Fotolog में डेटा सेंध और ईमेल की जाँच

सत्यापित डेटासेट में ईमेल पते, उपयोगकर्ता नाम और बिना सॉल्ट वाले SHA-256 पासवर्ड हैश थे। बिक्री के लिए पेश किए गए Fotolog के पाँच डेटाबेस की उस समय की एक तकनीकी समीक्षा में पूरे नाम, भौगोलिक स्थान, रुचियाँ और अन्य प्रोफ़ाइल जानकारी के साथ-साथ सुरक्षा प्रश्न और उनके उत्तर भी होने की बात कही गई थी। डेटा में सेंध की जानकारी का सार्वजनिक स्रोत द्वारा बताए गए 1,67,17,854 पते बाहरी स्रोत के अनुसार घटना का दायरा दर्शाते हैं; LeakData में स्रोत से पुष्ट 1,62,31,463 खोज योग्य ईमेल संबंध हैं। यह संख्या साबित नहीं करती कि हर पंक्ति एक अलग व्यक्ति की थी या हर खाते में हर अतिरिक्त फ़ील्ड मौजूद था। ईमेल, उपयोगकर्ता नाम, नाम और प्रोफ़ाइल जानकारी को मिलाने से लक्षित फ़िशिंग और दूसरे प्लेटफ़ॉर्म के खातों से संबंध जोड़ने में मदद मिल सकती है। सुरक्षा प्रश्नों के उत्तरों का दोबारा उपयोग अन्य सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को कमजोर कर सकता है। पासवर्ड हैश सादा पाठ नहीं होते, लेकिन तेज़ और बिना सॉल्ट वाली हैश प्रणाली ऑफ़लाइन अनुमान लगाकर पासवर्ड पता करने की कोशिशों के सामने कमजोर होती है, खासकर जब पासवर्ड छोटे हों, आम हों या पहले उजागर हो चुके हों।

रिपोर्टों के अनुसार, Fotolog के खातों का डेटा दिसंबर 2018 में चुराया गया था और फरवरी 2019 में एक आपराधिक बाज़ार पर अलग पैकेज के रूप में बिक्री के लिए पेश किया गया था। साथ में कई अन्य संगठनों से जुड़े बताए गए डेटाबेस भी पेश किए गए थे। Fotolog पैकेज के विज्ञापन में बताया गया था कि इसमें पाँच डेटाबेस हैं, जिनका कुल आकार लगभग 5.9 GB है और जिनमें 16 मिलियन से अधिक खाता रिकॉर्ड हैं। हालाँकि विक्रेता ने अलग-अलग साइटों के वेब अनुप्रयोगों की खामियों का फायदा उठाने का दावा किया था, सार्वजनिक साक्ष्यों से Fotolog में प्रवेश का विशिष्ट रास्ता, प्रभावित सिस्टम या हमले की श्रृंखला स्थापित नहीं हुई; इसलिए रिमोट-कोड निष्पादन को सेंध का पुष्ट मूल कारण नहीं बताया जाना चाहिए। डेटा में सेंध की जानकारी का सार्वजनिक स्रोत के अनुसार, घटना के दायरे में 1,67,17,854 अलग-अलग ईमेल पते आते हैं; यह संख्या LeakData के स्रोत से पुष्ट ईमेल संबंधों की संख्या नहीं है। यह एक अलग डेटाबेस था, जिसे सीधे Fotolog की खाता संरचना से जोड़ा गया था, न कि लॉगिन क्रेडेंशियल का कोई सामान्य संग्रह। सेवा 2019 में बंद कर दी गई थी और बाद में इसके डोमेन का इस्तेमाल किसी दूसरे उद्देश्य के लिए होने लगा; अभी Fotolog का खाता पोर्टल न होने से पुराने डेटा के कारण पैदा हुआ जोखिम समाप्त नहीं हो जाता।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने ईमेल, सोशल मीडिया, किसी फ़ोटो सेवा या किसी अन्य खाते पर अपना 2018 का Fotolog पासवर्ड दोबारा इस्तेमाल किया था। बिना सॉल्ट वाले SHA-256 पासवर्ड हैश में एक जैसे पासवर्ड से एक जैसे हैश बनते हैं और हमलावर आम पासवर्ड की सूचियों को बहुत तेज़ी से जाँच सकते हैं। हैश सीधे अपना पासवर्ड प्रकट नहीं करता और लंबे, अनूठे पासवर्ड का पता लगाना अधिक कठिन रहता है। छोटे, शब्दकोश के शब्दों पर आधारित या पिछली किसी डेटा सेंध में उजागर हो चुके पासवर्ड का अनुमान लगाना काफी आसान होता है। जिन लोगों ने किसी अन्य सेवा पर सुरक्षा प्रश्न का वही उत्तर इस्तेमाल किया था, उन्हें भी पासवर्ड रीसेट और खाता रिकवरी से जुड़े हमलों का जोखिम है। पूरा नाम, स्थान, रुचियाँ, उपयोगकर्ता नाम और ईमेल को मिलाकर अपराधी ऐसे संदेश तैयार कर सकते हैं जिनमें किसी पुरानी तस्वीर या समुदाय से जुड़े संदर्भ का उल्लेख हो।

अगर आपको अपना पुराना Fotolog पासवर्ड याद है, तो ऐसे हर खाते की पहचान करें जिसमें अब भी वही या मिलता-जुलता पासवर्ड इस्तेमाल होता है, और हर खाते का पासवर्ड बदलकर उसके लिए एक अलग, लंबा पासवर्ड रखें। अपने मुख्य ईमेल खाते, सोशल नेटवर्क, क्लाउड फ़ोटो स्टोरेज और उन सेवाओं को प्राथमिकता दें जो भुगतान के तरीके सहेजकर रखती हैं। अगर आपने Fotolog के किसी सुरक्षा प्रश्न का उत्तर दोबारा इस्तेमाल किया था, तो जहाँ भी संभव हो, उसे बदलें; निजी जीवन से जुड़ा कोई वास्तविक तथ्य चुनने के बजाय ऐसा यादृच्छिक उत्तर चुनें जिसका अनुमान न लगाया जा सके और उसे पासवर्ड मैनेजर में सहेजें। ऐसे ईमेल सत्रों की समीक्षा करें जिन्हें आप नहीं पहचानते, और रिकवरी ईमेल पतों तथा फ़ॉरवर्डिंग नियमों की भी जाँच करें। फिर बहु-कारक प्रमाणीकरण चालू करें। पुरानी Fotolog फ़ोटो वापस लाने, खाता फिर से खोलने, कॉपीराइट शिकायतें सुलझाने या प्रोफ़ाइल सत्यापित करने का दावा करने वाले संदेशों पर भरोसा न करें; अपराधी पुराने ब्रांड नाम और किसी असली उपयोगकर्ता नाम का इस्तेमाल कर सकते हैं। चूँकि मूल सेवा अब संचालित नहीं होती, Fotolog खाता रीसेट करने का लिंक देने वाले किसी भी संदेश को खास तौर पर संदेह की नज़र से देखें।

पासवर्ड मैनेजर का इस्तेमाल करके हर सेवा के लिए एक यादृच्छिक, अलग पासवर्ड बनाएँ, ताकि एक हैश से पासवर्ड का पता चल जाने पर दूसरे खातों पर भी जोखिम न बढ़े। ईमेल और महत्वपूर्ण सेवाओं पर बहु-कारक प्रमाणीकरण चालू रखें। जहाँ उपलब्ध हों, वहाँ फ़िशिंग-रोधी सुरक्षा कुंजियों या डिवाइस-आधारित तरीकों को प्राथमिकता दें। पुराने Fotolog पासवर्ड और उसके सुरक्षा प्रश्नों के उत्तरों का इस्तेमाल हमेशा के लिए बंद कर दें; उनमें छोटे-मोटे वर्तनी बदलाव करके उन्हें दोबारा इस्तेमाल करने से सार्थक सुरक्षा नहीं मिलती। याद रखें कि सोशल प्रोफ़ाइल पर दिखने वाले स्थानों, रुचियों और पुराने उपयोगकर्ता नामों का इस्तेमाल फ़िशिंग संदेशों को व्यक्तिगत बनाने के लिए हो सकता है, इसलिए ऐसी जानकारी की अनावश्यक दृश्यता कम करें। अपने पुराने ईमेल पतों के लिए डेटा सेंध की जाँच करते रहें और अप्रत्याशित पासवर्ड रीसेट अलर्ट की पुष्टि किसी स्वतंत्र माध्यम से करें। बंद हो चुकी सेवा का डेटा अनिश्चित काल तक प्रसारित होता रह सकता है, इसलिए लंबे समय तक काम आने वाली सुरक्षा योजना में केवल वर्तमान खाते ही नहीं, बल्कि वर्षों पहले इस्तेमाल किए गए लॉगिन विवरण और पहचान संबंधी जानकारी भी शामिल होनी चाहिए।

इस पेज के सुरक्षित खोज फ़ील्ड का इस्तेमाल करके अपने उन सभी मौजूदा और पुराने ईमेल पतों की जाँच करें जिनका आपने कभी Fotolog पर इस्तेमाल किया हो। मिलान मिलने का अर्थ है कि वह पता LeakData के उन 1,62,31,463 खोज योग्य ईमेल संबंधों में शामिल है जिन्हें स्रोत फ़ाइल से सत्यापित किया गया है; इससे यह साबित नहीं होता कि पासवर्ड का पता लगा लिया गया था, किसी अन्य खाते तक पहुँच बनाई गई थी या उस व्यक्ति के लिए प्रोफ़ाइल का हर फ़ील्ड मौजूद था। अगर खोज में कोई परिणाम मिलता है, तो उन अन्य खातों की समीक्षा करें जिनमें 2018 के समय वाला पासवर्ड या सुरक्षा प्रश्नों के उत्तर इस्तेमाल किए गए थे। इनका दोबारा इस्तेमाल जहाँ भी अब तक जारी है, उसे समाप्त करें और ईमेल खाते की सुरक्षा जाँचें। परिणाम न मिलना पूरी सुरक्षा की गारंटी नहीं है, क्योंकि पता किसी अलग तरीके से लिखा गया हो सकता है, डेटासेट से कोई रिकॉर्ड छूट गया हो सकता है या किसी अन्य डेटा सेंध में भी आपका डेटा शामिल हो सकता है। खोज फ़ील्ड में केवल समर्थित पहचानकर्ता दर्ज करें; कभी भी पासवर्ड, पासवर्ड हैश, सुरक्षा प्रश्न का उत्तर, एक बार इस्तेमाल होने वाला कोड या भुगतान जानकारी न दें। पुराने पतों की समय-समय पर दोबारा जाँच करने से ऐसे डेटासेट सामने आ सकते हैं जिन्हें घटना के कई वर्ष बाद सत्यापित किया गया हो। अगर कोई अप्रत्याशित चेतावनी आती है, तो उसमें दिए गए लिंक का इस्तेमाल न करें और किसी स्वतंत्र रास्ते से सीधे संबंधित सेवा पर जाएँ।