Knuddels में 2018 का डेटा उल्लंघन

Knuddels के फ़ोरम पर किए गए खुलासे के अनुसार, एक अज्ञात व्यक्ति ने 5 सितंबर 2018 को Pastebin पर 8,000 सदस्यों के रिकॉर्ड प्रकाशित किए। कंपनी ने 6 सितंबर को डेटा की प्रामाणिकता की पुष्टि की, प्रभावित लॉगिन विवरणों को अस्थायी रूप से निष्क्रिय किया और पासवर्ड रीसेट करने के उपाय तैयार किए। 7 सितंबर को उसे एक बड़ी फ़ाइल का लिंक मिला, जिसमें 18,72,000 उपनाम और पासवर्ड थे; Knuddels ने कहा कि इसके बाद उसने सभी सदस्यों के लिए पासवर्ड बदलना अनिवार्य किया और सूचनाएँ भेजीं।

बताया गया कि पहले 8,000 रिकॉर्ड में उपनाम और पासवर्ड थे। इसके अलावा, 57% रिकॉर्ड में ईमेल, 41% में पहला नाम और 30% में निवास स्थान था। कंपनी ने यह भी कहा कि लगभग 8,08,000 ईमेल पतों में से करीब 3,30,000 सत्यापित थे और अलग-अलग लोगों के थे। बाहरी डेटासेट में 8,08,330 अलग-अलग ईमेल की संख्या ईमेल पहचानकर्ताओं की गिनती है; इसे कंपनी द्वारा बताए गए सत्यापित लोगों के उपसमूह की संख्या के स्थान पर इस्तेमाल नहीं किया गया है।

Knuddels ने बताया कि उसने 2012 में पासवर्ड हैश का इस्तेमाल शुरू कर दिया था, लेकिन एक पुराने फ़िल्टर के लिए पासवर्ड का बिना एन्क्रिप्शन वाला संस्करण भी रखा था। यह फ़िल्टर उपयोगकर्ताओं को चैट में पासवर्ड साझा करने से रोकने के लिए बनाया गया था। कंपनी ने 7 सितंबर 2018 को वे संस्करण हटा दिए और फ़िल्टर निष्क्रिय कर दिया। उसकी जाँच में पुराने ऑपरेटिंग सिस्टम वाले एक बैकअप सर्वर को शुरुआती संभावित कमजोरी के रूप में चिह्नित किया गया और उस सर्वर को बंद कर दिया गया; फ़ोरम की पोस्ट में इस निष्कर्ष को इस बात का अंतिम निर्धारण नहीं बताया गया था कि शुरुआती पहुँच कैसे मिली, इसलिए यहाँ इसे निश्चित कारण नहीं बताया गया है।

Baden-Württemberg के डेटा संरक्षण प्राधिकरण ने बाद में प्लेनटेक्स्ट में पासवर्ड रखने के लिए Knuddels पर €20,000 का जुर्माना लगाया। नियामक ने कंपनी की ओर से तुरंत सूचना दिए जाने, सहयोग, पारदर्शिता और सुरक्षा सुधारों को भी ध्यान में रखा। जुर्माने की राशि डेटासेट में लोगों या ईमेल पतों की संख्या का माप नहीं है।

पूर्ण हो चुके प्रोडक्शन जॉब में केवल ईमेल वाली फ़ाइल की 8,08,156 वैध पंक्तियों को संसाधित किया गया और उतनी ही अलग-अलग ईमेल संबद्धताएँ बनाई गईं। यह फ़ाइल दो स्पष्ट रूप से निर्दिष्ट ईमेल कॉलमों का संयुक्त समुच्चय लेकर बनाई गई थी। स्थानीय आयात में यूज़रनेम, पासवर्ड, नाम, स्थान और अन्य पाठ फ़ील्ड शामिल नहीं किए गए। स्थानीय ईमेल संख्या बाहरी आँकड़े से 174 कम है; चूँकि स्रोत का संस्करण और सामान्यीकरण का विवरण एक जैसा नहीं है, इसलिए इस अंतर का कोई कारण निर्धारित नहीं किया गया है।

Knuddels की आधिकारिक वेबसाइट और घटना से जुड़ा फ़ोरम अभी भी सक्रिय हैं। स्थानीय सूचकांक में किसी ईमेल पते का मिलान होना सदस्यता, वास्तविक पहचान, शहर या पासवर्ड का अब भी इस्तेमाल होने का प्रमाण नहीं है। यदि 2018 में इस्तेमाल किया गया कोई पासवर्ड किसी दूसरी सेवा पर उसी या मिलते-जुलते रूप में दोबारा इस्तेमाल किया गया था, तो वहाँ उसे बदलकर ऐसा पासवर्ड रखना चाहिए जो किसी और सेवा पर इस्तेमाल न हो। साइन-इन या पासवर्ड रीसेट के अप्रत्याशित संदेशों की जाँच संदेश में दिए गए लिंक पर जाने के बजाय आधिकारिक सेवा को सीधे खोलकर करनी चाहिए।