GamingMonk: डेटा में सेंध

इस डेटा लीक में नाम, फ़ोन नंबर और जन्मतिथियों के साथ ईमेल पते और उपयोगकर्ता नाम उजागर हुए। इस जानकारी को मिलाकर हमलावर ऐसे संदेश तैयार कर सकते हैं जो किसी खास व्यक्ति के लिए लिखे हुए लगें। फ़ोन नंबरों का इस्तेमाल SMS के ज़रिए ठगी, सहायता देने के बहाने किए गए फ़र्ज़ी कॉल और खाता सत्यापन से जुड़ी धोखाधड़ी में किया जा सकता है। जन्मतिथियाँ जोखिम बढ़ाती हैं, क्योंकि कुछ सेवाएँ इन्हें सुरक्षा प्रश्न के उत्तर या पहचान सत्यापन में सहायक जानकारी के रूप में इस्तेमाल करती हैं।

पासवर्ड को bcrypt हैश के रूप में रखना, उन्हें सादे टेक्स्ट में रखने की तुलना में अधिक सुरक्षित है। फिर भी, छोटे या कमज़ोर पासवर्ड और अन्य खातों पर दोबारा इस्तेमाल किए गए पासवर्ड जोखिमपूर्ण बने रहते हैं। यदि वही पासवर्ड ईमेल, गेमिंग, सोशल मीडिया, टूर्नामेंट या भुगतान से जुड़े प्लेटफ़ॉर्म पर भी इस्तेमाल किया गया हो, तो हमलावर पुराने डेटा का उपयोग मौजूदा लॉगिन प्रयासों में कर सकते हैं। इसलिए, जिन उपयोगकर्ताओं का इस डेटा से मिलान हो चुका है, उन्हें अपने पासवर्ड के साथ-साथ अपने फ़ोन नंबर और जन्मतिथि से जुड़े खातों की सुरक्षा सेटिंग भी जाँचनी चाहिए।

इस रिकॉर्ड में पुष्ट संख्या 6,54,510 ही रखी जानी चाहिए। यह संख्या डेटा में शामिल अद्वितीय ईमेल पतों को दर्शाती है; ज़रूरी नहीं कि हर रिकॉर्ड एक अलग वास्तविक व्यक्ति का हो। एक ही उपयोगकर्ता के कई खाते हो सकते हैं, पुराने ईमेल पते अलग-अलग दर्ज हो सकते हैं या डेटा में दोहराव हो सकता है। फिर भी, फ़ोन नंबर, जन्मतिथियाँ और पासवर्ड हैश एक साथ मौजूद होने के कारण यह गेमिंग समुदाय पर गंभीर प्रभाव डालने वाला डेटा लीक है।

पुष्ट डेटा श्रेणियाँ जन्मतिथियाँ, ईमेल पते, नाम, पासवर्ड, फ़ोन नंबर और उपयोगकर्ता नाम हैं। पासवर्ड फ़ील्ड को bcrypt हैश के रूप में स्पष्ट किया जाना चाहिए। भौतिक पता, भुगतान संबंधी जानकारी, आधिकारिक पहचान संबंधी डेटा, निजी संदेश, डिवाइस की जानकारी, IP पता, गेम के भीतर मौजूद वस्तुओं की सूची या खरीदारी का इतिहास रिकॉर्ड में नहीं जोड़ा जाना चाहिए, क्योंकि ये पुष्ट फ़ील्ड में शामिल नहीं हैं। बाद में प्लेटफ़ॉर्म का किसी अन्य ब्रांड के अंतर्गत चलते रहना, घटना के दायरे में नई डेटा श्रेणियाँ जोड़ने के लिए पर्याप्त सबूत नहीं है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने GamingMonk खाते का पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल करते हैं। ई-स्पोर्ट्स और टूर्नामेंट प्लेटफ़ॉर्म पर उपयोगकर्ता अक्सर अपने निजी ईमेल पते और फ़ोन नंबर से खाते बनाते हैं। इस जानकारी का इस्तेमाल फ़र्ज़ी टूर्नामेंट निमंत्रण, पुरस्कार सूचनाओं, खाता सत्यापन या सहायता संबंधी संदेशों में किया जा सकता है। फ़ोन नंबर और जन्मतिथि उपलब्ध होने से हमलावर अपने संदेशों को अधिक व्यक्तिगत और विश्वसनीय बना सकते हैं।

भारत-आधारित गेमिंग समुदायों में सक्रिय खिलाड़ियों, टूर्नामेंट में भाग लेने वालों और अलग-अलग प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम इस्तेमाल करने वालों को भी सतर्क रहना चाहिए। यदि वही उपयोगकर्ता नाम सोशल मीडिया, स्ट्रीमिंग प्लेटफ़ॉर्म या गेम स्टोर पर भी इस्तेमाल किया जाता है, तो अलग-अलग प्रोफ़ाइल को आपस में जोड़ने का जोखिम बढ़ता है। खाता अब सक्रिय न हो, तब भी यदि फ़ोन नंबर और ईमेल पता अब भी इस्तेमाल किए जा सकते हैं, तो जोखिम बना रहता है। इसलिए उपयोगकर्ता को केवल अपने पुराने प्लेटफ़ॉर्म खाते पर ध्यान नहीं देना चाहिए।

जिस उपयोगकर्ता का ईमेल पता इस रिकॉर्ड में है, उसे यह सुनिश्चित करना चाहिए कि GamingMonk खाते पर इस्तेमाल किया गया पुराना पासवर्ड किसी दूसरे खाते पर काम न करे। यदि वही या उससे मिलता-जुलता पासवर्ड अन्य सेवाओं पर इस्तेमाल किया गया है, तो उसे तुरंत बदलकर लंबा, अद्वितीय और ऐसा पासवर्ड रखना चाहिए जिसका अनुमान लगाना मुश्किल हो। पासवर्ड मैनेजर का इस्तेमाल करने से एक ही पासवर्ड दोबारा इस्तेमाल करने का जोखिम घटता है। हालाँकि Bcrypt हैशिंग पासवर्ड सुरक्षित रखने का अधिक मज़बूत तरीका है, लेकिन इससे एक ही पासवर्ड को दोबारा इस्तेमाल करना सुरक्षित नहीं हो जाता।

ईमेल खातों, गेमिंग खातों, सोशल मीडिया, भुगतान से जुड़ी सेवाओं और फ़ोन नंबर से जुड़े खातों पर बहु-कारक प्रमाणीकरण चालू किया जाना चाहिए। मोबाइल ऑपरेटर से जुड़े खाते और SIM बदलने की प्रक्रिया की सुरक्षा भी जाँचनी चाहिए। किसी अनजान स्रोत से टूर्नामेंट का निमंत्रण, पुरस्कार की सूचना, खाता सत्यापन का संदेश या सहायता संबंधी कॉल मिलने पर, लिंक पर क्लिक करने से पहले उपयोगकर्ता को पते और भेजने वाले की स्वतंत्र रूप से पुष्टि करनी चाहिए। संदिग्ध SMS और कॉल को भी गंभीरता से लेना चाहिए।

GamingMonk की घटना दिखाती है कि ई-स्पोर्ट्स और गेमिंग समुदाय के खातों में एकत्र किए गए फ़ोन नंबर और जन्मतिथि जैसे फ़ील्ड लंबे समय तक जोखिम पैदा कर सकते हैं। उपयोगकर्ताओं को टूर्नामेंट, गेमिंग और सोशल मीडिया खातों पर पासवर्ड और उपयोगकर्ता नाम बनाने के एक ही पैटर्न को दोहराना नहीं चाहिए। जिन खातों का इस्तेमाल नहीं हो रहा है, उन्हें बंद कर देना चाहिए या एक अद्वितीय पासवर्ड लगाकर अन्य खातों से अलग रखना चाहिए। फ़ोन नंबर से जुड़े खातों पर सुरक्षा अलर्ट चालू रहने चाहिए और खाता पुनर्प्राप्ति के विकल्पों की नियमित अंतराल पर समीक्षा करनी चाहिए।

सेवा प्रदाताओं के लिए मुख्य सीख यह है कि वे केवल पासवर्ड की सुरक्षा पर ही नहीं, बल्कि अनावश्यक व्यक्तिगत डेटा का संग्रह घटाने पर भी ध्यान दें। फ़ोन नंबर और जन्मतिथि जैसे फ़ील्ड वास्तव में ज़रूरी न हों, तो उन्हें सहेजकर नहीं रखना चाहिए। यदि उनकी ज़रूरत हो, तो पहुँच नियंत्रण, ऑडिट लॉगिंग और डेटा रखने की अवधि का कड़ाई से प्रबंधन होना चाहिए। पासवर्ड सुरक्षित रखने के लिए मज़बूत तरीके अपनाए जाने चाहिए और घटना की रिपोर्ट में स्पष्ट रूप से बताया जाना चाहिए कि कौन-से फ़ील्ड प्रभावित हुए और किन फ़ील्ड के प्रभावित होने की पुष्टि नहीं हुई।

GamingMonk डेटा लीक के रिकॉर्ड की जाँच का परिणाम बताता है कि दर्ज किया गया ईमेल पता इस पुष्ट डेटासेट में मौजूद है या नहीं। यदि मिलान मिलता है, तो ईमेल पता, नाम, उपयोगकर्ता नाम, फ़ोन नंबर, जन्मतिथि और bcrypt पासवर्ड हैश को जोखिम में माना जाना चाहिए। यदि मिलान नहीं मिलता, तो इसका मतलब है कि इस विशेष डेटासेट में कोई मेल नहीं मिला; इससे यह साबित नहीं होता कि उस व्यक्ति का डेटा अन्य डेटा लीक में शामिल नहीं था। परिणाम को केवल GamingMonk की घटना के संदर्भ में ही समझना चाहिए।

उपयोगकर्ता को पुराने पासवर्ड का इस्तेमाल पूरी तरह बंद कर देना चाहिए, दूसरी जगहों पर दोबारा इस्तेमाल किए गए सभी पासवर्ड बदलने चाहिए, ईमेल और गेमिंग खातों पर बहु-कारक सुरक्षा अपनानी चाहिए, फ़ोन नंबर से जुड़े खातों की जाँच करनी चाहिए और जन्मतिथि से सत्यापन करने वाली सेवाओं पर सुरक्षा विकल्प मज़बूत करने चाहिए। घटना पुरानी होने या प्लेटफ़ॉर्म का स्वामित्व बदल जाने के कारण उपयोगकर्ता को जोखिम नगण्य नहीं मानना चाहिए। फ़ोन नंबर और जन्मतिथि जैसी जानकारी का इस्तेमाल वर्षों बाद भी लक्षित धोखाधड़ी में किया जा सकता है।