Night Smiles: डेटा उजागर होने का कथित मामला

Night Smiles का रिकॉर्ड बनाने से पहले मौजूदा रिकॉर्डों में शीर्षक, डोमेन नाम, मिलते-जुलते ब्रांड नाम, घटना की तारीख और रिकॉर्डों की संख्या का मिलान किया गया। उसी घटना का कोई रिकॉर्ड नहीं मिला, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। इस निर्णय में उन रिकॉर्डों को शामिल नहीं किया गया जिनके नाम मिलते-जुलते थे, लेकिन डोमेन या घटनाएँ अलग थीं।

लक्षित सूचियों में रिकॉर्डों की संख्या और उन विवरणों की संख्या में अंतर हो सकता है जिनकी पुष्टि की जा सकती है। इसकी वजह मूल डेटा की पंक्तियों, अलग-अलग खातों, दोहराए गए ईमेल पतों, साफ़ किए गए रिकॉर्डों, फ़ोरम की पंक्तियों, प्रोफ़ाइल की पंक्तियों या दोबारा पैकेज किए गए डेटा सेटों के बीच अंतर हो सकती है। इस पेज पर 35,356 की संख्या को आधार बनाया गया है, क्योंकि उपलब्ध प्रमाण इस संख्या और संबंधित डेटा प्रकारों का लगातार समर्थन करते हैं; दिखाई गई सबसे बड़ी संख्या को आधार नहीं बनाया गया है।

Night Smiles का मूल्यांकन एक पुरानी संगीत साइट के रूप में किया गया, जो कलाकारों की झलकियाँ और कॉन्सर्ट की सूचियाँ प्रकाशित करती थी। भले ही संगीत और कार्यक्रमों से जुड़े खाते कम जोखिम वाले लगें, प्लेन टेक्स्ट पासवर्ड का मिलना अन्य सेवाओं के लिए गंभीर जोखिम पैदा कर सकता है।

इस घटना में ईमेल पते और प्लेन टेक्स्ट पासवर्ड के लिए प्रमाण मिले। कार्यक्रमों, कॉन्सर्ट की घोषणाओं या कलाकारों के न्यूज़लेटर से जुड़े संदेशों को पुराने खातों की जानकारी के साथ मिलाकर लक्षित फ़िशिंग के लिए इस्तेमाल किया जा सकता है।

Night Smiles की घटना में सामान्य ईमेल लीक की तुलना में जोखिम अधिक है, क्योंकि इसमें प्लेन टेक्स्ट पासवर्ड की जानकारी मिली थी। पासवर्ड डेटा हमलावरों को अलग-अलग संयोजन आज़माने में लगने वाला समय घटाता है, उसी पासवर्ड का उपयोग करने वाली अन्य सेवाओं पर स्वचालित लॉगिन प्रयासों को आसान बनाता है और पासवर्ड रीसेट करने वाले संदेशों को अधिक विश्वसनीय बनाता है।

केवल ईमेल पता सीमित व्यक्तिगत जानकारी लग सकता है, लेकिन जब इसे उपयोगकर्ता नाम, IP पते, फ़ोन नंबर, पूरे नाम, जन्मतिथि या पासवर्ड की जानकारी के साथ जोड़ा जाता है, तो यह हमले का एक प्रभावी माध्यम बन जाता है। यदि उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेम, स्वास्थ्य, वित्त या सोशल मीडिया खातों के लिए एक ही ईमेल पते का इस्तेमाल करता है, तो इसका असर संबंधित प्लेटफ़ॉर्म से आगे भी जा सकता है।

भले ही यह घटना पुरानी हो, सुरक्षा के लिहाज़ से इसका महत्व बना हुआ है। बड़ी संख्या में उपयोगकर्ता पुराने पासवर्ड के पैटर्न में मामूली बदलाव करके उनका दोबारा इस्तेमाल करते हैं। इसलिए Night Smiles जैसी पुरानी डेटा सेंध का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, क्रेडेंशियल स्टफिंग और लक्षित फ़िशिंग के प्रयासों के लिए किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना है कि उन्होंने पहले Night Smiles या www.nightsmiles.com पर कौन-सा ईमेल पता और पासवर्ड इस्तेमाल किया होगा। यदि अन्य खातों पर भी उसी तरह के पासवर्ड इस्तेमाल किए गए हैं, तो केवल संबंधित साइट पर बदलाव करना पर्याप्त नहीं है; दोहराए गए सभी पासवर्ड को अनूठे और यादृच्छिक पासवर्ड से बदलना चाहिए।

इस घटना के बाद पासवर्ड मैनेजर का इस्तेमाल करना सबसे प्रभावी उपायों में से एक है। हर साइट के लिए अलग पासवर्ड बनाने से एक डेटा सेंध का असर कड़ी-दर-कड़ी अन्य खातों तक फैलने से रोका जा सकता है। ब्राउज़र में सहेजे गए पुराने पासवर्ड की भी समीक्षा करनी चाहिए और कमज़ोर या दोहराए गए पासवर्ड हटाने चाहिए।

दो-कारक प्रमाणीकरण को खास तौर पर ईमेल खातों, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइल, नौकरी खोजने वाले खातों और एडमिन पैनल के लिए प्राथमिकता देनी चाहिए। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजी, SMS-आधारित प्रमाणीकरण की तुलना में हमलों का बेहतर सामना करने वाली सुरक्षा प्रदान करती है।

ईमेल खाते के फ़ॉरवर्डिंग नियमों, रिकवरी पतों, जुड़े हुए ऐप, भरोसेमंद डिवाइस की सूची और हाल के सत्रों की जाँच करनी चाहिए। भले ही कोई हमलावर सीधे Night Smiles खाते तक पहुँच न सके, वह ईमेल खाते के ज़रिए अन्य सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग में पुरानी सेवा का नाम, उपयोगकर्ता नाम, उद्योग से जुड़ी जानकारी, देश, शौक या पंजीकरण की तारीख का इस्तेमाल किया जा सकता है। उपयोगकर्ताओं को आने वाले लिंक पर सीधे क्लिक करने के बजाय खुद पता टाइप करना चाहिए, पुष्टि किए बिना अटैचमेंट नहीं खोलने चाहिए और ऐसे संदेशों से सावधान रहना चाहिए जो तुरंत कार्रवाई करने का दबाव बनाते हैं।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन करना चाहिए। यदि किसी कर्मचारी ने देखने में व्यक्तिगत लगने वाले खाते पर अपने काम के ईमेल पते का इस्तेमाल किया है, तो कंपनी के सिस्टम पर भी वही पासवर्ड आज़माया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा स्कैन, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्वपूर्ण हैं।

साइट संचालकों के लिए मुख्य सीख पासवर्ड के भंडारण और डेटा को न्यूनतम रखने से जुड़ी है। प्लेन टेक्स्ट या आसानी से क्रैक किए जा सकने वाले हैश प्रारूप सीधे उपयोगकर्ता की सुरक्षा को कमज़ोर करते हैं। आधुनिक सिस्टम में मज़बूत, सॉल्ट का उपयोग करने वाली और धीमी पासवर्ड व्युत्पत्ति विधियों का इस्तेमाल करना चाहिए। उपयोगकर्ता के लॉगिन के दौरान पुराने हैश प्रारूपों को धीरे-धीरे अपडेट करना चाहिए।

बैकअप, परीक्षण परिवेश, निर्यात फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनल और अनावश्यक विशेषाधिकारों का नियमित ऑडिट होना चाहिए। कई डेटा लीक मुख्य एप्लिकेशन के दिखाई देने वाले हिस्से से नहीं, बल्कि भुला दिए गए सहायक सिस्टम या व्यापक विशेषाधिकार वाले खातों से होते हैं।

जिन संस्थानों के पास घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचित करने, पासवर्ड रीसेट करने, लॉग की समीक्षा करने और जुड़े हुए सिस्टम की जाँच में देरी होती है। किन सिस्टम की निगरानी होगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को सूचित किया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

विवरण में Night Smiles की पहचान स्पष्ट रूप से ऐसी साइट के रूप में की गई जो अब सक्रिय नहीं थी। मौजूदा TLS जाँच से ठीक प्रतिक्रिया नहीं मिलने के कारण रिकॉर्ड को उपयोग से बाहर के रूप में चिह्नित किया गया।

लक्षित पंक्ति में दी गई संख्या और सीधे प्रमाण से समर्थित 35,356 की संख्या में थोड़ा अंतर पाया गया; सीधे प्रमाण से समर्थित संख्या का इस्तेमाल किया गया।

प्लेन टेक्स्ट पासवर्ड मिलने के कारण उपयोगकर्ताओं को जाँचना चाहिए कि क्या वे ईमेल, सोशल मीडिया, टिकटिंग या संगीत प्लेटफ़ॉर्म पर भी उसी पासवर्ड का इस्तेमाल कर रहे हैं।

इस रिकॉर्ड में नाम, फ़ोन या भुगतान संबंधी डेटा नहीं जोड़ा गया, क्योंकि उनके समर्थन में प्रमाण नहीं हैं। सही दायरा केवल ईमेल और प्लेन टेक्स्ट पासवर्ड तक सीमित है।

पंजीकरण पेज पर एकसमान ढंग से दिखाने के लिए Night Smiles के लोगो की छवि का मिलान किया गया।

इस रिकॉर्ड में असत्यापित डेटा प्रकारों को जानबूझकर शामिल नहीं किया गया। डेटा श्रेणियों की लंबी सूची बनाने के बजाय प्रमाण से समर्थित फ़ील्ड स्पष्ट रूप से दिखाना उपयोगकर्ताओं का भरोसा बनाए रखने के लिए अधिक उपयोगी है। डेटा सेंध के पेजों का उद्देश्य डरावना दिखना नहीं, बल्कि सही दायरे और लागू सुरक्षा उपायों को स्पष्ट रूप से समझाना है।

यह पेज Night Smiles में डेटा सेंध, www.nightsmiles.com से डेटा लीक, Night Smiles से पासवर्ड लीक और Night Smiles का उपयोगकर्ता डेटा जैसे अलग-अलग नामों के अंतर्गत सरल और व्यावहारिक जानकारी देने के लिए तैयार किया गया है। पाठ में सत्यापित पहलुओं और व्यावहारिक सुरक्षा कदमों को समझाया गया है।

यह रिकॉर्ड देखने पर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का ही नहीं, बल्कि उसी ईमेल पते से खोले गए अन्य खातों का भी आकलन करना चाहिए। जिन खातों में पुराने पासवर्ड दोबारा इस्तेमाल किए जाते हैं, वे खास तौर पर हमलावरों के पहले निशाने होते हैं। पुराने खातों को बंद करने से भी लंबे समय में जोखिम कम होता है।

पासवर्ड दोहराने से बचने के लिए नए पासवर्ड में ब्रांड नाम, जन्म के वर्ष, उपयोगकर्ता नाम, टीम के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले अतिरिक्त अंश नहीं होने चाहिए। पासवर्ड के अंत में छोटा अंक या विशेष चिह्न जोड़ देने से वह सुरक्षित नहीं हो जाता; हमलावरों के उपकरण ऐसे पैटर्न तेज़ी से आज़माते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों को अपडेट करें, दो-कारक प्रमाणीकरण सक्षम करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय सीधे साइट का पता इस्तेमाल करें।

सुरक्षा टीमों को इस रिकॉर्ड का मूल्यांकन उन ईमेल पतों के संदर्भ में करना चाहिए जो कर्मचारियों के डोमेन नामों से मेल खाते हैं। पुराने फ़ोरम, खरीदारी, वित्तीय या सामुदायिक खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्ष्य सूचियों को अधिक समृद्ध बना सकते हैं।

ऐसी घटनाओं में डेटा को न्यूनतम रखना बेहद महत्वपूर्ण है। प्रोफ़ाइल के अनावश्यक फ़ील्ड एकत्र नहीं करने चाहिए, उचित डेटा प्रतिधारण नीतियों के तहत निष्क्रिय खाते हटा देने चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित रखनी चाहिए और डेटा निर्यात की गतिविधियों की अतिरिक्त निगरानी करनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को अपने खातों की सुरक्षा व्यवस्था दुरुस्त करनी चाहिए। पुराने और भूले हुए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अपडेट करना और महत्वपूर्ण खातों पर लॉगिन सूचनाएँ सक्षम करना स्थायी सुरक्षा प्रदान करते हैं।

प्रभावित खातों की संख्या, पासवर्ड जानकारी के प्रकार, डेटा श्रेणियों का खातों पर अनधिकृत नियंत्रण पाने के लिए इस्तेमाल किए जाने की संभावना और घटना में दोबारा इस्तेमाल किए जा सकने वाले लॉगिन विवरण शामिल होने या न होने को ध्यान में रखते हुए इस पेज पर जोखिम का स्तर अत्यंत गंभीर निर्धारित किया गया। अत्यंत गंभीर स्तर का अर्थ यह नहीं है कि दुरुपयोग निश्चित रूप से हुआ है, बल्कि यह संकेत है कि उपयोगकर्ता को जल्द कार्रवाई करने की ज़रूरत है।

संक्षेप में, Night Smiles का यह रिकॉर्ड अगस्त 2018 की अवधि में हुई एक ही डेटा सेंध का रिकॉर्ड है, जिसने 35,356 खातों को प्रभावित किया और जिसमें ईमेल पतों और प्लेन टेक्स्ट पासवर्ड के फ़ील्ड शामिल हैं। उपयोगकर्ताओं को अनूठे पासवर्ड इस्तेमाल करने, दो-कारक प्रमाणीकरण सक्षम करने, ईमेल की सुरक्षा सेटिंग जाँचने और संदिग्ध लॉगिन की चेतावनियों पर नज़र रखने की सलाह दी जाती है।

Night Smiles के रिकॉर्ड में संख्या, शीर्षक और डोमेन का मूल्यांकन एक साथ किया गया है, इसलिए उसी नाम से प्रचलित अस्पष्ट सूची प्रविष्टियों को इस पेज पर शामिल नहीं किया गया। उपयोगकर्ता को दिखने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा श्रेणियों को सरल रखना खास तौर पर महत्वपूर्ण है, क्योंकि प्रमाण के बिना फ़ील्ड जोड़ने से उपयोगकर्ता का जोखिम आकलन प्रभावित होता है। इसलिए इस रिकॉर्ड में ईमेल पतों और प्लेन टेक्स्ट पासवर्ड के अलावा अन्य दावों को सिद्ध डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

www.nightsmiles.com डोमेन से जुड़ी पुरानी सदस्यताएँ भुला दी गई हो सकती हैं। यदि भूले हुए खातों के पासवर्ड नहीं बदले जा सकते, तो उन अन्य सेवाओं का पता लगाना जहाँ उसी पासवर्ड का इस्तेमाल हो रहा है और उन्हें सुरक्षित करना अधिक व्यावहारिक प्राथमिकता है।

जब उपयोगकर्ता नाम, ईमेल या फ़ोन की जानकारी को अन्य लीक के साथ जोड़ा जाता है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, क्षेत्र या पहले सदस्यता लेने की आदतों का अनुमान लगाना आसान हो जाता है। इसलिए एक डेटा सेंध छोटी लगने पर भी संयुक्त जोखिम अधिक होता है।

संस्थानों के लिए यह ज़रूरी है कि नियमित जागरूकता प्रशिक्षण में कर्मचारियों की व्यक्तिगत सदस्यताओं के लिए काम के ईमेल पते के इस्तेमाल पर चर्चा की जाए। ऐसे रिकॉर्ड पासवर्ड के दोबारा इस्तेमाल और व्यक्तिगत प्लेटफ़ॉर्म पर कॉर्पोरेट पहचान की दृश्यता को मापने के लिए चेतावनी संकेत देते हैं।

यदि उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल पता दिखे, तो उसे सबसे महत्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले खरीदारी के खाते।

यदि खाते बंद किए जा सकते हैं, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी एक अच्छा कदम है। जो खाते बंद नहीं किए जा सकते, उनमें कम से कम पासवर्ड अनूठा कर देना चाहिए, प्रोफ़ाइल की जानकारी न्यूनतम रखनी चाहिए और लॉगिन सूचनाएँ सक्षम करनी चाहिए।