McGraw Hill डेटा लीक, 2026

सार्वजनिक रूप से वितरित की गई फ़ाइलों में 1,35,00,136 अलग-अलग ईमेल पते थे, जबकि नाम, फ़ोन नंबर और भौतिक पते केवल कुछ रिकॉर्ड और फ़ाइलों में मौजूद थे। इसलिए अलग-अलग ईमेल पतों की कुल संख्या का यह अर्थ नहीं है कि उजागर हुई हर डेटा फ़ील्ड से उतने ही लोग प्रभावित हुए। कंपनी ने कहा कि सोशल सिक्योरिटी नंबर, वित्तीय खातों की जानकारी और उसके शैक्षिक प्लेटफ़ॉर्म पर मौजूद विद्यार्थियों का डेटा इस घटना में शामिल नहीं था। पासवर्ड या भुगतान कार्ड के विवरण मौजूद होने का भी कोई सत्यापित प्रमाण नहीं है, इसलिए इन्हें उजागर हुए डेटा की श्रेणियों में शामिल नहीं किया गया है। हमलावर का 45 मिलियन रिकॉर्ड होने का दावा अलग-अलग खातों की सत्यापित संख्या नहीं है। एक ही व्यक्ति कई पंक्तियों या फ़ाइलों में मौजूद हो सकता है, इसलिए कुल रिकॉर्ड और अलग-अलग ईमेल पतों को अलग मापों के रूप में देखना ज़रूरी है।

यह घटना Salesforce प्लेटफ़ॉर्म पर होस्ट किए गए McGraw Hill के एक वेबपेज की कॉन्फ़िगरेशन संबंधी समस्या से जुड़ी थी, जिसके कारण सीमित डेटा तक अनधिकृत पहुँच संभव हुई। कंपनी ने कहा कि इस गतिविधि में उसके Salesforce खातों, ग्राहक डेटाबेस, पाठ्यक्रम सामग्री या आंतरिक सिस्टम तक अनधिकृत पहुँच शामिल नहीं थी। समस्या का पता चलने के बाद प्रभावित पेज सुरक्षित किए गए और साइबर सुरक्षा विशेषज्ञों के साथ जाँच शुरू की गई। एक साइबर अपराध समूह ने 12 अप्रैल को दावा किया कि उसके पास व्यक्तिगत डेटा के 45 मिलियन रिकॉर्ड हैं और उसने 14 अप्रैल तक भुगतान की माँग की। इसके बाद 100 GB से अधिक डेटा सार्वजनिक रूप से वितरित किया गया; कई फ़ाइलों में दोहराव हटाने के बाद 1,35,00,136 अलग-अलग ईमेल पतों की पहचान हुई। इस कैटलॉग में घटना की तारीख 10 अप्रैल 2026 दर्ज है, जबकि इसकी पुष्टि और डेटा का सार्वजनिक वितरण अप्रैल के मध्य में हुआ। उपलब्ध साक्ष्य के अनुसार तकनीकी कारण Salesforce पर होस्ट किए गए वेबपेज की कॉन्फ़िगरेशन के कारण डेटा उजागर होना था।

सबसे सीधे जोखिम में वे लोग हैं जिनके ईमेल पते वितरित फ़ाइलों में मौजूद हैं। चूँकि नाम, फ़ोन नंबर या भौतिक पते केवल कुछ रिकॉर्ड में हैं, इसलिए हर व्यक्ति के लिए डेटा उजागर होने का स्तर अलग है। यह नहीं मानना चाहिए कि फ़ाइलों में मौजूद हर व्यक्ति विद्यार्थी, शिक्षक, कर्मचारी या सक्रिय ग्राहक था; उपलब्ध साक्ष्य से हर समूह के प्रभावित लोगों की अलग संख्या नहीं मिलती। कंपनी के अनुसार, उसके शैक्षिक प्लेटफ़ॉर्म पर मौजूद विद्यार्थियों का डेटा इस घटना के दायरे से बाहर था। ईमेल पते का मिलान होने से यह साबित नहीं होता कि खाते का पासवर्ड चोरी हुआ था, क्योंकि पासवर्ड उजागर होने की पुष्टि नहीं हुई है। फिर भी हमलावर किसी ज्ञात ईमेल पते और नाम का उपयोग करके पासवर्ड रीसेट करने, दस्तावेज़ साझा करने या भुगतान से जुड़े फ़र्ज़ी संदेश तैयार कर सकते हैं।

McGraw Hill या Salesforce से आने का दावा करने वाले किसी भी अप्रत्याशित ईमेल, टेक्स्ट संदेश या कॉल में दिए गए लिंक पर जाने से पहले प्रेषक के डोमेन और संपर्क के उद्देश्य की स्वतंत्र रूप से पुष्टि करें। खास तौर पर सावधान रहें जब कोई संदेश चालान, शैक्षिक सामग्री, खाता बंद किए जाने, कॉपीराइट नोटिस या डेटा लीक के मुआवज़े का हवाला देकर पासवर्ड, एक बार इस्तेमाल होने वाला कोड या भुगतान माँगे। ईमेल खाते पर दो-चरणीय सत्यापन चालू करें, फिर खाते की रिकवरी के विकल्पों और सक्रिय सत्रों की समीक्षा करें। चूँकि पासवर्ड उजागर होने की पुष्टि नहीं हुई है, इसलिए बिना माँगे आए संदेशों में दिए गए पासवर्ड रीसेट लिंक का उपयोग न करें; अगर वही पासवर्ड कहीं और भी इस्तेमाल होता है, तो हर खाते पर उसकी जगह एक अलग पासवर्ड रखें। अगर रिकॉर्ड में फ़ोन नंबर मौजूद था, तो SIM बदलने से संबंधित दूरसंचार सेवा प्रदाता की सूचनाओं पर नज़र रखें और फ़र्ज़ी सहायता व फ़ोन पर फ़िशिंग के प्रयासों से सावधान रहें। जिन लोगों का भौतिक पता उजागर हुआ था, उन्हें अनजान डिलीवरी और बिलिंग अनुरोधों की स्वतंत्र रूप से पुष्टि करनी चाहिए।

ईमेल पते और संपर्क विवरण अक्सर वर्षों तक नहीं बदलते, इसलिए डेटा सार्वजनिक होने के कुछ हफ़्तों बाद जोखिम समाप्त नहीं हो जाता। हर खाते के लिए अलग और लंबा पासवर्ड रखने के लिए पासवर्ड मैनेजर का उपयोग करें और महत्वपूर्ण सेवाओं में ऐप-आधारित या सुरक्षा कुंजी से प्रमाणीकरण को प्राथमिकता दें। ईमेल फ़ॉरवर्डिंग के नियमों, जुड़े हुए ऐप्लिकेशन और रिकवरी ईमेल पतों की समय-समय पर समीक्षा करें। किसी संदेश में नाम, पता या फ़ोन नंबर सही होने से वह अपने आप भरोसेमंद नहीं हो जाता; संस्था से उसकी ज्ञात वेबसाइट या फ़ोन नंबर के ज़रिए संपर्क करें। अगर काम या स्कूल का ईमेल पता प्रभावित हुआ था, तो संदिग्ध संदेश संगठन की सुरक्षा टीम को भेजें और सहकर्मियों को उसी अभियान के बारे में चेतावनी दें। यहाँ तक कि पुराने संपर्क विवरणों का भी इस्तेमाल करके पिछले ग्राहक संबंध या शैक्षिक सेवा के बारे में विश्वसनीय लगने वाली कहानी बनाई जा सकती है। जब डेटा की कोई और प्रति या अलग कुल संख्या सामने आए, तो स्थापित आँकड़े से तुलना करने से पहले यह पता करें कि उसमें अलग-अलग लोगों, अलग-अलग ईमेल पतों, पंक्तियों या डेटा के अलग-अलग बिंदुओं को गिना गया है।

LeakData.io पर ऐसे ईमेल पते से खोजें जिसका इस्तेमाल आपने McGraw Hill के साथ किया हो सकता है, ताकि पता चल सके कि वह इस रिकॉर्ड से मेल खाता है या नहीं। मिलान होने का मतलब है कि वह पता कम-से-कम एक वितरित फ़ाइल में मौजूद था; इसका यह अर्थ नहीं है कि नाम, फ़ोन नंबर और भौतिक पता, तीनों एक ही रिकॉर्ड में मौजूद थे। कोई परिणाम न मिलने से यह साबित नहीं होता कि दूसरे ईमेल पते से बनी प्रविष्टियाँ भी मौजूद नहीं हैं, इसलिए काम, स्कूल और निजी उपयोग के पुराने ईमेल पतों की अलग-अलग जाँच करें। खोज के परिणाम के जवाब में कभी भी पासवर्ड, एक बार इस्तेमाल होने वाला कोड, छात्र पहचान संख्या, भुगतान जानकारी या पहचान दस्तावेज़ न दें। अगर मिलान मिलता है, तो पहले ईमेल खाते को सुरक्षित करें और फिर उन महत्वपूर्ण सेवाओं की समीक्षा करें जो उस पते का इस्तेमाल उपयोगकर्ता नाम या खाता रिकवरी के माध्यम के रूप में करती हैं। McGraw Hill डेटा लीक से जुड़े नए आँकड़ों का आकलन करते समय हमलावर के 45 मिलियन रिकॉर्ड के दावे और 1,35,00,136 अलग-अलग ईमेल पतों की तुलना इस तरह न करें जैसे वे एक ही माप हों। समय-समय पर जाँच करने और संदिग्ध संपर्क की जल्द रिपोर्ट देने से घटना के बाद फ़िशिंग का जोखिम कम हो सकता है।