Lumin PDF में 2019 की डेटा सेंध

सत्यापित डेटासेट में प्रमाणीकरण टोकन, ईमेल पते, लिंग, नाम, पासवर्ड, बोली जाने वाली भाषाएँ और उपयोगकर्ता नाम शामिल थे। 1,54,53,048 अद्वितीय खाते डुप्लिकेट हटाकर तैयार किए गए खोज योग्य डेटासेट की कुल संख्या को दर्शाते हैं; सार्वजनिक रूप से साझा किए गए आर्काइव में लगभग 2.43 करोड़ पंक्तियाँ होने की सूचना थी, इसलिए इन दोनों आँकड़ों को एक-दूसरे की जगह इस्तेमाल नहीं करना चाहिए। ज़्यादातर रिकॉर्ड में Lumin PDF के Google Drive कनेक्शन से जुड़ा एक्सेस टोकन था, जबकि Lumin पर सीधे बनाए गए 1,18,746 खातों में bcrypt पासवर्ड हैश थे। यह नहीं मानना चाहिए कि हर पंक्ति में पासवर्ड और टोकन दोनों शामिल थे। कंपनी ने कहा कि घटना के समय लीक हुए Google टोकन की वैधता समाप्त हो चुकी थी और उनसे उपयोगकर्ताओं के दस्तावेज़ों या हस्ताक्षरों तक पहुँच नहीं मिल सकती थी। यह कंपनी का दावा था, जिसे खबर प्रकाशित करने वाले समाचार संस्थान ने स्वतंत्र रूप से सत्यापित नहीं किया था।

रिपोर्ट के अनुसार, अप्रैल 2019 में Lumin PDF का एक डेटाबेस बिना पासवर्ड सुरक्षा के इंटरनेट पर खुला छोड़ दिया गया था और उससे डेटा लिया गया था। सितंबर 2019 में उपयोगकर्ताओं की जानकारी एक आपराधिक फ़ोरम पर डाउनलोड के लिए उपलब्ध हुई; पत्रकारों ने उसकी एक प्रति हासिल की और कई Lumin PDF उपयोगकर्ताओं की जानकारी से मिलान करके उसकी प्रामाणिकता जाँची। शुरुआती रिपोर्ट के बाद Lumin PDF ने जाँच की और पुष्टि की कि इस सामग्री में उसके उपयोगकर्ताओं के डेटा का एक हिस्सा शामिल था। उजागर हुए डेटाबेस में लगभग 2.43 करोड़ पंक्तियाँ थीं, जबकि डुप्लिकेट हटाने के बाद मानक कुल संख्या 1,54,53,048 है। कंपनी अपने इस दावे पर कायम रही कि Google एक्सेस टोकन अमान्य थे; समाचार संस्थान ने कहा कि वह इस दावे को स्वतंत्र रूप से सत्यापित नहीं कर सका और Google मामले की जाँच कर रहा था। डेटाबेस ठीक कितने समय तक खुला रहा था और क्या हर पंक्ति का डेटा एक ही समय पर हासिल किया गया था, यह स्थापित नहीं हो पाया। इसलिए किसी अतिरिक्त तकनीकी प्रक्रिया का अनुमान नहीं लगाना चाहिए।

जिन लोगों ने पासवर्ड के साथ सीधे Lumin PDF खाता बनाया था, उनके खाते पर अनधिकृत कब्ज़े का जोखिम है, खासकर अगर उन्होंने ईमेल या किसी दूसरी सेवा पर भी वही पासवर्ड इस्तेमाल किया था। Bcrypt ऑफ़लाइन तरीके से पासवर्ड का अनुमान लगाने की प्रक्रिया धीमी करता है, लेकिन छोटे, आम या पहले किसी सेंध में उजागर हो चुके पासवर्ड का अनुमान लगाना असंभव नहीं बना सकता। जिन उपयोगकर्ताओं ने Google से साइन इन किया था, उनके लिए जोखिम इस बात पर निर्भर करता है कि उस समय एक्सेस टोकन वैध था या नहीं और उसे कौन-सी अनुमतियाँ मिली हुई थीं। हालाँकि कंपनी ने कहा कि टोकन की वैधता समाप्त हो चुकी थी, फिर भी तीसरे पक्ष के ऐप्लिकेशन की पहुँच की समीक्षा करना समझदारी है। नाम, ईमेल पते, उपयोगकर्ता नाम, लिंग और भाषा की सेटिंग का इस्तेमाल दस्तावेज़ साझा करने, हस्ताक्षर के अनुरोधों, चालानों, सहयोग के निमंत्रणों या खाते की सुरक्षा से जुड़े विश्वसनीय लगने वाले संदेश तैयार करने में किया जा सकता है। ईमेल पते का मिलान हो जाना यह साबित नहीं करता कि पासवर्ड का पता लगा लिया गया था, Google खाते में प्रवेश किया गया था या कोई PDF दस्तावेज़ देखा गया था।

यदि आपने सीधे Lumin PDF पर पासवर्ड के साथ पंजीकरण किया था, तो उसे बदलें और उसी या उससे मिलते-जुलते पासवर्ड का इस्तेमाल करने वाले हर दूसरे खाते का पासवर्ड भी बदलें। मुख्य ईमेल खाते को केवल उसी खाते के लिए इस्तेमाल किए जाने वाले पासवर्ड और बहु-कारक प्रमाणीकरण से सुरक्षित करें, क्योंकि पासवर्ड रीसेट करने के ज़्यादातर संदेश वहीं आते हैं। अपने Google खाते में तीसरे पक्ष के ऐप्लिकेशन की अनुमतियों वाला भाग खोलें, Lumin PDF को दी गई अनुमतियों का दायरा जाँचें और यदि आप अब इस सेवा का इस्तेमाल नहीं करते हैं, तो उसकी पहुँच हटा दें। यदि आप इसका इस्तेमाल जारी रखते हैं, तो अनुमति वापस लेकर आधिकारिक ऐप्लिकेशन के ज़रिए दोबारा कनेक्ट करने से पुराने टोकन को अमान्य करने में मदद मिल सकती है। अपरिचित Google सत्रों, सुरक्षा से जुड़ी घटनाओं और कनेक्ट किए गए डिवाइस की समीक्षा करें। साझा दस्तावेज़ों, इलेक्ट्रॉनिक हस्ताक्षरों, चालानों या स्टोरेज की सीमाओं के बारे में अप्रत्याशित रूप से मिले लिंक न खोलें; Lumin PDF और Google Drive को उनके परिचित डोमेन से खोलें। सहायता संबंधी कॉल या संदेश के जवाब में कभी पासवर्ड, एक्सेस टोकन या एक बार इस्तेमाल होने वाला कोड न दें।

हर सेवा के लिए लंबा और अलग पासवर्ड बनाने के लिए पासवर्ड मैनेजर का इस्तेमाल करें, ताकि एक bcrypt हैश से पासवर्ड का पता चल जाने का असर दूसरे खातों तक न फैले। ईमेल और क्लाउड स्टोरेज सेवाओं पर पासकी या फ़िशिंग-प्रतिरोधी बहु-कारक प्रमाणीकरण को प्राथमिकता दें। Google, Microsoft और इसी तरह के खातों में तीसरे पक्ष के ऐप्लिकेशन की अनुमतियों की नियमित समीक्षा करें; इस्तेमाल न होने वाले कनेक्शन हटाएँ और केवल न्यूनतम आवश्यक अनुमतियाँ दें। साझा दस्तावेज़ों की पहुँच सेटिंग, लिंक की अनुमतियों और सहयोगियों की सूचियों की जाँच करें। संगठनों को इंटरनेट से सुलभ डेटाबेस को प्रमाणीकरण, नेटवर्क की अनुमति-सूचियों और फ़ायरवॉल से सुरक्षित रखना चाहिए, बैकअप को पहुँच की अलग सीमाओं के भीतर रखना चाहिए और बाहर से सुलभ संसाधनों की स्कैनिंग करनी चाहिए। OAuth टोकन को न्यूनतम अधिकार दिए जाने चाहिए, उनकी वैधता अवधि कम रखनी चाहिए और उन्हें नियमित रूप से बदलना चाहिए। साथ ही, किसी घटना के बाद बड़ी संख्या में टोकन एक साथ रद्द करने की व्यवस्था होनी चाहिए। किसी प्रेषक पर सिर्फ़ इसलिए भरोसा न करें कि उसे किसी वास्तविक फ़ाइल का नाम या उपयोगकर्ता की कोई जानकारी मालूम है।

Lumin PDF के लिए आपने जिन वर्तमान या पुराने ईमेल पतों का इस्तेमाल किया हो, उन सभी को इस पेज के सुरक्षित खोज फ़ील्ड में जाँचें। पता मिल जाने का मतलब है कि वह 1,54,53,048 सत्यापित अद्वितीय खातों में शामिल है; इससे यह पता नहीं चलता कि उस पंक्ति में bcrypt पासवर्ड हैश था या Google एक्सेस टोकन, न ही इससे टोकन के वैध होने की पुष्टि होती है या यह पता चलता है कि दस्तावेज़ उजागर हुए थे। यदि आपको कोई परिणाम मिलता है, तो पता करें कि आपने सीधे Lumin PDF खाते के लिए पासवर्ड इस्तेमाल किया था या नहीं, जहाँ अब भी वही पासवर्ड दोबारा इस्तेमाल हो रहा हो वहाँ उसे बदलें और Google खाते में तीसरे पक्ष के ऐप्लिकेशन की पहुँच की समीक्षा करें। यदि आपने वही उपयोगकर्ता नाम कहीं और भी इस्तेमाल किया है, तो फ़िशिंग और आपकी प्रोफ़ाइलों को आपस में जोड़े जाने के प्रति सतर्क रहें। खोज फ़ील्ड में कभी पासवर्ड, एक्सेस टोकन, एक बार इस्तेमाल होने वाला कोड या किसी दस्तावेज़ की सामग्री न डालें। कोई परिणाम न मिलना पूरी सुरक्षा की गारंटी नहीं है, क्योंकि किसी दूसरे पते, इस डेटासेट से बाहर के किसी रिकॉर्ड या किसी अन्य घटना के कारण आप फिर भी प्रभावित हो सकते हैं। दस्तावेज़ या हस्ताक्षर से संबंधित संदिग्ध सूचनाओं में दिए गए लिंक का इस्तेमाल करने के बजाय सेवा का परिचित डोमेन सीधे खोलें।