Exploit.In डेटा उजागर होने का कथित मामला

इस घटना में जिन डेटा प्रकारों की पुष्टि हुई है, वे ईमेल पते और पासवर्ड हैं। फ़ोन नंबर, भौतिक पते, भुगतान कार्ड, सरकारी पहचान-पत्र, निजी संदेश या प्रोफ़ाइल विवरण इस घटना के पुष्ट डेटा फ़ील्ड में शामिल नहीं हैं। हालांकि, ईमेल और पासवर्ड की जोड़ी उपलब्ध होने से हमलावर दूसरी सेवाओं में सीधे लॉगिन करने की कोशिश कर सकता है। अलग-अलग खातों में एक ही पासवर्ड इस्तेमाल करने वालों के लिए यह जोखिम विशेष रूप से गंभीर है।

क्रेडेंशियल स्टफिंग हमलों में पुराने लीक से मिले ईमेल और पासवर्ड के जोड़ों को बड़े पैमाने पर अलग-अलग साइटों पर आज़माया जाता है। यदि किसी उपयोगकर्ता ने ईमेल, खरीदारी, सोशल मीडिया, गेमिंग, क्लाउड या काम से जुड़े खातों में एक ही पासवर्ड इस्तेमाल किया है, तो पुरानी सूची भी उसके मौजूदा खाते को प्रभावित कर सकती है। भले ही कुछ पासवर्डों का इस्तेमाल वर्षों पहले बंद कर दिया गया हो, उसी तरह के पैटर्न बनाए रखने या अक्षरों में मामूली बदलाव करने से जोखिम बना रहता है।

घटना की तारीख 13 अक्टूबर 2016 के रूप में दर्ज की जानी चाहिए। यह रिकॉर्ड 6 मई 2017 को विश्वसनीय लीक-जाँच सूचियों में जोड़ा गया था और इसमें अंतिम बदलाव भी उसी समय दर्ज हुआ था। प्रभावित खातों की संख्या 59,34,27,119 अलग-अलग ईमेल पते है। यह संख्या कई फ़ाइलों और दोहराए गए पासवर्ड संयोजनों वाले कच्चे डेटा की सफ़ाई के बाद, उपयोगकर्ता स्तर पर संग्रह का आकार दर्शाती है।

Exploit को किसी खास डोमेन नाम या एक ही संस्था से नहीं जोड़ा जाना चाहिए। इसका सही वर्णन कई स्रोतों से मिले ईमेल और पासवर्ड के संयोजनों का संग्रह है। अप्रमाणित श्रेणी में बने रहने का यह मतलब नहीं है कि सूची में सब कुछ नकली है; इसका मतलब केवल इतना है कि हर पंक्ति के मूल स्रोत की पुष्टि नहीं की जा सकती। उपयोगकर्ता को परिणाम बताते समय किसी एक कंपनी के खाते में सेंध लगने के बजाय, पासवर्ड दोबारा इस्तेमाल करने से खाते पर अनधिकृत कब्ज़े के जोखिम पर ज़ोर देना चाहिए।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो कई सेवाओं में एक ही ईमेल और पासवर्ड इस्तेमाल करते हैं। पुराने फ़ोरम खाते, गेमिंग समुदायों की सदस्यताएँ, खरीदारी साइटों और सोशल मीडिया के खाते तथा वर्षों पहले ली गई सदस्यताएँ अक्सर भुला दी जाती हैं; लेकिन उस समय इस्तेमाल किया गया पासवर्ड बाद में दूसरे खातों में दोबारा इस्तेमाल हुआ हो सकता है। इस वजह से पुराना संग्रह कई साल बाद भी हमलों में कारगर रह सकता है।

जो लोग काम के ईमेल पते का इस्तेमाल निजी खातों में भी करते हैं, उनके लिए एक अलग जोखिम है। हमलावर उसी पते को कॉर्पोरेट लॉगिन पेजों, ईमेल सेवाओं या क्लाउड खातों पर आज़मा सकते हैं। जो उपयोगकर्ता दो-कारक प्रमाणीकरण नहीं अपनाते, पुराने पासवर्ड में मामूली बदलाव करके उनका इस्तेमाल जारी रखते हैं, पासवर्ड मैनेजर नहीं इस्तेमाल करते और सत्र संबंधी चेतावनियों पर नज़र नहीं रखते, वे ऐसे संग्रहों से अधिक प्रभावित होते हैं।

जिस उपयोगकर्ता का ईमेल इस संग्रह में मिलता है, उसे उन सभी महत्वपूर्ण खातों की जाँच करनी चाहिए जहाँ उसने वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया हो सकता है। ईमेल खातों, वित्तीय खातों, क्लाउड स्टोरेज, सोशल मीडिया, व्यवसाय से जुड़े खातों और खरीदारी प्रोफ़ाइल को प्राथमिकता देनी चाहिए। हर खाते के लिए एक अलग और मज़बूत पासवर्ड तय करना चाहिए, पुराने पासवर्ड पैटर्न पूरी तरह छोड़ देने चाहिए और जहाँ भी संभव हो, दो-कारक प्रमाणीकरण चालू करना चाहिए।

ईमेल खाते की सुरक्षा पर विशेष ध्यान देना चाहिए, क्योंकि दूसरे खातों का पासवर्ड रीसेट करने की प्रक्रिया अक्सर इसी पते से जुड़ी होती है। उपयोगकर्ता को अनजान सत्र समाप्त करने चाहिए, खाता पुनर्प्राप्ति के लिए दर्ज ईमेल और फ़ोन की जानकारी जाँचनी चाहिए तथा अप्रत्याशित लॉगिन चेतावनियों की समीक्षा करनी चाहिए। उसी पते पर भेजी गई नकली सुरक्षा चेतावनियों, पासवर्ड रीसेट संदेशों और खाता सत्यापन लिंक के मामले में भी सावधानी बरतनी चाहिए।

लंबे समय तक सुरक्षा बनाए रखने का आधार पासवर्ड के दोबारा इस्तेमाल को पूरी तरह समाप्त करना है। पासवर्ड मैनेजर का इस्तेमाल करना, हर सेवा के लिए बेतरतीब और अलग पासवर्ड बनाना, पुराने खाते बंद करना और महत्वपूर्ण खातों पर मज़बूत दो-कारक प्रमाणीकरण अपनाना जोखिम को काफी कम करता है। उपयोगकर्ताओं को नए पासवर्ड में पुराने पैटर्न नहीं दोहराने चाहिए और ऐसे निजी संदर्भों से बचना चाहिए जिनका आसानी से अनुमान लगाया जा सके।

संगठनों को ऐसी सूचियों में कर्मचारियों के ईमेल पते मिलने को सुरक्षा संबंधी संकेत मानकर उसकी निगरानी करनी चाहिए। अनिवार्य बहु-कारक प्रमाणीकरण, जोखिम भरे लॉगिन प्रयासों की चेतावनियाँ, पासवर्ड के दोबारा इस्तेमाल को रोकने वाले नियम और कर्मचारियों को जागरूक करने का प्रशिक्षण क्रेडेंशियल स्टफिंग का जोखिम कम करते हैं। विफल लॉगिन प्रयासों में वृद्धि, नए उपकरणों से शुरू हुए सत्रों और असामान्य भौगोलिक स्थानों से हुए लॉगिन की अलग से निगरानी करनी चाहिए, विशेष रूप से प्रशासनिक और वित्तीय खातों के लिए।

यदि LeakData के परिणाम में मिलान मिलता है, तो इसका अर्थ है कि खोजा गया ईमेल पता Exploit.In संग्रह में शामिल है। यह परिणाम साबित नहीं करता कि उस समय किसी खास कंपनी में उपयोगकर्ता के खाते में सेंध लग चुकी है; लेकिन यह दर्शाता है कि उपयोगकर्ता का कोई पुराना पासवर्ड प्रसारित हो रहा हो सकता है और उसी पासवर्ड का इस्तेमाल करने वाले खाते जोखिम में हो सकते हैं। पहला कदम पासवर्ड का दोबारा इस्तेमाल बंद करना और दो-कारक प्रमाणीकरण चालू करना है।

यदि परिणाम में मिलान नहीं मिलता है, तो इसका अर्थ है कि इस संग्रह में कोई मेल नहीं मिला; हालांकि, वही पता लॉगिन विवरणों के दूसरे संग्रहों के रिकॉर्ड या किसी अलग सेवा में हुई डेटा सेंध के रिकॉर्ड में मौजूद हो सकता है। उपयोगकर्ता को नियमित निगरानी जारी रखनी चाहिए, हर खाते के लिए अलग पासवर्ड इस्तेमाल करना चाहिए, ईमेल खाते की मज़बूत सुरक्षा करनी चाहिए और अप्रत्याशित लॉगिन या पासवर्ड रीसेट संदेशों की सावधानी से समीक्षा करनी चाहिए।