Last.fm डेटा में सेंध

Last.fm डेटा लीक में जिन प्रमुख फ़ील्ड की पुष्टि हुई है, वे हैं ईमेल पते, उपयोगकर्ता नाम, पासवर्ड और वेबसाइट पर की गई गतिविधियाँ। ईमेल पता और उपयोगकर्ता नाम एक साथ उपलब्ध होने पर हमलावर व्यक्ति-विशेष के हिसाब से पासवर्ड आज़माने की योजना बना सकते हैं, नकली सुरक्षा चेतावनियाँ भेज सकते हैं और खाते की रिकवरी के संदेश तैयार कर सकते हैं। वहीं, वेबसाइट की गतिविधियों से उपयोगकर्ता के संगीत खाते की पसंद, प्रोफ़ाइल के इस्तेमाल और सेवा से जुड़े व्यवहार की जानकारी मिलती है, जिससे सोशल इंजीनियरिंग का जोखिम बढ़ता है।

पासवर्ड का बिना सॉल्ट वाले MD5 हैश के रूप में मौजूद होना इस जोखिम का सबसे गंभीर पहलू है। आधुनिक सुरक्षा मानकों के अनुसार MD5 कमज़ोर है; बिना सॉल्ट मान के संग्रहीत पासवर्ड को डिक्शनरी और पहले से गणना की गई हैश सूचियों की मदद से अधिक तेज़ी से तोड़ा जा सकता है। यदि ईमेल, सोशल मीडिया, संगीत, गेमिंग या खरीदारी के खातों में वही पासवर्ड दोहराया गया है, तो हमलावर उजागर हुए लॉगिन विवरण दूसरी सेवाओं पर भी आज़मा सकते हैं। इसलिए Last.fm का परिणाम केवल किसी पुराने संगीत खाते के बारे में चेतावनी नहीं है, बल्कि खाते की सुरक्षा का एक उच्च-प्राथमिकता वाला संकेत है, जिसके आधार पर पासवर्ड का दोबारा इस्तेमाल बंद करना ज़रूरी है।

डेटा सुरक्षा में सेंध मार्च 2012 में लगी थी। सेवा ने 2012 में पासवर्ड सुरक्षा को लेकर उपयोगकर्ताओं को चेतावनी दी थी, लेकिन डेटा समूह के वास्तविक पैमाने की जानकारी 2016 में अधिक व्यापक रूप से सामने आई। सत्यापित खाता रिकॉर्ड समूह में 3,72,17,682 अलग-अलग ईमेल पते हैं; घटना की व्यापक रिपोर्टों में लगभग 4 करोड़ 30 लाख खाता रिकॉर्ड का उल्लेख मिलता है। यह अंतर दोहराए गए खातों, ईमेल डेटा की सफ़ाई और सत्यापित किए जा सकने वाले अलग-अलग रिकॉर्ड की पहचान के कारण है।

इस पृष्ठ पर डेटा की श्रेणियाँ केवल उन फ़ील्ड तक सीमित हैं जिन्हें खाते की सुरक्षा की जाँच में सत्यापित किया जा सकता है: ईमेल पते, पासवर्ड, उपयोगकर्ता नाम और वेबसाइट पर की गई गतिविधियाँ। घटना से जुड़े अपुष्ट तकनीकी विवरण या प्रोफ़ाइल के ऐसे अतिरिक्त फ़ील्ड, जिनके हर उपयोगकर्ता पर लागू होने की पुष्टि नहीं हुई है, यहाँ प्रमुख डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किए गए हैं। उद्देश्य उपयोगकर्ताओं को यह बताना है कि वास्तविक जोखिम कहाँ केंद्रित है और अनावश्यक डर पैदा किए बिना सुरक्षा के सही कदमों को स्पष्ट करना है।

मुख्य जोखिम समूह में वे लोग हैं जिनका Last.fm खाता है, जो अलग-अलग प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम रखते हैं और पुराने पासवर्ड का दोबारा इस्तेमाल करते हैं। संगीत सेवाओं का इस्तेमाल अक्सर सोशल प्रोफ़ाइल, उपयोगकर्ता नाम और अन्य प्लेटफ़ॉर्म से जुड़े कनेक्शन के साथ किया जाता है, इसलिए हमलावर अलग-अलग साइटों पर उसी पहचान को खोज सकते हैं। पुराना उपयोगकर्ता नाम अब भी सोशल मीडिया, ईमेल या गेमिंग खातों पर दिखाई देने से खातों को एक ही व्यक्ति से जोड़ पाने का जोखिम बढ़ता है।

पासवर्ड का दोबारा इस्तेमाल करने वाले लोगों के लिए जोखिम अधिक है। भले ही 2012 में इस्तेमाल किया गया पासवर्ड आज इस्तेमाल में न हो, यदि नए पासवर्ड उसी पुराने पासवर्ड के पैटर्न पर बनाए गए हैं, तो हमलावर उसके मिलते-जुलते रूप आज़मा सकते हैं। यदि ईमेल खाते का पासवर्ड भी उसी पैटर्न से जुड़ा है, तो दूसरे खातों की पासवर्ड रीसेट प्रक्रियाओं को भी निशाना बनाया जा सकता है। संगीत की पसंद और प्रोफ़ाइल से जुड़े व्यवहार का इस्तेमाल व्यक्ति-विशेष के लिए नकली संदेश तैयार करने में हो सकता है, इसलिए फ़िशिंग के जोखिम को भी नज़रअंदाज़ नहीं करना चाहिए।

उन सभी खातों के पासवर्ड तुरंत बदलने चाहिए जिनमें Last.fm वाला या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। नया पासवर्ड हर खाते के लिए अलग, लंबा और यादृच्छिक होना चाहिए; उसे पासवर्ड मैनेजर में सुरक्षित रखना चाहिए। ईमेल खातों, सोशल मीडिया, संगीत सेवाओं, गेमिंग खातों और भुगतान जानकारी वाले प्लेटफ़ॉर्म को प्राथमिकता देनी चाहिए। पुराने पासवर्ड के अंत में कोई अंक जोड़ना या उसके अक्षरों में छोटे बदलाव करना पर्याप्त सुरक्षा नहीं देता।

हर ऐसे खाते पर बहु-कारक प्रमाणीकरण चालू करना चाहिए जो इसकी सुविधा देता है। ईमेल खाते में लॉगिन इतिहास, रिकवरी पते, फ़ॉरवर्डिंग नियम और अनजान डिवाइस की जाँच करनी चाहिए। Last.fm या संगीत सेवाओं के नाम पर आने वाली नकली सुरक्षा चेतावनियों, गाने साझा करने वाले लिंक, प्रोफ़ाइल सत्यापन संदेशों और पासवर्ड रीसेट अनुरोधों से सावधान रहना चाहिए। किसी लिंक पर क्लिक करने से पहले डोमेन नाम की जाँच करनी चाहिए और संदिग्ध संदेशों के ज़रिए पासवर्ड दर्ज नहीं करना चाहिए।

Last.fm की घटना दिखाती है कि कई साल पहले डेटा सुरक्षा में लगी सेंध आज भी खाते की सुरक्षा को प्रभावित कर सकती है। उपयोगकर्ताओं को नियमित रूप से अपने पुराने पासवर्ड की समीक्षा करनी चाहिए, अलग-अलग सेवाओं पर एक ही पासवर्ड दोबारा इस्तेमाल नहीं करना चाहिए और जहाँ संभव हो, ईमेल उपनामों का इस्तेमाल करना चाहिए। यदि सोशल प्रोफ़ाइल के नाम, संगीत खाते और फ़ोरम के उपयोगकर्ता नाम बहुत मिलते-जुलते हों, तो हमलावरों के लिए खातों को आपस में जोड़ना आसान हो जाता है।

स्थायी सुरक्षा के लिए पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड की नीति, बहु-कारक प्रमाणीकरण और सत्र सूचनाओं का एक साथ इस्तेमाल करना चाहिए। इस्तेमाल न होने वाले पुराने खाते बंद कर देने चाहिए या कम से कम उन्हें मज़बूत पासवर्ड से सुरक्षित करना चाहिए। कंपनियों में कर्मचारियों को अपने निजी संगीत और सोशल खातों के पासवर्ड काम से जुड़े खातों पर दोहराने से रोकने के लिए लीक हुए पासवर्ड की जाँच, सुरक्षा प्रशिक्षण और अतिरिक्त सत्यापन नीतियाँ लागू करनी चाहिए।

यदि खाते की सुरक्षा की जाँच में Last.fm का परिणाम दिखाई देता है, तो इसका अर्थ है कि संबंधित ईमेल पता 2012 में Last.fm की डेटा सुरक्षा में लगी सेंध से जुड़े सत्यापित खाता रिकॉर्ड समूह में शामिल है। इस परिणाम का यह अर्थ नहीं है कि आपका वर्तमान Last.fm खाता आज हैक हो गया है; हालाँकि, यह संकेत देता है कि पहले इस्तेमाल किए गए उपयोगकर्ता नाम, ईमेल पते और पासवर्ड की जानकारी के दुरुपयोग का जोखिम हो सकता है। यदि वही पासवर्ड दूसरे खातों पर भी इस्तेमाल किया गया था, तो जोखिम अधिक है।

पहला कदम अपने ईमेल खाते को सुरक्षित करना है। इसके बाद उन सभी खातों को एक-एक करके अपडेट करना चाहिए जिनमें वही या मिलता-जुलता पासवर्ड इस्तेमाल होता है। यदि संदिग्ध सत्र, अनजान डिवाइस, अप्रत्याशित पासवर्ड रीसेट संदेश या आपके खाते से भेजी गई अजीब सूचनाएँ दिखाई दें, तो सत्र समाप्त कर देने चाहिए और संबंधित सेवा के सुरक्षा केंद्र के ज़रिए समीक्षा शुरू करनी चाहिए। पासवर्ड का दोबारा इस्तेमाल पूरी तरह बंद करना, पुराने संगीत और सोशल खातों को अपडेट करना और फ़िशिंग संदेशों से सावधान रहना, Last.fm के परिणाम मिलने पर उपयोगकर्ताओं के लिए सबसे प्रभावी कदम हैं।