Pemiblanc: डेटा उजागर होने का कथित मामला

Pemiblanc डेटासेट में मुख्य रूप से ईमेल पते और पासवर्ड हैं। अकेले ईमेल पते का इस्तेमाल स्पैम, फ़िशिंग, नकली लॉगिन चेतावनियों और खाता रीसेट करने के संदेशों के लिए किया जा सकता है। हालांकि, सबसे गंभीर जोखिम पासवर्ड से पैदा होता है। अगर एक ही पासवर्ड कई सेवाओं पर इस्तेमाल किया गया है, तो हमलावर स्वचालित लॉगिन प्रयासों के ज़रिए अलग-अलग साइटों पर खातों पर कब्ज़ा करने की कोशिश कर सकते हैं। इसलिए यह सूची केवल संपर्क जानकारी का लीक नहीं है, बल्कि लॉगिन विवरणों का ऐसा संकलन है जिससे सीधे खातों तक पहुँच का जोखिम पैदा होता है।

इस डेटा में भुगतान कार्ड, सरकारी पहचान संबंधी जानकारी, निजी संदेश, स्वास्थ्य संबंधी जानकारी, भौतिक पते या वित्तीय खातों का विवरण शामिल नहीं है। जोखिम का आकलन ईमेल और पासवर्ड के जोड़ों के आधार पर किया जाना चाहिए। चूँकि अधिकांश उपयोगकर्ता स्पष्ट रूप से नहीं जान सकते कि ये पासवर्ड किस सेवा से आए हैं, इसलिए वे सभी महत्वपूर्ण खाते जोखिम में हैं जिन पर वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है।

Pemiblanc की घटना की तारीख 2 अप्रैल 2018, रिकॉर्ड जोड़े जाने की तारीख 9 जुलाई 2018 और प्रभावित खातों की संख्या 11,09,64,206 मानी जानी चाहिए। हालांकि डोमेन pemiblanc.com के रूप में पंजीकृत है, इस घटना को किसी एक ब्रांड के ग्राहक डेटाबेस से डेटा निकाले जाने के एकल उल्लंघन के रूप में नहीं बताया जाना चाहिए। उपलब्ध साक्ष्य दिखाते हैं कि यह सूची विभिन्न डेटा उल्लंघनों से मिले ईमेल और पासवर्ड के जोड़ों का संकलन है, जिसका इस्तेमाल खातों पर कब्ज़ा करने के हमलों में किया जा सकता है।

असत्यापित श्रेणी के रिकॉर्ड को असफल माना जाना चाहिए। इस वर्गीकरण का अर्थ यह नहीं है कि सूची में वास्तविक व्यक्तिगत डेटा नहीं है। इसका मतलब केवल इतना है कि अधिक सावधानी बरतनी ज़रूरी है, क्योंकि सभी प्रविष्टियों के मूल स्रोत और सटीकता को निर्णायक रूप से साबित नहीं किया जा सकता। इसलिए यह विवरण किसी निश्चित स्रोत का दावा किए बिना या किसी एक कंपनी को ज़िम्मेदार ठहराए बिना, उन सुरक्षा उपायों पर केंद्रित है जो उपयोगकर्ता को अपनाने चाहिए।

सबसे अधिक जोखिम उन लोगों को है जो कई साइटों पर एक ही ईमेल और पासवर्ड का इस्तेमाल करते हैं। अगर वही पासवर्ड पुराने फ़ोरम, गेमिंग, खरीदारी, सोशल मीडिया या ईमेल खातों पर इस्तेमाल किया गया है, तो यह सूची हमलावरों को तेज़ी से प्रयास करने में मदद देती है। अपनी कॉर्पोरेट ईमेल आईडी से निजी सेवाओं पर पंजीकरण करने वाले कर्मचारी भी जोखिम में हैं, क्योंकि पासवर्ड दोबारा इस्तेमाल करने से कार्यस्थल के खातों, क्लाउड सेवाओं या आंतरिक पोर्टल पर हमलों की आशंका बढ़ती है।

लंबे समय से न बदले गए पासवर्ड, परिवार के साझा खाते, पासवर्ड मैनेजर के बिना आसानी से याद रहने वाले शब्दों से बनाए गए लॉगिन विवरण और दो-कारक प्रमाणीकरण बंद रखने वाले खाते अधिक जोखिम में हैं। सूची पुरानी होने पर भी जोखिम समाप्त नहीं माना जाता, क्योंकि दोबारा इस्तेमाल किए गए पासवर्ड वर्षों बाद भी अलग-अलग सेवाओं पर आज़माए जा सकते हैं।

जिन उपयोगकर्ताओं के विवरण का Pemiblanc में मिलान मिलता है, उन्हें सबसे पहले उन सभी खातों की पहचान करनी चाहिए जिन पर वही पासवर्ड इस्तेमाल किया गया है, और हर खाते के लिए अलग, मज़बूत पासवर्ड चुनना चाहिए। विशेष रूप से ईमेल खातों, बैंकिंग और भुगतान सेवाओं, सोशल मीडिया, खरीदारी की साइटों, क्लाउड स्टोरेज और कार्यस्थल के खातों को प्राथमिकता दी जानी चाहिए। केवल Pemiblanc से जुड़ी सेवा का ही नहीं, बल्कि उन सभी खातों का पासवर्ड बदलने पर विचार करना चाहिए जिनमें वही पासवर्ड इस्तेमाल किया गया है।

जहाँ भी संभव हो, दो-चरणीय सत्यापन चालू करना चाहिए, हाल के सत्रों और जुड़े उपकरणों की समीक्षा करनी चाहिए और अनजान सत्र बंद कर देने चाहिए। ईमेल खाते का रिकवरी पता और फ़ोन नंबर जाँचना चाहिए तथा अप्रत्याशित पासवर्ड रीसेट संदेशों पर ध्यान देना चाहिए। पासवर्ड मैनेजर का इस्तेमाल करने से हर सेवा के लिए अलग और लंबे पासवर्ड सुरक्षित रखना आसान हो जाता है।

लंबी अवधि में बचाव का मूल तरीका है पासवर्ड दोबारा इस्तेमाल करना पूरी तरह बंद करना और महत्वपूर्ण खातों के लिए अतिरिक्त सत्यापन अपनाना। जब हर खाते के लिए अलग पासवर्ड चुना जाता है, तो क्रेडेंशियल स्टफिंग सूचियों का असर बहुत कम हो जाता है। हर खाते का पासवर्ड अलग होने पर, एक सेवा से पहले लीक हुआ पासवर्ड दूसरे खातों में लॉगिन करने के लिए इस्तेमाल नहीं किया जा सकता। उपयोगकर्ताओं को विशेष रूप से अपने ईमेल खाते को सुरक्षा का मुख्य केंद्र मानना चाहिए, उसका पासवर्ड अलग रखना चाहिए और अतिरिक्त सत्यापन अनिवार्य करना चाहिए।

संगठन अतिरिक्त उपाय के तौर पर यह निगरानी कर सकते हैं कि कर्मचारियों के ईमेल पते ज्ञात लॉगिन विवरण सूचियों में दिखाई देते हैं या नहीं। उन्हें पासवर्ड दोबारा इस्तेमाल करने की प्रवृत्ति कम करने वाली नीतियाँ अपनानी चाहिए और अधिक जोखिम वाले खातों के सत्रों की गतिविधियों की जाँच करनी चाहिए। चूँकि पुरानी पासवर्ड सूचियाँ पूरी तरह गायब नहीं हुई हैं, इसलिए पिछले डेटा उल्लंघनों को केवल ऐतिहासिक डेटा नहीं, बल्कि वर्तमान खाते की सुरक्षा के लिए भी एक संकेत माना जाना चाहिए।

LeakData की जाँच दिखाती है कि खोजा गया ईमेल पता Pemiblanc डेटासेट में मौजूद है या नहीं। सकारात्मक परिणाम बताता है कि ईमेल पता किसी पासवर्ड के साथ क्रेडेंशियल स्टफिंग सूची में दिखाई देता है। हालांकि, केवल इससे यह साबित नहीं होता कि पासवर्ड किस सेवा से आया था या सूची की हर प्रविष्टि का सटीक मूल स्रोत क्या है। इस सीमा को देखते हुए उपयोगकर्ता को सावधानी बरतते हुए तुरंत कदम उठाने चाहिए।

नकारात्मक परिणाम का अर्थ केवल यह है कि इस डेटासेट में कोई मिलान नहीं मिला। इससे अन्य डेटा उल्लंघनों में विवरण मौजूद होने की संभावना समाप्त नहीं होती। सकारात्मक परिणाम पाने वाले उपयोगकर्ताओं को उन सभी खातों के पासवर्ड बदलने को प्राथमिकता देनी चाहिए जहाँ वे एक ही पासवर्ड इस्तेमाल करते हैं। साथ ही, उन्हें दो-कारक प्रमाणीकरण चालू करना चाहिए, सत्रों की निगरानी करनी चाहिए और पासवर्ड मैनेजर का इस्तेमाल करना चाहिए। सबसे सही तरीका है सभी पुराने और दोबारा इस्तेमाल किए गए पासवर्ड का उपयोग बंद करना और हर खाते के लिए अलग लॉगिन विवरण इस्तेमाल करना।