों की आधिकारिक माध्यमों से पुष्टि करना और अपने ईमेल खाते की जाँच करना। पिछले डेटा उल्लंघनों ने दिखाया है कि जब प्रोफ़ाइल डेटा और कमज़ोर तरीके से हैश किए गए पासवर्ड का डेटा एक साथ लीक होता है, तो खातों पर कब्ज़ा करने और लक्षित फ़िशिंग, दोनों के जोखिम लंबे समय तक बने रह सकते हैं।