LinkedIn से स्क्रैप किया गया और गढ़ा हुआ डेटा (2023)

सूची में दी गई डेटा श्रेणियाँ ईमेल पते, नाम, लिंग, भौगोलिक स्थान, पदनाम, पेशेवर कौशल और सोशल मीडिया प्रोफ़ाइल हैं। नाम, नियोक्ता, पदनाम, कौशल और प्रोफ़ाइल लिंक मुख्यतः वास्तविक डेटा हैं, जिन्हें सार्वजनिक प्रोफ़ाइल से स्क्रैप किया गया है। वहीं, ईमेल पतों का एक बड़ा हिस्सा किसी व्यक्ति के नाम को उसके नियोक्ता के डोमेन से जोड़कर एल्गोरिदम के ज़रिए बनाया गया था। इसलिए यह नहीं मानना चाहिए कि सूची में दिया गया हर पता मौजूद है या उस पर ईमेल प्राप्त होता है। इस घटना में जिन डेटा श्रेणियों की पुष्टि हुई है, उनमें पासवर्ड, निजी संदेश, फ़ोन नंबर और LinkedIn का वह आंतरिक खाता डेटा शामिल नहीं है जिस तक पहुँच नियंत्रित है। इस पृष्ठ पर दी गई 1,97,88,753 की संख्या अलग-अलग ईमेल स्ट्रिंग की संख्या है, न कि वास्तविक LinkedIn खातों या उन मेलबॉक्स की संख्या जिनकी सुरक्षा भंग हुई है।

पहला दावा 4 नवंबर 2023 को “LinkedIn डेटाबेस 2023” नाम से सामने आया, जिसमें लगभग 25 लाख प्रोफ़ाइल रिकॉर्ड होने की बात कही गई थी। 7 नवंबर को उसी पक्ष ने एक और बड़ा पैकेज पोस्ट किया, जिसमें 3.5 करोड़ पंक्तियाँ होने का दावा किया गया था। विस्तृत विश्लेषण में वास्तविक LinkedIn प्रोफ़ाइल पहचानकर्ता और सार्वजनिक पेशेवर जानकारी मिली। इनके साथ ऐसे ईमेल पते भी थे जिन्हें असंबंधित कंपनियों के डोमेन पर नाम का एक ही पैटर्न लागू करके बनाया गया था। अंतिम मानक कैटलॉग में 1,97,88,753 अलग-अलग ईमेल पहचानकर्ता हैं और इसकी मिली-जुली संरचना के कारण इसे स्पैम सूची के रूप में चिह्नित किया गया है। यह रिकॉर्ड पूरी तरह गढ़ा हुआ नहीं है: इसमें ऐसे वास्तविक पते हैं जिनके लिए डबल ऑप्ट-इन पूरा किया गया था, और 10 लाख से कुछ कम ऐसे पते भी हैं जो पहले अन्य डेटासेट में देखे जा चुके हैं। इन निष्कर्षों से यह सिद्ध नहीं होता कि 2023 में LinkedIn के सिस्टम हैक किए गए थे, किसी पासवर्ड डेटाबेस तक पहुँच हासिल की गई थी या सदस्यों का निजी डेटा निकाला गया था।

सबसे अधिक जोखिम उन लोगों को है जिनकी सार्वजनिक LinkedIn प्रोफ़ाइल से उनके नियोक्ता, पदनाम, स्थान या कौशल का पता चलता है और जिनके कॉर्पोरेट ईमेल पते के पैटर्न का अनुमान आसानी से लगाया जा सकता है। भले ही बनाया गया पता मौजूद न हो, किसी वास्तविक नाम, कंपनी और भूमिका के बीच संबंध का इस्तेमाल लक्षित फ़िशिंग और सोशल इंजीनियरिंग में किया जा सकता है। जिन लोगों का वास्तविक पता सूची में है, उन्हें भर्ती के फ़र्ज़ी संदेश, साझेदारी के प्रस्ताव, इनवॉइस के अनुरोध, फ़ाइल साझा करने की सूचनाएँ या साइन-इन अलर्ट मिल सकते हैं। यदि किसी कंपनी का डोमेन कैच-ऑल कॉन्फ़िगरेशन के ज़रिए ईमेल स्वीकार करता है, तो एल्गोरिदम से बनाए गए पतों पर भी ईमेल पहुँच सकता है, भले ही वे पते कभी किसी खास कर्मचारी को आवंटित न किए गए हों। इससे कंपनी के सिस्टम में अवांछित संदेश आ सकते हैं। सूची में किसी का नाम या पता होना इस बात का प्रमाण नहीं है कि उसके LinkedIn खाते तक पहुँच हासिल की गई थी, उसका पासवर्ड चुराया गया था या उसके मेलबॉक्स की सुरक्षा भंग हुई थी।

आपका पहला कदम यह पता लगाना है कि मिलान में आया ईमेल पता वास्तव में आपका है या नहीं और उस पर ईमेल प्राप्त हो सकता है या नहीं। हो सकता है कि वह केवल आपके नाम और आपके वर्तमान या पूर्व नियोक्ता के डोमेन से बनाया गया हो; यदि वह मेलबॉक्स कभी मौजूद ही नहीं था, तो इस मिलान को खाते की सुरक्षा भंग होने का संकेत न मानें। यदि पता वास्तविक है, तो भर्ती, फ़ाइल साझा करने, पासवर्ड रीसेट करने और कॉर्पोरेट साइन-इन से जुड़े अप्रत्याशित संदेशों से सावधान रहें। ईमेल और LinkedIn खातों पर मल्टी-फ़ैक्टर प्रमाणीकरण सक्षम करें, फिर सक्रिय सत्रों और खाता पुनर्प्राप्ति के विकल्पों की समीक्षा करें। इस डेटासेट में पासवर्ड नहीं हैं, इसलिए केवल इस मिलान की वजह से हर पासवर्ड बदलना ज़रूरी नहीं है; कमज़ोर या कई जगह इस्तेमाल किए गए पासवर्ड को अद्वितीय पासवर्ड से बदलना अब भी सुरक्षा का अच्छा अभ्यास है। कॉर्पोरेट सुरक्षा टीमों को ऐसे पतों पर भेजे गए ईमेल की निगरानी करनी चाहिए जो मौजूद नहीं हैं लेकिन जिनका अनुमान लगाया जा सकता है। उन्हें कैच-ऑल के व्यवहार और संगठन की नकल करने वाले डोमेन पर भी नज़र रखनी चाहिए।

अपने काम का विवरण देने के लिए ज़रूरी पेशेवर जानकारी और उन विवरणों के बीच संतुलन रखें जो किसी और के लिए आपकी पहचान का इस्तेमाल कर धोखा देना आसान बनाते हैं। सार्वजनिक प्रोफ़ाइल के पाठ में व्यक्तिगत ईमेल पते, फ़ोन नंबर या गली या सड़क सहित पूरा पता न डालें। संपर्क जानकारी किसे दिखती है और प्रोफ़ाइल कैसे खोजी जा सकती है, इससे जुड़ी सेटिंग की नियमित समीक्षा करें। संगठनों को कर्मचारियों के ईमेल पतों के पैटर्न अनावश्यक रूप से प्रकाशित करने से बचना चाहिए, SPF, DKIM और DMARC नीतियाँ लागू करनी चाहिए और मिलते-जुलते डोमेन के पंजीकरण की निगरानी करनी चाहिए। कर्मचारियों को यह प्रशिक्षण दें कि किसी संदेश में सही नाम और पदनाम होना इस बात का प्रमाण नहीं है कि प्रेषक वैध है। LinkedIn की शर्तें प्रोफ़ाइल और सेवा के डेटा को स्क्रैप करने या कॉपी करने के लिए स्वचालित टूल इस्तेमाल करने पर रोक लगाती हैं; सार्वजनिक रूप से दिखाई देने वाली जानकारी को बड़ी मात्रा में दोबारा वितरित करने की अनुमति अपने-आप नहीं मिल जाती। लगातार मिलने वाले डेटा उल्लंघन अलर्ट और डोमेन की निगरानी से यह पता लगाने में मदद मिलती है कि वास्तविक या जनरेट किए गए पते बाद की सूचियों में कब दिखाई देते हैं।

यह जानने के लिए कि आपका डेटा इस रिकॉर्ड में है या नहीं, डेटा उजागर होने की जानकारी खोजने वाले किसी भरोसेमंद माध्यम से अपने वर्तमान और पूर्व कॉर्पोरेट ईमेल पतों की अलग-अलग जाँच करें। मिलान मिलने के बाद पता लगाएँ कि वह पता कभी बनाया गया था या नहीं, उसका इस्तेमाल कब हुआ था और परिणाम में उस नियोक्ता से आपका जो संबंध दिखाया गया है, वह सही है या नहीं। परिणाम का मतलब यह हो सकता है कि सार्वजनिक प्रोफ़ाइल की जानकारी इकट्ठा की गई थी या आपके नाम के आधार पर पते का अंदाज़ा लगाया गया था; इसका मतलब यह नहीं है कि आपके LinkedIn खाते या मेलबॉक्स की सुरक्षा भंग हुई थी। भले ही मिलान में आया पता कभी मौजूद न रहा हो, एक बड़ी डेटा फ़ाइल में आपका वास्तविक नाम, कंपनी या करियर का इतिहास होने का मतलब है कि लक्षित धोखाधड़ी के जोखिम को पूरी तरह नज़रअंदाज़ नहीं किया जाना चाहिए। व्यक्तिगत जानकारी को दोबारा वितरित किए बिना इसकी सूचना सुरक्षा टीम को दें और संदिग्ध संदेशों के नमूने उनके हेडर डेटा सहित सुरक्षित रखें। बिना अनुमति किसी दूसरे व्यक्ति का पता खोजकर जाँच न करें; परिणामों का उपयोग केवल अपने खातों या उन संगठनात्मक डोमेन की सुरक्षा के लिए करें जिनका प्रबंधन करने की आपको अनुमति है।