Nafham Education: 2021 में डेटा लीक

Nafham के डेटाबेस में ईमेल पता, पूरा नाम और पासवर्ड हैश का संयोजन सबसे गंभीर जोखिम पैदा करता है। हालाँकि Bcrypt पासवर्ड संग्रहीत करने का एक मज़बूत तरीका है, लेकिन कमज़ोर या आम तौर पर इस्तेमाल किए जाने वाले पासवर्ड समय के साथ क्रैक किए जा सकते हैं। यदि वही पासवर्ड ईमेल, सोशल मीडिया, स्कूल, खरीदारी या अन्य शैक्षिक खातों पर भी इस्तेमाल किया जाता है, तो हमलावर इस जानकारी को अलग-अलग सेवाओं पर आज़मा सकते हैं। पूरे नाम और ईमेल का संयोजन फ़र्ज़ी सहायता सूचनाओं, खाते की सुरक्षा से जुड़े संदेशों या पाठ्यक्रम सामग्री से संबंधित भ्रामक संदेशों को भी अधिक विश्वसनीय बना देता है।

कुछ निर्देशिकाओं में फ़ोन नंबर, पंजीकरण की तारीख, अंतिम लॉगिन की तारीख और शैक्षिक प्रोफ़ाइल के फ़ील्ड अलग-अलग जोखिम श्रेणियों के रूप में दिखाई देते हैं। इन फ़ील्ड पर विचार करते समय यह नहीं मानना चाहिए कि हर पंक्ति में इनकी पूरी जानकारी मौजूद है। फिर भी, जिस उपयोगकर्ता की जानकारी का मिलान हुआ हो, उसे फ़ोन कॉल, टेक्स्ट संदेश, खाता सत्यापन या छात्र और अभिभावक से जुड़ी सूचनाओं के प्रति सतर्क रहना चाहिए। शैक्षिक प्लेटफ़ॉर्म के संदर्भ से उपयोगकर्ता के आयु वर्ग, स्कूली स्तर या सीखने के उद्देश्य के बारे में अनुमान लगाए जा सकते हैं।

इस रिकॉर्ड के लिए सबसे पुख़्ता तारीख नवंबर 2021 है। यह घटना मिस्र स्थित Nafham Education सेवा से जुड़ी है और मुख्य रिकॉर्ड संख्या 4,15,744 रखी गई है। अधिक संख्याएँ इस वजह से हो सकती हैं कि अलग-अलग सूचियों में उसी डेटासेट की सफ़ाई, दोहराए गए रिकॉर्ड हटाने या पंक्तियाँ गिनने के अलग-अलग तरीके अपनाए गए हों। इसलिए उपयोगकर्ताओं के सामने ऐसा विवरण नहीं रखा जाता जिससे कई मिलियन रिकॉर्ड होने का संकेत मिले। वास्तविक पैमाना लगभग 416 हज़ार उपयोगकर्ताओं का है।

डेटा श्रेणियाँ ईमेल पते, पूरे नाम, पासवर्ड हैश, फ़ोन नंबर, खाता बनाने की तारीखें, अंतिम लॉगिन की तारीखें और शिक्षा संबंधी विवरण तक सीमित हैं। पासवर्ड फ़ील्ड को bcrypt हैश माना जाना चाहिए, न कि सादे टेक्स्ट में मौजूद पासवर्ड। उपयोगकर्ता नाम का फ़ील्ड मुख्य डेटा श्रेणी से हटा दिया गया है, क्योंकि उसका स्वतंत्र रूप से और लगातार सत्यापन नहीं हुआ है। भुगतान कार्ड, बैंक खाता, सरकारी पहचान-पत्र, घर का पता या निजी संदेशों की सामग्री शामिल नहीं हैं, क्योंकि इस रिकॉर्ड के लिए इनका विश्वसनीय सत्यापन नहीं किया जा सकता।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने Nafham खाते का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। शैक्षिक प्लेटफ़ॉर्म का खाता पुराना होने पर भी वही ईमेल और पासवर्ड कहीं और सक्रिय हो सकते हैं। छात्रों, अभिभावकों, शिक्षकों और अरबी भाषा की शैक्षिक सामग्री का इस्तेमाल करने वालों को खाते की सुरक्षा से जुड़े फ़र्ज़ी संदेशों, पाठों तक पहुँच की सूचनाओं, प्रमाणपत्र के लिंक या भुगतान के अनुरोधों के ज़रिए निशाना बनाया जा सकता है।

जिन उपयोगकर्ताओं के फ़ोन नंबर या शैक्षिक प्रोफ़ाइल फ़ील्ड का मिलान हुआ है, उनके लिए जोखिम केवल ईमेल इनबॉक्स तक सीमित नहीं है। SMS, कॉल या मैसेजिंग ऐप के ज़रिए फ़र्ज़ी सहायता प्रक्रियाएँ तैयार की जा सकती हैं। नाम, उपनाम और शिक्षा से जुड़ा संदर्भ संदेशों को व्यक्तिगत बनाते हैं। इसी जानकारी का इस्तेमाल कॉर्पोरेट ईमेल उपयोग करने वाले शिक्षकों या शैक्षिक कर्मचारियों को ऐसे फ़िशिंग संदेश भेजने के प्रयासों में किया जा सकता है, जो स्कूल के आंतरिक संचार जैसे दिखें।

जिस उपयोगकर्ता की जानकारी का मिलान हुआ है, उसे सबसे पहले यह सुनिश्चित करना चाहिए कि Nafham खाते पर इस्तेमाल किया गया पुराना पासवर्ड किसी अन्य खाते पर मान्य न हो। यदि वही या उससे मिलता-जुलता पासवर्ड दूसरी सेवाओं पर इस्तेमाल किया गया है, तो तुरंत एक अलग और लंबा पासवर्ड चुनना चाहिए। ईमेल, सोशल मीडिया, स्कूल की सेवाओं और भुगतान से जुड़े खातों पर बहु-कारक सुरक्षा चालू करनी चाहिए। पुराना पासवर्ड याद न होने पर भी पासवर्ड मैनेजर की मदद से नए और अलग-अलग पासवर्ड अपनाना अधिक उपयुक्त बचाव है।

Nafham, पाठ्यक्रम तक पहुँच, छात्र प्रोफ़ाइल, खाता सत्यापन या सुरक्षा सूचनाओं से जुड़े संदेशों में किसी भी लिंक पर क्लिक करने से पहले डोमेन की खुद जाँच करनी चाहिए। फ़ोन पर मिले सत्यापन कोड माँगने वाले अनुरोध, तुरंत कार्रवाई का दबाव डालने वाले सहायता संदेश और खाता बंद करने की धमकियाँ फ़र्ज़ी हो सकती हैं। उपयोगकर्ताओं को खाता बहाल करने के लिए दर्ज ईमेल पते, पंजीकृत फ़ोन नंबर और सक्रिय सत्रों की जाँच करनी चाहिए। यदि उन्हें किसी अप्रत्याशित लॉगिन की सूचना दिखे, तो उन्हें संबंधित सेवा की परिचित लॉगिन स्क्रीन से प्रक्रिया शुरू करनी चाहिए।

शैक्षिक प्लेटफ़ॉर्म पर इस्तेमाल होने वाले खातों को आम तौर पर कम जोखिम वाला माना जाता है, लेकिन जब पूरा नाम, ईमेल और पासवर्ड हैश एक साथ लीक होते हैं, तो जोखिम लंबे समय तक बना रहता है। उपयोगकर्ताओं को स्कूल, पाठ्यक्रम, अभ्यास परीक्षा, वीडियो प्रशिक्षण और सोशल मीडिया खातों के लिए एक ही पासवर्ड दोबारा इस्तेमाल नहीं करना चाहिए। यदि मामला किसी बच्चे या अभिभावक के खाते से जुड़ा है, तो संपर्क जानकारी और प्रोफ़ाइल किसे दिखाई देती है, इसका अधिक सावधानी से प्रबंधन करना चाहिए। इस्तेमाल में न आने वाले शैक्षिक खातों को बंद कर देना चाहिए या अलग पासवर्ड देकर दूसरे खातों से अलग रखना चाहिए।

सेवा प्रशासकों के लिए मुख्य सीख यह है कि प्रशिक्षण से जुड़ा डेटा पहचान संबंधी डेटा जितना ही संवेदनशील है। पासवर्ड हैश मज़बूत एल्गोरिदम से संग्रहीत किए जाने पर भी पहुँच नियंत्रण, सत्रों की सुरक्षा और डेटा रखने की अवधि की नियमित समीक्षा होनी चाहिए। फ़ोन नंबर, स्कूल, कक्षा, अभिभावक के साथ संबंध और अध्ययन के क्षेत्र जैसी प्रोफ़ाइल जानकारी केवल ज़रूरत रहने तक रखी जानी चाहिए। उपयोगकर्ताओं को अपना खाता हटाने और अपना डेटा अपडेट करने की सुविधा स्पष्ट रूप से दी जानी चाहिए।

मिलान मिलने का परिणाम ईमेल, पूरे नाम, bcrypt पासवर्ड हैश और कुछ स्रोतों में फ़ोन नंबर, पंजीकरण की तारीख, अंतिम लॉगिन की तारीख तथा शैक्षिक प्रोफ़ाइल फ़ील्ड से जुड़े जोखिम का संकेत देता है। मिलान न मिलने का परिणाम केवल यह बताता है कि इस विशेष डेटासेट में कोई मिलान नहीं है। इससे यह साबित नहीं होता कि उस व्यक्ति की जानकारी किसी अन्य शिक्षा-संबंधी या खाता-संबंधी डेटा उल्लंघन में शामिल नहीं है।

सही कदम हैं: पुराने पासवर्ड का इस्तेमाल पूरी तरह छोड़ना, दोबारा इस्तेमाल किए गए पासवर्ड बदलना, ईमेल और स्कूल के खातों पर बहु-कारक सुरक्षा अपनाना, फ़ोन के ज़रिए मिले सत्यापन अनुरोधों की किसी स्वतंत्र माध्यम से पुष्टि करना और शैक्षिक प्लेटफ़ॉर्म से जुड़े दिखने वाले लिंक के प्रति सतर्क रहना।