LinkedIn डेटा में सेंध

पुष्ट डेटा के प्रकारों में ईमेल पते, पासवर्ड के बिना सॉल्ट वाले SHA-1 हैश और LinkedIn सदस्य ID ही माने जाने चाहिए। ईमेल पता किसी व्यक्ति की पेशेवर पहचान से सीधे जुड़ा हो सकता है और उसका इस्तेमाल उस व्यक्ति को निशाना बनाकर भेजे जाने वाले संदेशों में किया जा सकता है। सदस्य ID एक आंतरिक पहचानकर्ता है, जिसका इस्तेमाल किसी खाते की प्रोफ़ाइल से संबंध स्थापित करने के लिए होता है। पासवर्ड हैश, पासवर्ड का पढ़ा जा सकने वाला रूप नहीं होता; हालाँकि, बिना सॉल्ट वाला SHA-1 अब पासवर्ड संग्रहित करने का कमजोर तरीका माना जाता है और खास तौर पर छोटे या आम पासवर्ड के क्रैक होने का जोखिम बढ़ाता है।

सबसे गंभीर जोखिम एक ही पासवर्ड को दोबारा इस्तेमाल करने से पैदा होता है। अगर वही पुराना LinkedIn पासवर्ड ईमेल, कामकाजी खातों, सोशल नेटवर्क, फ़ोरम, भुगतान से जुड़े खातों या क्लाउड सेवाओं पर भी इस्तेमाल किया गया है, तो हमलावर दूसरे लॉगिन पेजों पर उसी ईमेल और पासवर्ड के संयोजन को आज़मा सकते हैं। पेशेवर नेटवर्क का खाता होने के कारण फ़िशिंग संदेश अधिक विश्वसनीय लग सकते हैं: इनमें नौकरी के नकली प्रस्ताव, कनेक्शन अनुरोध, मानव संसाधन विभाग के संदेश, फ़ाइल साझा करने के संदेश या खाते की सुरक्षा से जुड़े अलर्ट जैसे विषय इस्तेमाल किए जा सकते हैं। इस घटना में भुगतान कार्ड या निजी संदेशों की सामग्री के लीक होने की पुष्टि नहीं हुई है।

सेंध लगने का वर्ष 2012 दर्ज है; डेटा मई 2016 में बड़े पैमाने पर सामने आया। पुष्ट खातों की संख्या 16,46,11,595 ही मानी गई है। कुछ समाचार रिपोर्टों में 117 मिलियन, 164 मिलियन या 167 मिलियन जैसी अलग-अलग संख्याएँ मिल सकती हैं; इसकी वजह डेटा के अलग-अलग हिस्से, सत्यापन के शुरुआती चरण और समाचारों में संख्याओं को पूर्णांकित करके बताना है। उपयोगकर्ताओं की जाँच के लिए आधार के रूप में ली जाने वाली खातों की पुष्ट संख्या 16,46,11,595 है।

दायरे की सीमा स्पष्ट है। पुष्ट फ़ील्ड वही हैं जिनका उल्लेख आधिकारिक सूचनाओं में है: ईमेल पता, पासवर्ड हैश और सदस्य ID। यह नहीं मान लेना चाहिए कि इस घटना में प्रोफ़ाइल पर दिखने वाला पूरा कार्य इतिहास, कनेक्शन सूचियाँ, निजी संदेश, भुगतान संबंधी जानकारी, फ़ोन नंबर, भौतिक पते या आधिकारिक पहचान दस्तावेज़ लीक हुए थे। इस घटना का आकलन पूरी पेशेवर प्रोफ़ाइल की जानकारी के बजाय खाते में लॉगिन की जानकारी और आंतरिक पहचानकर्ताओं के आधार पर किया जाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिनका LinkedIn खाता 2012 से पहले था और जिन्होंने उस समय का पासवर्ड दूसरे खातों पर भी बार-बार इस्तेमाल किया। कामकाजी ईमेल से LinkedIn इस्तेमाल करने वालों के लिए जोखिम अधिक है, क्योंकि उसी ईमेल पते को कॉर्पोरेट लॉगिन पेजों पर या काम से जुड़े संदेशों के ज़रिए निशाना बनाया जा सकता है। अधिकारियों, बिक्री, मानव संसाधन, वित्त, कानूनी और तकनीकी टीमों के सदस्यों तथा सार्वजनिक पेशेवर प्रोफ़ाइल वाले लोगों को अधिक लक्षित सोशल इंजीनियरिंग संदेश मिल सकते हैं।

जिन उपयोगकर्ताओं ने 2012 के बाद अपना पासवर्ड बदल लिया है, उनके लिए LinkedIn पर जोखिम कम हो सकता है; लेकिन अगर वही पुराना पासवर्ड कहीं और अब भी इस्तेमाल हो रहा है, तो खतरा बना रहता है। अगर पुराना पासवर्ड निजी ईमेल खातों, कंपनी के आंतरिक टूल या सोशल नेटवर्क पर इस्तेमाल किया गया था, तो हमलावर को डेटा के एक ही सेट के आधार पर कई खातों तक पहुँचने का मौका मिल सकता है। LinkedIn खाता अब सक्रिय न हो, तब भी वही ईमेल पता और पुराना पासवर्ड दूसरी सेवाओं पर सुरक्षा संबंधी समस्याएँ पैदा कर सकते हैं।

पहला कदम यह सुनिश्चित करना है कि 2012 में LinkedIn के लिए इस्तेमाल किया गया पासवर्ड अब किसी भी खाते पर इस्तेमाल न हो रहा हो। अगर दूसरी सेवाओं पर वही या उससे मिलता-जुलता पासवर्ड है, तो हर खाते के लिए एक अलग, लंबा और मजबूत पासवर्ड रखना चाहिए। LinkedIn खाते पर दो-कारक प्रमाणीकरण चालू करना चाहिए और सक्रिय सत्रों तथा जुड़े हुए ऐप्लिकेशन की समीक्षा करनी चाहिए। कामकाजी ईमेल से पंजीकृत खातों के लिए कॉर्पोरेट और निजी पासवर्ड पूरी तरह अलग रखने चाहिए।

LinkedIn के नाम पर आने वाले नकली संदेशों से सावधान रहना चाहिए। ऐसी घटनाओं के बाद नकली कनेक्शन निमंत्रण, नौकरी के प्रस्ताव वाली फ़ाइलें, मानव संसाधन विभाग के फ़ॉर्म, पासवर्ड रीसेट अलर्ट और खाता सत्यापन संदेश अधिक विश्वसनीय लग सकते हैं। लिंक पर क्लिक करने के बजाय सीधे संबंधित सेवा पर जाना चाहिए और भेजने वाले का ईमेल पता तथा लॉगिन इतिहास जाँचना चाहिए। जिन ईमेल खातों, सोशल नेटवर्क, क्लाउड स्टोरेज और कामकाजी टूल पर वही पुराना पासवर्ड इस्तेमाल किया गया था, वहाँ भी पासवर्ड बदलने चाहिए।

लंबी अवधि में पेशेवर नेटवर्क खातों की सुरक्षा के बुनियादी कदम हैं: हर खाते के लिए अलग पासवर्ड, दो-चरणीय सत्यापन और सत्रों की नियमित जाँच। पासवर्ड मैनेजर के इस्तेमाल से यह पता लगाना आसान होता है कि पुराना LinkedIn पासवर्ड कहाँ-कहाँ दोबारा इस्तेमाल किया गया है। कामकाजी ईमेल और निजी खातों के पासवर्ड अलग रखने चाहिए, खाता पुनर्प्राप्ति के लिए दिए गए ईमेल पते अद्यतन रखने चाहिए और सुरक्षा सूचनाएँ चालू रखनी चाहिए। तीसरे पक्ष के अनावश्यक कनेक्शन हटा देने चाहिए और पुराने उपकरणों के सत्र समाप्त कर देने चाहिए।

कंपनी के नज़रिए से LinkedIn की घटना दिखाती है कि कर्मचारियों के पेशेवर नेटवर्क खाते कंपनी की सुरक्षा से सीधे जुड़े हो सकते हैं। पासवर्ड के दोबारा इस्तेमाल को रोकने वाली नीतियों, दो-कारक प्रमाणीकरण, संदिग्ध लॉगिन अलर्ट और कर्मचारियों में फ़िशिंग के प्रति जागरूकता पर एक साथ काम किया जाना चाहिए। अगर किसी पुराने बाहरी खाते का पासवर्ड कंपनी के ईमेल या कामकाजी टूल के पासवर्ड जैसा ही है, तो डेटा लीक की एक घटना कंपनी के लिए जोखिम बन सकती है। इसलिए निजी और पेशेवर पहचान से जुड़े पासवर्ड हमेशा अलग रखने चाहिए।

अगर आपको मेल खाने वाला परिणाम दिखता है, तो आपका ईमेल पता LinkedIn डेटा लीक से जुड़े 16,46,11,595 खातों में शामिल हो सकता है। इस परिणाम का मतलब यह नहीं है कि आपकी प्रोफ़ाइल की सारी जानकारी या आपके निजी संदेश लीक हुए हैं। पुष्ट डेटा फ़ील्ड हैं: ईमेल पता, पासवर्ड हैश और सदस्य ID। सबसे पहले यह जाँचना चाहिए कि 2012 में LinkedIn के लिए इस्तेमाल किया गया पासवर्ड दूसरे खातों पर भी बना रहा या नहीं।

अगर आपका LinkedIn खाता सक्रिय है, तो उसके लिए अलग पासवर्ड रखें, दो-कारक प्रमाणीकरण चालू करें और सक्रिय सत्रों की समीक्षा करें। अगर वही पुराना पासवर्ड दूसरी सेवाओं पर इस्तेमाल किया गया है, तो उन खातों के पासवर्ड भी बदलें। अगर आप कामकाजी ईमेल इस्तेमाल करते हैं, तो कॉर्पोरेट खातों के पासवर्ड भी जाँचें और संदिग्ध लॉगिन अलर्ट पर ध्यान दें। इस घटना में सही तरीका प्रोफ़ाइल डेटा के बारे में अपुष्ट दावों को बढ़ावा देना नहीं, बल्कि ईमेल और पुराने पासवर्ड के संयोजन से पैदा होने वाले खाते की सुरक्षा के लंबे समय तक बने रहने वाले जोखिम को कम करना है।