MapExpert: डेटा उजागर होने का कथित मामला

सत्यापन के दौरान अगस्त 2018 के संदर्भ में mapexpert.com.ua डोमेन नाम की पुष्टि हुई। इसमें 10,967 रिकॉर्ड और ईमेल पते थे, साथ ही प्लेन टेक्स्ट पासवर्ड के फ़ील्ड होने के समर्थन में साक्ष्य मिले। पुराने फ़ोरम, ई-कॉमर्स, खेल आयोजनों, गेमिंग समुदायों, तकनीकी आपूर्ति और मानचित्रण साइटों के पंजीकरण के मामले में यह तरीका विशेष रूप से महत्वपूर्ण है। मिलते-जुलते नामों वाली साइटें, बंद हो चुके डोमेन या दूसरे पते पर भेजने वाले डोमेन एक ही घटना से जुड़े हुए लग सकते हैं। MapExpert का रिकॉर्ड तैयार करते समय नाम, डोमेन नाम, रिकॉर्ड की संख्या, घटना का समय और डेटा की श्रेणी को एक साथ परखा गया।

पासवर्ड प्लेन टेक्स्ट में संग्रहीत होने के समर्थन में साक्ष्य हैं, इसलिए उसी पासवर्ड का दोबारा इस्तेमाल होने पर खाते पर कब्ज़े का जोखिम सीधा और अधिक है। तकनीकी शिक्षा और मानचित्रण से जुड़े उपयोगकर्ताओं के कामकाजी या शैक्षणिक ईमेल इस्तेमाल करने के कारण, एक ही पासवर्ड के उपयोग से यह जोखिम अन्य पेशेवर खातों तक भी फैल सकता है। इसलिए यह रिकॉर्ड विस्तार से लिखा गया है, ताकि उपयोगकर्ता को केवल घटना का नाम ही न मिले, बल्कि वह यह भी समझ सके कि कौन-से पासवर्ड बदलने हैं, किन खातों की जाँच करनी है और किन संदिग्ध संदेशों पर ध्यान देना है।

इस घटना में सामने आए डेटा की श्रेणियाँ ईमेल पतों और पासवर्ड तक सीमित हैं। मानचित्र फ़ाइलों, परियोजना डेटा, स्थान इतिहास, भुगतान, फ़ोन या भौतिक पते के फ़ील्ड नहीं जोड़े गए हैं, क्योंकि उनके समर्थन में साक्ष्य नहीं हैं। यह सीमा जानबूझकर रखी गई है: डेटा सेंध के रिकॉर्ड में दायरा बढ़ाकर दिखाने से उपयोगकर्ता उन खातों को जोखिम में समझ सकते हैं जो वास्तव में जोखिम में नहीं हैं, या उन पासवर्ड पर ध्यान देना भूल सकते हैं जो सचमुच जोखिम में हैं।

वर्तमान जाँचों में mapexpert.com.ua डोमेन को भरोसेमंद ढंग से चल रही सक्रिय सेवा के रूप में सत्यापित नहीं किया जा सका, या वह अपने पुराने ब्रांड संदर्भ से अलग दिखाई दिया। इसलिए रिकॉर्ड में सेवा को बंद हो चुकी या पहुँच से बाहर सेवा के रूप में रखा गया। वेबसाइट की स्थिति घटना के समय पड़े सुरक्षा प्रभाव को समाप्त नहीं करती। भले ही पुराना डोमेन आज किसी दूसरे पेज पर भेजता हो, पार्क किया हुआ दिखाई देता हो या सेवा बदल गई हो, पासवर्ड के दोबारा इस्तेमाल के कारण लीक हुए लॉगिन विवरण वर्षों बाद भी स्वचालित प्रयासों में इस्तेमाल किए जा सकते हैं।

उपयोगकर्ता को सबसे पहले यह जाँचना चाहिए कि MapExpert से जुड़ा ईमेल पता अन्य सेवाओं में भी इस्तेमाल होता है या नहीं। यदि दूसरी साइटों पर भी उसी ईमेल और पासवर्ड की जोड़ी का इस्तेमाल किया गया है, तो जोखिम केवल एक खाते तक सीमित नहीं है। विशेष रूप से ईमेल, सोशल मीडिया, खरीदारी, गेम, फ़ोरम, नौकरी के आवेदन और कॉर्पोरेट पोर्टल के खातों में एक ही पासवर्ड होने से एक के बाद एक खातों पर कब्ज़े का जोखिम बढ़ता है।

यह भी जाँचें कि GIS, शिक्षा, शैक्षणिक और व्यावसायिक खातों में वही पासवर्ड इस्तेमाल हो रहा है या नहीं। पासवर्ड बदलते समय छोटे-मोटे बदलाव करना पर्याप्त नहीं है। उदाहरण के लिए, पुराने पासवर्ड के अंत में साल, विस्मयादिबोधक चिह्न या साइट का नाम जोड़ने पर स्वचालित हमले के उपकरण ऐसे पासवर्ड आसानी से आज़मा सकते हैं। सबसे अच्छा तरीका है हर खाते के लिए अलग और लंबा पासवर्ड बनाना, जहाँ संभव हो वहाँ बहु-कारक प्रमाणीकरण चालू करना और खाते की पुनर्प्राप्ति के लिए दिए गए पुराने ईमेल पतों की समीक्षा करना।

संस्थागत दृष्टि से, इन पंजीकरण, मानचित्रण और प्रशिक्षण साइटों पर उपयोगकर्ता तालिकाओं, पुराने PHP अनुप्रयोगों और प्लेन टेक्स्ट में पासवर्ड रखने से जुड़े जोखिमों की नियमित जाँच होनी चाहिए। डेटा सेंध का प्रभाव केवल उपयोगकर्ता तालिका लीक होने तक सीमित नहीं रहता। यदि वही पासवर्ड VPN, व्यवस्थापक पैनल, ग्राहक पोर्टल, CMS, क्लाउड स्टोरेज या ईमेल खाते में इस्तेमाल होते हैं, तो यह घटना नेटवर्क के भीतर एक प्रणाली से दूसरी तक पहुँचने और अनधिकृत पहुँच का जोखिम बन सकती है।

MapExpert का जोखिम आकलन करते समय पासवर्ड के भंडारण प्रारूप को भी ध्यान में रखा गया: प्लेन टेक्स्ट पासवर्ड। प्लेन टेक्स्ट पासवर्ड व्यवहार में सबसे अधिक जोखिम पैदा करते हैं, क्योंकि उन्हें सीधे इस्तेमाल किया जा सकता है। MD5, salted MD5, पुराने फ़ोरम सॉफ़्टवेयर के हैश या salt की जानकारी वाली तालिकाओं को भी आधुनिक हार्डवेयर की मदद से परखा जा सकता है, भले ही वे प्लेन टेक्स्ट में न हों।

यह रिकॉर्ड इस तरह तैयार किया गया है कि MapExpert डेटा सेंध, GIS साइट पर पासवर्ड लीक, मानचित्रण प्लेटफ़ॉर्म की सुरक्षा और प्लेन टेक्स्ट पासवर्ड का जोखिम जैसे अलग-अलग नामों से घटना का दायरा समझना आसान हो। उद्देश्य यह है कि MapExpert की डेटा सेंध से प्रभावित कोई भी व्यक्ति स्पष्ट रूप से देख सके कि क्या हुआ, किन डेटा प्रकारों की पुष्टि हुई है, कौन-से फ़ील्ड बाहर रखे गए हैं और उसे सुरक्षा के कौन-से कदम उठाने चाहिए।

गलत मिलान कम करने के लिए मिलते-जुलते नामों को अलग रखा गया है। mapexpert.com.ua से असंबंधित सामान्य संग्रह, अन्य ब्रांडों के मिलते-जुलते नाम वाले डेटाबेस या केवल एक पंक्ति के दावे तक सीमित रिकॉर्ड इस घटना के साथ नहीं जोड़े गए हैं। यह अंतर एक ही डेटा सेंध को बार-बार दर्ज होने से रोकता है और सुनिश्चित करता है कि उपयोगकर्ता को सूची में वास्तव में संबंधित डोमेन नाम ही मिले।

घटना का ऐतिहासिक संदर्भ भी महत्वपूर्ण है। अगस्त 2018 में सुरक्षा संरचना, पासवर्ड भंडारण के मानक और फ़ोरम या वेब अनुप्रयोगों के रखरखाव के तरीके आज की अपेक्षाओं से अलग हो सकते थे। लेकिन इससे पुराने रिकॉर्ड का प्रभाव कम नहीं होता। पुरानी डेटा सेंधों से मिले ईमेल और पासवर्ड की जोड़ियों को नई सेवाओं पर आज़माकर आज भी खातों पर कब्ज़े के प्रयास किए जा सकते हैं।

MapExpert के रिकॉर्ड में उपयोगकर्ता को दिखाई जाने वाली संख्या 10,967 रखी गई है। पंजीकरणों की संख्या का उपयोगकर्ताओं की सटीक संख्या के बराबर होना आवश्यक नहीं है। कुछ डेटासेट में दोहराई गई पंक्तियाँ, परीक्षण खाते या अधूरे फ़ील्ड हो सकते हैं। इसके बावजूद, पुष्ट कुल संख्या घटना के आकार और सुरक्षा को दी जाने वाली उस प्राथमिकता का पर्याप्त संकेत देती है जिसे उपयोगकर्ताओं को ध्यान में रखना चाहिए।

यह रिकॉर्ड सुरक्षा जागरूकता के उद्देश्य से तैयार किया गया है। उपयोगकर्ताओं को लीक हुआ डेटा खोजने, डाउनलोड करने या साझा करने के लिए प्रोत्साहित नहीं किया जाता। उन्हें संबंधित खातों की सुरक्षा बढ़ानी चाहिए, एक ही पासवर्ड का दोहराव समाप्त करना चाहिए, संदिग्ध सत्र बंद करने चाहिए, पुनर्प्राप्ति के विकल्प अपडेट करने चाहिए और, यदि संभव हो, पासवर्ड मैनेजर की मदद से सभी खातों के लिए अलग-अलग पासवर्ड रखने चाहिए।

MapExpert की घटना में डेटा प्रकार सीमित दिखाई देने के बावजूद, केवल ईमेल पता, उपयोगकर्ता नाम और पासवर्ड हमलावर के लिए पर्याप्त हो सकते हैं। ईमेल पते का उपयोग किसी पहचान से जोड़ने, पासवर्ड रीसेट करने के प्रयासों, नकली सूचनाओं, अभियान संबंधी ईमेल और लक्षित सोशल इंजीनियरिंग के लिए किया जा सकता है। यदि पासवर्ड का दोबारा इस्तेमाल किया गया है, तो उससे सीधे लॉगिन का प्रयास किया जा सकता है।

खाताधारकों के लिए व्यावहारिक जाँच सूची यह है: संबंधित सेवा में इस्तेमाल किया गया पुराना पासवर्ड याद करें, वही या मिलता-जुलता पासवर्ड इस्तेमाल करने वाले सभी खातों के पासवर्ड बदलें, मुख्य ईमेल खाते का लॉगिन इतिहास जाँचें, दो-चरणीय सत्यापन चालू करें और पुराने पासवर्ड का किसी भी सेवा में दोबारा इस्तेमाल न करें। संस्थाओं के लिए जाँच सूची में पुरानी उपयोगकर्ता तालिकाओं तक पहुँच बंद करना, पासवर्ड हैश नीतियों का ऑडिट करना और लीक हुए लॉगिन विवरणों को बड़े पैमाने पर आज़माने के प्रयासों (क्रेडेंशियल स्टफ़िंग) पर अलर्ट की व्यवस्था करना शामिल है।

यह पाठ तैयार करते समय घटना से बाहर के ब्रांडों, सामान्य संग्रहों और अप्रमाणित डेटा फ़ील्ड को जानबूझकर विवरण में शामिल नहीं किया गया। MapExpert के रिकॉर्ड का उद्देश्य इस अलग डेटा सेंध की घटना को स्पष्ट करना, mapexpert.com.ua से जुड़े उपयोगकर्ताओं को बताना कि उन्हें क्या जाँचना चाहिए और डेटा सेंध के पेज पर अनावश्यक स्रोत उल्लेख के बजाय सत्यापित डोमेन को प्रमुखता देना है।

MapExpert के लिए जोखिम का दूसरा स्तर लीक हुए लॉगिन विवरणों का अन्य डेटासेट से मेल खाना है। यदि वही ईमेल पता पहले फ़ोरम, खरीदारी, नौकरी के आवेदन, गेम या सोशल मीडिया खातों में इस्तेमाल किया गया है, तो हमलावर न केवल पासवर्ड, बल्कि व्यक्ति की रुचियों और खाते इस्तेमाल करने की आदतों का भी अनुमान लगा सकता है।

mapexpert.com.ua डोमेन से जुड़े खातों के पासवर्ड बदलने के बाद, ब्राउज़र में सहेजे गए पुराने पासवर्ड भी हटाने चाहिए। यदि पासवर्ड मैनेजर इस्तेमाल किया जाता है, तो उन सभी रिकॉर्ड को खोजना चाहिए जिनमें वही पासवर्ड मौजूद है, और हर खाते के लिए अलग पासवर्ड रखना चाहिए। विशेष रूप से प्लेन टेक्स्ट या कमज़ोर हैश के मामले में, हमलावर पासवर्ड का अनुमान लगाए बिना ही उसे सीधे आज़मा सकता है।

सुरक्षा टीमों के लिए यह रिकॉर्ड दर्शाता है कि डेटा सेंध में उजागर हुए लॉगिन विवरणों की निगरानी में डोमेन के आधार पर मिलान करना आवश्यक है। केवल कंपनी का नाम खोजना पर्याप्त नहीं हो सकता। पुराने डोमेन नाम, www का इस्तेमाल, वर्तमान में जिस डोमेन पर भेजा जा रहा है उसका नाम और उपयोगकर्ताओं के ईमेल पतों में इस्तेमाल होने वाले डोमेन को एक साथ जाँचना चाहिए। इस तरह वास्तविक जोखिमों की पहचान होती है और मिलते-जुलते नाम वाले, लेकिन असंबंधित रिकॉर्ड गलती से आपस में नहीं जुड़ते।

इस रिकॉर्ड में डेटा की श्रेणियों के लिए जानबूझकर सरल भाषा रखी गई है: ईमेल पते, पासवर्ड। उपयोगकर्ताओं को तकनीकी विवरणों में उलझे बिना समझना चाहिए कि कौन-सा डेटा उजागर हुआ है। साथ ही, पासवर्ड संग्रहीत करने का तरीका भी बताया गया है, क्योंकि उसी से घटना का व्यावहारिक प्रभाव तय होता है। प्लेन टेक्स्ट पासवर्ड का उल्लेख स्पष्ट करता है कि घटना केवल ईमेल पतों की सूची तक सीमित नहीं है और इसका आकलन खाते की सुरक्षा के दृष्टिकोण से होना चाहिए।

इस घटना के बारे में जानकारी खोजने वालों के लिए मुख्य बात यह है कि डेटा सेंध का एक रिकॉर्ड भी खातों की सुरक्षा के पूरे इतिहास पर दोबारा विचार करने का अवसर है। पुरानी सेवाओं में इस्तेमाल किए गए पासवर्ड अक्सर भूल जाते हैं, लेकिन लीक हुए डेटासेट भुलाए नहीं जाते। इसलिए पुराने खाते बंद करना, हर खाते के लिए अलग पासवर्ड रखना और मुख्य ईमेल खाते की सुरक्षा करना प्राथमिकता है।

रिकॉर्ड की संरचना व्यवस्थित रखी गई: वेबसाइट वाले भाग में केवल डोमेन नाम इस्तेमाल किया गया, लोगो की छवि को रिकॉर्ड से मिलाया गया, विवरण घटना के दायरे तक सीमित रखा गया और एक ही रिकॉर्ड की संरचना अपनाकर दोहरा पंजीकरण होने का जोखिम कम किया गया। यह व्यवस्था सार्वजनिक रिकॉर्ड पेज पर लिंक गलत ढंग से दिखाई देने से बचाने और एक ही घटना को अलग-अलग URLs के अंतर्गत बार-बार दर्ज होने से रोकने के लिए महत्वपूर्ण है।

निष्कर्षतः, अगस्त 2018 की MapExpert डेटा सेंध, जिसमें 10,967 रिकॉर्ड, ईमेल पते और प्लेन टेक्स्ट में रखे गए पासवर्ड शामिल हैं, खाते की सुरक्षा से जुड़ी ऐसी घटना है जिसे उसके संदर्भ के साथ समझकर कदम उठाने चाहिए। यह पेज इसलिए तैयार किया गया है कि उपयोगकर्ता जल्दी कार्रवाई कर सके, और साथ ही घटना के अस्तित्व को बढ़ा-चढ़ाकर न बताया जाए, अप्रमाणित दावे न जोड़े जाएँ और दोहरे रिकॉर्ड न बनाए जाएँ।