MyFitnessPal: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, IP पते, पासवर्ड और उपयोगकर्ता नाम शामिल हैं। रिपोर्टों के अनुसार, पासवर्ड डेटा हैश मानों से जुड़ा है; कुछ खातों के लिए SHA-1 और नए खातों के लिए bcrypt का इस्तेमाल किया गया था। यह स्थिति पासवर्ड के सीधे पढ़े जा सकने वाले रूप में लीक होने से अलग है; फिर भी, कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के लिए जोखिम बना रहता है। ईमेल पतों और उपयोगकर्ता नामों का मिलान अलग-अलग प्लेटफ़ॉर्म पर मौजूद खातों से किया जा सकता है। IP पते भी उन क्षेत्रों के बारे में परोक्ष संकेत दे सकते हैं जहाँ से खाते तक पहुँच बनाई गई थी, और आम तौर पर होने वाले सत्रों की जानकारी दे सकते हैं। भुगतान कार्ड की जानकारी, रोज़ाना के पोषण रिकॉर्ड, वज़न की जानकारी, व्यायाम का इतिहास या आधिकारिक पहचान संबंधी डेटा इस विशेष रिकॉर्ड की सत्यापित डेटा श्रेणियों में शामिल नहीं हैं। जोखिम मुख्य रूप से खातों पर अनधिकृत कब्ज़े और एक ही पासवर्ड को दोबारा इस्तेमाल करने से जुड़ा है।

MyFitnessPal की इस घटना में सत्यापित खातों की संख्या 14,36,06,147 है। डेटा उल्लंघन का मुख्य समय फरवरी 2018, रिकॉर्ड जोड़े जाने का सत्यापित समय फरवरी 2019 और स्रोत को आखिरी बार अपडेट किए जाने की तारीख 21 फरवरी 2019 मानी जानी चाहिए। कंपनी के अपने बयान के अनुसार, प्रभावित जानकारी में उपयोगकर्ता नाम, ईमेल पते और हैश किए गए पासवर्ड शामिल हैं; खातों की सुरक्षा से जुड़े सत्यापित बाहरी लॉग में IP पते भी शामिल हैं। इसलिए उपयोगकर्ता को दिखाए जाने वाले फ़ील्ड ईमेल पते, IP पते, पासवर्ड और उपयोगकर्ता नामों तक सीमित होने चाहिए। MyFitnessPal के पोषण और व्यायाम से जुड़ी सेवा होने का मतलब यह नहीं है कि स्वास्थ्य डायरी का डेटा भी लीक हुआ था। असत्यापित फ़ील्ड जोड़ने से उपयोगकर्ता को जोखिम के बारे में गलत धारणा हो सकती है।

सबसे अधिक जोखिम उन लोगों को है जो अन्य सेवाओं पर अपने MyFitnessPal खाते वाला ही ईमेल पता और मिलता-जुलता पासवर्ड इस्तेमाल करते हैं। अगर फिटनेस, पोषण और खेल से जुड़े ऐप, सोशल मीडिया, ईमेल खातों और खरीदारी के खातों में एक ही पासवर्ड दोहराया गया है, तो हमलावर इस जानकारी का इस्तेमाल स्वचालित तरीकों से लॉगिन की कोशिश करने वाले हमलों में कर सकते हैं। वे उपयोगकर्ता भी जोखिम में हैं जिन्होंने वर्षों से अपने पुराने खातों का इस्तेमाल नहीं किया है, क्योंकि भुला दिया गया पासवर्ड किसी दूसरी सेवा पर अब भी मान्य हो सकता है। कंपनी के ईमेल पते से पंजीकरण करने वाले कर्मचारियों के लिए फ़िशिंग संदेश अधिक विश्वसनीय लग सकते हैं। IP पते और उपयोगकर्ता नाम के संयोजन का इस्तेमाल नकली लॉगिन चेतावनियों या खाता वापस पाने से जुड़े संदेशों को उपयोगकर्ता के अनुसार ढालने के लिए किया जा सकता है।

प्रभावित उपयोगकर्ता को सबसे पहले अपने MyFitnessPal खाते का पासवर्ड बदलकर एक मज़बूत पासवर्ड रखना चाहिए, जिसका इस्तेमाल किसी दूसरे खाते में न हो। अगर वही या उससे मिलता-जुलता पासवर्ड अन्य सेवाओं पर भी इस्तेमाल किया जाता है, तो ईमेल, सोशल मीडिया, क्लाउड स्टोरेज, खरीदारी, फिटनेस ऐप और भुगतान लिंक से जुड़े खातों के पासवर्ड प्राथमिकता से बदलने चाहिए। पासवर्ड मैनेजर से हर सेवा के लिए अलग पासवर्ड बनाने से पासवर्ड दोहराने का जोखिम कम होता है। जिन खातों में कई चरणों वाला सत्यापन उपलब्ध हो, उनमें इसे चालू करना चाहिए। MyFitnessPal या किसी फिटनेस ऐप के नाम से आने वाले पासवर्ड रीसेट, पुरस्कार, सदस्यता, बिल या खाता निलंबन से जुड़े नकली संदेशों से सावधान रहें। लिंक पर क्लिक करने से पहले उसका पता खुद जाँचें और संदिग्ध फ़ाइलें या फ़ॉर्म न खोलें।

लंबी अवधि में फिटनेस और जीवनशैली ऐप की सुरक्षा पर भी उतना ही नियमित ध्यान देना चाहिए जितना मुख्य ईमेल और वित्तीय खातों पर दिया जाता है। एक ही ईमेल पते से कई ऐप में पंजीकरण करने पर एक डेटा उल्लंघन का जोखिम अलग-अलग सेवाओं तक फैल सकता है। उपयोगकर्ताओं को नियमित रूप से अपने पुराने खातों की समीक्षा करनी चाहिए और जिन सेवाओं का अब इस्तेमाल नहीं होता, उनके पासवर्ड बदलने चाहिए या खाते हटा देने चाहिए। यादृच्छिक और हर खाते के लिए अलग पासवर्ड बनाने के लिए पासवर्ड मैनेजर को मुख्य साधन के रूप में इस्तेमाल किया जा सकता है। कंपनियों में ऐसे सुरक्षा नियम महत्वपूर्ण हैं जो कर्मचारियों को निजी ऐप में काम के ईमेल पते और पासवर्ड इस्तेमाल करने से रोकते हैं। यह याद रखना चाहिए कि पुराने डेटा लीक वर्षों बाद फिर सामने आ सकते हैं, और पुराने पासवर्ड नए खातों में दोबारा इस्तेमाल नहीं करने चाहिए।

LeakData पर MyFitnessPal का परिणाम दिखने का अर्थ है कि ईमेल पता 2018 के फिटनेस और पोषण खातों के डेटासेट में शामिल है। यह परिणाम साबित नहीं करता कि उपयोगकर्ता की मौजूदा स्वास्थ्य या पोषण डायरियों की सुरक्षा भंग हुई है; इसका दायरा केवल जोखिम से जुड़े खाता ID और पासवर्ड के सत्यापित फ़ील्ड तक सीमित है। उपयोगकर्ता को पहले अपना MyFitnessPal खाता जाँचना चाहिए, फिर उसी समय के दौरान इस्तेमाल किए गए पासवर्ड और उसी ईमेल पते से खोले गए महत्वपूर्ण खातों की जाँच करनी चाहिए। ईमेल खाते, सोशल मीडिया, खरीदारी और क्लाउड स्टोरेज की जाँच पहले करनी चाहिए। घटना का मुख्य समय फरवरी 2018 है और रिकॉर्ड जोड़े जाने का सत्यापित समय फरवरी 2019 है। यह समयक्रम “खाते की सुरक्षा” स्क्रीन को इसे गलती से मौजूदा घटना मानने से रोकता है और उपयोगकर्ता को कार्रवाई की सही प्राथमिकता बताता है।