Muslim Directory डेटा में सेंध

इस रिकॉर्ड में सत्यापित डेटा के प्रकारों में पहचान, संपर्क, पता, नियोक्ता, आयु समूह, वेबसाइट पर गतिविधि और पासवर्ड से जुड़े फ़ील्ड शामिल हैं। ईमेल पते और फ़ोन नंबर का इस्तेमाल व्यक्ति से सीधे संपर्क करने के लिए किया जा सकता है। भौतिक पते और नाम की जानकारी से किसी संस्था के नाम पर भेजे गए फ़र्ज़ी पत्र या संदेश, दान के अनुरोध, स्थानीय सेवाओं की घोषणाएँ या डिलीवरी के बहाने भेजे गए ठगी के संदेश अधिक विश्वसनीय लग सकते हैं। नियोक्ता से जुड़ा फ़ील्ड किसी हमलावर को व्यक्ति के कार्यस्थल के माध्यम से उसे निशाना बनाने या अधिक विशिष्ट सोशल इंजीनियरिंग प्रयास तैयार करने में मदद कर सकता है। सबसे महत्वपूर्ण बात यह है कि पासवर्ड प्लेन टेक्स्ट में दर्ज हैं। प्लेन टेक्स्ट पासवर्ड पहचान से जुड़ी ऐसी जानकारी है जिसका सीधे इस्तेमाल किया जा सकता है; यह कोई हैश नहीं है जिसे क्रैक करना पड़े। इसलिए, यदि उसी पासवर्ड का इस्तेमाल ईमेल, सोशल मीडिया, खरीदारी या काम से जुड़ी प्रणालियों में भी किया गया हो, तो खाते पर अनधिकृत नियंत्रण का जोखिम बढ़ जाता है।

घटना की सत्यापित तारीख 17 फ़रवरी 2014, रिकॉर्ड जोड़े जाने की तारीख 23 फ़रवरी 2014 और प्रभावित खातों की संख्या 37,784 दर्ज की जानी चाहिए। इसी घटना से संबंधित कुछ रिपोर्टों में 38,903 उपयोगकर्ता क्रेडेंशियल का उल्लेख है; उपयोगकर्ता को दिखाई जाने वाली मुख्य संख्या सत्यापित डेटा लीक रिकॉर्ड में दर्ज 37,784 खातों तक ही सीमित है। डेटा की सत्यापित श्रेणियाँ आयु समूह, ईमेल पते, नियोक्ता, नाम, पासवर्ड, फ़ोन नंबर, भौतिक पते और वेबसाइट पर गतिविधि हैं। इस रिकॉर्ड में भुगतान कार्ड, बैंक खाते, पहचान दस्तावेज़, स्वास्थ्य संबंधी जानकारी या निजी संदेशों की सामग्री की पुष्टि नहीं हुई है, इसलिए ऐसे फ़ील्ड शामिल नहीं हैं। हालाँकि यह घटना एक धार्मिक निर्देशिका के नाम से जुड़ी है, फिर भी रिकॉर्ड को संवेदनशील डेटा लीक की श्रेणी में चिह्नित नहीं किया गया है। इसके बावजूद, किसी व्यक्ति को निशाना बनाकर किए जाने वाले उत्पीड़न, फ़िशिंग और प्रतिष्ठा से जुड़े दबाव का सावधानी से आकलन करना ज़रूरी है।

सबसे अधिक जोखिम वाले समूह में वे लोग शामिल हैं जिनका 2014 में Muslim Directory खाता था, जिन्होंने लंबे समय तक एक ही ईमेल पता इस्तेमाल किया और उसी पासवर्ड का अन्य सेवाओं पर भी इस्तेमाल किया। प्लेन टेक्स्ट पासवर्ड के कारण, निर्देशिका के पुराने खाते की जानकारी का सीधे इस्तेमाल करके अलग-अलग प्लेटफ़ॉर्म पर लॉगिन करने की कोशिश की जा सकती है। जिन लोगों के भौतिक पते, फ़ोन नंबर और नियोक्ता की जानकारी ज्ञात है, उन्हें उनकी निजी जानकारी के अनुरूप तैयार किए गए ठगी के संदेश मिल सकते हैं। स्थानीय व्यवसाय मालिकों, सेवा प्रदाताओं, समुदाय के प्रतिनिधियों और निर्देशिका में दिखाई देने वाली प्रोफ़ाइल वाले उपयोगकर्ताओं के लिए जोखिम अधिक है। कोई हमलावर सामुदायिक या व्यावसायिक संपर्कों के ज़रिए व्यक्ति को धोखा देने की कोशिश कर सकता है। जिन लोगों ने संस्थागत ईमेल पते से पंजीकरण किया था, उनके काम से जुड़े खाते तक भी यह जोखिम पहुँच सकता है। इसलिए, जिन उपयोगकर्ताओं की जानकारी का मिलान मिलता है, उन्हें केवल वेबसाइट के पुराने खाते का ही नहीं, बल्कि उसी पासवर्ड का इस्तेमाल करने वाले सभी महत्वपूर्ण खातों और ईमेल पते के इस्तेमाल के इतिहास का भी एक साथ आकलन करना चाहिए।

जिस उपयोगकर्ता को अपनी जानकारी का मिलान दिखाई दे, उसे पहले अपने Muslim Directory खाते में इस्तेमाल किया गया पुराना पासवर्ड याद करने की कोशिश करनी चाहिए और उन सभी खातों के पासवर्ड बदलने चाहिए जिनमें वही या मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। ईमेल खातों, सोशल मीडिया, खरीदारी के खातों, क्लाउड सेवाओं और काम से जुड़े खातों की जाँच को प्राथमिकता देनी चाहिए। नए पासवर्ड हर खाते के लिए अलग और लंबे होने चाहिए तथा उन्हें पासवर्ड मैनेजर से बनाना चाहिए। दो-कारक प्रमाणीकरण की सुविधा देने वाली सभी सेवाओं पर यह सुरक्षा सक्रिय करनी चाहिए। फ़ोन नंबर, पते या नियोक्ता की जानकारी का उल्लेख करने वाले संदेशों में कोई भी लिंक खोलने से पहले किसी अलग माध्यम से डोमेन नाम की पुष्टि करनी चाहिए। पहचान में न आने वाले सत्र बंद कर देने चाहिए और ईमेल खाते में फ़ॉरवर्डिंग तथा फ़िल्टर के नियमों की समीक्षा करनी चाहिए। संदिग्ध संदेशों में पासवर्ड, सत्यापन कोड, भुगतान संबंधी जानकारी या पहचान दस्तावेज़ साझा नहीं करने चाहिए।

यह घटना दिखाती है कि निर्देशिकाओं के पुराने और मामूली लगने वाले खातों से भी वर्षों बाद सुरक्षा पर गंभीर असर पड़ सकता है। उपयोगकर्ताओं को फ़ोरम, निर्देशिका, समुदाय और सदस्यता से जुड़े पुराने खातों की नियमित समीक्षा करनी चाहिए। जिन खातों का अब इस्तेमाल नहीं होता, उन्हें बंद कर देना चाहिए या कम से कम उनके पासवर्ड अपडेट करने चाहिए। हर सेवा के लिए अलग पासवर्ड रखने की व्यवस्था बनानी चाहिए और पासवर्ड मैनेजर तथा मज़बूत दो-कारक प्रमाणीकरण का इस्तेमाल सामान्य अभ्यास बनना चाहिए। निजी सेवाओं पर पंजीकरण के लिए काम के ईमेल पते का इस्तेमाल न करने से काम से जुड़े खाते को सोशल इंजीनियरिंग के जोखिमों से अलग रखने में मदद मिलती है। यदि फ़ोन नंबर और भौतिक पते जैसी जानकारी लीक हुई है, तो उपयोगकर्ताओं को कूरियर, दान, स्थानीय सेवाओं, सार्वजनिक संस्थाओं या समुदाय से जुड़े विषयों वाले संदेशों के प्रति अधिक सावधान रहना चाहिए। जब संगठनों को ऐसे पुराने डेटा लीक में अपने कर्मचारियों के ईमेल पते दिखाई दें, तो उन्हें पासवर्ड दोबारा इस्तेमाल किए जाने के जोखिम और लक्षित फ़िशिंग की संभावना, दोनों पर एक साथ विचार करना चाहिए।

इस रिकॉर्ड में Muslim Directory से जुड़ा मिलान दिखाई देने का अर्थ है कि संबंधित ईमेल पता 2014 के निर्देशिका खातों के डेटा में शामिल हो सकता है। यह मिलान साबित नहीं करता कि भुगतान कार्ड या पहचान संबंधी जानकारी उजागर हुई है। मुख्य जोखिम प्लेन टेक्स्ट पासवर्ड, संपर्क विवरण और पते से जुड़े फ़ील्ड का एक साथ संभावित इस्तेमाल है। उपयोगकर्ता को उसी ईमेल पते से जुड़े महत्वपूर्ण खातों की सूची बनानी चाहिए, पुराने और दोबारा इस्तेमाल किए गए पासवर्ड हटाने चाहिए, दो-कारक प्रमाणीकरण का इस्तेमाल बढ़ाना चाहिए और फ़ोन या पते की जानकारी के आधार पर निशाना बनाने वाले सोशल इंजीनियरिंग संदेशों से सावधान रहना चाहिए। संगठनों के लिए अनुशंसित कदम यह है कि वे इस रिकॉर्ड को नया डेटा लीक न मानें, बल्कि प्लेन टेक्स्ट पासवर्ड से जुड़े 2014 के पुराने जोखिम के रूप में देखें, जो खाते की सुरक्षा के लिहाज़ से गंभीर है, और पासवर्ड दोबारा इस्तेमाल किए जाने की अलग से जाँच करें।