Gemplex: डेटा में सेंध

जिन डेटा प्रकारों की पुष्टि हुई है, वे हैं डिवाइस की जानकारी, ईमेल पते, नाम, फ़ोन नंबर और पासवर्ड। ईमेल पता वह मुख्य कड़ी है जिसके ज़रिए हमलावर दूसरी सेवाओं पर उपयोगकर्ता को खोज सकता है और अलग-अलग डेटा सेट में उसी पहचान का मिलान कर सकता है। नाम की जानकारी जुड़ने पर संदेश व्यक्तिगत लगते हैं। फ़ोन नंबर से टेक्स्ट संदेशों और कॉल के ज़रिए धोखा दिए जाने का जोखिम बढ़ता है। डिवाइस की जानकारी उस डिवाइस परिवेश का संकेत दे सकती है जिससे उपयोगकर्ता स्ट्रीमिंग सेवा का उपयोग करता है। इसका इस्तेमाल फ़र्ज़ी सहायता, डिवाइस सत्यापन या खाते की गतिविधि संबंधी सूचनाओं के बहाने किया जा सकता है।

इस बात की पुष्टि हुई है कि पासवर्ड फ़ील्ड में bcrypt से सुरक्षित हैश मान मौजूद हैं। पासवर्ड को सादे पाठ में रखने की तुलना में यह अधिक सुरक्षित भंडारण विधि है, लेकिन कमज़ोर, छोटे या एक से अधिक खातों पर इस्तेमाल किए गए पासवर्ड के लिए जोखिम बना रहता है। हमलावर लीक हुए ईमेल और पासवर्ड के संयोजनों को दूसरी सेवाओं पर आज़मा सकते हैं। नाम, फ़ोन और डिवाइस की जानकारी वाले संदेशों से ऐसा लग सकता है कि उपयोगकर्ता को वास्तव में अपने Gemplex खाते से संबंधित सुरक्षा चेतावनी मिली है। इसलिए जोखिम केवल एक खाते तक सीमित नहीं है; यह उसी ईमेल या फ़ोन नंबर से खोले गए दूसरे खातों तक भी पहुँच सकता है।

डेटा उल्लंघन की पुष्ट तारीख 18 फ़रवरी 2021 है और इसे रिकॉर्ड प्रणालियों में दर्ज किए जाने की तारीख 9 दिसंबर 2023 बताई गई है। कुल 45,63,166 खाते प्रभावित हुए हैं। डेटा की श्रेणियाँ हैं डिवाइस की जानकारी, ईमेल पते, नाम, फ़ोन नंबर और पासवर्ड हैश। किसी उपयोगकर्ता को खोजते समय रिकॉर्ड की संख्या को अलग-अलग खातों की संख्या के रूप में समझना चाहिए। अलग-अलग संदर्भों में उल्लिखित लगभग 46 लाख का आँकड़ा इसी संख्या का अनुमानित रूप है। यह नहीं मानना चाहिए कि हर उपयोगकर्ता के लिए समान स्तर की जानकारी मौजूद है, क्योंकि कुछ फ़ील्ड केवल कुछ खातों में हो सकते हैं।

दायरे से बाहर की जानकारी भी स्पष्ट रहनी चाहिए। भुगतान कार्ड, बैंक खाते, सरकारी पहचान संख्या, भौतिक पते, ब्राउज़िंग इतिहास, देखी गई सामग्री या निजी संदेशों की सामग्री इस घटना की पुष्ट डेटा श्रेणियाँ नहीं हैं। घटना के तकनीकी कारण के बारे में सार्वजनिक रूप से उपलब्ध विश्वसनीय विवरण सीमित हैं। इसलिए यह विवरण कारण के बारे में अटकल लगाने के बजाय उन डेटा श्रेणियों पर केंद्रित है जिनकी पुष्टि हुई है। उपयोगकर्ता को बताए जाने वाले जोखिम को स्ट्रीमिंग खाते और संपर्क संबंधी डेटा के लीक होने तक सीमित रखना चाहिए; भुगतान या सरकारी पहचान संबंधी अपुष्ट दावों को इसमें शामिल नहीं करना चाहिए।

जिन लोगों ने Gemplex खाता खोला है, जो भारत स्थित इस ऑनलाइन स्ट्रीमिंग सेवा का उपयोग करते हैं या जो उसी ईमेल पते से मीडिया सदस्यताओं के लिए पंजीकरण करते हैं, वे प्राथमिक जोखिम समूह में आते हैं। अपने खाते में फ़ोन नंबर जोड़ने वाले उपयोगकर्ताओं को सोशल इंजीनियरिंग का अधिक जोखिम होता है। यदि वही पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल किया जाता है, तो जोखिम और बढ़ जाता है, क्योंकि हमलावर अलग-अलग लॉगिन पृष्ठों पर ईमेल और पासवर्ड के संयोजन आज़मा सकते हैं। जो लोग अब अपना पुराना खाता इस्तेमाल नहीं करते, उन्हें भी जोखिम से मुक्त नहीं माना जा सकता, क्योंकि ईमेल और फ़ोन नंबर लंबे समय तक उपयोग में बने रह सकते हैं।

जो लोग परिवार के सदस्यों के साथ साझा डिवाइस इस्तेमाल करते हैं, काम के ईमेल पते से मीडिया खाता खोलते हैं या फ़ोन नंबर पर सहायता संबंधी संदेश प्राप्त करते हैं, उन्हें विशेष सावधानी बरतनी चाहिए। हमलावर सदस्यता नवीनीकरण, डिवाइस सत्यापन, सामग्री तक पहुँच, छूट, खाता बंद करने या पासवर्ड रीसेट करने के बहाने उपयोगकर्ता को संदेश भेज सकता है। जिन खातों में डिवाइस की जानकारी मौजूद है, उनसे जुड़े संदेश अधिक वास्तविक लग सकते हैं। इसलिए केवल पासवर्ड की सुरक्षा ही नहीं, बल्कि फ़ोन और ईमेल पर प्राप्त खाते संबंधी सूचनाओं की प्रामाणिकता भी जाँचनी चाहिए।

जिस उपयोगकर्ता को पता चलता है कि वह प्रभावित हुआ है, उसे सबसे पहले जाँचना चाहिए कि Gemplex के लिए इस्तेमाल किया गया पासवर्ड दूसरे खातों में भी इस्तेमाल हो रहा है या नहीं। यदि वही या उससे मिलता-जुलता पासवर्ड कहीं और इस्तेमाल होता है, तो हर खाते के लिए अलग, लंबा और मज़बूत पासवर्ड रखना चाहिए। ईमेल खाते, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया और अन्य प्रकाशन सेवाओं को प्राथमिकता देनी चाहिए। यदि Gemplex खाते में अब भी प्रवेश किया जा सकता है, तो सक्रिय सत्रों, जुड़े हुए डिवाइसों, फ़ोन नंबर और ईमेल प्राथमिकताओं की समीक्षा करनी चाहिए। यदि सेवा में सत्यापन के अतिरिक्त विकल्प उपलब्ध हों, तो उन्हें चालू करना चाहिए।

Gemplex, सदस्यता, भुगतान, डिवाइस सत्यापन या सुरक्षा चेतावनी से जुड़े संदेशों के लिंक सीधे नहीं खोलने चाहिए। सेवा का उपयोग करना हो, तो उसका पता ब्राउज़र में स्वयं दर्ज करें या किसी ज्ञात आधिकारिक ऐप का इस्तेमाल करें। फ़ोन पर पासवर्ड, भुगतान या सत्यापन कोड माँगे जाने पर इनकार करना चाहिए। संदिग्ध संदेश मिलने पर उसका लिंक खोले बिना खाते का लॉगिन इतिहास जाँचना चाहिए। उसी ईमेल पते से जुड़ी दूसरी सेवाओं पर भी असामान्य लॉगिन की चेतावनियों की जाँच करनी चाहिए। डेटा फैल जाने के बाद भी ये कदम खाते पर कब्ज़ा होने का जोखिम कम करते हैं।

लंबी अवधि में प्रकाशन, गेमिंग, खरीदारी और सोशल मीडिया खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए। पासवर्ड मैनेजर से हर सेवा के लिए अलग पासवर्ड बनाना और पुराने पासवर्ड ढूँढ़ना आसान होता है। जिन खातों में फ़ोन नंबर देना अनिवार्य नहीं है, वहाँ उसे साझा नहीं करना चाहिए। मीडिया और मनोरंजन खातों के लिए अलग ईमेल पता इस्तेमाल करना बेहतर है। इस्तेमाल न होने वाले खातों को नियमित अंतराल पर बंद करना चाहिए या उनमें मौजूद व्यक्तिगत जानकारी कम करनी चाहिए। इससे भविष्य में किसी डेटा लीक के दौरान उजागर हो सकने वाली जानकारी की मात्रा सीमित रहती है।

डिवाइस की जानकारी से जुड़े डेटा उल्लंघनों में सुरक्षा को केवल पासवर्ड तक सीमित नहीं समझना चाहिए। उपयोगकर्ताओं को समय-समय पर अपने खातों से जुड़े डिवाइसों और सूचना संबंधी प्राथमिकताओं की जाँच करनी चाहिए। पुराने फ़ोन, साझा टैबलेट और सार्वजनिक उपयोग वाले कंप्यूटरों पर खुले छोड़े गए सत्र समाप्त कर देने चाहिए। फ़िशिंग से बचाव के प्रशिक्षण में मीडिया सदस्यता, सामग्री तक पहुँच और डिवाइस सत्यापन जैसे बहानों को भी शामिल करना चाहिए। व्यक्तिगत स्तर पर संदिग्ध टेक्स्ट संदेशों की रिपोर्ट करना, अनजान कॉल पर जानकारी साझा न करना और खाते की चेतावनियाँ चालू रखना लंबे समय तक जोखिम घटाने में मदद करता है।

व्यक्तियों की अपुष्ट संख्या, डेटा फ़ील्ड और हमलावरों के दावों को सार्वजनिक रूप से बताए गए इस घटना के दायरे का हिस्सा नहीं माना जाता। इस परिणाम का अर्थ यह नहीं है कि आपके भुगतान कार्ड, सरकारी पहचान, ब्राउज़िंग इतिहास या भौतिक पते का डेटा लीक हुआ है। जिन फ़ील्ड की पुष्टि हुई है, वे हैं डिवाइस की जानकारी, ईमेल पता, नाम, फ़ोन नंबर और bcrypt से सुरक्षित पासवर्ड हैश। सबसे पहले यह जाँचना चाहिए कि Gemplex के लिए इस्तेमाल किया गया पासवर्ड दूसरे खातों पर भी इस्तेमाल किया गया है या नहीं।

यदि आप वही पासवर्ड दूसरे खातों पर भी इस्तेमाल करते हैं, तो संबंधित खातों के पासवर्ड एक-एक करके बदलें और जहाँ संभव हो, अतिरिक्त सत्यापन चालू करें। सदस्यता, डिवाइस सत्यापन या खाते की सुरक्षा से जुड़े टेक्स्ट संदेशों को लेकर सतर्क रहें, क्योंकि आपका फ़ोन नंबर भी प्रभावित हुआ हो सकता है। संदिग्ध लिंक न खोलें; ज्ञात पते या आधिकारिक ऐप के ज़रिए सेवा का उपयोग करें। उसी ईमेल पते का इस्तेमाल करने वाले दूसरे मीडिया और सोशल खातों की लॉगिन गतिविधि जाँचें। इस घटना के लिए सही तरीका यह है कि अपुष्ट डेटा प्रकारों के दावों को बढ़ाने के बजाय ईमेल, फ़ोन, डिवाइस की जानकारी और पुराने पासवर्ड हैश से पैदा होने वाले खाते की सुरक्षा के दीर्घकालिक जोखिमों को कम किया जाए।