Funny Games डेटा में सेंध

इस उल्लंघन में पुष्टि की गई सबसे गंभीर बात यह है कि पासवर्ड सॉल्ट किए गए MD5 हैश के रूप में हैं। सॉल्ट के इस्तेमाल से यह संभावना कम होती है कि एक ही पासवर्ड वाले खातों के हैश मान भी एक जैसे हों; हालाँकि, आज की सुरक्षा अपेक्षाओं के हिसाब से MD5 को कमज़ोर माना जाता है। यदि पासवर्ड छोटा है, उसका अनुमान लगाना आसान है या वह पहले किसी लीक में सामने आ चुका है, तो हैश को क्रैक किए जाने की संभावना बढ़ जाती है। इससे न केवल Funny Games खाते, बल्कि उन ईमेल, गेमिंग, सोशल मीडिया, फ़ोरम या खरीदारी खातों पर भी कब्ज़ा किए जाने का जोखिम बढ़ता है, जहाँ वही पासवर्ड दोबारा इस्तेमाल किया गया है।

ईमेल पते और उपयोगकर्ता नाम एक साथ मिलने पर हमलावर देख सकते हैं कि खाते के मालिक ने किस उपनाम और किस ईमेल पते से पंजीकरण किया था। इन दोनों जानकारियों का इस्तेमाल लक्षित फ़िशिंग संदेशों, नकली लॉगिन पृष्ठों और पासवर्ड रीसेट करने के प्रयासों में किया जा सकता है। IP पते मिलने से उपयोगकर्ता के कनेक्शन से जुड़े संकेतों के बारे में अतिरिक्त जानकारी मिल सकती है। अपने आप में यह पहचान का निर्णायक प्रमाण नहीं है, लेकिन समय, स्थान और सत्र की जानकारी के साथ मिलकर यह उपयोगकर्ता की प्रोफ़ाइल तैयार किए जाने का जोखिम बढ़ाता है।

सत्यापित रिकॉर्ड की संख्या 7,64,357 ही रखी जानी चाहिए। यह संख्या लीक हुई डेटा फ़ाइल में मौजूद रिकॉर्ड की संख्या बताती है; ज़रूरी नहीं कि हर रिकॉर्ड एक अलग वास्तविक व्यक्ति का हो। संभव है कि एक ही व्यक्ति ने कई खाते खोले हों, पुराने और मौजूदा ईमेल पते अलग-अलग दर्ज हों या तकनीकी कारणों से रिकॉर्ड दोहराए गए हों। इसलिए प्रभावित दायरे का आकलन करते समय इस संख्या का परिमाण बरकरार रखा जाना चाहिए, लेकिन व्यक्तियों की संख्या के बारे में बिना सत्यापन के निश्चित दावा नहीं किया जाना चाहिए।

इस रिकॉर्ड के सत्यापित डेटा फ़ील्ड ईमेल पते, IP पते, उपयोगकर्ता नाम और पासवर्ड हैं। पासवर्ड फ़ील्ड को सॉल्ट किए गए MD5 हैश के रूप में स्पष्ट किया जाना चाहिए; सादे पाठ में पासवर्ड, भुगतान कार्ड, पहचान संख्या, पूरा पता, फ़ोन नंबर, जन्मतिथि, गेम में किए गए भुगतानों का इतिहास या निजी संदेशों का डेटा सत्यापन के बिना इस रिकॉर्ड में नहीं जोड़ा जाना चाहिए। देश की जानकारी भी स्पष्ट रूप से सत्यापित नहीं है, इसलिए कंपनी के स्थान को किसी खास देश से नहीं जोड़ा जाना चाहिए। इससे उपयोगकर्ता को उल्लंघन का ऐसा विवरण नहीं दिया जाता जो उसके दायरे को बढ़ा-चढ़ाकर बताए या प्रमाण पर आधारित न हो।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने Funny Games खाते का पासवर्ड अन्य प्लेटफ़ॉर्म पर भी इस्तेमाल करते हैं। ईमेल पता और उपयोगकर्ता नाम भी समान रहने पर हमलावर स्वचालित लॉगिन प्रयासों के ज़रिए अलग-अलग खातों को निशाना बना सकते हैं। खास तौर पर पुराने गेम खातों के पासवर्ड अक्सर वर्षों तक नहीं बदले जाते, इसलिए घटना पुरानी होने पर भी जोखिम पूरी तरह समाप्त नहीं होता। यदि कोई पुराना पासवर्ड आज भी किसी दूसरे सक्रिय खाते पर इस्तेमाल हो रहा है, तो इस रिकॉर्ड का सुरक्षा पर व्यावहारिक असर अब भी बना हुआ है।

बच्चों और कम उम्र के खिलाड़ियों की ओर से खोले गए खातों का भी सावधानी से आकलन किया जाना चाहिए। गेमिंग और मनोरंजन साइटों पर इस्तेमाल किए जाने वाले उपयोगकर्ता नाम कभी-कभी सोशल मीडिया, मैसेजिंग, स्ट्रीमिंग प्लेटफ़ॉर्म या फ़ोरम खातों पर भी दोहराए जाते हैं। इस दोहराव के कारण अलग-अलग ऑनलाइन जगहों पर व्यक्ति की पहचान को आपस में जोड़ा जा सकता है। IP पता मिलने से यह भी अतिरिक्त संकेत मिलता है कि खाते का इस्तेमाल किन कनेक्शनों से किया गया था। इसलिए खाते के मालिक को केवल गेम खाते की ही नहीं, बल्कि उसी ईमेल पते और उपनाम से जुड़े सभी खातों की जाँच करनी चाहिए।

इस रिकॉर्ड में शामिल ईमेल पते वाले उपयोगकर्ता को सबसे पहले यह सुनिश्चित करना चाहिए कि Funny Games खाते पर इस्तेमाल किया गया पुराना पासवर्ड कहीं और इस्तेमाल न हो रहा हो। यदि वही या उससे मिलता-जुलता पासवर्ड किसी दूसरे खाते पर इस्तेमाल किया गया है, तो उसे तुरंत बदलकर एक मज़बूत और अनूठा पासवर्ड रखना चाहिए। हर खाते के लिए अलग, लंबा और अनुमान लगाने में कठिन पासवर्ड बनाने के लिए पासवर्ड मैनेजर का इस्तेमाल करने से पासवर्ड दोबारा इस्तेमाल करने का जोखिम घटता है। पासवर्ड बदलते समय केवल अंतिम वर्ण बदल देना या उसी पैटर्न में मामूली बदलाव करना पर्याप्त नहीं है।

ईमेल खातों, गेम खातों, सोशल मीडिया खातों और वित्तीय लेनदेन वाली सभी सेवाओं पर बहु-कारक प्रमाणीकरण सक्षम किया जाना चाहिए। यदि खाते की गतिविधि के इतिहास में किसी अपरिचित व्यक्ति की पहुँच, अनजान डिवाइस, पासवर्ड रीसेट करने के अप्रत्याशित अनुरोध या सुरक्षा संबंधी ईमेल दिखाई दें, तो सत्र बंद किए जाने चाहिए और खाता पुनर्प्राप्ति के विकल्प अपडेट किए जाने चाहिए। इस घटना में फ़ोन या भुगतान संबंधी डेटा की पुष्टि न होने पर भी हमलावर ईमेल पते, उपयोगकर्ता नाम और पुराने पासवर्ड की जानकारी का इस्तेमाल ऐसे संदेशों में कर सकते हैं जो भरोसेमंद लगें। इसलिए आने वाले लिंक और अटैचमेंट की सावधानी से जाँच करनी चाहिए।

हालाँकि यह डेटा उल्लंघन एक पुरानी घटना है, लेकिन इससे मिलने वाली दीर्घकालिक सीख यह है कि पासवर्ड को सुरक्षा की एकमात्र परत नहीं रहने देना चाहिए। उपयोगकर्ताओं को हर खाते के लिए अनूठा पासवर्ड इस्तेमाल करना चाहिए, महत्वपूर्ण खातों पर बहु-कारक सुरक्षा लागू करनी चाहिए और पुराने गेम या फ़ोरम खातों की नियमित समीक्षा करनी चाहिए। जिन खातों का अब इस्तेमाल नहीं होता, उन्हें संभव हो तो बंद कर देना चाहिए; यदि उन्हें बंद नहीं किया जा सकता, तो उनका पासवर्ड अनूठा रखा जाना चाहिए और प्रोफ़ाइल में दी गई जानकारी न्यूनतम कर देनी चाहिए।

संस्थाओं को MD5 जैसी पुरानी हैशिंग विधियाँ छोड़ देनी चाहिए और पासवर्ड संग्रहित करने के लिए आधुनिक, लागत के अनुरूप समायोजित एल्गोरिदम को प्राथमिकता देनी चाहिए। सिस्टम में पुराने कोड के हिस्से छोड़ देने से समय के साथ सुरक्षा की अनदेखी कमियाँ जमा होती जाती हैं। इसलिए खाते का डेटा संसाधित करने वाले अनुप्रयोगों में कोड की सूची, पहुँच के लॉग, निर्भरताओं की जाँच और नियमित सुरक्षा परीक्षणों से जुड़ी प्रक्रियाएँ लगातार चलनी चाहिए। उपयोगकर्ताओं को दी जाने वाली सूचनाओं में स्पष्ट अंतर बताया जाना चाहिए कि कौन-से डेटा फ़ील्ड प्रभावित हैं, कौन-से प्रभावित नहीं हैं और उपयोगकर्ता को क्या करना चाहिए।

Funny Games उल्लंघन के रिकॉर्ड की जाँच करते समय परिणाम बताता है कि व्यक्ति का ईमेल पता इस डेटा सेट में मिला है या नहीं। यदि परिणाम सकारात्मक है, तो उपयोगकर्ता नाम, ईमेल पता, IP पता और पासवर्ड हैश को जोखिम में माना जाना चाहिए। यदि परिणाम नकारात्मक है, तो इसका मतलब है कि इस खास डेटा सेट में कोई मेल नहीं मिला; इसका मतलब यह नहीं है कि व्यक्ति किसी अन्य डेटा उल्लंघन से प्रभावित नहीं हुआ है। इसलिए सुरक्षा का आकलन एक ही रिकॉर्ड तक सीमित नहीं होना चाहिए।

इस रिकॉर्ड के अनुसार, उपयोगकर्ता के लिए सही कदम हैं: पुराने पासवर्ड का इस्तेमाल बंद करना, अनूठा पासवर्ड अपनाना, बहु-कारक प्रमाणीकरण सक्षम करना और उसी ईमेल पते का इस्तेमाल करने वाले अन्य खातों के सुरक्षा इतिहास की जाँच करना। किसी पुरानी घटना में पासवर्ड हैश उजागर हुआ हो, तो हमलावर वर्षों बाद भी उस डेटा का दोबारा इस्तेमाल कर सकते हैं। उपयोगकर्ताओं को पुराने पासवर्ड पैटर्न पूरी तरह छोड़ देने चाहिए, खासकर वे जो गेमिंग और मनोरंजन खातों के लिए इस्तेमाल किए गए थे। केवल घटना की तारीख देखकर सुरक्षा चेतावनियों को मामूली नहीं समझना चाहिए।