NetEase डेटा उजागर होने का कथित मामला

सत्यापित डेटा श्रेणियों में ईमेल पते और पासवर्ड शामिल हैं। ईमेल पता वह मुख्य पहचानकर्ता है जिसके ज़रिए हमलावर लक्षित उपयोगकर्ता की पहचान कर सकते हैं और दूसरे प्लेटफ़ॉर्म पर उसी पहचान को खोज सकते हैं। पासवर्ड होने से जोखिम सीधे बढ़ जाता है। खास तौर पर सादे टेक्स्ट में या आसानी से तोड़े जा सकने वाले रूप में रखे गए पासवर्ड का इस्तेमाल खातों पर कब्ज़ा करने के स्वचालित प्रयासों में किया जा सकता है। अगर किसी उपयोगकर्ता ने अपने ईमेल खाते, सोशल मीडिया प्रोफ़ाइल, गेमिंग खाते, शॉपिंग साइट, क्लाउड स्टोरेज या काम से जुड़ी सेवाओं में एक ही पासवर्ड दोबारा इस्तेमाल किया है, तो एक डेटा लीक का असर कई खातों तक फैल सकता है। इसलिए NetEase में डेटा लीक की यह घटना केवल किसी पुरानी ईमेल सेवा की समस्या नहीं है, बल्कि एक गंभीर सुरक्षा घटना है जो पासवर्ड दोबारा इस्तेमाल करने के दीर्घकालिक परिणाम दिखाती है।

ईमेल और पासवर्ड का संयोजन क्रेडेंशियल स्टफिंग हमलों के लिए सबसे उपयोगी संयोजनों में से एक है। हमलावर अलग-अलग प्लेटफ़ॉर्म पर यही जानकारी आज़माकर जाँच सकते हैं कि किन खातों में अब भी प्रवेश किया जा सकता है। अगर सफल प्रयासों के बाद ईमेल इनबॉक्स पर उनका नियंत्रण हो जाता है, तो पासवर्ड रीसेट लिंक के ज़रिए अन्य खातों तक पहुँचने का जोखिम भी रहता है। भले ही ईमेल पता अब सक्रिय न हो, वर्षों के दौरान उसी पते का इस्तेमाल अलग-अलग सेवाओं पर खाते बनाने के लिए किया गया हो सकता है। इससे पुराने डेटा लीक का असर कम नहीं होता। इसके उलट, भूले हुए खाते, कमज़ोर पासवर्ड और लंबे समय से नहीं बदली गई लॉगिन जानकारी जोखिम को बनाए रखते हैं।

यह रिकॉर्ड 23,48,42,089 खातों से जुड़ा है और घटना की तारीख 19 अक्टूबर 2015 दर्ज की गई है। रिकॉर्ड जोड़े जाने की तारीख 9 अक्टूबर 2016 है। डेटा फ़ील्ड केवल ईमेल पतों और पासवर्ड तक सीमित हैं। इस घटना में पूरा नाम, फ़ोन नंबर, घर या अन्य भौतिक पता, भुगतान की जानकारी या सरकारी पहचान-पत्र जैसे अतिरिक्त व्यक्तिगत डेटा फ़ील्ड सत्यापित नहीं हुए हैं। सत्यापन सीमित होने के कारण उपयोगकर्ताओं की संख्या और पूरे डेटासेट को कंपनी की ओर से किए गए किसी निश्चित खुलासे के रूप में प्रस्तुत नहीं किया जाना चाहिए। फिर भी, वास्तविक पासवर्ड से बड़ी संख्या में मिलान होने के संकेत बताते हैं कि उपयोगकर्ताओं को इस घटना को नज़रअंदाज़ नहीं करना चाहिए। पासवर्ड डेटा वाले उल्लंघनों में सत्यापन सीमित होने पर भी सुरक्षा के उपाय टालने नहीं चाहिए।

इन सीमाओं को सही ढंग से समझना ज़रूरी है। इस डेटासेट का आकलन NetEase या 163.com डोमेन नाम से जुड़ी लॉगिन जानकारी के आधार पर किया जाना चाहिए। ईमेल और पासवर्ड के अलावा डेटासेट में अन्य फ़ील्ड होने का कोई विश्वसनीय सत्यापन नहीं है, इसलिए विवरण में कोई अतिरिक्त डेटा प्रकार नहीं जोड़ा गया है। रिकॉर्ड को संवेदनशील डेटा के रूप में चिह्नित नहीं किया गया है, लेकिन इसमें पासवर्ड होने के कारण सुरक्षा पर इसका असर गंभीर है। उपयोगकर्ता के लिए सबसे अहम सवाल यह है कि इस पासवर्ड का इस्तेमाल और कहाँ किया गया है। अगर यही पासवर्ड अलग-अलग सेवाओं में इस्तेमाल हुआ था, तो यह डेटा उल्लंघन वर्षों बाद भी जोखिम पैदा कर सकता है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने NetEase या 163.com खाते का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। अगर ईमेल और पासवर्ड का वही संयोजन दूसरे प्लेटफ़ॉर्म पर भी मान्य है, तो हमलावर तेज़ी से जाँच करने वाले टूल की मदद से इस जानकारी को अलग-अलग खातों पर आज़मा सकते हैं। चीन स्थित पुरानी ईमेल सेवाओं का इस्तेमाल करने वाले लोगों, अंतरराष्ट्रीय गेम और फ़ोरम खातों के लिए एक ही ईमेल पता चुनने वाले उपयोगकर्ताओं, लंबे समय से पासवर्ड नहीं बदलने वाले खाताधारकों और अपने पुराने खाते भूल चुके लोगों को खास तौर पर सावधान रहना चाहिए। किसी पासवर्ड के वर्षों पहले लीक होने का मतलब यह नहीं है कि वह अब सुरक्षित है। बहुत पुराने डेटासेट भी क्रेडेंशियल स्टफिंग सूचियों में अब तक प्रसारित हो सकते हैं।

दूसरे जोखिम समूह में वे लोग आते हैं जो उसी ईमेल पते को खाता रिकवरी के लिए इस्तेमाल करते हैं। अगर किसी हमलावर को ईमेल खाते तक पहुँच मिल जाती है, तो वह उससे जुड़े खातों की पासवर्ड रीसेट प्रक्रिया का दुरुपयोग कर सकता है। इसके अलावा, एक ही ईमेल पते से कई सेवाओं पर खाते होने से उपयोगकर्ता की डिजिटल गतिविधियों के अलग-अलग निशानों को आपस में जोड़ना आसान हो जाता है। निजी सेवाओं के लिए कंपनी का ईमेल पता इस्तेमाल करने वाले लोगों का जोखिम अधिक है। किसी निजी सेवा से डेटा लीक होने पर काम से जुड़े खाते के खिलाफ़ फ़िशिंग प्रयासों का रास्ता खुल सकता है। इसलिए उपयोगकर्ताओं को केवल अपने NetEase पासवर्ड का ही नहीं, बल्कि उसी ईमेल और पहले इस्तेमाल किए गए पासवर्ड से जुड़े सभी खातों का अलग-अलग आकलन करना चाहिए।

पहला कदम यह सुनिश्चित करना है कि NetEase या 163.com खाते के लिए इस्तेमाल किया गया पासवर्ड अब किसी दूसरे खाते पर इस्तेमाल न हो रहा हो। अगर वही पासवर्ड अन्य सेवाओं पर दोबारा इस्तेमाल किया गया है, तो सभी संबंधित खातों के लिए मज़बूत और अलग-अलग पासवर्ड बनाए जाने चाहिए। पासवर्ड मैनेजर का इस्तेमाल करने से लंबे और रैंडम पासवर्ड सुरक्षित ढंग से रखना आसान हो जाता है। ईमेल खातों, सोशल मीडिया प्रोफ़ाइल, क्लाउड स्टोरेज, वित्तीय सेवाओं और काम से जुड़े खातों जैसे महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण चालू करना चाहिए। पासवर्ड रीसेट के विकल्पों, रिकवरी ईमेल पतों और जुड़े हुए फ़ोन नंबरों की भी जाँच करनी चाहिए।

दूसरा कदम संदिग्ध लॉगिन के इतिहास और सुरक्षा सूचनाओं की समीक्षा करना है। उपयोगकर्ताओं को अनजान डिवाइस, अप्रत्याशित लॉगिन और असामान्य पासवर्ड रीसेट ईमेल पर ध्यान देना चाहिए। ईमेल खाते में फ़ॉरवर्डिंग नियमों, स्वचालित फ़िल्टर और रिकवरी सेटिंग की जाँच करनी चाहिए। हमलावर जिन खातों तक पहुँच चुके हैं, उनमें कोई स्थायी निशान छोड़े बिना संदेश आगे भेजने की कोशिश कर सकते हैं। अगर NetEase खाता अब इस्तेमाल नहीं होता, तो उसे बंद करने या उसकी लॉगिन जानकारी अपडेट करने के विकल्पों पर विचार करना चाहिए। जिन पुराने खातों का अब इस्तेमाल संभव नहीं है, उनके लिए सबसे ज़रूरी कदम यह सुनिश्चित करना है कि वही पासवर्ड कहीं और इस्तेमाल न हो।

NetEase की घटना दिखाती है कि एक ही पासवर्ड दोबारा इस्तेमाल करना वर्षों बाद भी सुरक्षा की कमज़ोरी बन सकता है। लंबे समय तक सुरक्षा के लिए हर सेवा पर अलग पासवर्ड इस्तेमाल करना चाहिए, बहु-कारक प्रमाणीकरण की सुविधा देने वाले सभी खातों पर इसे चालू करना चाहिए और महत्वपूर्ण खातों के सत्र इतिहास की नियमित अंतराल पर समीक्षा करनी चाहिए। ईमेल पतों को भी उनके उपयोग के हिसाब से अलग रखा जा सकता है। जब निजी सेवाओं के खाते, काम से जुड़े खाते और वित्तीय खाते एक ही ईमेल पते से जुड़े हों, तो एक डेटा लीक का असर अधिक व्यापक होता है। खास तौर पर ईमेल खाते को सबसे मज़बूत सुरक्षा मिलनी चाहिए, क्योंकि यह अन्य खातों की रिकवरी का मुख्य माध्यम होता है।

उपयोगकर्ताओं को पुराने डेटा उल्लंघनों को केवल ऐतिहासिक जानकारी नहीं मानना चाहिए। पुराने डेटासेट नए हमलों के लिए स्रोत सूची का काम कर सकते हैं। हमलावर वर्षों पहले लीक हुए ईमेल और पासवर्ड नए प्लेटफ़ॉर्म पर आज़मा सकते हैं या फ़िशिंग संदेशों को अधिक विश्वसनीय बना सकते हैं। इसलिए पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड रखने की नीति, सुरक्षा कुंजी या प्रमाणीकरण ऐप, पुराने खातों की सफ़ाई और खातों की नियमित जाँच को स्थायी सुरक्षा दिनचर्या का हिस्सा बनाना चाहिए। पहले इस्तेमाल किए गए एक ही पासवर्ड का दोबारा उपयोग पूरी तरह बंद कर देने पर ऐसे पुराने डेटा लीक का असर काफ़ी कम हो जाता है।

LeakData पर NetEase की जाँच से आपको यह देखने में मदद मिलती है कि आपका ईमेल पता इस डेटा उल्लंघन से जुड़ा है या नहीं। अगर परिणाम में आपका ईमेल पता इससे जुड़ा मिलता है, तो सबसे पहले उन सभी खातों की पहचान करें जहाँ आपने वही पासवर्ड इस्तेमाल किया था और हर खाते के लिए अलग पासवर्ड बनाएँ। अपने ईमेल खाते पर बहु-कारक प्रमाणीकरण चालू करें, रिकवरी विकल्पों की जाँच करें और जिन सत्रों को आप नहीं पहचानते उन्हें बंद करें। साथ ही, उसी ईमेल पते से बनाए गए पुराने फ़ोरम, गेमिंग, शॉपिंग या क्लाउड खातों की समीक्षा करें। जिन खातों का आप अब इस्तेमाल नहीं करते, उन्हें बंद करने या उनके पासवर्ड अपडेट करने से पुराने डेटा लीक को नए हमलों में बदलना कठिन हो जाता है।

भले ही आपका ईमेल पता इस उल्लंघन में न मिले, अगर आप लंबे समय से एक ही पासवर्ड इस्तेमाल कर रहे हैं, तो दूसरे डेटासेट से भी ऐसा ही जोखिम पैदा हो सकता है। इसलिए किसी एक जाँच के परिणाम पर निर्भर रहने के बजाय पासवर्ड का दोबारा इस्तेमाल पूरी तरह बंद करना और महत्वपूर्ण खातों की नियमित समीक्षा करना ज़रूरी है। हालांकि NetEase डेटा उल्लंघन का सत्यापन एक रिकॉर्ड के स्तर तक सीमित है, ईमेल और पासवर्ड का संयोजन मौजूद होना उपयोगकर्ता के लिए अपने आप में पर्याप्त गंभीर चेतावनी है। सबसे उचित तरीका है कि हर जगह अलग पासवर्ड रखें, बहु-कारक प्रमाणीकरण चालू करें और संदिग्ध संदेशों में दिए गए लिंक के बजाय आधिकारिक लॉगिन पेज का इस्तेमाल करें।