MarketsMojo: डेटा उजागर होने का कथित मामला

स्रोत सूचियों में MarketsMojo के लिए अधिक बड़ी संख्याएँ और कुछ अतिरिक्त डेटा फ़ील्ड भी दिखाई देते हैं। हालाँकि, डेटा की श्रेणियाँ जोड़ते समय अधिक सावधानी बरती गई है। ईमेल पते, फ़ोन नंबर, उपयोगकर्ता नाम और bcrypt पासवर्ड हैश ऐसे फ़ील्ड हैं जिनके लिए ठोस समर्थन मिलता है। डाक पते जैसे फ़ील्ड इस रिकॉर्ड के dataClasses फ़ील्ड में नहीं जोड़े गए हैं, क्योंकि उनका पर्याप्त रूप से सत्यापन नहीं हुआ है। उपयोगकर्ताओं के सामने बढ़ा-चढ़ाकर दावे करने से बचने के लिए यह तरीका अपनाया गया है।

सत्यापन योग्य डेटा श्रेणियों में ईमेल पते, फ़ोन नंबर, उपयोगकर्ता नाम और पासवर्ड हैश शामिल हैं। रिपोर्टों के अनुसार, पासवर्ड bcrypt हैश प्रारूप में संग्रहीत थे। MD5 या SHA1 जैसे तेज़ एल्गोरिदम की तुलना में Bcrypt पासवर्ड संग्रहीत करने का अधिक मज़बूत तरीका है; फिर भी, हैश के मज़बूत होने का अर्थ यह नहीं है कि जोखिम पूरी तरह समाप्त हो जाता है। कमज़ोर पासवर्ड, कॉस्ट पैरामीटर का कम मान या एक ही पासवर्ड को दोबारा इस्तेमाल करने की आदत हमलावर का काम आसान कर सकती है।

ईमेल पता और फ़ोन नंबर दोनों उपलब्ध होने पर हमलावर उपयोगकर्ता तक ईमेल और SMS, दोनों माध्यमों से पहुँच सकते हैं। उपयोगकर्ता नाम से प्लेटफ़ॉर्म पर व्यक्ति की पहचान पता चल सकती है। कभी-कभी यह ऐसा उपनाम भी हो सकता है जो अन्य निवेश, सोशल मीडिया या फ़ोरम खातों से मेल खाता हो। वित्तीय विश्लेषण प्लेटफ़ॉर्म से जुड़े होने के कारण निवेश सलाह, पोर्टफ़ोलियो अलर्ट, सदस्यता नवीनीकरण या खाते के सत्यापन जैसे विषयों पर संदेश तैयार किए जा सकते हैं।

MarketsMojo जैसे निवेश और बाज़ार विश्लेषण प्लेटफ़ॉर्म पर उपयोगकर्ता वित्तीय निर्णय लेने के लिए जानकारी पर नज़र रखते हैं। जब हमलावर को पता होता है कि उपयोगकर्ता ऐसे किसी प्लेटफ़ॉर्म से जुड़ा है, तो वह निवेश धोखाधड़ी के अधिक विश्वसनीय लगने वाले संदेश तैयार कर सकता है। इसके लिए फ़र्ज़ी शेयर अलर्ट, प्रीमियम सदस्यता का नवीनीकरण, पोर्टफ़ोलियो सत्यापन, ऐप अपडेट, भुगतान के तरीके की जाँच या ब्रोकर खाते को जोड़ने जैसे विषयों का इस्तेमाल किया जा सकता है।

इस रिकॉर्ड के विवरण में बैंक खाते की जानकारी, कार्ड डेटा या पोर्टफ़ोलियो की सामग्री शामिल नहीं की गई है, क्योंकि इनका सत्यापन नहीं हुआ है। हालाँकि, केवल ईमेल और फ़ोन संबंधी जानकारी भी वित्तीय धोखाधड़ी की शुरुआत के लिए एक ठोस आधार बन सकती है। चूँकि उपयोगकर्ता वास्तव में किसी निवेश प्लेटफ़ॉर्म का इस्तेमाल करता है, इसलिए निवेश के अवसरों या तत्काल ध्यान देने वाले बाज़ार अलर्ट से जुड़े संदेशों पर वह अधिक जल्दी प्रतिक्रिया दे सकता है। सोशल इंजीनियरिंग का यह जोखिम इस रिकॉर्ड को विशेष रूप से महत्वपूर्ण बनाता है।

यह रिकॉर्ड जोड़ने से पहले मौजूदा रिकॉर्ड में MarketsMojo, Markets Mojo, marketsmojo.com और नाम के संबंधित रूपों की जाँच की गई, ताकि कोई दोहराव न हो। कोई मौजूदा अलग रिकॉर्ड नहीं मिला, इसलिए इसे नया रिकॉर्ड माना गया। इसे जोड़ने के लिए स्वीकार किया गया, क्योंकि उपलब्ध सूचियों में डोमेन नाम, मार्च 2021 की तारीख, लाखों उपयोगकर्ता रिकॉर्ड और ईमेल, फ़ोन, उपयोगकर्ता नाम तथा bcrypt पासवर्ड हैश जैसी डेटा श्रेणियाँ एक साथ दी गई हैं।

इसके बावजूद, प्लेटफ़ॉर्म संचालक का ऐसा कोई व्यापक आधिकारिक बयान नहीं मिला है जो सभी तकनीकी विवरणों, रिकॉर्ड की संख्या और प्रभावित डेटा श्रेणियों की पुष्टि करता हो। इसलिए इस रिकॉर्ड को असत्यापित रखा गया है। कमज़ोर स्रोतों में बताए गए अतिरिक्त फ़ील्ड, जैसे डाक पता, डेटा श्रेणी में शामिल नहीं किए गए हैं। यह रिकॉर्ड केवल उन फ़ील्ड का उपयोग करता है जिनके लिए अधिक ठोस समर्थन है, और अस्पष्ट बिंदुओं पर निश्चितता का दावा नहीं करता।

यदि MarketsMojo खाते का पासवर्ड कहीं और भी इस्तेमाल किया गया है, तो उपयोगकर्ता को सबसे पहले यह पासवर्ड बदलना चाहिए। Bcrypt हैश सीधे सादे पाठ में लिखे पासवर्ड नहीं होते; हालाँकि, यदि उपयोगकर्ता ने कमज़ोर पासवर्ड रखा हो या वही पासवर्ड किसी अन्य डेटा सेंध में भी उजागर हुआ हो, तो जोखिम बढ़ जाता है। ईमेल खातों, वित्तीय ऐप, ब्रोकर खातों, खरीदारी प्लेटफ़ॉर्म और सोशल मीडिया खातों को प्राथमिकता देनी चाहिए।

फ़ोन नंबर उजागर होने के कारण SMS फ़िशिंग का जोखिम भी वास्तविक है। हमलावर बाज़ार अलर्ट, निवेश के अवसर, पोर्टफ़ोलियो सत्यापन, भुगतान नवीनीकरण या ऐप के सुरक्षा अपडेट जैसे विषयों पर संदेश भेज सकते हैं। इन संदेशों में छोटे लिंक, फ़र्ज़ी लॉगिन पेज या हानिकारक ऐप डाउनलोड करने के लिंक हो सकते हैं। उपयोगकर्ताओं को वित्तीय विषयों वाले संदेशों के प्रति विशेष सावधानी बरतनी चाहिए।

• MarketsMojo खाते का पासवर्ड बदलकर एक मज़बूत पासवर्ड रखना चाहिए, जिसका इस्तेमाल किसी दूसरे खाते में न हो।
• जिन वित्तीय, ईमेल और सोशल मीडिया खातों में वही पासवर्ड इस्तेमाल होता है, उनके पासवर्ड भी बदलने चाहिए।
• वित्तीय ऐप में दो-चरणीय सत्यापन चालू करना चाहिए।
• SMS या ईमेल से मिले निवेश संबंधी लिंक सीधे नहीं खोलने चाहिए।
• ब्रोकर या भुगतान खाते के सत्यापन की जाँच आधिकारिक ऐप से करनी चाहिए।
• फ़ोन पर माँगे गए सत्यापन कोड किसी के साथ साझा नहीं करने चाहिए।
• निवेश सलाह या बाज़ार में तत्काल अवसर बताने वाले संदेशों की जाँच किसी स्वतंत्र स्रोत से करनी चाहिए।

Bcrypt पासवर्ड संग्रहीत करने के लिए बनाया गया एक धीमा एल्गोरिदम है, जिसके लिए अधिक कंप्यूटिंग संसाधनों की ज़रूरत होती है। सही कॉन्फ़िगरेशन होने पर यह हमलावरों के लिए हैश से वास्तविक पासवर्ड प्राप्त करना कठिन बना देता है। हालाँकि, bcrypt का हर इस्तेमाल समान रूप से मज़बूत नहीं होता। यदि कॉस्ट पैरामीटर का मान कम हो, पासवर्ड छोटा या आम हो, या उपयोगकर्ता ने वही पासवर्ड अन्य डेटा लीक में भी इस्तेमाल किया हो, तो हमलावरों को फिर भी लाभ मिल सकता है।

इसलिए उपयोगकर्ताओं को bcrypt का उल्लेख पूर्ण सुरक्षा की गारंटी नहीं मानना चाहिए। सबसे सुरक्षित तरीका यह मानकर चलना है कि पासवर्ड क्रैक हो चुका हो सकता है, और ऐसा नया पासवर्ड इस्तेमाल करना है जो किसी दूसरे खाते में न हो। यदि वही पासवर्ड अन्य वित्तीय या ईमेल खातों में भी इस्तेमाल किया गया है, तो जोखिम अधिक गंभीर है। पासवर्ड मैनेजर से लंबे और यादृच्छिक पासवर्ड बनाना इस जोखिम को कम करता है।

वित्तीय विश्लेषण प्लेटफ़ॉर्म के उपयोगकर्ता धोखाधड़ी के लिए आकर्षक निशाने हो सकते हैं। जब हमलावर को उपयोगकर्ता की निवेश संबंधी रुचियों का पता होता है, तो वह फ़र्ज़ी शेयर सुझाव, विशेष रिपोर्ट, प्रीमियम विश्लेषण, मुफ़्त परीक्षण, पोर्टफ़ोलियो अलर्ट या कर संबंधी दस्तावेज़ जैसे विषयों पर संदेश भेज सकता है। फ़ोन नंबर उपलब्ध होने पर वही अभियान SMS या मैसेजिंग ऐप के ज़रिए भी चलाया जा सकता है।

उपयोगकर्ताओं को ईमेल या SMS के लिंक के आधार पर कोई निवेश निर्णय नहीं लेना चाहिए। आधिकारिक ऐप स्टोर के बाहर से ऐप डाउनलोड नहीं करने चाहिए। ब्रोकर के लिंक खोलने के लिए पता खुद टाइप करना चाहिए या पहले से सहेजे गए विश्वसनीय पतों का उपयोग करना चाहिए। भुगतान और सदस्यता संबंधी अनुरोधों की जाँच आधिकारिक पैनल से करनी चाहिए। जल्दबाज़ी का दबाव बनाने वाले वित्तीय संदेशों को विशेष रूप से संदिग्ध मानना चाहिए।

वित्तीय प्रौद्योगिकी और निवेश शोध प्लेटफ़ॉर्म को केवल पासवर्ड की सुरक्षा पर ही नहीं, बल्कि संपर्क संबंधी डेटा के संभावित दुरुपयोग पर भी ध्यान देना चाहिए। यदि ईमेल पते और फ़ोन नंबर एक साथ संग्रहीत किए जाते हैं, तो पहुँच नियंत्रण, डेटा मास्किंग, डाउनलोड पर पाबंदियाँ और असामान्य गतिविधियों की निगरानी लागू की जानी चाहिए। एडमिन पैनल पर बहु-कारक प्रमाणीकरण अनिवार्य होना चाहिए, ग्राहक डेटा के निर्यात का लॉग रखा जाना चाहिए, और अनावश्यक फ़ील्ड लंबे समय तक संग्रहीत नहीं रखने चाहिए।

डेटा में सेंध की आशंका होने पर उपयोगकर्ता से केवल पासवर्ड बदलने के लिए कहना पर्याप्त नहीं है। वित्तीय धोखाधड़ी, SMS फ़िशिंग, फ़र्ज़ी निवेश अवसरों और सदस्यता नवीनीकरण के जालों के बारे में स्पष्ट रूप से समझाना चाहिए। यदि उपयोगकर्ता जानता है कि किस तरह के हमले हो सकते हैं, तो वह आने वाले संदेशों का बेहतर आकलन कर सकेगा। वित्तीय संदर्भ के कारण उपयोगकर्ताओं को जानकारी देने की रणनीति तकनीकी विवरणों जितनी ही महत्वपूर्ण है।

MarketsMojo डेटा सेंध रिकॉर्ड marketsmojo.com निवेश शोध प्लेटफ़ॉर्म से संबंधित है। रिपोर्टों के अनुसार, मार्च 2021 के दौरान हुई इस घटना से लगभग 4,50,949 उपयोगकर्ता रिकॉर्ड प्रभावित हुए थे। रिपोर्टों के अनुसार, उजागर हुए डेटा की श्रेणियों में ईमेल पते, फ़ोन नंबर, उपयोगकर्ता नाम और bcrypt पासवर्ड हैश शामिल हैं। यह जानकारी खाते की सुरक्षा को जोखिम में डालती है और SMS फ़िशिंग तथा वित्तीय धोखाधड़ी का ख़तरा बढ़ाती है।

आधिकारिक प्राथमिक पुष्टि न होने के कारण इस रिकॉर्ड को सत्यापित चिह्नित नहीं किया गया है। फिर भी, उपयोगकर्ताओं को जानकारी देने के लिए डोमेन नाम, तारीख, रिकॉर्ड की संख्या और डेटा श्रेणियाँ शामिल की गई हैं, क्योंकि सार्वजनिक डेटा सेंध रिकॉर्ड में ये लगातार एक ही रूप में सामने आती हैं। MarketsMojo उपयोगकर्ताओं को अपने पासवर्ड बदलने चाहिए, वित्तीय खातों पर दो-कारक प्रमाणीकरण चालू करना चाहिए, SMS या ईमेल से मिले निवेश संबंधी लिंक पर क्लिक करने से बचना चाहिए और सत्यापन कोड किसी के साथ साझा नहीं करने चाहिए।

वित्तीय प्लेटफ़ॉर्म से जुड़ी ईमेल और फ़ोन संबंधी जानकारी समय के साथ अन्य डेटा सेट से जोड़ी जा सकती है। यदि उपयोगकर्ता ब्रोकर, बैंक, निवेश फ़ोरम या न्यूज़लेटर के लिए एक ही ईमेल पता इस्तेमाल करता है, तो हमलावर उसकी निवेश संबंधी अधिक विस्तृत प्रोफ़ाइल बना सकता है। इस प्रोफ़ाइल का इस्तेमाल फ़र्ज़ी निवेश अवसरों या व्यक्ति के अनुरूप तैयार किए गए धोखाधड़ी वाले संदेशों के लिए किया जा सकता है।

लंबी अवधि में उपयोगकर्ताओं को अपने वित्तीय खातों के लिए अलग-अलग मज़बूत पासवर्ड रखने चाहिए। जहाँ संभव हो, वित्तीय सूचनाओं के लिए अलग ईमेल पता इस्तेमाल करना चाहिए, SMS सत्यापन के साथ ऐप-आधारित बहु-कारक प्रमाणीकरण का उपयोग करना चाहिए और निवेश निर्णय केवल सत्यापित स्रोतों के आधार पर लेने चाहिए। जब तक फ़ोन नंबर और ईमेल पता नहीं बदलते, तब तक पुराने डेटा सेंध रिकॉर्ड का इस्तेमाल भी धोखाधड़ी के नए प्रयासों के लिए किया जा सकता है।

MarketsMojo की कुछ सूचियों में डाक पते जैसे अतिरिक्त डेटा फ़ील्ड दिखाई दे सकते हैं; हालाँकि, इन्हें dataClasses फ़ील्ड में शामिल नहीं किया गया है, क्योंकि विस्तृत रिकॉर्ड में इन्हें उतने ही स्पष्ट समर्थन के साथ नहीं दिखाया गया है। यह निर्णय सेंध के प्रभाव को कम करके दिखाने के लिए नहीं लिया गया, बल्कि इसलिए लिया गया है कि असत्यापित दायरे को उपयोगकर्ता के सामने निश्चित जानकारी के रूप में पेश न किया जाए। ईमेल, फ़ोन, उपयोगकर्ता नाम और पासवर्ड हैश अपने आप में इतना जोखिम पैदा करते हैं कि सुरक्षा संबंधी कदम उठाना ज़रूरी है।

भविष्य में यदि कोई अधिक ठोस स्रोत डाक पते या अन्य वित्तीय डेटा फ़ील्ड का सत्यापन करता है, तो रिकॉर्ड अपडेट किया जा सकता है। फ़िलहाल सबसे सटीक तरीका यह है कि सत्यापन योग्य मुख्य फ़ील्ड के आधार पर उपयोगकर्ता को सचेत किया जाए और वित्तीय संदर्भ में सोशल इंजीनियरिंग का जोखिम स्पष्ट रूप से समझाया जाए। इसलिए इस विवरण में विशेष रूप से SMS फ़िशिंग, फ़र्ज़ी निवेश सूचनाओं, सदस्यता नवीनीकरण और खाते के सत्यापन के जालों पर ध्यान दिया गया है।

फ़ोन नंबर वाले डेटा सेंध रिकॉर्ड से जुड़े जोखिम केवल ईमेल की सुरक्षा तक सीमित नहीं हैं। हमलावर उपयोगकर्ता को कॉल कर सकता है, संदेश भेज सकता है या किसी निवेश ऐप का प्रतिनिधि होने का दिखावा कर सकता है। उपयोगकर्ता को भेजे गए एक बार इस्तेमाल होने वाले कोड, स्क्रीन साझा करने के अनुरोध और दूरस्थ सहायता के अनुरोध विशेष रूप से ख़तरनाक हैं। इसलिए MarketsMojo उपयोगकर्ताओं को अपने वित्तीय खातों पर ऐप-आधारित बहु-कारक प्रमाणीकरण का इस्तेमाल करना चाहिए और फ़ोन पर मिले किसी भी कोड को साझा नहीं करना चाहिए।