Fun Office Pools डेटा उजागर होने का कथित मामला

जिन डेटा फ़ील्ड का सत्यापन किया जा सकता है, वे ईमेल पते, उपयोगकर्ता नाम और हैश किए गए पासवर्ड हैं। केवल ईमेल पते का इस्तेमाल भी पासवर्ड रीसेट करने के नकली संदेश, पूल के निमंत्रण की सूचनाएँ या खाते की सुरक्षा से जुड़ी सूचनाएँ भेजने के लिए किया जा सकता है। उपयोगकर्ता नाम भी उपलब्ध होने पर हमलावर यह जाँच सकते हैं कि व्यक्ति दूसरे गेम, फ़ोरम या सोशल प्लेटफ़ॉर्म पर उसी पहचान का इस्तेमाल करता है या नहीं।

हैश किया गया पासवर्ड फ़ील्ड होने का मतलब यह नहीं है कि पासवर्ड सामान्य, पढ़े जा सकने वाले टेक्स्ट में है। हालाँकि, कमज़ोर, छोटे या कई जगह इस्तेमाल किए गए पासवर्ड फिर भी जोखिम पैदा करते हैं। यदि वही पासवर्ड अन्य सेवाओं पर भी इस्तेमाल किया गया हो, तो किसी पुराने ऑफिस पूल खाते के डेटा का इस्तेमाल ईमेल खातों, सोशल मीडिया या गेमिंग प्लेटफ़ॉर्म पर लॉगिन की कोशिशों के लिए किया जा सकता है। इसलिए, घटना का पैमाना मध्यम होने पर भी इसे नज़रअंदाज़ नहीं करना चाहिए।

इस घटना के सटीक महीने और दिन की स्वतंत्र पुष्टि नहीं है, इसलिए इसकी तारीख केवल वर्ष 2016 के स्तर पर मानी जाती है। सिस्टम तारीख को मानकीकृत करने के लिए वर्ष की शुरुआत की तारीख रखता है; इसका मतलब यह नहीं है कि घटना ठीक उसी दिन हुई थी। सार्वजनिक रूप से उपलब्ध सूची में 56,788 प्रभावित लोगों और ईमेल, उपयोगकर्ता नाम तथा हैश किए गए पासवर्ड के फ़ील्ड का उल्लेख है। प्रमुख सत्यापन सूचियों में कोई रिकॉर्ड न होने के कारण इसकी स्थिति असत्यापित ही रखी गई है।

नाम, फ़ोन नंबर, भौतिक पता, भुगतान कार्ड, जन्मतिथि, IP पता, निजी संदेश या असली पैसे के लेनदेन की जानकारी इस रिकॉर्ड में शामिल नहीं की गई है, क्योंकि इस घटना के लिए उपलब्ध साक्ष्य इन डेटा फ़ील्ड का समर्थन नहीं करते। मौजूदा पुराने DB फ़ील्ड में नाम की जानकारी भी पर्याप्त स्रोत-समर्थन न होने के कारण बाहर रखी गई है। उपयोगकर्ता को जोखिम का सही स्तर बताने के लिए दायरा सीमित रखना ज़रूरी है।

सबसे अधिक जोखिम उन लोगों को है जो अपने Fun Office Pools खाते का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। खेलों से जुड़े पूल की सेवाएँ दोस्तों, सहकर्मियों या परिवार के समूहों के साथ इस्तेमाल की जाती हैं, इसलिए उपयोगकर्ता नाम और ईमेल पते व्यक्ति के सामाजिक दायरे से जोड़े जा सकते हैं। इससे नकली निमंत्रण, स्कोर के नकली अपडेट या पासवर्ड रीसेट करने के संदेश अधिक विश्वसनीय लग सकते हैं।

कॉर्पोरेट ईमेल पते से खाता बनाने वाले उपयोगकर्ताओं को भी सावधान रहना चाहिए। ऐसा पता हमलावरों को व्यक्ति के कार्यस्थल के बारे में संकेत दे सकता है। इसके आधार पर कार्यालय की गतिविधियों या खेलों से जुड़े पूल के नकली संदेशों के ज़रिए अधिक लक्षित फ़िशिंग प्रयास किए जा सकते हैं। पुराने खाते भुला दिए जाने पर भी एक ही पासवर्ड के कई जगह इस्तेमाल से जुड़ा जोखिम बना रह सकता है।

यदि जाँच का परिणाम सकारात्मक हो, तो पहले यह पता लगाएँ कि Fun Office Pools खाते का पासवर्ड और कहाँ-कहाँ इस्तेमाल किया गया है। फिर उन सभी खातों के लिए नया और अलग पासवर्ड चुनें। ईमेल खातों, सोशल मीडिया, गेमिंग प्लेटफ़ॉर्म, खरीदारी के खातों और काम से जुड़े खातों को प्राथमिकता दें। महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण चालू करें।

इनबॉक्स में पूल के निमंत्रण, अंकों की स्थिति, पासवर्ड रीसेट या खाते की सुरक्षा से जुड़े संदेशों को लेकर सावधानी बरतें। लिंक खोलने के बजाय ब्राउज़र से सीधे संबंधित सेवा पर जाएँ और संदिग्ध संदेशों का जवाब न दें। ईमेल खाते में अनजान सत्रों, खाता पुनर्प्राप्ति के लिए दर्ज पतों और ईमेल आगे भेजने के नियमों की भी अलग से जाँच करें।

ऑफिस पूल, गेमिंग और मनोरंजन सेवाओं के लिए अलग-अलग पासवर्ड रखने से किसी पुराने प्लेटफ़ॉर्म का डेटा उल्लंघन दूसरे खातों को प्रभावित नहीं कर पाता। पासवर्ड मैनेजर की मदद से हर सेवा के लिए अलग पासवर्ड चुनने से आने वाले वर्षों में हैश किए गए पासवर्ड की सूचियों के दुरुपयोग की संभावना कम होती है। जिन सेवाओं की सदस्यता अब इस्तेमाल नहीं होती, उन्हें बंद कर दें और पुराने ईमेल पतों की नियमित जाँच करें।

यदि कार्यस्थल पर इस्तेमाल होने वाली मनोरंजन या खेलों से जुड़े पूल की सेवाओं के लिए कॉर्पोरेट ईमेल चुना जाता है, तो उपयोगकर्ताओं को उस पते पर भेजे जाने वाले नकली निमंत्रण संदेशों के बारे में जागरूक करें। सुरक्षा टीमों को प्रशिक्षण में स्पष्ट रूप से समझाना चाहिए कि एक ही पासवर्ड कई जगह इस्तेमाल करने का क्या असर होता है, पुरानी सेवाएँ वर्षों बाद भी कैसे जोखिम पैदा कर सकती हैं और बहु-कारक प्रमाणीकरण क्यों महत्वपूर्ण है।

आप LeakData पर अपने ईमेल पते की जाँच करके देख सकते हैं कि वह Fun Office Pools की सूची में है या नहीं। यदि परिणाम सकारात्मक हो, तो ईमेल, उपयोगकर्ता नाम और पासवर्ड के फ़ील्ड मौजूद होने के कारण कदम उठाना ज़रूरी है, भले ही घटना असत्यापित श्रेणी में हो। जिन सभी खातों पर वही पासवर्ड इस्तेमाल किया गया है, उनमें पासवर्ड बदलें और महत्वपूर्ण खातों में अतिरिक्त सत्यापन जोड़ें।

परिणाम नकारात्मक होने पर भी अपने पुराने ऑफिस पूल, गेमिंग और मनोरंजन खातों की समीक्षा करना उपयोगी है। पुरानी सेवाओं के पासवर्ड अलग-अलग प्रतियों के ज़रिए वर्षों बाद फिर सामने आ सकते हैं। सबसे भरोसेमंद तरीका है हर खाते के लिए अलग पासवर्ड रखना, बहु-कारक प्रमाणीकरण इस्तेमाल करना, अनावश्यक खाते बंद करना और पासवर्ड रीसेट करने के अनजान संदेशों की पुष्टि सीधे संबंधित सेवा पर जाकर करने की आदत बनाए रखना।