MyHeritage: डेटा में सेंध

MyHeritage डेटासेट में सत्यापित डेटा श्रेणियाँ ईमेल पते और पासवर्ड हैं। पासवर्ड फ़ील्ड में सॉल्ट के साथ तैयार किए गए SHA-1 पासवर्ड हैश हैं। ईमेल पतों का इस्तेमाल लक्षित फ़िशिंग, खातों का मिलान करने, पुराने खातों से जुड़े अलर्ट भेजने और पासवर्ड रीसेट के नाम पर धोखाधड़ी करने के लिए किया जा सकता है। वहीं, पासवर्ड हैश अतिरिक्त जोखिम पैदा करते हैं, खासकर जब पासवर्ड कमज़ोर हों या एक ही पासवर्ड कई जगह इस्तेमाल किया गया हो।

इस घटना में साधारण टेक्स्ट वाले पासवर्ड, भुगतान कार्ड, फ़ोन नंबर, भौतिक पते, पहचान दस्तावेज़, DNA प्रोफ़ाइल या वंश-वृक्ष की सामग्री को सत्यापित रूप से लीक हुआ डेटा नहीं मानना चाहिए। फिर भी, ईमेल और पासवर्ड फ़ील्ड साथ मिलने पर हमलावर उसी संयोजन को ईमेल, सोशल मीडिया, क्लाउड स्टोरेज, खरीदारी, पारिवारिक इतिहास और काम से जुड़े खातों पर आज़मा सकते हैं।

MyHeritage के डेटा उल्लंघन की तारीख 26 अक्टूबर 2017, रिकॉर्ड जोड़े जाने की तारीख 20 फ़रवरी 2019 और प्रभावित खातों की संख्या 9,19,91,358 ही रखी जानी चाहिए। कंपनी की घोषणा के अनुसार, फ़ाइल में उन उपयोगकर्ताओं के ईमेल पते और हैश किए गए पासवर्ड थे जिन्होंने MyHeritage खाता खोला था; यह फ़ाइल कंपनी से बाहर एक निजी सर्वर पर देखी गई थी।

दायरा समझाते समय वंश-वृक्ष, DNA डेटा, भुगतान संबंधी जानकारी, क्रेडिट कार्ड, पहचान दस्तावेज़, फ़ोन नंबर या भौतिक पते को निश्चित रूप से लीक हुई डेटा श्रेणियों के रूप में प्रस्तुत नहीं करना चाहिए। कंपनी ने बताया है कि भुगतान संबंधी जानकारी तृतीय-पक्ष भुगतान सेवा प्रदाताओं के पास संग्रहीत होती है और वंश-वृक्ष तथा DNA डेटा अलग प्रणालियों में रखे जाते हैं। कंपनी के अनुसार, इन प्रणालियों तक अनधिकृत पहुँच का कोई प्रमाण नहीं है। इसलिए MyHeritage रिकॉर्ड को संवेदनशील वंशावली डेटा का लीक नहीं, बल्कि बड़ी संख्या में खाता ID उजागर होने और पासवर्ड के दोबारा इस्तेमाल से जुड़ा जोखिम मानना चाहिए।

मुख्य रूप से वे उपयोगकर्ता जोखिम में हैं जिन्होंने 26 अक्टूबर 2017 को या उससे पहले MyHeritage खाता खोला था। अपने ईमेल खाते, सोशल मीडिया, क्लाउड स्टोरेज, खरीदारी की साइटों, वंशावली सेवाओं या काम से जुड़े खाते पर एक ही पासवर्ड इस्तेमाल करने वाले लोगों को अधिक जोखिम है। पुराने खाते भूल जाने पर भी जोखिम बना रहता है, अगर वही पासवर्ड अन्य सेवाओं पर अब भी काम करता है।

वंश-वृक्ष, पारिवारिक इतिहास या DNA परिणामों से जुड़े संदेशों से आसानी से प्रभावित होने वाले उपयोगकर्ताओं को भी लक्षित फ़िशिंग से सावधान रहना चाहिए। जब हमलावरों को पता हो कि कोई वास्तविक MyHeritage खाता मौजूद है, तो वे पारिवारिक संबंधों, सुरक्षा अलर्ट, पुरानी सदस्यताओं, फ़ोटो संग्रहों या रिश्तेदारों से मिलान के बहाने उपयोगकर्ता से संपर्क कर सकते हैं। कॉर्पोरेट ईमेल इस्तेमाल करने वाले लोगों के लिए यह जोखिम काम से जुड़े खाते पर पासवर्ड आज़माए जाने तक भी बढ़ सकता है।

जिन उपयोगकर्ताओं का MyHeritage डेटा में मिलान मिला है, उन्हें अपने MyHeritage खाते और उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल किया गया है। ईमेल, सोशल मीडिया, क्लाउड स्टोरेज, खरीदारी, भुगतान, पारिवारिक इतिहास और काम से जुड़े खातों को प्राथमिकता देनी चाहिए। नए पासवर्ड लंबे और हर खाते के लिए अलग होने चाहिए, और उन्हें पासवर्ड मैनेजर में सहेजे गए पासवर्डों में से चुना जाना चाहिए।

सभी प्रमुख खातों पर दो-कारक प्रमाणीकरण चालू करना चाहिए, सक्रिय सत्रों और जुड़े उपकरणों की जाँच करनी चाहिए तथा अपरिचित सत्र बंद कर देने चाहिए। वंश-वृक्ष, DNA परिणाम, रिश्तेदारों से मिलान या पुराने खाते की सुरक्षा से जुड़े संदेशों में किसी भी लिंक पर क्लिक करने से पहले सेवा के ज्ञात वेब पते या आधिकारिक ऐप के ज़रिए लॉग इन करना चाहिए। सहायता से जुड़ी किसी भी बातचीत में एक बार इस्तेमाल होने वाले कोड, खाते के पासवर्ड या खाता पुनर्प्राप्ति के लिंक साझा नहीं करने चाहिए।

लंबे समय की सुरक्षा के लिए हर सेवा पर अलग पासवर्ड, पासवर्ड मैनेजर और दो-कारक प्रमाणीकरण बुनियादी उपाय हैं। पारिवारिक इतिहास और फ़ोटो संग्रह जैसी अत्यंत निजी संदर्भ वाली सेवाओं पर वर्षों तक एक ही ईमेल और पासवर्ड का पैटर्न बनाए रखने से पुराने डेटा उल्लंघनों में मिले डेटा को नए खातों पर आज़माना आसान हो जाता है। महत्वपूर्ण खातों के लिए अलग ईमेल पता या उपनाम इस्तेमाल करने पर विचार किया जा सकता है।

उपयोगकर्ताओं को पारिवारिक इतिहास से जुड़े पुराने खातों की नियमित समीक्षा करनी चाहिए, जिन खातों की अब ज़रूरत नहीं है उन्हें बंद करना चाहिए और खाता पुनर्प्राप्ति के ईमेल तथा सुरक्षा सूचनाओं को अद्यतन रखना चाहिए। ईमेल पता और पासवर्ड हैश उजागर होने पर जोखिम किसी एक साइट तक सीमित नहीं रहता; एक ही पासवर्ड का कई जगह इस्तेमाल बंद करना ज़रूरी है और लक्षित फ़िशिंग संदेशों से लंबे समय तक सतर्क रहना चाहिए।

LeakData की जाँच बताती है कि खोजा गया ईमेल पता MyHeritage डेटासेट में मौजूद है या नहीं। सकारात्मक परिणाम का अर्थ है कि ईमेल पता इस डेटासेट में मौजूद है और जोखिम का आकलन करते समय सत्यापित डेटा फ़ील्ड को ध्यान में रखना चाहिए। यह परिणाम साबित नहीं करता कि DNA, वंश-वृक्ष, भुगतान कार्ड या पहचान दस्तावेज़ संबंधी जानकारी उजागर हुई है; सुरक्षा के कदम ईमेल और पासवर्ड से जुड़े जोखिम को ध्यान में रखकर तय किए जाने चाहिए।

नकारात्मक परिणाम का अर्थ केवल इतना है कि MyHeritage डेटासेट में कोई मिलान नहीं मिला; इससे अन्य डेटा उल्लंघनों में मौजूद होने की संभावना खत्म नहीं होती। सकारात्मक परिणाम पाने वाले उपयोगकर्ताओं को अपना पासवर्ड रीसेट करना चाहिए, दो-कारक प्रमाणीकरण चालू करना चाहिए, पुराने सत्रों की समीक्षा करनी चाहिए और वंशावली या पारिवारिक इतिहास से जुड़े सुरक्षा संदेशों की पुष्टि किसी अलग माध्यम से करनी चाहिए।