Facebook: डेटा में सेंध

सत्यापित डेटा श्रेणियों में जन्मतिथियाँ, ईमेल पते, नियोक्ता की जानकारी, लिंग, भौगोलिक स्थान, नाम, फ़ोन नंबर और वैवाहिक या संबंध की स्थिति शामिल हैं। इस डेटासेट का सबसे महत्वपूर्ण पहलू बड़ी संख्या में फ़ोन नंबरों का मौजूद होना है। ईमेल पते केवल एक छोटे हिस्से में दिखाई देते हैं, सभी खातों में नहीं। व्यक्तियों की अपुष्ट संख्या, अपुष्ट डेटा फ़ील्ड और हमलावरों के दावों को घटना के सार्वजनिक दायरे का हिस्सा नहीं माना गया है। फ़ोन नंबर और नाम का मेल व्यक्ति के हिसाब से तैयार संदेशों, शिपमेंट की फ़र्ज़ी सूचनाओं, बैंक अलर्ट की नकल और खाता पुनर्प्राप्ति के नाम पर धोखाधड़ी के लिए मज़बूत आधार बनाता है।

जन्मतिथि, स्थान और नियोक्ता जैसे फ़ील्ड सहायक जानकारी देते हैं, जिससे हमलावर का संदेश विश्वसनीय लग सकता है। वैवाहिक या संबंध की स्थिति और लिंग जैसे प्रोफ़ाइल फ़ील्ड सीधे वित्तीय खातों तक पहुँच नहीं देते। हालाँकि, इनका इस्तेमाल निशाना चुनने, सामाजिक दबाव बनाने और व्यक्तिगत स्तर पर किसी को मनाने के प्रयासों में हो सकता है। सत्यापित डेटा श्रेणियों में पासवर्ड न होने का अर्थ यह नहीं है कि जोखिम समाप्त हो गया है। यदि फ़ोन नंबर अब भी वही है, तो खाता पुनर्प्राप्ति स्क्रीन पर या ग्राहक सेवा से बातचीत के दौरान पहचान की पुष्टि के लिए पूछी जाने वाली कुछ जानकारी हमलावर के पास हो सकती है।

डेटा उल्लंघन की तारीख 1 अगस्त 2019, सत्यापित रिकॉर्ड जोड़े जाने की तारीख 4 अप्रैल 2021 और सत्यापन में अंतिम बदलाव की तारीख 6 अप्रैल 2021 दर्ज है। प्रभावित खातों की संख्या 50,94,58,528 मानी गई है। अलग-अलग समाचारों में इससे अधिक कच्चे आँकड़े दिखाई दे सकते हैं। यहाँ इस्तेमाल की गई संख्या खोज और उपयोगकर्ता सूचना स्क्रीन के लिए सत्यापित रिकॉर्ड की गिनती पर आधारित है। लीक हुए फ़ील्ड केवल प्रोफ़ाइल और संपर्क जानकारी तक सीमित हैं। वित्तीय जानकारी, स्वास्थ्य जानकारी, निजी संदेशों की सामग्री या पासवर्ड इस घटना के सत्यापित दायरे में शामिल नहीं हैं।

इस घटना का मूल कारण लोगों को खोजने की एक पुरानी प्रक्रिया का दुरुपयोग था, जिसमें फ़ोन नंबरों का मिलान उपयोगकर्ता प्रोफ़ाइल से किया जा सकता था। कंपनी ने बताया था कि उसने 2019 में संबंधित प्रक्रिया में बदलाव किए थे। फिर भी, जोखिम को अतीत में समाप्त हो चुका नहीं माना जा सकता, क्योंकि 2021 में यह डेटासेट मुफ़्त और व्यापक पहुँच के साथ प्रसारित हुआ था। इसमें ऐसे फ़ोन नंबर, नाम और प्रोफ़ाइल संबंधी जानकारी थी जो अधिकांश उपयोगकर्ताओं के लिए कई वर्षों तक नहीं बदली थी या समान बनी रही थी। इसलिए सुरक्षा पर इसका असर लंबे समय तक बना रह सकता है।

सबसे अधिक जोखिम उन लोगों को है जिनकी Facebook प्रोफ़ाइल पर उनका फ़ोन नंबर मौजूद है और जो अब भी उसी नंबर का इस्तेमाल कर रहे हैं। बैंकिंग, क्लाउड खातों, ईमेल, कार्यस्थल की प्रणालियों या दूरसंचार सेवा प्रदाता से जुड़े लेन-देन में अपने फ़ोन नंबर का इस्तेमाल प्रमाणीकरण के साधन के रूप में करने वाले लोगों को अधिक सावधान रहना चाहिए। जिन उपयोगकर्ताओं के नियोक्ता, स्थान या जन्मतिथि जैसे फ़ील्ड दिखाई देते हैं, उन्हें भी अधिक विश्वसनीय लगने वाले सोशल इंजीनियरिंग प्रयासों का सामना करना पड़ सकता है। उस छोटे समूह के लिए जोखिम अधिक व्यापक है जिसके ईमेल पते लीक हुए हैं, क्योंकि फ़ोन नंबर और ईमेल पता एक साथ दिखाई देने पर खाता पुनर्प्राप्ति और पासवर्ड रीसेट के नाम पर लोगों को धोखाधड़ी का निशाना बनाना अधिक आसान हो जाता है।

उन उपयोगकर्ताओं के लिए भी अप्रत्यक्ष जोखिम है जिन्होंने अपना पुराना नंबर किसी अन्य व्यक्ति को हस्तांतरित कर दिया है। यदि डेटासेट में दिखाई देने वाला नंबर अब किसी दूसरे उपयोगकर्ता का है, तो नंबर के नए धारक को ऐसे कॉल या संदेश मिल सकते हैं जो उनके लिए नहीं हैं। वहीं, नंबर का पुराना संबंध होने के कारण पिछली प्रोफ़ाइल के मालिक की पहचान को लेकर भ्रम हो सकता है। छोटे व्यवसायों के मालिकों, सार्वजनिक अधिकारियों, सामग्री निर्माताओं और फ़ोन पर ग्राहकों से संपर्क करने वाले कर्मचारियों की जानकारी अधिक लोगों को दिखाई देती है, इसलिए उनके विरुद्ध दुरुपयोग के प्रयास अधिक बार हो सकते हैं।

सबसे पहले यह जाँचना चाहिए कि किन खातों में फ़ोन नंबर का इस्तेमाल अब भी प्रमाणीकरण या खाता पुनर्प्राप्ति के साधन के रूप में हो रहा है। जहाँ संभव हो, SMS के बजाय प्रमाणीकरण ऐप या हार्डवेयर सुरक्षा कुंजी को प्राथमिकता दें। सोशल मीडिया खातों में जाँचें कि फ़ोन नंबर कौन खोज सकता है, प्रोफ़ाइल की जानकारी तक किसकी पहुँच है और खाता पुनर्प्राप्ति के विकल्प अद्यतन हैं या नहीं। अपरिचित लोगों से आए सत्यापन कोड, बैंक अलर्ट, डिलीवरी संदेश, नौकरी के प्रस्ताव या सहायता कॉल से जुड़े संदेशों में किसी भी लिंक पर क्लिक करने से पहले सेवा के आधिकारिक माध्यम से स्वतंत्र रूप से उनकी पुष्टि करें।

यदि दूरसंचार सेवा प्रदाता के खाते में SIM बदलने और नंबर पोर्ट करने के लिए अतिरिक्त पासवर्ड या स्टोर पर पहचान की पुष्टि जैसे सुरक्षा विकल्प उपलब्ध हों, तो उन्हें सक्रिय करें। प्रभावित उपयोगकर्ताओं को उसी ईमेल पते से जुड़े महत्वपूर्ण खातों में भी हर खाते के लिए अलग पासवर्ड, मज़बूत दो-कारक प्रमाणीकरण और सत्र इतिहास की जाँच अपनानी चाहिए। Facebook खाते में अपरिचित सत्र बंद करें, भरोसेमंद डिवाइस की सूची की समीक्षा करें और प्रोफ़ाइल की दृश्यता कम करें। भले ही इस घटना में पासवर्ड शामिल नहीं हैं, हमलावर अपने पास मौजूद प्रोफ़ाइल जानकारी को पासवर्ड रीसेट कराने के बहाने के रूप में इस्तेमाल कर सकते हैं।

फ़ोन नंबर संचार का सुविधाजनक साधन है, लेकिन यह लंबे समय तक बने रहने वाले पहचान-चिह्न की तरह भी काम करता है। इसलिए हर सेवा पर एक ही फ़ोन नंबर दिखाने के बजाय उसे केवल उन खातों के लिए इस्तेमाल करना अधिक सुरक्षित है जहाँ उसकी वास्तव में आवश्यकता हो। सोशल मीडिया प्रोफ़ाइल पर जन्मतिथि, नियोक्ता, स्थान और वैवाहिक या संबंध की स्थिति जैसे फ़ील्ड कम लोगों को दिखाई देने चाहिए। पेशेवर और व्यक्तिगत खातों के लिए अलग-अलग संचार माध्यम इस्तेमाल करने से किसी एक डेटासेट के ज़रिए कई खातों को आपस में जोड़ना कठिन हो जाता है।

कंपनियों की टीमों को यह मानकर चलना चाहिए कि कर्मचारियों के फ़ोन नंबर और नियोक्ता की जानकारी बाहर प्रसारित हो सकती है। इसलिए सहायता, मानव संसाधन और वित्त संबंधी प्रक्रियाओं में केवल फ़ोन पर किए गए अनुरोधों पर भरोसा नहीं करना चाहिए। ग्राहक सेवा और हेल्पडेस्क की प्रक्रियाओं में जन्मतिथि, फ़ोन नंबर या पता जैसी आसानी से मिलने वाली जानकारी पहचान की पुष्टि का एकमात्र साधन नहीं होनी चाहिए। व्यक्तिगत उपयोगकर्ताओं को भी नियमित गोपनीयता जाँच, खाता पुनर्प्राप्ति के विकल्प अद्यतन करने, संदिग्ध SMS संदेशों की रिपोर्ट करने और दो-कारक प्रमाणीकरण को समय-समय पर अद्यतन करने जैसी आदतों को दीर्घकालीन सुरक्षा दिनचर्या का हिस्सा बनाना चाहिए।

जाँच के नतीजे का अर्थ यह नहीं है कि आपका पासवर्ड लीक हुआ है या आपके खाते तक सीधे पहुँच बनाई गई है। फिर भी, आपको अपने फ़ोन नंबर पर आने वाले लक्षित संदेशों, फ़र्ज़ी सहायता कॉल, SIM स्वैप के प्रयासों और खाता पुनर्प्राप्ति के नाम पर धोखाधड़ी से सावधान रहना चाहिए। प्राथमिकता अपने फ़ोन नंबर से जुड़े महत्वपूर्ण खातों में दो-कारक प्रमाणीकरण मज़बूत करने, प्रोफ़ाइल की दृश्यता कम करने और अप्रत्याशित रूप से मिले सत्यापन कोड किसी के साथ साझा न करने की है।

यदि जाँच में कोई मेल नहीं मिलता, तो इसका अर्थ केवल इतना है कि इस डेटासेट में कोई मेल नहीं मिला। अन्य घटनाओं या अधिक हाल के डेटासेट के लिए अलग जाँच की आवश्यकता हो सकती है। यदि आप कई वर्षों से अपना फ़ोन नंबर इस्तेमाल कर रहे हैं, तो यह ध्यान में रखकर सुरक्षा संबंधी निर्णय लेना अधिक उचित है कि पुरानी प्रोफ़ाइल जानकारी अब भी प्रसारित हो सकती है। विशेष रूप से यदि आपने अपना नंबर बदला है, तो जाँचें कि पुराना नंबर खाता पुनर्प्राप्ति के विकल्पों से हटा दिया गया है और नया नंबर केवल आवश्यक सेवाओं के लिए इस्तेमाल हो रहा है। इस पेज का उद्देश्य उपयोगकर्ता को बिना अनावश्यक चिंता पैदा किए यह दिखाना है कि कौन-सा डेटा जोखिमपूर्ण है और किन कदमों को प्राथमिकता देनी चाहिए।