MangaToon: डेटा में सेंध

ईमेल पते, नाम और उपयोगकर्ता नाम का इस्तेमाल लक्षित फ़िशिंग या अलग-अलग खातों को एक ही व्यक्ति से जोड़ने की कोशिशों में किया जा सकता है। वहीं, लिंग संबंधी जानकारी, अवतार और सोशल प्रोफ़ाइल की पहचान से संदेशों को अधिक व्यक्तिगत बनाया जा सकता है। यह पुष्टि हुई कि पासवर्ड सॉल्ट किए गए MD5 हैश के रूप में संग्रहीत थे। सॉल्टिंग एक जैसे पासवर्ड से एक ही हैश बनने से रोकती है, लेकिन MD5 कोई आधुनिक पासवर्ड-हैशिंग एल्गोरिदम नहीं है जिसे जानबूझकर धीमा बनाया गया हो। इसलिए कमज़ोर पासवर्ड पर ऑफ़लाइन अनुमान लगाने का जोखिम बना रहता है। सोशल साइन-इन से प्राप्त प्रमाणीकरण टोकन पासवर्ड नहीं होते, और उनकी वैधता की अवधि बताई नहीं गई थी। फिर भी, चोरी के समय सक्रिय टोकन सत्रों के लिए अलग जोखिम पैदा कर सकते थे। सोशल मीडिया प्रोफ़ाइल डेटा की श्रेणी का मतलब खातों की पहचान से जुड़ी जानकारी है; इससे यह साबित नहीं होता कि निजी संदेश या सोशल नेटवर्क के पासवर्ड भी उजागर हुए थे।

इस घटना की संदर्भ तिथि 13 मई 2022 है। तकनीकी रिपोर्टों में कहा गया कि हमलावर ने आसानी से अनुमान लगाए जा सकने वाले क्रेडेंशियल का इस्तेमाल करके MangaToon के Elasticsearch सर्वर तक पहुँच हासिल की। यह भी आरोप लगाया गया कि पासवर्ड सचमुच “password” था। बताया गया कि हमलावर के कंपनी को सूचित करने के बाद सर्वर का क्रेडेंशियल बदल दिया गया था, लेकिन कंपनी से संपर्क करने और उपयोगकर्ताओं के लिए उसकी प्रतिक्रिया पाने के कई प्रयासों का कोई जवाब नहीं मिला। एक समाचार संगठन के साथ साझा किए गए खातों के नमूनों की भी जाँच की गई और पुष्टि हुई कि वे प्लेटफ़ॉर्म पर वैध थे। जुलाई 2022 में 2 करोड़ 30 लाख से अधिक रिकॉर्ड सत्यापित डेटा लीक की एक निर्देशिका में जोड़े गए। सार्वजनिक जानकारी से यह स्थापित नहीं होता कि डेटाबेस कितने समय तक सुलभ रहा, उस समय टोकन सक्रिय थे या नहीं, या हर रिकॉर्ड में हर फ़ील्ड मौजूद था या नहीं। इसलिए इन बातों को निश्चित तथ्य के रूप में प्रस्तुत नहीं किया जाना चाहिए।

जिन लोगों ने अपना MangaToon पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल किया था और जिन्होंने सोशल खाते के ज़रिए साइन-इन किया था, उन्हें सबसे सीधा जोखिम है। अगर पासवर्ड पता लगा लिया जाए, तो उसका इस्तेमाल वही लॉगिन विवरण स्वीकार करने वाली ईमेल, सोशल मीडिया या अन्य मनोरंजन सेवाओं पर क्रेडेंशियल-स्टफ़िंग की कोशिशों में हो सकता है। जिन उपयोगकर्ताओं के सोशल लॉगिन टोकन रिकॉर्ड में मौजूद थे, उनके लिए केवल पासवर्ड बदलना पर्याप्त नहीं हो सकता; जुड़े हुए ऐप की अनुमतियों और सक्रिय सत्रों की भी समीक्षा ज़रूरी है। नाम, ईमेल पता, लिंग, अवतार और सोशल प्रोफ़ाइल की पहचान को साथ मिलाने से नकली सहायता संदेशों या MangaToon के नाम पर भेजे गए प्रचार संदेशों को अधिक विश्वसनीय बनाया जा सकता है। यह नहीं मानना चाहिए कि सभी 2,30,40,238 रिकॉर्ड में हर फ़ील्ड मौजूद था, या टोकन आज भी वैध हैं। भुगतान और भौतिक पते से जुड़ा डेटा सत्यापित दायरे से बाहर है, इसलिए वित्तीय धोखाधड़ी के दावों को सीधे इस घटना से नहीं जोड़ा जा सकता।

MangaToon का पासवर्ड बदलकर लंबा और ऐसा पासवर्ड रखें जो किसी दूसरी सेवा पर इस्तेमाल न हो। हर उस सेवा के लिए अलग लॉगिन विवरण बनाएँ जहाँ वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया था। संबंधित ईमेल खाते और सोशल मीडिया खाते पर बहु-कारक प्रमाणीकरण चालू करें। अगर आपने सोशल साइन-इन का इस्तेमाल किया था, तो प्रदाता के खाते से जुड़े ऐप की सूची की समीक्षा करें, MangaToon की पहुँच रद्द करें, और दोबारा जोड़ने पर विचार करें तो केवल आधिकारिक ऐप या वेबसाइट के ज़रिए ऐसा करें। मौजूदा सत्र समाप्त करें और अपरिचित साइन-इन की जाँच करें। MangaToon के नाम पर अचानक आए पासवर्ड रीसेट, मुफ़्त टोकन, सदस्यता या सामग्री अनलॉक करने वाले संदेशों के लिंक न खोलें। अगर प्रोफ़ाइल का ईमेल पता, उपयोगकर्ता नाम, अवतार या जुड़ा हुआ सोशल खाता आपकी अनुमति के बिना बदल गया हो, तो आधिकारिक माध्यम से सहायता टीम से संपर्क करें। डेटा लीक की खोज करने वाले किसी फ़ॉर्म या तीसरे पक्ष की वेबसाइट पर कभी भी पासवर्ड या टोकन का मान दर्ज न करें।

हर सेवा के लिए अलग पासवर्ड बनाने वाला पासवर्ड मैनेजर पुराने डेटा लीक का असर दूसरे खातों तक पहुँचने से रोकता है। सोशल साइन-इन सुविधाजनक हो सकता है, लेकिन जुड़े हुए ऐप की सूची की समय-समय पर समीक्षा करके अनावश्यक ऐप हटाने चाहिए और इस्तेमाल न होने वाले सत्र रद्द करने चाहिए। कई खातों की रिकवरी ईमेल के ज़रिए होती है, इसलिए ईमेल खाते को सबसे मज़बूत, अलग पासवर्ड और बहु-कारक प्रमाणीकरण से सुरक्षित रखें। अगर MangaToon खाते की अब ज़रूरत नहीं है, तो आधिकारिक माध्यमों से उसे मिटाने या बंद करने के विकल्पों का पता लगाएँ। सेवा संचालकों के लिए टिकाऊ सुरक्षा उपायों में प्रबंधन इंटरफ़ेस को सार्वजनिक इंटरनेट से दूर रखना, सेवा के लिए मज़बूत और अलग क्रेडेंशियल इस्तेमाल करना, नेटवर्क पहुँच सीमित करना, आधुनिक पासवर्ड हैशिंग अपनाना, टोकन की वैधता अवधि सीमित करना, असामान्य गतिविधियों की निगरानी करना और घटना की सूचना देने की स्पष्ट प्रक्रिया चलाना शामिल है।

LeakData में अपना ईमेल पता खोजकर देखें कि वह MangaToon डेटा लीक के रिकॉर्ड से मेल खाता है या नहीं। केवल अपना ईमेल पता या ऐसा पता खोजें जिसकी समीक्षा करने की आपको अनुमति है। मेल मिलने का मतलब है कि वह पता सत्यापित डेटासेट में मौजूद है; इससे यह साबित नहीं होता कि पासवर्ड पता लगा लिया गया था, कोई सोशल टोकन अभी भी वैध है, या खाते पर किसी और ने नियंत्रण कर लिया था। कोई परिणाम न मिलने पर भी दूसरे माध्यम से मिली भरोसेमंद सुरक्षा सूचना को नज़रअंदाज़ नहीं करना चाहिए। अगर मेल मिलता है, तो सबसे पहले दूसरी सेवाओं पर भी इस्तेमाल किए गए पासवर्ड बदलें। इसके बाद जुड़े हुए सोशल ऐप, सक्रिय सत्रों और खाते की रिकवरी सेटिंग की समीक्षा करें।