MC2 Data: डेटा में सेंध

इस रिकॉर्ड में ईमेल पते, नाम और पासवर्ड पाए गए हैं। यह आकलन किया गया कि पासवर्ड सॉल्टयुक्त SHA-256 हैश के रूप में संग्रहीत हैं; कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के लिए जोखिम बना रहता है। असत्यापित भुगतान कार्ड, बैंक खाते, निजी संदेश, आधिकारिक पहचान-पत्र, स्वास्थ्य रिकॉर्ड या अतिरिक्त प्रोफ़ाइल फ़ील्ड डेटा वर्गों की सूची में नहीं जोड़े गए; केवल वे फ़ील्ड रखे गए जिनके समर्थन में आधार था।

पृष्ठभूमि जाँच सेवा के संदर्भ में हमलावरों के लिए उपयोगकर्ता को ऐसे संदेश भेजना आसान हो सकता है जो आधिकारिक पूछताछ, पहचान जाँच या सदस्यता संबंधी संदेश लगें। केवल ईमेल पता भी अनचाहे संदेशों का जोखिम पैदा करता है; जब इसके साथ फ़ोन नंबर, पता, IP, जन्मतिथि, फ़ोटो, पहचान-पत्र संख्या या डिवाइस ट्रैकिंग डेटा जुड़ जाए, तो हमलावर के लिए उपयोगकर्ता के विवरण के अनुरूप संदेश बनाना आसान हो जाता है। इसलिए जोखिम का आकलन केवल रिकॉर्ड की संख्या के आधार पर नहीं, बल्कि इस आधार पर भी किया जाता है कि डेटा को एक साथ कितनी आसानी से इस्तेमाल किया जा सकता है।

अगस्त 2024 तक सदस्यता लेने वाले उपयोगकर्ताओं के 21.2 लाख रिकॉर्ड के दायरे की पुष्टि की गई थी। पुष्ट हिस्से रखे गए, जबकि अपुष्ट हिस्से हटा दिए गए। इस घटना को दूसरे ब्रांडों, मिलते-जुलते नामों वाले रिकॉर्ड या उसी कंपनी की अलग-अलग अवधियों की घटनाओं के साथ नहीं जोड़ा गया।

व्यापक व्यक्तिगत डेटा से जुड़े दावों को इस रिकॉर्ड के मानक डेटा वर्गों में नहीं जोड़ा गया; रिकॉर्ड को सदस्यता लेने वाले उपयोगकर्ताओं के ईमेल, नाम और पासवर्ड फ़ील्ड तक सीमित रखा गया। यह तरीका डेटा लीक की दोहरी प्रविष्टियों और उपयोगकर्ता को संगठन की ज़िम्मेदारी के बारे में गलत जानकारी दिखाए जाने से बचाता है। डोमेन नाम, कंपनी नाम और क्षेत्र की जानकारी को यथासंभव सीमित और सटीक संदर्भ में रखा गया; जहाँ अनिश्चितता थी, वहाँ सत्यापन फ़्लैग या वेबसाइट फ़ील्ड उसी के अनुसार तय किया गया।

जोखिम में वे लोग हो सकते हैं जिनके MC2 Data या उससे जुड़े ब्रांड नामों के तहत सदस्यता खाते हैं। जिन उपयोगकर्ताओं का डेटा इस रिकॉर्ड से मेल खाता है, उन्हें संबंधित खाते के अलावा उन दूसरे खातों का भी आकलन करना चाहिए जहाँ वे वही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम या पासवर्ड का पैटर्न इस्तेमाल करते हैं।

जो लोग दूसरे पेशेवर, वित्तीय या ईमेल खातों में भी वही पासवर्ड इस्तेमाल करते हैं, उनके लिए खाते पर कब्ज़े की कोशिशों का जोखिम अधिक गंभीर हो जाता है। कॉर्पोरेट ईमेल, बच्चे या परिवार के खाते, सार्वजनिक रिकॉर्ड, गेमिंग पहचान, साक्षरता समुदाय, ट्रैकिंग सॉफ़्टवेयर या पेशेवर सेवा का संदर्भ होने पर सोशल इंजीनियरिंग का जोखिम बढ़ सकता है। उपयोगकर्ताओं को अपने बारे में सही लगने वाले विवरणों को भरोसे का प्रमाण नहीं मानना चाहिए।

प्रभावित उपयोगकर्ताओं को अपने MC2 Data से संबंधित खातों का पासवर्ड और उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल होता है। जिन रिकॉर्ड में पासवर्ड फ़ील्ड है, उनमें उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों को अपडेट करना चाहिए; जिन रिकॉर्ड में पासवर्ड फ़ील्ड नहीं है, उनमें फ़ोन, ईमेल, नकली सूचनाओं और पहचान के विवरणों का मिलान किए जाने से जुड़े जोखिम पर ध्यान देना चाहिए।

संदेश में दिए गए लिंक पर क्लिक करने के बजाय संबंधित सेवा का पता खुद टाइप करना चाहिए या किसी भरोसेमंद पासवर्ड मैनेजर में मौजूद रिकॉर्ड का इस्तेमाल करना चाहिए। माल की डिलीवरी, सहायता, गेम पुरस्कार, खाते की चेतावनियों, सार्वजनिक रिकॉर्ड, सुरक्षा सूचनाओं, दस्तावेज़ साझा करने या सदस्यता के नवीनीकरण से जुड़े संदेशों को किसी स्वतंत्र माध्यम से सत्यापित किए बिना स्वीकार नहीं करना चाहिए।

डेटा मध्यस्थ और पृष्ठभूमि जाँच सेवाओं के लिए अलग ईमेल, हर सेवा के लिए अलग पासवर्ड और न्यूनतम प्रोफ़ाइल जानकारी का इस्तेमाल करना चाहिए। उपयोगकर्ताओं को नियमित रूप से पुराने खाते, गैरज़रूरी प्रोफ़ाइल फ़ील्ड, दोहराए गए उपयोगकर्ता नाम तथा पुराने फ़ोन नंबर और पते की जानकारी हटानी चाहिए। हर सेवा के लिए अलग पासवर्ड और जहाँ संभव हो, दो-कारक प्रमाणीकरण बुनियादी नियम होने चाहिए।

सेवा प्रदाताओं के लिए डेटा को न्यूनतम रखना, पासवर्ड की मज़बूत सुरक्षा, पहुँच लॉग की निगरानी, गैरज़रूरी फ़ील्ड हटाना और उपयोगकर्ताओं को सूचना देने की प्रक्रियाएँ तैयार रखना आवश्यक है। डेटा मध्यस्थ कंपनियों के लिए पहुँच नियंत्रण और बिना पासवर्ड वाली सेवाओं का पता लगाना बुनियादी सुरक्षा आवश्यकताएँ हैं। दायरे का सटीक विवरण देना भी सुरक्षा कार्य का हिस्सा है; बढ़ा-चढ़ाकर दी गई या अधूरी जानकारी उपयोगकर्ता को गलत कार्रवाई करने के लिए भ्रमित कर सकती है।

उपयोगकर्ता को सबसे पहले अपने ईमेल पते से इस रिकॉर्ड की जाँच करनी चाहिए। अगर मिलान मिलता है, तो यह मानकर चलना चाहिए कि नाम और पासवर्ड फ़ील्ड जोखिम में हो सकते हैं, और उसी पासवर्ड का इस्तेमाल करने वाले खातों को पहले अपडेट करना चाहिए। मिलान न मिलने से अलग ईमेल पतों के इस्तेमाल या पुराने पासवर्ड दोबारा इस्तेमाल किए जाने की संभावना पूरी तरह खारिज नहीं होती; महत्वपूर्ण खातों की भी समीक्षा करनी चाहिए।

इस रिकॉर्ड को सत्यापित किया गया है और संवेदनशील के रूप में चिह्नित रखा गया है; व्यापक व्यक्तिगत जानकारी वाले असत्यापित फ़ील्ड नहीं जोड़े गए। इस व्यवस्था में डेटा फ़ील्ड अंग्रेज़ी के मानक वर्गों के रूप में रखे गए, उपयोगकर्ता को दिखने वाला विवरण तुर्की में मौलिक रूप से लिखा गया, असत्यापित फ़ील्ड नहीं जोड़े गए और संवेदनशीलता फ़्लैग केवल तभी इस्तेमाल किया गया जब जोखिम के संदर्भ से उसका समर्थन होता था।