EyeEm: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, नाम, उपयोगकर्ता नाम, प्रोफ़ाइल में लिखा परिचय और पासवर्ड हैश शामिल हैं। बिक्री के लिए पेश किए गए आर्काइव का विज्ञापन 2,23,60,765 खातों की प्रविष्टियों वाले संग्रह के रूप में किया गया था, लेकिन रिपोर्टों के अनुसार लगभग 30 लाख प्रविष्टियों में ईमेल पता नहीं था। इसलिए प्रभाव का विश्वसनीय पैमाना डुप्लिकेट हटाने के बाद पहचाने गए 1,96,11,022 अलग-अलग ईमेल पते हैं; इन दोनों आँकड़ों को न तो जोड़ा जाना चाहिए और न ही एक ही माप के रूप में प्रस्तुत किया जाना चाहिए। यह नहीं माना जा सकता कि हर प्रविष्टि में सभी पाँच फ़ील्ड मौजूद थे। नाम, उपयोगकर्ता नाम और परिचय किसी व्यक्ति को उसकी फ़ोटोग्राफी से जोड़ सकते हैं और उसे निशाना बनाकर भेजे गए फ़िशिंग संदेशों को अधिक विश्वसनीय बना सकते हैं। ईमेल पतों से खातों का पता लगाया जा सकता है, जबकि पासवर्ड हैश का उपयोग ऑफ़लाइन अनुमान लगाकर पासवर्ड पता करने और उन सेवाओं पर खाते में घुसने का प्रयास करने के लिए किया जा सकता है जहाँ वही लॉगिन विवरण दोबारा इस्तेमाल किए गए थे। भुगतान कार्ड और बैंक खातों की जानकारी सत्यापित श्रेणियों में शामिल नहीं है, इसलिए इस घटना को वित्तीय डेटा उजागर होने की घटना के रूप में प्रस्तुत नहीं किया जाना चाहिए।

रिपोर्टों के अनुसार, फरवरी 2018 में EyeEm के सर्वरों से खातों की जानकारी चुराई गई थी और बाद में उसे अन्य बड़े डेटासेट के साथ बिक्री के लिए पेश किया गया। यह घटना 11 फरवरी 2019 को सार्वजनिक हुई; अगले दिन EyeEm ने ग्राहकों को सूचित किया और खातों के पासवर्ड रीसेट करना अनिवार्य कर दिया। रिकॉर्ड में दर्ज 28 फरवरी की तारीख ऐसी घटना को दर्शाती है जिसके बारे में केवल इतना ज्ञात है कि वह उस महीने में हुई थी; यह सेंध लगने के सटीक दिन का प्रमाण नहीं है। जाँची गई प्रविष्टियों में पासवर्ड SHA-1 हैश के रूप में बताए गए थे। इस बात के विश्वसनीय प्रमाण नहीं हैं कि EyeEm हर पासवर्ड के लिए अलग सॉल्ट इस्तेमाल करता था या नहीं, इसलिए उन्हें “सॉल्ट वाले” या “बिना सॉल्ट वाले” कहना अटकल होगी। SHA-1 का आउटपुट प्लेनटेक्स्ट नहीं होता, लेकिन ऑफ़लाइन अनुमान लगाकर कमजोर पासवर्ड पता लगाए जा सकते हैं। शुरुआती पहुँच हासिल करने का तरीका सार्वजनिक रूप से स्थापित नहीं हुआ था, इसलिए प्रमाण के बिना इस घटना को किसी खास खामी, तीसरे पक्ष या कर्मचारी की कार्रवाई से नहीं जोड़ा जाना चाहिए।

फरवरी 2018 से पहले EyeEm खाता बनाने वाले, ईमेल पते से पंजीकरण करने वाले या अपनी प्रोफ़ाइल पर असली नाम, उपयोगकर्ता नाम और परिचय डालने वाले लोग मुख्य जोखिम समूह में आते हैं। फ़ोटोग्राफ़रों, दृश्य सामग्री बनाने वालों और लाइसेंसिंग पेशेवरों को विश्वसनीय लगने वाले धोखाधड़ी के प्रस्ताव मिल सकते हैं, क्योंकि नामों, ऑनलाइन हैंडल और रचनात्मक प्रोफ़ाइलों को एक साथ जोड़ा जा सकता है। पुराने खाते से जुड़ा जोखिम भी बना रहता है: उसका ईमेल पता दूसरी जगह मौजूद खातों की पहचान करने में मदद कर सकता है, पुराने पासवर्ड का पैटर्न नए पासवर्ड का अनुमान लगाने में सहायक हो सकता है और प्रोफ़ाइल की जानकारी का उपयोग विश्वसनीय लगने वाले संदेश बनाने में किया जा सकता है। दुरुपयोग खाते पर कब्ज़ा करने तक सीमित नहीं है; इसमें कॉपीराइट के फ़र्ज़ी नोटिस, लाइसेंसिंग संबंधी पूछताछ, भुगतान के अनुरोध, पोर्टफ़ोलियो सत्यापित करने के संदेश या नई जानकारी हासिल करने के लिए पासवर्ड रीसेट के अनुरोध भी शामिल हो सकते हैं। डेटासेट में शामिल होने से यह साबित नहीं होता कि हर खाते का दुरुपयोग हुआ था या हर हैश से पासवर्ड पता लगा लिया गया था। डेटा उजागर होना, पासवर्ड पता लगना और खाते में सेंध की पुष्टि होना अलग-अलग परिणाम हैं।

EyeEm ने 2019 में पासवर्ड रीसेट अनिवार्य करके उस प्लेटफ़ॉर्म पर पुराने पासवर्ड का इस्तेमाल रोक दिया था, लेकिन जहाँ भी वही या उससे मिलता-जुलता पासवर्ड दोबारा इस्तेमाल किया गया था, वहाँ जोखिम बना हुआ है। ऐसे खातों की पहचान करें और दोबारा इस्तेमाल किए गए हर पासवर्ड को एक मज़बूत, अलग पासवर्ड से बदलें; पासवर्ड मैनेजर की मदद से यह व्यवस्था बनाए रखना आसान होता है। ईमेल से शुरुआत करते हुए महत्वपूर्ण सेवाओं पर बहु-कारक प्रमाणीकरण सक्षम करें और खाता रिकवरी की जानकारी व सक्रिय सत्रों में ऐसे बदलावों की जाँच करें जिन्हें आप नहीं पहचानते। EyeEm की सूचनाओं, फ़ोटो के लाइसेंस संबंधी प्रस्तावों, कॉपीराइट के दावों और पोर्टफ़ोलियो से जुड़े प्रस्तावों के मामले में सावधानी बरतें; भेजने वाले के वास्तविक डोमेन और लिंक से खुलने वाले पते की जाँच करें। ऐसे अटैचमेंट न खोलें जिनकी आपको उम्मीद नहीं थी; संदेश में दिए लिंक पर जाने के बजाय सेवा का पता खुद टाइप करके साइन इन करें। मेलबॉक्स में अनजान फ़ॉरवर्डिंग नियम, ऐप्लिकेशन पासवर्ड या रिकवरी के तरीके हटाएँ, अनजान सत्र समाप्त करें और हाल की सुरक्षा गतिविधियों की समीक्षा करें।

इस घटना का पुराना होना यह नहीं दर्शाता कि उजागर हुआ पहचान संबंधी डेटा अब बेकार है। ईमेल पते और प्रोफ़ाइल की जानकारी वर्षों तक सही रह सकते हैं, और पुराने डेटासेट को नए संग्रहों से जोड़कर लोगों को निशाना बनाने के लिए प्रोफ़ाइलें तैयार की जा सकती हैं। हर सेवा के लिए अलग पासवर्ड बनाएँ, अपने पासवर्ड मैनेजर में डेटा लीक और कमजोर पासवर्ड के अलर्ट सक्षम करें, और बहु-कारक प्रमाणीकरण के लिए ऑथेंटिकेटर ऐप या हार्डवेयर कुंजी को प्राथमिकता दें। अलग-अलग ईमेल एलियस से पता चल सकता है कि कोई ईमेल पता कहाँ साझा किया गया था और संदिग्ध ईमेल पहचानना आसान हो सकता है। प्रोफ़ाइल के परिचय को ज़रूरी जानकारी तक सीमित रखने से भी सोशल इंजीनियरिंग का जोखिम घटता है; स्पष्ट ज़रूरत न हो तो अपना निजी पता, फ़ोन नंबर, जन्मतिथि या नियमित रूप से मौजूद रहने का स्थान प्रकाशित न करें। सक्रिय सत्रों, जुड़े ऐप और रिकवरी सेटिंग की नियमित समीक्षा करें और जिन खातों का अब इस्तेमाल नहीं करते, उन्हें बंद कर दें। अलर्ट की पुष्टि आधिकारिक ऐप या खुद टाइप किए हुए पते से करें, न कि संदेश में दिए लिंक से।

ईमेल पते का मिलान होने का मतलब है कि वह फरवरी 2018 के EyeEm डेटासेट में मौजूद था। इससे यह साबित नहीं होता कि खाता अब भी खुला है, पासवर्ड प्लेनटेक्स्ट में दिखाई देता है या खाते पर कब्ज़ा कर लिया गया था। डेटा लीक की अवधि और फरवरी 2019 में उसके सार्वजनिक होने के समय के बीच अंतर समझें और देखें कि क्या पुराना पासवर्ड कहीं और दोबारा इस्तेमाल किया गया था। मिलान होने पर पहले अपना ईमेल सुरक्षित करें और फिर वे खाते जिनमें वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल हुआ हो सकता है। मिलान न होने को सुरक्षा की पूर्ण गारंटी न मानें: हो सकता है आपने किसी दूसरे ईमेल पते से पंजीकरण किया हो, कुछ प्रविष्टियों में ईमेल पता न हो या किसी दूसरी घटना की अभी पुष्टि न हुई हो। नियमित अंतराल पर जाँच करने के साथ-साथ पासवर्ड मैनेजर के अलर्ट, बहु-कारक प्रमाणीकरण और खाते की गतिविधियों की समीक्षा का भी उपयोग करें। संदिग्ध संदेशों के मामले में भेजने वाले के असली डोमेन, लिंक से खुलने वाले पते, जल्दबाज़ी के दबाव और पासवर्ड या भुगतान की माँग, इन सबकी एक साथ जाँच करें। इस तरह EyeEm की पुरानी घटना के लिए की गई जाँच सुरक्षा के एक नियमित अभ्यास में बदल जाती है।