LinkedIn से स्क्रैप किया गया डेटा (2021)

LinkedIn से स्क्रैप किए गए डेटा के रिकॉर्ड में सत्यापित फ़ील्ड हैं: शिक्षा का स्तर, ईमेल पता, लिंग, भौगोलिक स्थान, पदनाम, नाम संबंधी जानकारी और सोशल मीडिया प्रोफ़ाइल के लिंक। पासवर्ड, पासवर्ड हैश, भुगतान कार्ड, निजी संदेश, सेशन टोकन, सुरक्षा प्रश्न या सरकारी पहचान संख्या इस रिकॉर्ड के सत्यापित फ़ील्ड में शामिल नहीं हैं। फिर भी जोखिम को कम नहीं आँकना चाहिए; पेशेवर प्रोफ़ाइल की जानकारी से किसी उपयोगकर्ता के कार्यस्थल, जिम्मेदारी के क्षेत्र, संपर्कों और संभावित निर्णय लेने के अधिकार के बारे में ठोस संकेत मिलते हैं। ईमेल पते के साथ पदनाम और स्थान की जानकारी प्रसारित होने से लक्षित फ़िशिंग संदेश कहीं अधिक विश्वसनीय लग सकते हैं। भर्ती, आपूर्ति, वित्त, मानव संसाधन और प्रबंधन से जुड़े पदों पर काम करने वाले लोगों को विशेष रूप से निशाना बनाया जा सकता है। वहीं, सोशल मीडिया प्रोफ़ाइल के लिंक अलग-अलग प्लेटफ़ॉर्म पर एक ही व्यक्ति के खातों को जोड़ने और उसकी अधिक व्यापक प्रोफ़ाइल बनाने का आधार देते हैं।

LinkedIn से स्क्रैप किए गए डेटा की घटना सार्वजनिक रूप से उपलब्ध प्रोफ़ाइल डेटा जुटाने से संबंधित है। LinkedIn ने भी अपने बयानों में इस अंतर को स्पष्ट किया है; इस घटना में सदस्यों के निजी डेटा, पासवर्ड संबंधी जानकारी या बंद खातों की सामग्री उजागर होने का कोई सत्यापित प्रमाण नहीं है। फिर भी सुरक्षा के लिहाज से यह घटना महत्वपूर्ण है, क्योंकि सार्वजनिक प्रोफ़ाइल के अलग-अलग फ़ील्ड भले ही हानिरहित लगें, लेकिन बड़े डेटासेट में एक साथ जुड़ने पर वे निशाना बनाने के लिए अत्यंत उपयोगी सूचियाँ बन सकते हैं। 12,56,98,496 अद्वितीय ईमेल पतों की संख्या उन खातों के दायरे का संकेत देती है, जिनका खोज करने पर मिलान हो सकता है। लगभग 40 करोड़ पंक्तियों का उल्लेख रिकॉर्ड की व्यापक मात्रा को दर्शाता है, जिसमें एक ही व्यक्ति की कई प्रविष्टियाँ, दोहराए गए प्रोफ़ाइल फ़ील्ड या अलग-अलग डेटा स्रोतों का संयोजन शामिल हो सकता है। इसलिए LinkedIn से स्क्रैप किए गए डेटा की इस घटना को 2012 में हुई LinkedIn पासवर्ड डेटा लीक की घटना या 2023 में प्रसारित हुए नकली और मिश्रित LinkedIn डेटासेट से नहीं मिलाना चाहिए। एक ही डोमेन से जुड़े होने के बावजूद, इनकी तारीखें, डेटा के प्रकार और जोखिम का स्वरूप अलग हैं।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है, जो अपनी LinkedIn प्रोफ़ाइल में पदनाम, कंपनी का नाम, शहर, शैक्षणिक पृष्ठभूमि और सोशल मीडिया लिंक जैसी विस्तृत जानकारी रखते हैं। कॉर्पोरेट ईमेल पते से पंजीकृत कर्मचारी, प्रबंधक, मानव संसाधन विशेषज्ञ, वित्तीय टीमें, बिक्री प्रतिनिधि, खरीद अधिकारी और तकनीकी अधिकारी लक्षित संदेशों के प्रति अधिक संवेदनशील हैं। हमलावर इस डेटा का इस्तेमाल ऐसे संदेश बनाने के लिए कर सकते हैं, जो नौकरी के वास्तविक अवसर, आपूर्तिकर्ता के अनुरोध, दस्तावेज़ साझा करने के संदेश, बैठक के निमंत्रण या आंतरिक घोषणाएँ लगें। यदि एक ही ईमेल पता अलग-अलग सोशल नेटवर्क पर दिखाई देता है, तो किसी व्यक्ति के निजी जीवन और उसकी पेशेवर पहचान को आपस में जोड़ा जा सकता है। नौकरी तलाशने वालों के लिए नकली भर्ती संदेश प्रमुख जोखिम हैं; प्रबंधकों के लिए सहायक या आपूर्तिकर्ता के नाम से भेजा गया नकली पत्राचार; और तकनीकी टीमों के लिए पहुँच के नकली अनुरोध। इस स्थिति में, भले ही पासवर्ड की पुष्टि न हुई हो, प्रोफ़ाइल की पृष्ठभूमि हमलावर को किसी व्यक्ति के अनुसार संदेश ढालने में मदद करती है।

जिन उपयोगकर्ताओं का LinkedIn से स्क्रैप किए गए डेटा के रिकॉर्ड में मिलान होता है, उन्हें सबसे पहले अपने ईमेल खाते की सुरक्षा जाँचनी चाहिए। इस घटना में पासवर्ड एक सत्यापित फ़ील्ड नहीं है; हालाँकि, यदि उसी ईमेल पते के साथ पासवर्ड अन्य डेटा उल्लंघनों में सामने आया हो, तो दोनों जोखिम जुड़ सकते हैं। ईमेल खाते के लिए मजबूत और अद्वितीय पासवर्ड इस्तेमाल करना चाहिए, दो-कारक प्रमाणीकरण सक्षम करना चाहिए और अपरिचित सेशन बंद करने चाहिए। LinkedIn प्रोफ़ाइल पर सार्वजनिक रूप से दिखाई देने वाले ईमेल, फ़ोन, स्थान, शिक्षा, कंपनी के भीतर की भूमिका और अन्य सोशल प्रोफ़ाइल लिंक की समीक्षा करनी चाहिए। कॉर्पोरेट उपयोगकर्ताओं को पदनाम और कंपनी की जानकारी के संदर्भ के साथ आने वाले नकली बैठक, प्रस्ताव, बिल, भर्ती या दस्तावेज़ साझा करने के संदेशों से सावधान रहना चाहिए। अपरिचित संपर्कों से मिली फ़ाइलें और लॉगिन पृष्ठ बिना जाँच किए नहीं खोलने चाहिए। यदि कामकाजी और निजी खातों के लिए एक ही ईमेल पता इस्तेमाल किया जाता है, तो इन खातों को अलग करना चाहिए और महत्वपूर्ण खातों के लिए अलग-अलग सुरक्षा सेटिंग अपनानी चाहिए।

लंबी अवधि में पेशेवर सोशल नेटवर्क की प्रोफ़ाइलों को केवल अपनी पहचान और काम को लोगों के सामने लाने का साधन नहीं, बल्कि हमले का संभावित माध्यम भी मानना चाहिए। प्रोफ़ाइल के सार्वजनिक रूप से उपलब्ध हिस्सों में अनावश्यक निजी विवरण कम से कम रखने चाहिए; शहर, शिक्षा का वर्ष, पिछले कार्यस्थल, संपर्क सूचियाँ और अन्य सोशल प्रोफ़ाइल लिंक केवल जरूरत होने पर ही दिखाने चाहिए। संगठनों को यह समझते हुए कि कर्मचारियों के सार्वजनिक पदनाम लक्षित फ़िशिंग का जोखिम बढ़ाते हैं, सुरक्षा जागरूकता प्रशिक्षण को वास्तविक परिस्थितियों के उदाहरणों से मजबूत करना चाहिए। दो-कारक प्रमाणीकरण, पासवर्ड मैनेजर और अद्वितीय पासवर्ड के इस्तेमाल को बुनियादी मानक माना जाना चाहिए। अलग-अलग उद्देश्यों के लिए अलग ईमेल पते रखने चाहिए; काम, सोशल नेटवर्क और निजी उपयोग को एक ही पते से नहीं जोड़ना चाहिए। इंटरनेट पर प्रोफ़ाइल डेटा के प्रसार को पलटना मुश्किल है; इसलिए शुरुआत से ही सार्वजनिक रूप से दिखाई देने वाली जानकारी सीमित रखना बाद के जोखिमों को कम करने की सबसे प्रभावी रणनीति है।

LinkedIn से स्क्रैप किए गए डेटा के रिकॉर्ड में मिलान होने का अर्थ यह नहीं है कि आपका LinkedIn पासवर्ड चोरी हो गया है; इसका अर्थ है कि आपका ईमेल पता और प्रोफ़ाइल के कुछ फ़ील्ड एक बड़े सामूहिक डेटासेट में शामिल हैं। पहला कदम अपने ईमेल खाते और LinkedIn खाते की सुरक्षा सेटिंग जाँचना होना चाहिए। इसके बाद प्रोफ़ाइल की दृश्यता कम करनी चाहिए, सोशल मीडिया के अनावश्यक संपर्क हटाने चाहिए और पदनाम का संदर्भ देकर आने वाले अप्रत्याशित संदेशों के प्रति अधिक सावधानी बरतनी चाहिए। कॉर्पोरेट खाते इस्तेमाल करने वाले लोग इस मिलान की सूचना सुरक्षा टीम को दे सकते हैं, क्योंकि लक्षित फ़िशिंग अक्सर एक कर्मचारी से शुरू होकर कंपनी के सिस्टम तक पहुँचने की दिशा में बढ़ती है। मिलान न होने पर भी, LinkedIn से स्क्रैप किए गए डेटा की यह घटना दिखाती है कि सार्वजनिक प्रोफ़ाइल डेटा को बड़े डेटासेट में जोड़ा जा सकता है। सबसे उचित तरीका है कि प्रोफ़ाइल पर दिखाई देने वाली जानकारी कम की जाए, खातों को अलग-अलग पासवर्ड से सुरक्षित रखा जाए और पेशेवर पहचान का दुरुपयोग करने वाले संदेशों को नियमित रूप से जाँचने की आदत विकसित की जाए।