MySpace के डेटा में सेंध (2008)

सत्यापित डेटा श्रेणियाँ ईमेल पते, पासवर्ड और उपयोगकर्ता नाम हैं। केवल ईमेल पते का इस्तेमाल व्यापक स्तर पर लोगों को निशाना बनाने के लिए किया जा सकता है, जबकि उपयोगकर्ता नाम अलग-अलग प्लेटफ़ॉर्म पर किसी व्यक्ति की पुरानी प्रोफ़ाइल के निशानों को आपस में जोड़ने में मदद कर सकता है। रिपोर्टों के अनुसार, पासवर्ड फ़ील्ड को पहले 10 वर्णों वाले पुराने SHA-1-आधारित, बिना सॉल्ट के प्रारूप में संग्रहीत किया गया था। मौजूदा मानकों के अनुसार इस तरह का भंडारण मॉडल कमज़ोर है। खास तौर पर छोटे पासवर्ड, शब्दकोश के शब्दों पर आधारित पासवर्ड या दूसरे खातों से दोबारा इस्तेमाल किए गए पासवर्ड के क्रैक होने का जोखिम इससे बढ़ जाता है।

इस डेटा सेट का असर केवल MySpace खाते तक पहुँच पाने की संभावना तक सीमित नहीं है। संभव है कि अधिकांश उपयोगकर्ताओं ने वर्षों के दौरान अपने पुराने पासवर्ड ईमेल, फ़ोरम, गेमिंग, खरीदारी या सोशल मीडिया खातों पर दोबारा इस्तेमाल किए हों। हमलावर सफल लॉगिन की तलाश में अलग-अलग सेवाओं पर उसी ईमेल और पासवर्ड की जोड़ी को आजमा सकते हैं। उपयोगकर्ता नाम की जानकारी से निशाना बनाए गए व्यक्ति की पुरानी ऑनलाइन पहचान ढूँढ़ने, नकली सहायता संदेश लिखने या पुरानी प्रोफ़ाइल के लिंक इस्तेमाल करके भरोसेमंद दिखने में भी मदद मिल सकती है।

सिस्टम में सेंध की तारीख 1 जुलाई 2008 दर्ज है। डेटा सेट को मई 2016 में बिक्री के लिए उपलब्ध कराया गया और इसी अवधि में सत्यापित खोज प्रणालियों में जोड़ा गया। सत्यापित रूप से जोड़े जाने और अंतिम संशोधन की तारीख 31 मई 2016 है। प्रभावित खातों की संख्या 35,94,20,698 मानी गई है। अलग-अलग रिपोर्टों में पासवर्ड की कुल संख्या इससे अधिक दिखाई दे सकती है, क्योंकि कुछ खातों में एक से अधिक पासवर्ड फ़ील्ड हो सकते थे। आकलन में यह भी पाया गया कि रिकॉर्ड की संख्या और पासवर्ड की संख्या एक जैसी नहीं हैं।

उपयोगकर्ताओं को भेजी गई आधिकारिक सूचना में कहा गया है कि क्रेडिट कार्ड या वित्तीय जानकारी एकत्र नहीं की जाती और ऐसा वित्तीय डेटा इस घटना में शामिल नहीं है। इसलिए इस घटना को भुगतान कार्ड या बैंक डेटा के लीक के रूप में प्रस्तुत नहीं किया जाना चाहिए। स्वास्थ्य संबंधी जानकारी, निजी संदेशों की सामग्री, पहचान-पत्र संख्या या फ़ोन नंबर भी सत्यापित डेटा श्रेणियों में शामिल नहीं हैं। विश्वसनीय आकलन के लिए दायरा ईमेल पतों, उपयोगकर्ता नामों और पासवर्ड तक सीमित रखा गया है; ऐसी अतिरिक्त डेटा श्रेणियाँ नहीं जोड़ी गई हैं जो उपयोगकर्ताओं में अनावश्यक घबराहट पैदा करें।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने अपना MySpace खाता 2013 से पहले बनाया था और अन्य सेवाओं पर वही या मिलता-जुलता पासवर्ड इस्तेमाल किया था। जो उपयोगकर्ता अब भी अपना पुराना ईमेल पता सक्रिय रखते हैं, उनके उस ईमेल पते से जुड़े दूसरे खातों पर पासवर्ड आज़माने के प्रयास हो सकते हैं। जिन लोगों ने अलग-अलग प्लेटफ़ॉर्म पर अपना पुराना उपयोगकर्ता नाम इस्तेमाल किया था, उनकी पहचान को आपस में जोड़ पाने का जोखिम बढ़ जाता है। खास तौर पर संगीत, फ़ोरम, गेमिंग और सोशल नेटवर्क खातों पर एक ही उपनाम बनाए रखने वाले उपयोगकर्ताओं को अधिक आसानी से निशाना बनाया जा सकता है।

यह जोखिम केवल उन लोगों तक सीमित नहीं है जो अपने खातों का सक्रिय रूप से इस्तेमाल करते हैं। छोड़े हुए खाते, भूले हुए ईमेल पते और पुराने पासवर्ड हमलावरों की स्वचालित रूप से आजमाई जाने वाली सूचियों में आ सकते हैं। अगर ईमेल खाते तक अब भी पहुँच उपलब्ध है, तो पुराने MySpace पासवर्ड से मिलते-जुलते पासवर्ड दूसरे खातों पर आजमाए जा सकते हैं। जिन लोगों ने पहले अपने निजी सोशल नेटवर्क खातों में कामकाजी ईमेल का इस्तेमाल किया था, उनकी कॉर्पोरेट पहचान को निशाना बनाना भी संभव है। डेटा पुराना होने से जोखिम समाप्त नहीं हो जाता; पासवर्ड का दोबारा इस्तेमाल एक ऐसी सुरक्षा कमज़ोरी है जो वर्षों तक बनी रह सकती है।

सबसे पहले यह जाँचें कि MySpace खाते पर इस्तेमाल किए गए सभी पासवर्ड या उनसे मिलते-जुलते पासवर्ड अब भी किसी अन्य सेवा पर इस्तेमाल तो नहीं हो रहे हैं। जिस भी खाते पर वही या मिलता-जुलता पासवर्ड मिले, उसके लिए एक अलग और मज़बूत पासवर्ड रखें। सबसे पहले ईमेल खातों, सोशल मीडिया, क्लाउड स्टोरेज, वित्तीय सेवाओं और कामकाजी खातों की जाँच करें। खाता पुनर्प्राप्ति के ईमेल पते और फ़ोन नंबर अद्यतन होने चाहिए, अनजान सत्र बंद किए जाने चाहिए और जहाँ भी संभव हो, दो-कारक प्रमाणीकरण चालू किया जाना चाहिए।

अगर पुराने MySpace खाते तक पहुँच है, तो पासवर्ड रीसेट करें, प्रोफ़ाइल पर अनावश्यक व्यक्तिगत जानकारी कम करें और इस्तेमाल न होने वाले कनेक्शन हटा दें। अगर पहुँच नहीं है, तो उसी ईमेल पते से जुड़े महत्वपूर्ण खातों का सुरक्षा इतिहास जाँचें। पासवर्ड मैनेजर के इस्तेमाल से हर सेवा के लिए अलग पासवर्ड बनाना आसान हो जाता है। अगर इनबॉक्स में पुराने MySpace खाते या उसी उपयोगकर्ता नाम को निशाना बनाने वाले संदेश दिखाई दें, तो सलाह है कि उनमें दिए गए लिंक पर क्लिक किए बिना आधिकारिक लॉगिन पेज पर जाकर अलग से जाँच करें।

यह घटना दिखाती है कि पुराने सोशल नेटवर्क खाते कई वर्षों बाद भी सुरक्षा जोखिम पैदा कर सकते हैं। इस्तेमाल न होने वाले खाते बंद कर देने चाहिए या कम से कम उन्हें अलग पासवर्ड और दो-कारक प्रमाणीकरण से सुरक्षित रखना चाहिए। अगर एक ही ईमेल पते से कई पुराने खाते खोले गए थे, तो महत्वपूर्ण सेवाओं के लिए अलग ईमेल पता या ईमेल उपनाम चुनना बेहतर हो सकता है। अलग-अलग प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम दोबारा इस्तेमाल करने से पहचान को आपस में जोड़ना आसान हो जाता है, इसलिए संवेदनशील या पेशेवर खातों के लिए नाम चुनने की अलग रणनीति अधिक सुरक्षित है।

कॉर्पोरेट दृष्टिकोण से यह मानकर चलना चाहिए कि पुराने सोशल नेटवर्क पासवर्ड कर्मचारी खातों में भी इस्तेमाल किए गए हो सकते हैं। सुरक्षा टीमों को पासवर्ड के दोबारा इस्तेमाल की लगातार जाँच, मज़बूत पासवर्ड नीतियाँ, अनिवार्य दो-कारक प्रमाणीकरण और संदिग्ध लॉगिन प्रयासों की निगरानी लागू करनी चाहिए। व्यक्तिगत उपयोगकर्ताओं को भी अपने पुराने खातों की सूची रखनी चाहिए, महत्वपूर्ण खातों के सत्र इतिहास की नियमित समीक्षा करनी चाहिए और पासवर्ड बदलने को केवल सेंध के बाद का कदम नहीं, बल्कि नियमित सुरक्षा रखरखाव का हिस्सा भी मानना चाहिए। पुराने पासवर्ड याद करना कठिन हो सकता है, फिर भी पासवर्ड मैनेजर की मदद से नए और अलग पासवर्ड इस्तेमाल करना जोखिम को स्थायी रूप से कम करता है।

अगर जाँच का परिणाम सकारात्मक है, तो इसका मतलब है कि आपके MySpace खाते से जुड़ा ईमेल पता, उपयोगकर्ता नाम या पासवर्ड सत्यापित डेटा सेट में मौजूद है। इस परिणाम का मतलब यह नहीं है कि आपकी वित्तीय जानकारी या निजी संदेश लीक हुए हैं। मुख्य कदम यह संभावना समाप्त करना है कि वही पासवर्ड अन्य सेवाओं पर इस्तेमाल किया गया हो। पहले अपना ईमेल खाता और महत्वपूर्ण सेवाएँ सुरक्षित करें, फिर अपने पुराने सोशल नेटवर्क और फ़ोरम खातों की समीक्षा करें।

अगर जाँच का परिणाम नकारात्मक है, तो इसका मतलब केवल इतना है कि इस डेटा सेट में कोई मेल नहीं मिला; इससे अतीत की अन्य घटनाओं से जुड़ा जोखिम पूरी तरह समाप्त नहीं होता। अगर आपने एक ही ईमेल पते से कई पुराने खाते खोले हैं, तो भी हर खाते के लिए अलग पासवर्ड इस्तेमाल करने और दो-कारक प्रमाणीकरण अपनाने को नियमित आदत बनाएँ। MySpace की घटना ने दिखाया कि भूले हुए खाते भी वर्षों बाद पहचान और पासवर्ड की सुरक्षा को प्रभावित कर सकते हैं। इसलिए सबसे उचित तरीका यह सुनिश्चित करना है कि पुराने पासवर्ड किसी भी महत्वपूर्ण सेवा पर दोबारा इस्तेमाल न हों।