MtGox डेटा में सेंध

इस रिकॉर्ड में प्रमुख डेटा प्रकार ईमेल पता, उपयोगकर्ता नाम, खाता संख्या और पासवर्ड हैश हैं। अकेले ईमेल पते से जोखिम कम लग सकता है, लेकिन किसी पुराने एक्सचेंज खाते से जुड़े होने पर वह लक्षित फ़िशिंग, धन-वापसी की फ़र्ज़ी घोषणाओं, फ़र्ज़ी सहायता संदेशों और क्रिप्टोकरेंसी से जुड़ी धोखाधड़ी के लिए एक मज़बूत शुरुआती आधार बन जाता है। उपयोगकर्ता नाम और खाता संख्याओं के सहारे हमलावर ऐसे संदेश भेज सकता है जो पीड़ित को अधिक विश्वसनीय लगें, किसी पुराने एक्सचेंज खाते का मालिक होने का झूठा दावा कर सकता है या दूसरे प्लेटफ़ॉर्म पर वही उपयोगकर्ता नाम खोज सकता है। पासवर्ड हैश का मतलब पासवर्ड का सीधे पढ़े जा सकने वाले रूप में उपलब्ध होना नहीं है। फिर भी, पुराने और कमज़ोर पासवर्ड जोखिम पैदा कर सकते हैं, खासकर उन हैश विधियों के मामले में जिन्हें उस समय आसानी से तोड़ा जा सकता था। यदि वही पासवर्ड अलग-अलग एक्सचेंज, ईमेल, फ़ोरम या भुगतान खातों में दोबारा इस्तेमाल किया गया हो, तो यह घटना वर्षों बाद भी खातों पर कब्ज़ा करने के प्रयासों का रास्ता खोल सकती है।

सत्यापित दायरा केवल उस खाता डेटा तक सीमित है, जो 2011 में MtGox के उपयोगकर्ता डेटाबेस से उजागर हुआ था। रिकॉर्ड की संख्या 42,163 मानी जाती है, क्योंकि उपलब्ध डेटा उल्लंघन सूचियाँ इस संख्या को सीधे MtGox के डोमेन नाम और जून 2011 की अवधि से जोड़ती हैं। उस समय के विवरण इस बात का समर्थन करते हैं कि डेटाबेस तक पहुँच हासिल करने के बाद खातों की लॉगिन जानकारी, ईमेल पते और कूटबद्ध पासवर्ड प्रसारित किए गए थे। इसके विपरीत, यह रिकॉर्ड क्रिप्टो परिसंपत्तियों की उस हानि से संबंधित नहीं है जिसके चलते MtGox 2014 में दिवालिया हुआ था। न ही यह एक्सचेंज के वॉलेट से कथित रूप से चुराए गए Bitcoin की मात्रा या लेनदारों से जुड़ी प्रक्रिया को दर्शाता है। यह अंतर महत्वपूर्ण है, क्योंकि उपयोगकर्ता डेटा का लीक होना व्यक्तिगत खाते की सुरक्षा का जोखिम है, जबकि 2014 का मामला एक अलग घटना है। उसकी जाँच एक्सचेंज के भंडार और उसके संचालन के ध्वस्त होने के संदर्भ में अलग से की जानी चाहिए।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2011 की अवधि में MtGox खाता खोला था, लंबे समय तक एक ही ईमेल पता इस्तेमाल किया और अपना पासवर्ड दूसरी सेवाओं पर भी दोबारा इस्तेमाल किया। क्रिप्टोकरेंसी समुदायों में एक ही उपनाम इस्तेमाल करने वाले लोगों को भी अतिरिक्त जोखिम है, क्योंकि उस उपयोगकर्ता नाम को दूसरे फ़ोरम, एक्सचेंज या सोशल मीडिया खातों से जोड़ा जा सकता है। पूर्व खाताधारकों को वर्षों बाद आने वाले धन-वापसी, लेनदार रिकॉर्ड, वॉलेट सत्यापन या सहायता से जुड़े फ़र्ज़ी संदेशों से सावधान रहना चाहिए। ऐसे संदेश वास्तविक घटना के इतिहास का इस्तेमाल करके भरोसा जीत सकते हैं और उपयोगकर्ता को फ़र्ज़ी लॉगिन पृष्ठों पर भेज सकते हैं। ईमेल पता अब सक्रिय न हो, तब भी पासवर्ड के दोबारा इस्तेमाल के कारण पहले उसी पते से खोले गए खाते लॉगिन क्रेडेंशियल के दुरुपयोग के प्रयासों का निशाना बन सकते हैं। इसलिए जोखिम को केवल MtGox खाते तक सीमित नहीं मानना चाहिए। उन सभी महत्वपूर्ण खातों का एक साथ आकलन करना चाहिए जिनमें वही ईमेल पता और पहले इस्तेमाल किए गए पासवर्ड उपयोग में रहे हैं।

जिस उपयोगकर्ता का ईमेल पता इस रिकॉर्ड में है, उसका पहला कदम उन सभी खातों की पहचान करना होना चाहिए जहाँ पुराना MtGox पासवर्ड या उससे मिलते-जुलते पासवर्ड अभी भी इस्तेमाल हो रहे हैं। जाँच में ईमेल खाते, क्रिप्टो एक्सचेंजों, वित्तीय सेवाओं, पासवर्ड मैनेजर, क्लाउड स्टोरेज और सोशल मीडिया खातों को प्राथमिकता देनी चाहिए। दोबारा इस्तेमाल किए गए पासवर्ड की जगह हर खाते के लिए अलग और लंबा पासवर्ड रखना चाहिए। जहाँ भी संभव हो, प्रमाणीकरण ऐप या हार्डवेयर कुंजी जैसे मज़बूत दूसरे प्रमाणीकरण कारक सक्रिय करने चाहिए। ईमेल इनबॉक्स में नियमों, फ़ॉरवर्डिंग, खाता पुनर्प्राप्ति के लिए दर्ज ईमेल पतों और लॉगिन इतिहास की जाँच करनी चाहिए। अपरिचित सत्र बंद कर देने चाहिए। MtGox के नाम से आने वाले धन-वापसी, मुकदमों, क्षतिपूर्ति या वॉलेट की जाँच संबंधी संदेशों में किसी भी लिंक पर क्लिक करने से पहले डोमेन को ध्यान से जाँचना चाहिए। माँगा गया पासवर्ड या रिकवरी फ़्रेज़ किसी भी परिस्थिति में साझा नहीं करना चाहिए।

यह घटना पुरानी लग सकती है, लेकिन पासवर्ड के दोबारा इस्तेमाल और क्रिप्टोकरेंसी को निशाना बनाने वाली धोखाधड़ी के कारण इसका जोखिम लंबे समय तक बना रहता है। उपयोगकर्ताओं को सभी महत्वपूर्ण खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए, पासवर्ड मैनेजर से मज़बूत और यादृच्छिक पासवर्ड बनाने चाहिए, और पुराने एक्सचेंज तथा फ़ोरम खातों में इस्तेमाल किए गए क्रेडेंशियल को एक अलग जोखिम समूह मानना चाहिए। क्रिप्टोकरेंसी परिसंपत्तियों से जुड़े ईमेल पतों को जहाँ तक संभव हो, अलग-अलग रखना चाहिए। निवेश, एक्सचेंज, वॉलेट और रोज़मर्रा के संचार के लिए एक ही पता इस्तेमाल करने से बचना चाहिए। खाता पुनर्प्राप्ति के विकल्पों की नियमित अंतराल पर समीक्षा करनी चाहिए और पुराने फ़ोन नंबर तथा इस्तेमाल न होने वाले ईमेल पते हटा देने चाहिए। कंपनियाँ फ़िशिंग प्रशिक्षण में कर्मचारियों के उन ईमेल पतों को विशेष परिदृश्यों के रूप में शामिल करने पर विचार कर सकती हैं, जो पहले क्रिप्टोकरेंसी एक्सचेंजों के डेटा लीक में सामने आए थे। इस तरह, किसी पुराने लीक की पहचान उसे वर्तमान में पहुँच हासिल करने की शृंखला का हिस्सा बनाए जाने से पहले की जा सकती है।

इस रिकॉर्ड में मिलान मिलने का मतलब यह नहीं है कि व्यक्ति की क्रिप्टो परिसंपत्तियाँ सीधे चुरा ली गई हैं। मिलान यह संकेत देता है कि उसका ईमेल पता या खाता जानकारी 2011 की उपयोगकर्ता डेटाबेस संबंधी घटना में मौजूद हो सकती है। फिर भी, जोखिम को गंभीरता से लेना चाहिए, क्योंकि पुराने पासवर्ड हैश, दोबारा इस्तेमाल किए गए पासवर्ड और क्रिप्टो से जुड़े फ़िशिंग अभियानों को एक साथ देखें तो खाते की सुरक्षा पर उनका असर बढ़ सकता है। उपयोगकर्ता को उसी ईमेल पते से खोले गए महत्वपूर्ण खातों की सूची बनानी चाहिए, पासवर्ड का दोबारा इस्तेमाल बंद करना चाहिए, दो-कारक सुरक्षा मज़बूत करनी चाहिए और MtGox के पुराने घटनाक्रम का इस्तेमाल करने वाले संदेशों से सावधान रहना चाहिए। संगठनों के लिए अनुशंसा है कि जब कर्मचारियों के ईमेल पते इस रिकॉर्ड में मिलें, तो वे केवल संख्यात्मक मिलान पर ध्यान न दें। व्यक्ति के वित्तीय खातों तक पहुँच, सिस्टम में उच्च अधिकारों वाली भूमिकाओं और पासवर्ड के दोबारा इस्तेमाल के जोखिम के लिहाज से यह एक अतिरिक्त जाँच का आधार है।