Mary Evans Picture Library: डेटा उजागर होने का कथित मामला

Mary Evans Picture Library का रिकॉर्ड बनाने से पहले, मौजूदा रिकॉर्ड में शीर्षक, डोमेन नाम, मिलते-जुलते ब्रांड नाम, घटना की तारीख और रिकॉर्ड की संख्या का मिलान किया गया। उसी घटना को दर्शाने वाला कोई रिकॉर्ड नहीं था, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। जिन रिकॉर्ड के नाम मिलते-जुलते थे लेकिन डोमेन या घटनाएँ अलग थीं, उन्हें इस निर्णय में शामिल नहीं किया गया।

लक्षित सूचियों में रिकॉर्ड की संख्या और सत्यापित किए जा सकने वाले विवरणों की संख्या अलग हो सकती है। इसका कारण कच्चे डेटा की पंक्तियों, अलग-अलग खातों, दोहराए गए ईमेल पतों, साफ़ किए गए रिकॉर्ड, फ़ोरम की पंक्तियों, प्रोफ़ाइल की पंक्तियों या दोबारा पैकेज किए गए डेटा सेट के बीच अंतर हो सकता है। इस पृष्ठ पर दिखाई गई सबसे बड़ी संख्या के बजाय 34,708 को आधार बनाया गया है, क्योंकि डेटा के प्रकारों के साथ इस संख्या के समर्थन में भी लगातार साक्ष्य मिले हैं।

Mary Evans Picture Library को लंदन स्थित एक पेशेवर ऐतिहासिक चित्र-संग्रह के संदर्भ में देखा जाता है। चित्र-संग्रह और शैक्षिक सामग्री से जुड़े खाते शोधकर्ताओं, प्रकाशकों या संस्थानों के ईमेल पतों से खोले गए हो सकते हैं। इससे संस्थागत खातों के पासवर्ड दोबारा इस्तेमाल किए जाने की संभावना भी सामने आ सकती है।

इस घटना में ईमेल पते और प्लेन टेक्स्ट पासवर्ड होने के समर्थन में साक्ष्य मिले। प्लेन टेक्स्ट पासवर्ड मिलने पर हमलावर उसे क्रैक किए बिना उसी ईमेल और पासवर्ड के संयोजन को दूसरी सेवाओं पर आज़मा सकता है।

Mary Evans Picture Library की घटना में जोखिम सामान्य ईमेल लीक से अधिक है, क्योंकि इसमें प्लेन टेक्स्ट पासवर्ड की जानकारी मिली थी। पासवर्ड का यह डेटा हमलावरों का अनुमान लगाने और आज़माने में लगने वाला समय कम करता है, उसी पासवर्ड का इस्तेमाल करने वाली दूसरी सेवाओं पर स्वचालित लॉगिन प्रयास आसान बनाता है और पासवर्ड रीसेट के संदेशों को अधिक विश्वसनीय दिखाने में मदद करता है।

अकेला ईमेल पता सीमित व्यक्तिगत जानकारी लग सकता है, लेकिन उपयोगकर्ता नाम, IP पता, फ़ोन नंबर, पूरा नाम, जन्मतिथि या पासवर्ड की जानकारी के साथ जुड़ने पर यह हमले के लिए बहुत उपयोगी जानकारी बन जाता है। यदि उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेमिंग, वित्तीय सेवाओं या सोशल मीडिया के खातों के लिए एक ही ईमेल पता इस्तेमाल करता है, तो असर संबंधित प्लेटफ़ॉर्म से आगे भी फैल सकता है।

यह घटना पुरानी होने पर भी सुरक्षा के लिहाज़ से इसकी अहमियत बनी हुई है। बड़ी संख्या में उपयोगकर्ता पुराने पासवर्ड के पैटर्न में छोटे बदलाव करके उन्हें दोबारा इस्तेमाल करते हैं। इसलिए Mary Evans Picture Library जैसी पुरानी डेटा उल्लंघन की घटना का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, क्रेडेंशियल स्टफ़िंग और लक्षित फ़िशिंग प्रयासों के लिए किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना होना चाहिए कि उन्होंने पहले Mary Evans Picture Library या www.maryevans.com पर कौन-सा ईमेल पता और पासवर्ड इस्तेमाल किया होगा। यदि दूसरे खातों पर भी उसी मूल पासवर्ड से बने मिलते-जुलते पासवर्ड इस्तेमाल किए गए थे, तो केवल संबंधित साइट पर बदलाव करना पर्याप्त नहीं है; दोबारा इस्तेमाल किए गए सभी पासवर्ड की जगह हर खाते के लिए अलग और रैंडम पासवर्ड रखना ज़रूरी है।

इस घटना के बाद पासवर्ड मैनेजर का इस्तेमाल सबसे प्रभावी उपायों में से एक है। हर साइट के लिए अलग पासवर्ड बनाने से एक डेटा उल्लंघन का असर क्रमशः दूसरे खातों तक फैलने से रुकता है। ब्राउज़र में सहेजे गए पुराने पासवर्ड की भी समीक्षा करनी चाहिए और कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड हटाने या बदलने चाहिए।

दो-कारक प्रमाणीकरण विशेष रूप से ईमेल खातों, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइल, नौकरी खोजने वाले खातों और एडमिन पैनलों के लिए प्राथमिकता है। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजी, SMS-आधारित प्रमाणीकरण की तुलना में अधिक मज़बूत सुरक्षा देती है।

ईमेल खाते के फ़ॉरवर्डिंग नियमों, रिकवरी पतों, जुड़े हुए ऐप्लिकेशन, भरोसेमंद डिवाइसों की सूची और हाल के सत्रों की जाँच करनी चाहिए। भले ही हमलावर सीधे Mary Evans Picture Library के खाते तक न पहुँच सके, वह ईमेल खाते के ज़रिए दूसरी सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग के लिए पुरानी सेवा का नाम, उपयोगकर्ता नाम, उद्योग से जुड़ी जानकारी, देश, शौक या पंजीकरण की तारीख इस्तेमाल की जा सकती है। उपयोगकर्ताओं को आए हुए लिंक पर सीधे क्लिक करने के बजाय पता खुद टाइप करना चाहिए, जाँच किए बिना अटैचमेंट नहीं खोलने चाहिए और तुरंत कार्रवाई करने का दबाव डालने वाले संदेशों से सावधान रहना चाहिए।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन करना चाहिए। यदि किसी कर्मचारी ने अपने काम का ईमेल पता ऐसे खाते पर इस्तेमाल किया है जो निजी लगता है, तो वही पासवर्ड कंपनी की प्रणालियों पर आज़माया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा स्कैन, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्वपूर्ण हैं।

साइट संचालकों के लिए मुख्य सीख पासवर्ड को सुरक्षित रूप से संग्रहीत करना और डेटा संग्रह को न्यूनतम रखना है। प्लेन टेक्स्ट या जल्दी क्रैक किए जा सकने वाले हैश प्रारूप सीधे उपयोगकर्ताओं की सुरक्षा कमज़ोर करते हैं। आधुनिक प्रणालियों में मज़बूत, सॉल्ट का उपयोग करने वाली और धीमी पासवर्ड डेरिवेशन विधियाँ अपनानी चाहिए। उपयोगकर्ताओं के लॉगिन के दौरान पुराने हैश प्रारूपों को धीरे-धीरे अपडेट करना चाहिए।

बैकअप, परीक्षण परिवेश, एक्सपोर्ट फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनलों और अनावश्यक विशेषाधिकारों की नियमित जाँच होनी चाहिए। कई डेटा लीक मुख्य ऐप्लिकेशन के दिखाई देने वाले हिस्से से नहीं, बल्कि भुला दी गई सहायक प्रणालियों या व्यापक विशेषाधिकार वाले खातों से होते हैं।

जिन संस्थानों में घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचना देने, पासवर्ड रीसेट करने, लॉग की समीक्षा करने और जुड़ी प्रणालियों की जाँच करने में देरी होती है। किन प्रणालियों की निगरानी होगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को सूचित किया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

MaryEvans.com से संबंधित लक्षित पंक्ति में लगभग 37 हज़ार रिकॉर्ड दिखाई देने के बावजूद, सीधे साक्ष्यों से समर्थित संख्या 34,708 ही रखी गई। यह सतर्क विकल्प इसलिए चुना गया ताकि कच्ची पंक्तियों और अलग-अलग रिकॉर्ड की गिनती के बीच के अंतर को बढ़ा-चढ़ाकर प्रस्तुत न किया जाए।

सबसे हाल की जाँच में वेबसाइट ने 403 लौटाया था, लेकिन डोमेन के सक्रिय इंफ़्रास्ट्रक्चर से प्रतिक्रिया मिली, इसलिए रिकॉर्ड को निष्क्रिय नहीं चिह्नित किया गया। यदि उपयोगकर्ता साइट तक पहुँच सकते हैं, तो उन्हें अपने पासवर्ड और खाते की सेटिंग की जाँच करनी चाहिए।

चित्र-संग्रह से जुड़े खातों पर काम के ईमेल पतों का इस्तेमाल आम है, इसलिए संस्थानों को अपने डोमेन नामों से मेल खाने वाले उपयोगकर्ताओं का अलग से आकलन भी करना चाहिए।

किसी संग्रह से जुड़े खाते का पासवर्ड प्लेन टेक्स्ट में मिलने पर वही पासवर्ड क्लाउड स्टोरेज, ईमेल या प्रकाशन के टूल पर भी आज़माया जा सकता है।

Mary Evans Picture Library के लोगो इमेज पंजीकरण पृष्ठ पर एकरूप ढंग से प्रदर्शित करने के लिए इसका मिलान किया गया था।

इस रिकॉर्ड में असत्यापित डेटा प्रकारों को जानबूझकर शामिल नहीं किया गया है। डेटा श्रेणियों की लंबी सूची बनाने के बजाय, साक्ष्यों से समर्थित फ़ील्ड को स्पष्ट रूप से दिखाना उपयोगकर्ताओं का भरोसा बनाए रखने के लिए अधिक उपयोगी है। डेटा उल्लंघन के पृष्ठों का उद्देश्य डरावना दिखना नहीं, बल्कि सही दायरे और लागू सुरक्षा उपायों को स्पष्ट रूप से समझाना है।

यह पृष्ठ Mary Evans Picture Library डेटा उल्लंघन, www.maryevans.com डेटा लीक, Mary Evans Picture Library पासवर्ड लीक और Mary Evans Picture Library उपयोगकर्ता डेटा जैसे विभिन्न नामों के अंतर्गत सरल और व्यावहारिक जानकारी देने के लिए तैयार किया गया था। इसमें सत्यापित पहलुओं और सुरक्षा के व्यावहारिक कदमों की व्याख्या की गई है।

इस रिकॉर्ड को देखकर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का ही नहीं, बल्कि उसी ईमेल पते से खोले गए दूसरे खातों का भी आकलन करना चाहिए। जिन खातों में पुराने पासवर्ड दोबारा इस्तेमाल किए जाते हैं, वे हमलावरों के शुरुआती निशाने पर होते हैं। पुराने खाते बंद करने से लंबे समय का जोखिम भी कम होता है।

पासवर्ड का दोबारा इस्तेमाल कम करने के लिए नए पासवर्ड में ब्रांड नाम, जन्म के वर्ष, उपयोगकर्ता नाम, टीम के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले अतिरिक्त अंश नहीं रखने चाहिए। पासवर्ड के अंत में कोई छोटी संख्या या विशेष चिह्न जोड़ देने से वह सुरक्षित नहीं हो जाता; हमलावरों के टूल इन पैटर्न को तेज़ी से आज़माते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों को अपडेट करें, दो-कारक प्रमाणीकरण चालू करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय साइट का सीधा पता इस्तेमाल करें।

सुरक्षा टीमों को कर्मचारी ईमेल के डोमेन नामों से मेल खाने वाले ईमेल पतों के आधार पर इस रिकॉर्ड का आकलन करना चाहिए। पुराने फ़ोरम, खरीदारी, वित्तीय सेवाओं या सामुदायिक खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्षित सूचियों को और अधिक जानकारी दे सकते हैं।

ऐसी घटनाओं में डेटा संग्रह को न्यूनतम रखना बेहद महत्वपूर्ण है। अनावश्यक प्रोफ़ाइल फ़ील्ड एकत्र नहीं करने चाहिए, उचित डेटा प्रतिधारण नीतियों के तहत निष्क्रिय खाते हटाने चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित रखनी चाहिए और डेटा एक्सपोर्ट की गतिविधियों की अतिरिक्त निगरानी करनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को अपने खातों की सुरक्षा और रखरखाव से जुड़े काम पूरे करने चाहिए। पुराने और भुला दिए गए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अपडेट करना और महत्वपूर्ण खातों पर लॉगिन सूचनाएँ चालू करना लंबे समय तक सुरक्षा देता है।

प्रभावित खातों की संख्या, पासवर्ड की जानकारी के प्रकार, डेटा श्रेणियों के ज़रिए खातों पर नियंत्रण हासिल किए जाने की संभावना और घटना में दोबारा इस्तेमाल किए जा सकने वाले क्रेडेंशियल की मौजूदगी को ध्यान में रखकर इस पृष्ठ का जोखिम स्तर अत्यंत गंभीर निर्धारित किया गया है। अत्यंत गंभीर स्तर का अर्थ यह नहीं है कि दुरुपयोग निश्चित रूप से हुआ है; इसका अर्थ है कि उपयोगकर्ता को जल्द कार्रवाई करनी चाहिए।

संक्षेप में, Mary Evans Picture Library का यह रिकॉर्ड अगस्त 2018 में 34,708 खातों को प्रभावित करने वाली एक डेटा उल्लंघन घटना का है, जिसमें ईमेल पते और प्लेन टेक्स्ट पासवर्ड के फ़ील्ड शामिल हैं। उपयोगकर्ताओं को हर खाते के लिए अलग पासवर्ड रखने, दो-चरणीय सत्यापन चालू करने, अपनी ईमेल सुरक्षा सेटिंग की जाँच करने और संदिग्ध लॉगिन के अलर्ट पर नज़र रखने की सलाह दी जाती है।

Mary Evans Picture Library के रिकॉर्ड में संख्यात्मक मान, शीर्षक और डोमेन का एक साथ आकलन किया गया है, इसलिए उसी नाम से प्रसारित सूचियों की अस्पष्ट प्रविष्टियाँ इस पृष्ठ पर नहीं जोड़ी गईं। उपयोगकर्ता को दिखाई देने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा श्रेणियों को सरल रखना विशेष रूप से महत्वपूर्ण है, क्योंकि बिना साक्ष्य वाले फ़ील्ड जोड़ने से उपयोगकर्ता का जोखिम आकलन प्रभावित होता है। इसलिए इस रिकॉर्ड में ईमेल पते और प्लेन टेक्स्ट पासवर्ड के अलावा अन्य दावों को प्रमाणित डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

www.maryevans.com डोमेन से जुड़ी पुरानी सदस्यताएँ भुलाई जा चुकी हो सकती हैं। यदि भुला दिए गए खातों पर पासवर्ड बदलना संभव नहीं है, तो अधिक व्यावहारिक प्राथमिकता उन दूसरी सेवाओं को ढूँढ़ना और सुरक्षित करना है जहाँ वही पासवर्ड इस्तेमाल किया गया है।

जब उपयोगकर्ता नाम, ईमेल या फ़ोन की जानकारी दूसरे लीक से जुड़ जाती है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, क्षेत्र या पिछली सदस्यताओं के पैटर्न का अनुमान लगाना आसान हो जाता है। इसलिए एक डेटा उल्लंघन छोटा लगने पर भी संयुक्त जोखिम अधिक होता है।

संस्थानों को नियमित जागरूकता प्रशिक्षण में कर्मचारियों की निजी सदस्यताओं के लिए काम के ईमेल पते के इस्तेमाल पर चर्चा करनी चाहिए। ऐसे रिकॉर्ड चेतावनी के संकेत देते हैं, जिनसे पासवर्ड के दोबारा इस्तेमाल और निजी प्लेटफ़ॉर्म पर कॉर्पोरेट पहचान की दृश्यता का आकलन किया जा सकता है।

यदि उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल पता दिखाई दे, तो उसे सबसे महत्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले खरीदारी के खाते।

यदि खाता बंद करना संभव है, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी अच्छा कदम है। जिन खातों को बंद नहीं किया जा सकता, उनका पासवर्ड कम-से-कम अलग होना चाहिए, प्रोफ़ाइल की जानकारी न्यूनतम रखनी चाहिए और लॉगिन सूचनाएँ चालू करनी चाहिए।