hemmelig.com डेटा में सेंध

सत्यापित डेटा प्रकारों में ईमेल पते, लिंग संबंधी जानकारी, उपनाम, जन्म तिथि के कुछ हिस्से, पासवर्ड और यूज़रनेम शामिल हैं। ईमेल पते का इस्तेमाल व्यक्ति के मुख्य संचार खाते से जुड़ने के लिए किया जा सकता है। यूज़रनेम और उपनाम से अलग-अलग प्लेटफ़ॉर्म पर मौजूद प्रोफ़ाइलों को एक ही व्यक्ति से जोड़ने का जोखिम रहता है। लिंग और जन्म तिथि के कुछ हिस्सों जैसे प्रोफ़ाइल फ़ील्ड सोशल इंजीनियरिंग संदेशों को अधिक विश्वसनीय बना सकते हैं।

पासवर्ड हैश विशेष रूप से महत्वपूर्ण हैं। मौजूदा सुरक्षा मानकों के अनुसार MD5 को कमज़ोर माना जाता है। सॉल्ट का इस्तेमाल न होने पर एक ही पासवर्ड से एक ही आउटपुट बनता है, जिससे हमलावरों के लिए बड़ी पासवर्ड सूचियों की मदद से तेज़ी से अलग-अलग पासवर्ड आज़माना आसान हो जाता है। इसलिए, यदि उपयोगकर्ता को अपना पुराना पासवर्ड याद है, तो समान या मिलते-जुलते पैटर्न वाले सभी खातों के पासवर्ड बदले बिना यह नहीं माना जा सकता कि उसने जोखिम कम कर लिया है।

वयस्क उत्पादों की दुकान से जुड़ा होने के कारण यह मामला आम ई-कॉमर्स खाते के डेटा लीक से अधिक संवेदनशील है। भले ही लीक हुए डेटा सेट में भुगतान कार्ड या पते की जानकारी न हो, इस सेवा से किसी व्यक्ति के जुड़ाव का इस्तेमाल सामाजिक दबाव डालने, शर्मिंदा करने वाले संदेश भेजने या लक्षित फ़िशिंग प्रयासों के लिए किया जा सकता है। इसलिए पासवर्ड की सुरक्षा और गोपनीयता का प्रबंधन साथ-साथ किया जाना चाहिए।

hemmelig.com की घटना में सेंध की पुष्ट तारीख 21 दिसंबर 2011 है, डेटाबेस में इसे जोड़ने की तारीख 25 मार्च 2014 है और प्रभावित अलग-अलग खातों की संख्या 28,641 है। यह घटना स्वतंत्र सत्यापन की प्रक्रिया में है और इसकी संवेदनशील प्रकृति को बरकरार रखा जाना चाहिए। लोगों की अपुष्ट संख्या, अपुष्ट डेटा फ़ील्ड और हमलावरों के अपुष्ट दावे इस घटना के सार्वजनिक दायरे का हिस्सा नहीं माने जाते।

इसका दायरा केवल hemmelig.com डोमेन और सत्यापित डेटा श्रेणियों तक सीमित है। फ़ोन नंबर, भौतिक पता, भुगतान कार्ड, बैंक खाता, सरकारी पहचान संख्या, पासपोर्ट, ऑर्डर का विवरण, निजी संदेश या प्रोफ़ाइल फ़ोटो इस घटना के सत्यापित फ़ील्ड नहीं हैं। इसलिए उपयोगकर्ता को बताया जाने वाला जोखिम ईमेल, लिंग, उपनाम, जन्म तिथि के कुछ हिस्सों, पासवर्ड और यूज़रनेम से जुड़े फ़ील्ड के आधार पर समझाया जाना चाहिए।

इस लीक के बारे में कुछ बयानों में '28 हज़ार से अधिक खाते' कहा गया है, लेकिन अलग-अलग खातों की संख्या के लिए 28,641 का मान इस्तेमाल किया जाना चाहिए। पुरानी सूचियों में मूल डेटा की पंक्तियों की कुल संख्या या बीच के चरणों में की गई गिनती अलग दिख सकती है। उपयोगकर्ताओं पर पड़े प्रभाव की गणना करते समय अलग-अलग खातों की सत्यापित संख्या और प्रमाणित डेटा प्रकारों को आधार बनाया जाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिनका 2011 से पहले या उस समय hemmelig.com पर खाता था, जिन्होंने अन्य सेवाओं के लिए भी वही ईमेल पता इस्तेमाल किया और कई खातों में एक ही पासवर्ड दोहराया। जो लोग दूसरे प्लेटफ़ॉर्म पर भी अपना वही यूज़रनेम या उपनाम इस्तेमाल करते हैं, उनके लिए अलग-अलग प्रोफ़ाइलों को उनकी पहचान से जोड़ने का जोखिम बढ़ जाता है।

जिन लोगों को वयस्क उत्पादों की दुकान से अपना जुड़ाव सामने आने पर नुकसान हो सकता है, वे गोपनीयता के लिहाज़ से विशेष रूप से अधिक जोखिम में हैं। हमलावर पुराने ईमेल, उपनाम या पासवर्ड की जानकारी का इस्तेमाल करके किसी व्यक्ति को डराने, शर्मिंदा करने या उससे भुगतान माँगने की कोशिश कर सकते हैं। ऐसे संदेशों में खाते की वास्तविक जानकारी होने पर भी उन्हें अपने-आप विश्वसनीय नहीं मानना चाहिए।

लिंग और जन्म तिथि के कुछ हिस्सों की जानकारी का इस्तेमाल खाते की रिकवरी प्रक्रियाओं में सहायक जानकारी के रूप में या व्यक्ति के अनुरूप तैयार किए गए फ़िशिंग संदेशों में किया जा सकता है। यदि जन्म वर्ष या जन्म तिथि के कुछ हिस्सों का इस्तेमाल सुरक्षा प्रश्नों, PIN चुनने या पासवर्ड के पैटर्न में किया गया है, तो उपयोगकर्ता को इन फ़ील्ड की अलग से समीक्षा करनी चाहिए।

प्रभावित उपयोगकर्ता को अपने hemmelig.com खाते में इस्तेमाल किए गए पासवर्ड का उपयोग पूरी तरह बंद कर देना चाहिए। यदि दूसरे खातों पर वही या मिलता-जुलता पासवर्ड अब भी मान्य है, तो हर खाते के लिए एक अलग और लंबा नया पासवर्ड चुनना चाहिए। मुख्य ईमेल खाते, सोशल मीडिया, खरीदारी के खातों और पासवर्ड रीसेट करने के लिए इस्तेमाल होने वाली सेवाओं की सुरक्षा को प्राथमिकता दी जानी चाहिए।

जिन खातों में दो-चरणीय सत्यापन की सुविधा है, उनमें यह सुरक्षा चालू कर देनी चाहिए। उपयोगकर्ता को पुराने पासवर्ड या उपनाम वाले धमकी भरे संदेशों के जवाब में भुगतान नहीं करना चाहिए और उनके लिंक पर क्लिक नहीं करना चाहिए। खातों तक सीधे किसी भरोसेमंद ब्राउज़र सत्र के ज़रिए पहुँचना चाहिए। अनपेक्षित लॉगिन अलर्ट, पासवर्ड रीसेट की सूचनाओं और सत्रों के इतिहास की जाँच करनी चाहिए।

यदि खाते की रिकवरी से जुड़े प्रश्नों में जन्म तिथि के कुछ हिस्सों या लिंग संबंधी जानकारी का इस्तेमाल किया गया है, तो इन जवाबों को बदल देना चाहिए। यदि यूज़रनेम दूसरे प्लेटफ़ॉर्म पर भी मौजूद है, तो प्रोफ़ाइल की दृश्यता कम करनी चाहिए और संवेदनशील खरीदारी वाले खाते तथा मुख्य पहचान के बीच जुड़ाव सीमित करना चाहिए।

hemmelig.com की घटना दिखाती है कि संवेदनशील खरीदारी या वयस्क सामग्री से जुड़ी सेवाओं में अपनी मुख्य पहचान से पंजीकरण करने का जोखिम लंबे समय तक बना रह सकता है। ऐसी सेवाओं में अलग ईमेल उपनाम, अलग पासवर्ड और न्यूनतम प्रोफ़ाइल जानकारी को प्राथमिकता देनी चाहिए। यह उपनाम अन्य सोशल मीडिया या फ़ोरम खातों में इस्तेमाल किए जाने वाले उपनाम जैसा नहीं होना चाहिए।

पासवर्ड मैनेजर का इस्तेमाल करने से हर खाते के लिए अलग और बेतरतीब पासवर्ड बनाना आसान हो जाता है। पुराने MD5-आधारित लीक का इस्तेमाल भी कई साल बाद क्रेडेंशियल स्टफिंग के प्रयासों में किया जा सकता है, इसलिए पुराने पासवर्ड पैटर्न का उपयोग पूरी तरह बंद कर देना चाहिए। उपयोगकर्ताओं को समय-समय पर उन ईमेल पतों और पुराने उपनामों की जाँच करनी चाहिए जिनका उन्होंने पहले इस्तेमाल किया है।

कॉर्पोरेट सुरक्षा टीमों के लिए ऐसी घटनाएँ इस बात की याद दिलाती हैं कि कर्मचारियों के निजी खरीदारी खातों या संवेदनशील सेवाओं के खातों से लक्षित फ़िशिंग का जोखिम पैदा हो सकता है। प्रशिक्षण में निजी और गोपनीय डेटा का इस्तेमाल करके दबाव डालने की स्थितियाँ, रिपोर्ट करने के सुरक्षित माध्यम और कर्मचारियों को कलंकित किए बिना उनका सहयोग करने का दृष्टिकोण शामिल होना चाहिए।

जो उपयोगकर्ता जानना चाहता है कि hemmelig.com में डेटा सेंध से वह प्रभावित हुआ था या नहीं, उसे विश्वसनीय खाते की सुरक्षा स्क्रीन पर संबंधित ईमेल पते की जाँच करनी चाहिए। सकारात्मक परिणाम का मतलब है कि वह ईमेल पता hemmelig.com से जुड़े संवेदनशील और सत्यापित डेटा सेट में शामिल है। यह परिणाम साबित नहीं करता कि उपयोगकर्ता का आज भी कोई सक्रिय खाता है; जोखिम 2011 के समय की खाता जानकारी से उत्पन्न हो सकता है।

सकारात्मक परिणाम पाने वाले उपयोगकर्ताओं को अपने पासवर्ड बदलने चाहिए, मुख्य ईमेल खाते को सुरक्षित करना चाहिए, दो-कारक प्रमाणीकरण चालू करना चाहिए और एक ही यूज़रनेम को कई जगह इस्तेमाल करना कम करना चाहिए। पुराने ईमेल पतों, उपनामों और अलग-अलग यूज़रनेम की भी जाँच करनी चाहिए। नकारात्मक परिणाम का मतलब केवल इतना है कि जिस ईमेल पते की जाँच की गई, उसका कोई मिलान नहीं मिला। पहले इस्तेमाल किए गए अन्य पतों की भी जाँच करनी चाहिए।

हालाँकि hemmelig.com का डेटा लीक मध्यम स्तर का लगता है, लेकिन संवेदनशील खरीदारी से जुड़ा होने और कमज़ोर हैश के जोखिम के कारण यह महत्वपूर्ण है। सबसे उचित कदम हैं: एक ही पासवर्ड का बार-बार इस्तेमाल बंद करना, संवेदनशील खातों को मुख्य पहचान से अलग रखना, धमकी भरे संदेशों का जवाब न देना और यह सुनिश्चित करना कि पुराने खाते की जानकारी अब भी दूसरी सेवाओं पर इस्तेमाल नहीं हो रही है।