ForumCommunity में डेटा लीक

इस रिकॉर्ड में जिन डेटा प्रकारों की पुष्टि हुई है, वे ईमेल पते, उपयोगकर्ता नाम और पासवर्ड हैं। पासवर्ड फ़ील्ड को बिना सॉल्ट वाले MD5 हैश के रूप में दर्ज किया गया है। MD5 हैश बनाने की एक पुरानी विधि है, जिसे मौजूदा सुरक्षा अपेक्षाओं के हिसाब से कमज़ोर माना जाता है। सॉल्ट न होने से जोखिम और बढ़ जाता है, क्योंकि एक ही पासवर्ड वाले उपयोगकर्ताओं के हैश भी एक जैसे हो सकते हैं और पहले से गणना की गई पासवर्ड सूचियों से तुलना करके अधिक तेज़ी से परिणाम मिल सकते हैं।

ईमेल पते और उपयोगकर्ता नाम का संयोजन हमलावरों को अलग-अलग फ़ोरम, गेम, सोशल मीडिया या सामग्री साझा करने वाले प्लेटफ़ॉर्म पर खातों का मिलान करने में मदद कर सकता है। यदि उपयोगकर्ता नाम वर्षों से नहीं बदला है, तो पुराने ForumCommunity खाते को अन्य डिजिटल प्रोफ़ाइल से जोड़ा जा सकता है। यदि पासवर्ड हैश क्रैक कर लिए जाएँ, तो उसी पासवर्ड को दूसरे खातों पर आज़माया जा सकता है। इसलिए, भले ही डेटा फ़ील्ड की संख्या कम लगे, खाते की सुरक्षा के लिहाज़ से इस घटना को उच्च प्राथमिकता दी जानी चाहिए।

इस डेटा लीक के सार्वजनिक स्रोत के अनुसार, घटना का दायरा 7,76,648 अलग-अलग ईमेल खातों तक था। हमारे पास उपलब्ध स्रोत फ़ाइल में स्पष्ट रूप से दिए गए ईमेल फ़ील्ड से मौजूदा सत्यापन उपकरण के तहत 7,75,743 अलग-अलग रिकॉर्ड प्राप्त होते हैं, और LeakData की खोज इन्हीं रिकॉर्ड तक सीमित है। घटना का समय लगभग 2016 के मध्य का है और पंजीकरण की तारीख 1 जून 2016 दर्ज है। यह पंजीकरण ForumCommunity के डोमेन forumcommunity.net से जुड़ा है। यह सेवा उपयोगकर्ताओं को फ़ोरम बनाने और सामुदायिक खाते प्रबंधित करने की सुविधा देने पर केंद्रित है। सत्यापित फ़ील्ड में ईमेल, उपयोगकर्ता नाम और पासवर्ड हैश शामिल हैं।

इस रिकॉर्ड के सत्यापित डेटा फ़ील्ड में फ़ोन नंबर, भौतिक पता, जन्मतिथि, भुगतान कार्ड, बैंक खाता, आधिकारिक पहचान दस्तावेज़, निजी संदेशों की सामग्री या फ़ोरम संदेशों का पाठ शामिल नहीं है। उपयोगकर्ताओं को इसी सीमा के भीतर जोखिम का आकलन करना चाहिए। इस घटना का मुख्य प्रभाव पासवर्ड हैश की कमज़ोर सुरक्षा, उपयोगकर्ता नामों का अन्य प्रोफ़ाइल से मिलान होने की संभावना और एक ही पासवर्ड को अलग-अलग खातों पर आज़माए जाने का जोखिम है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने ForumCommunity खाते का पासवर्ड दूसरे खातों पर भी इस्तेमाल करते हैं। यदि ईमेल खातों, गेम खातों, सोशल मीडिया प्रोफ़ाइल, दूसरे फ़ोरम या खरीदारी की वेबसाइटों पर वही पासवर्ड इस्तेमाल किया जाता है, तो हमलावर लीक हुए पासवर्ड को अलग-अलग सेवाओं पर आज़मा सकते हैं। पुराने फ़ोरम के पासवर्ड भूल जाने के बावजूद वे दूसरे खातों पर इस्तेमाल हो रहे हो सकते हैं।

अलग-अलग समुदायों में एक ही उपयोगकर्ता नाम इस्तेमाल करने वाले लोगों के लिए अतिरिक्त जोखिम है। फ़ोरम के उपयोगकर्ता नाम अक्सर किसी व्यक्ति की ऑनलाइन पहचान का स्थायी हिस्सा बन जाते हैं। ईमेल पते के साथ लीक हुआ उपयोगकर्ता नाम हमलावरों के लिए दूसरे प्लेटफ़ॉर्म पर उसी व्यक्ति को ढूँढ़ना आसान बना सकता है। शौक, गेमिंग, तकनीक या स्थानीय समुदायों से जुड़े खातों में एक ही उपनाम इस्तेमाल करने वाले लोगों को इस जुड़ाव को ध्यान में रखना चाहिए।

ForumCommunity खाते पर आपने जिस पासवर्ड का इस्तेमाल किया हो, उसे तुरंत बदल देना चाहिए। यदि दूसरे खातों पर वही या उससे मिलता-जुलता पासवर्ड है, तो उन सभी के लिए अलग और लंबा पासवर्ड रखना चाहिए। ईमेल खाते की सुरक्षा को प्राथमिकता देनी चाहिए, क्योंकि दूसरे खातों के पासवर्ड रीसेट करने के लिंक अधिकतर ईमेल इनबॉक्स में ही आते हैं। यदि ईमेल खाते पर दो-चरणीय सत्यापन चालू नहीं है, तो उसे चालू कर देना चाहिए।

उपयोगकर्ताओं को पुराने फ़ोरम या समुदाय के नाम से आने वाले संदेशों से सावधान रहना चाहिए। यदि कोई लिंक पुराना खाता खोलने, प्रोफ़ाइल सत्यापित करने, निजी संदेश देखने, इनाम पाने या पासवर्ड नया करने के बहाने जानकारी माँगता है, तो आधिकारिक डोमेन के माध्यम से उसकी जाँच करनी चाहिए। जिन दूसरे प्लेटफ़ॉर्म पर आप वही उपयोगकर्ता नाम इस्तेमाल करते हैं, वहाँ सत्रों के इतिहास और सुरक्षा सूचनाओं की समीक्षा करें। इस घटना के बाद सबसे प्रभावी बचाव है कि पासवर्ड मैनेजर की मदद से हर खाते के लिए अलग पासवर्ड बनाया जाए।

ForumCommunity की घटना दिखाती है कि पुराने फ़ोरम खाते वर्षों बाद भी सुरक्षा जोखिम पैदा कर सकते हैं। उपयोगकर्ताओं को लंबे समय तक सुरक्षा बनाए रखने के लिए शौक, फ़ोरम, गेम और सामुदायिक खातों पर अलग-अलग पासवर्ड इस्तेमाल करने चाहिए। जिन खातों का अब इस्तेमाल नहीं होता, उन्हें बंद कर देना चाहिए। सक्रिय खातों के लिए मज़बूत पासवर्ड और दो-कारक प्रमाणीकरण को प्राथमिकता देनी चाहिए। अलग-अलग समुदायों में एक ही ईमेल पता इस्तेमाल करने से विभिन्न डेटा लीक की जानकारी को आपस में जोड़ना आसान हो सकता है।

सेवा प्रदाताओं के लिए मुख्य सीख यह है कि पासवर्ड को बिना सॉल्ट वाले MD5 जैसी कमज़ोर विधियों से संग्रहीत नहीं करना चाहिए। हर उपयोगकर्ता के लिए अलग सॉल्ट मान, मज़बूत और धीमे पासवर्ड हैशिंग एल्गोरिदम, नियमित सुरक्षा अपडेट और न्यूनतम डेटा रखने का सिद्धांत सामुदायिक प्लेटफ़ॉर्म के लिए अनिवार्य हैं। भले ही फ़ोरम सेवाएँ वित्तीय सेवाएँ न हों, ईमेल, उपयोगकर्ता नाम और पासवर्ड का डेटा ऐसा जोखिम पैदा कर सकता है जिसका असर दूसरे खातों तक पहुँच जाए।

यदि आपका ईमेल पता इस रिकॉर्ड में दिखाई देता है, तो अपने ForumCommunity खाते और उन दूसरे खातों के पासवर्ड की जाँच करें जहाँ वही पासवर्ड दोहराया गया है। पुराना पासवर्ड याद न होने पर भी उस समय इस्तेमाल किए गए मिलते-जुलते पासवर्ड पैटर्न पर विचार करें। अपने ईमेल, सोशल मीडिया, गेमिंग, फ़ोरम और खरीदारी के खातों के लिए अलग-अलग पासवर्ड रखें। यदि आपको कोई अपरिचित लॉगिन, पासवर्ड रीसेट की अप्रत्याशित सूचना या पुराने फ़ोरम के नाम से आया संदिग्ध संदेश दिखाई दे, तो खाते की सुरक्षा से जुड़ी सेटिंग जाँचें।

ForumCommunity ने इस डेटा लीक में भुगतान, पते या पहचान दस्तावेज़ से जुड़े फ़ील्ड सत्यापित नहीं किए हैं; फिर भी ईमेल, उपयोगकर्ता नाम और बिना सॉल्ट वाले MD5 पासवर्ड हैश खाते की सुरक्षा के लिए पर्याप्त गंभीर जोखिम पैदा करते हैं। सबसे उचित कदम हैं: एक ही पासवर्ड का कई जगह इस्तेमाल बंद करना, ईमेल खाते को मज़बूत सुरक्षा देना, उन दूसरे प्लेटफ़ॉर्म की समीक्षा करना जहाँ वही उपयोगकर्ता नाम इस्तेमाल होता है, और पुराने फ़ोरम खातों से नए खातों के लिए जोखिम पैदा होने से रोकना।