piZap में 2017 का डेटा लीक

सत्यापित डेटा प्रकारों में ईमेल पते, लिंग संबंधी जानकारी, भौगोलिक स्थान, नाम, पासवर्ड, सोशल मीडिया प्रोफ़ाइल, उपयोगकर्ता नाम और वेबसाइट पर गतिविधियाँ शामिल हैं। इन जानकारियों का संयोजन हमलावरों को न केवल पासवर्ड आज़माने, बल्कि ऐसे फ़िशिंग संदेश तैयार करने में भी मदद कर सकता है जो अधिक व्यक्तिगत लगें। फ़ोटो संपादन सेवा की प्रोफ़ाइल जानकारी, सोशल मीडिया लिंक और उपयोगकर्ता नाम जैसी जानकारियाँ उपयोगकर्ता की अलग-अलग ऑनलाइन पहचानों को आपस में जोड़ना आसान बनाती हैं।

खाते की सुरक्षा के लिहाज़ से पासवर्ड वाला फ़ील्ड सबसे महत्वपूर्ण है। पासवर्ड संग्रहीत करने के लिए SHA-1 हैश को मज़बूत मानक नहीं माना जाता; कमज़ोर या बार-बार इस्तेमाल किए गए पासवर्ड का अनुमान लगाया जा सकता है। यदि वही पासवर्ड ईमेल खातों, सोशल मीडिया, खरीदारी, गेमिंग या क्लाउड सेवाओं पर इस्तेमाल किया जाता है, तो जोखिम बहुत अधिक बढ़ जाता है। इस मामले में भुगतान कार्ड, आधिकारिक पहचान संख्या या निजी संदेशों की सामग्री को सत्यापित डेटा प्रकारों में शामिल नहीं माना जाना चाहिए। जोखिम का आकलन लॉगिन विवरण, प्रोफ़ाइल जानकारी और लक्षित सोशल इंजीनियरिंग की संभावना के आधार पर होना चाहिए।

घटना की तारीख 7 दिसंबर 2017 मानी जाती है, और रिकॉर्ड जोड़े जाने की सत्यापित तारीख 16 जुलाई 2019 है। इसका दायरा 4,18,17,893 अलग-अलग खातों तक सीमित है। बाद में अन्य डेटा लीक के संग्रहों के साथ इस डेटा की बिक्री होने से घटना का पता चलने और उसके सामने आने की समयावधि लंबी हो गई; इसलिए उपयोगकर्ताओं को डेटा लीक की तारीख के कई वर्ष बाद भी इसका परिणाम दिखाई दे सकता है। इसका अर्थ यह नहीं है कि डेटा हाल ही में लीक हुआ है; इसका अर्थ है कि पुरानी घटना का बाद में सत्यापन हुआ और उसे सामने लाया गया।

डोमेन नाम pizap.com के रूप में सत्यापित किया गया है। देश का फ़ील्ड खाली रखा गया है, क्योंकि कंपनी के देश के बारे में विश्वसनीय और सुसंगत सत्यापन उपलब्ध नहीं है। रिकॉर्ड सत्यापित स्थिति में है और संवेदनशील डेटा का फ़्लैग बंद है, क्योंकि सत्यापित फ़ील्ड वित्तीय जानकारी या आधिकारिक पहचान जैसी विशेष श्रेणियों में नहीं आते। फिर भी, सोशल मीडिया प्रोफ़ाइल, भौगोलिक स्थान और पासवर्ड डेटा का संयोजन खाते पर कब्ज़ा होने और लक्षित धोखाधड़ी के लिहाज़ से बड़ा जोखिम पैदा करता है।

सबसे अधिक जोखिम उन लोगों को है जो अपने piZap खाते का पासवर्ड अन्य सेवाओं पर भी इस्तेमाल करते हैं। फ़ोटो संपादन का पुराना खाता मामूली लग सकता है; लेकिन यदि वही पासवर्ड किसी अधिक महत्वपूर्ण खाते पर भी काम करता है, तो हमलावर इस जानकारी का इस्तेमाल कर सकते हैं। जिन उपयोगकर्ताओं ने अपनी सोशल मीडिया प्रोफ़ाइल से लॉग इन किया था, उनके प्रोफ़ाइल लिंक से हमलावरों के लिए अलग-अलग प्लेटफ़ॉर्म पर उसी व्यक्ति की पहचान करना आसान हो सकता है।

रचनात्मक काम, सोशल मीडिया सामग्री या ऑनलाइन समुदायों के लिए एक ही उपयोगकर्ता नाम इस्तेमाल करने वाले लोगों को लक्षित संदेश मिलने का जोखिम बढ़ जाता है। उपयोगकर्ता नाम और ईमेल के मिलान, खाते की सुरक्षा से जुड़ी फ़र्ज़ी चेतावनियों, फ़ोटो तक पहुँच की सूचनाओं, सोशल मीडिया कनेक्शन के सत्यापन या पासवर्ड बदलने के बहाने भेजे गए संदेशों के ज़रिए इसका फायदा उठाया जा सकता है। यदि कोई उपयोगकर्ता कंपनी के ईमेल पते से पंजीकृत है, तो यह भी संभव है कि वही पासवर्ड कंपनी के सिस्टम पर आज़माया जाए।

पहला कदम यह जाँचना है कि piZap खाते पर संभवतः इस्तेमाल किया गया पुराना पासवर्ड अन्य खातों पर भी इस्तेमाल हो रहा है या नहीं। यदि वही या उससे मिलता-जुलता पासवर्ड अब भी किसी सेवा पर काम करता है, तो उसे तुरंत बदलकर एक अलग और मज़बूत पासवर्ड रखना चाहिए। ईमेल खातों, सोशल मीडिया, क्लाउड स्टोरेज, भुगतान और काम से जुड़े खातों को प्राथमिकता देनी चाहिए। पासवर्ड मैनेजर का इस्तेमाल एक ही पासवर्ड दोबारा इस्तेमाल करने का जोखिम कम करता है।

जिन महत्वपूर्ण खातों पर बहु-कारक प्रमाणीकरण की सुविधा उपलब्ध है, उन सभी पर इसे चालू करना चाहिए। यदि किसी सोशल मीडिया खाते से लॉग इन किया गया था, तो जुड़े हुए ऐप और तीसरे पक्ष को दी गई अनुमतियों की भी समीक्षा करनी चाहिए। अनजान सक्रिय सत्र बंद करने चाहिए, बिना अनुरोध के आए पासवर्ड रीसेट संदेशों की सावधानी से जाँच करनी चाहिए और संदिग्ध लिंक पर सीधे क्लिक नहीं करना चाहिए। उपयोगकर्ता को piZap या फ़ोटो संपादन के नाम पर भेजे गए फ़र्ज़ी संदेशों से भी सावधान रहना चाहिए।

लंबे समय की सुरक्षा के लिए एक ही पासवर्ड का दोबारा इस्तेमाल पूरी तरह बंद करना ज़रूरी है। पुराने डेटा लीक से मिले पासवर्ड हैश को कई वर्ष बाद भी क्रैक किया जा सकता है या अन्य डेटासेट के साथ जोड़ा जा सकता है। इसलिए केवल एक बार पासवर्ड बदलना पर्याप्त नहीं है; हर सेवा के लिए अलग पासवर्ड रखना और नियमित रूप से सत्रों की जाँच करना स्थायी आदत बननी चाहिए। महत्वपूर्ण खातों पर पासकी या हार्डवेयर सुरक्षा कुंजी की सुविधा उपलब्ध हो, तो इन विकल्पों को प्राथमिकता देनी चाहिए।

सोशल मीडिया लिंक और उपयोगकर्ता नाम भी सुरक्षा योजना का हिस्सा होने चाहिए। उपयोगकर्ताओं को नियमित रूप से जाँचना चाहिए कि उन्होंने पुराने खातों पर कौन-सी जानकारी साझा की है, कौन-सी सेवाएँ उनके सोशल मीडिया खातों से जुड़ी हैं और किन ऐप्लिकेशन को उन्होंने अनुमतियाँ दी हैं। जब प्रोफ़ाइल जानकारी, ईमेल और पासवर्ड डेटा एक साथ लीक होते हैं, तो हमलावरों के लिए अधिक भरोसेमंद लगने वाले संदेश बनाना आसान हो जाता है; इसलिए सुरक्षा केवल पासवर्ड बदलने तक सीमित नहीं होनी चाहिए।

LeakData पर piZap का परिणाम देखने वाले उपयोगकर्ता को सबसे पहले इस सेवा पर इस्तेमाल किया गया पुराना ईमेल पता, उपयोगकर्ता नाम और पासवर्ड याद करने की कोशिश करनी चाहिए। यह पता लगाना चाहिए कि वही पासवर्ड अन्य खातों पर भी इस्तेमाल हो रहा है या नहीं, और जहाँ भी ऐसा हो, वहाँ उसे बदलना चाहिए। यदि सोशल मीडिया से लॉग इन किया गया था, तो जुड़े हुए खातों की अनुमतियों और तीसरे पक्ष के ऐप्लिकेशन को दी गई पहुँच की भी अलग से जाँच करनी चाहिए।

सबसे सही कदम है ईमेल खाते से शुरुआत करते हुए सभी महत्वपूर्ण खातों के लिए अलग-अलग पासवर्ड रखना, बहु-कारक प्रमाणीकरण चालू करना और अनजान सत्र बंद करना। उपयोगकर्ता यह जाँचकर अपने समग्र जोखिम का अधिक सटीक आकलन भी कर सकता है कि अन्य डेटा लीक में यही ईमेल पता किन प्रकार के डेटा के साथ सामने आया है। इस तरीके से यह समझना आसान होता है कि किसी पुराने फ़ोटो संपादन प्लेटफ़ॉर्म का डेटा लीक आज भी सुरक्षा जोखिम क्यों पैदा कर सकता है।