Poshmark: डेटा में सेंध

Poshmark लीक में जिन प्रकार के डेटा की पुष्टि हुई है, वे हैं ईमेल पते, नाम संबंधी जानकारी, यूज़रनेम, लिंग संबंधी जानकारी, भौगोलिक स्थान और पासवर्ड। ईमेल पते के साथ यूज़रनेम दिखाई देने से हमलावरों के लिए अलग-अलग प्लेटफ़ॉर्म पर उस खाते को खोजना आसान हो जाता है। नाम, लिंग और शहर जैसी स्थान-संबंधी जानकारी से फ़र्ज़ी सहायता संदेश, खरीदारी की सूचनाओं की नकल और डिलीवरी के बहाने की जाने वाली धोखाधड़ी की कोशिशें अधिक विश्वसनीय लग सकती हैं।

पासवर्ड bcrypt हैश से सुरक्षित होने के बावजूद जोखिम पूरी तरह समाप्त नहीं होता। अलग-अलग लीक से मिले डेटा को एक साथ इस्तेमाल करने पर कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड वाले खातों पर कब्ज़ा करने की कोशिशें हो सकती हैं। इसके अलावा, Poshmark जैसे सोशल शॉपिंग प्लेटफ़ॉर्म पर यूज़रनेम, प्रोफ़ाइल की जानकारी और खरीदारी की रुचियों को एक साथ जोड़ने से लक्षित फ़िशिंग, बिक्री के फ़र्ज़ी संदेश, रिटर्न की फ़र्ज़ी सूचनाओं और भुगतान न होने से जुड़ी सोशल इंजीनियरिंग के जोखिम बढ़ जाते हैं।

डेटा उल्लंघन की तारीख मई 2018 के रूप में दर्ज है और घटना की जानकारी 2019 में सार्वजनिक की गई थी। सत्यापित खाता समूह में 3,63,95,491 उपयोगकर्ता रिकॉर्ड हैं। घटना से संबंधित सूचनाओं में बताया गया था कि वित्तीय जानकारी और भौतिक पते का विवरण प्रभावित नहीं हुआ था; हालाँकि, खाते की सुरक्षा के लिए महत्वपूर्ण जानकारी, जैसे उपयोगकर्ता प्रोफ़ाइल, ईमेल, शहर, प्राथमिकताएँ और पासवर्ड हैश, प्रभावित हुई थी।

इस पृष्ठ पर डेटा की श्रेणियाँ केवल सत्यापन योग्य मुख्य खाता समूह तक सीमित हैं: ईमेल पते, लिंग संबंधी जानकारी, भौगोलिक स्थान, नाम, पासवर्ड और यूज़रनेम। जिन विवरणों के हर खाते पर लागू होने की पुष्टि नहीं हुई है, उन्हें मुख्य डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है। इससे उपयोगकर्ता को जोखिम का अनावश्यक या बढ़ा-चढ़ाकर दिया गया विवरण पढ़ने के बजाय स्पष्ट रूप से समझ आता है कि खाते की सुरक्षा के लिए कौन-से कदम उठाने हैं।

Poshmark खाते वाले खरीदार, विक्रेता, अपनी सोशल प्रोफ़ाइल का इस्तेमाल करके खरीदारी करने वाले उपयोगकर्ता और कई प्लेटफ़ॉर्म पर एक ही यूज़रनेम इस्तेमाल करने वाले लोग मुख्य जोखिम समूह में हैं। मार्केटप्लेस खाता रखने वाले विक्रेताओं के यूज़रनेम, शहर, प्रोफ़ाइल की जानकारी और ईमेल को एक साथ जोड़कर फ़र्ज़ी ऑर्डर, फ़र्ज़ी सहायता अनुरोध या खाते के सत्यापन के बहाने भेजे जाने वाले संदेशों में इस्तेमाल किया जा सकता है। खरीदारों के लिए छूट, रिटर्न, शिपिंग और खाते की सुरक्षा से जुड़ी फ़िशिंग की कोशिशें प्रमुख जोखिम हैं।

अलग-अलग शॉपिंग साइटों या ईमेल खातों पर एक ही पासवर्ड इस्तेमाल करने वाले लोगों को अधिक जोखिम होता है। पासवर्ड हैश मज़बूत होने पर भी हमलावर उसी ईमेल और यूज़रनेम का अन्य डेटा सेट से मिलान करके पासवर्ड का अनुमान लगाने की कोशिशें शुरू कर सकते हैं। जिन उपयोगकर्ताओं ने अपना सोशल मीडिया खाता अपनी Poshmark प्रोफ़ाइल से जोड़ा है, उनके लिए व्यक्तिगत प्रोफ़ाइल का मिलान किए जाने और फ़र्ज़ी संदेशों का जोखिम और भी बढ़ सकता है।

जिन भी खातों में Poshmark वाला या उससे मिलता-जुलता पासवर्ड इस्तेमाल होता है, उनके पासवर्ड तुरंत बदलने चाहिए। नया पासवर्ड अनूठा, लंबा और यादृच्छिक होना चाहिए तथा उसे पासवर्ड मैनेजर में सुरक्षित रखना चाहिए। ईमेल खाते, अन्य शॉपिंग प्लेटफ़ॉर्म, सोशल मीडिया खातों और भुगतान संबंधी जानकारी रखने वाली सेवाओं को प्राथमिकता देनी चाहिए। पुराने पासवर्ड में मामूली बदलाव करके नया पासवर्ड चुन लेना पर्याप्त सुरक्षा नहीं देता।

जिन खातों में बहु-कारक प्रमाणीकरण की सुविधा है, उनमें इसे सक्षम करना चाहिए। Poshmark और ऐसे ही मार्केटप्लेस खातों में पंजीकृत ईमेल, सत्रों का इतिहास, जुड़े हुए सोशल मीडिया खाते, सूचना संबंधी प्राथमिकताएँ और प्रोफ़ाइल की जानकारी जाँचनी चाहिए। शिपिंग, रिटर्न, विक्रेता सत्यापन, भुगतान संबंधी समस्याओं या खाते की सुरक्षा के बहाने आने वाले संदेशों में किसी भी लिंक पर क्लिक करने से पहले डोमेन जाँचना चाहिए। यदि कोई संदिग्ध सत्र या पासवर्ड रीसेट करने की अनपेक्षित सूचना दिखाई दे, तो सत्र समाप्त करके पासवर्ड बदल देना चाहिए।

Poshmark की घटना दिखाती है कि शॉपिंग और सोशल मार्केटप्लेस खातों का आकलन केवल भुगतान संबंधी जानकारी के आधार पर नहीं, बल्कि प्रोफ़ाइल मिलान और फ़िशिंग के जोखिमों को ध्यान में रखकर भी करना चाहिए। उपयोगकर्ताओं को शॉपिंग, सोशल मीडिया, ईमेल और वित्तीय खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए और जहाँ संभव हो, अलग-अलग ईमेल पते चुनने चाहिए। प्रोफ़ाइल पर अनावश्यक व्यक्तिगत जानकारी न रखने और जुड़े हुए सोशल खातों की नियमित समीक्षा करने से दीर्घकालिक जोखिम कम होता है।

विक्रेता खाता रखने वाले लोगों का ब्रांड नाम, शहर, यूज़रनेम और संपर्क के माध्यम अधिक दिखाई दे सकते हैं। इसलिए सहायता संदेशों, उत्पादों के लिंक और खरीदारों के साथ संवाद के ज़रिए आने वाली फ़िशिंग की कोशिशों की जाँच को नियमित आदत बनाना ज़रूरी है। संगठनों के स्तर पर, लीक हुए पासवर्ड की निगरानी और ऐसा सुरक्षा प्रशिक्षण, जो कर्मचारियों को उनके व्यक्तिगत शॉपिंग खातों के पासवर्ड कामकाजी खातों पर दोबारा इस्तेमाल करने से रोके, लंबे समय तक सुरक्षा प्रदान करते हैं।

यदि खाते की सुरक्षा जाँच में Poshmark का परिणाम दिखाई देता है, तो इसका अर्थ है कि संबंधित ईमेल पता 2018 के Poshmark डेटा उल्लंघन से जुड़े सत्यापित खाता समूह में शामिल है। इस परिणाम का यह मतलब नहीं है कि आज आपके मौजूदा Poshmark खाते में सेंध लगी है; हालाँकि, यह इस संभावना की ओर इशारा करता है कि पहले इस्तेमाल किए गए ईमेल, यूज़रनेम, प्रोफ़ाइल की जानकारी और पासवर्ड हैश का दुरुपयोग हुआ हो। यदि वही पासवर्ड अन्य खातों पर भी इस्तेमाल किया गया है, तो कार्रवाई में देरी नहीं करनी चाहिए।

पहला कदम अपने ईमेल खाते को सुरक्षित करना है। इसके बाद उन सभी खातों के पासवर्ड बदलें जिनमें वही या मिलता-जुलता पासवर्ड इस्तेमाल होता है। यदि कोई संदिग्ध लॉगिन, अपरिचित डिवाइस, बिक्री का अनपेक्षित संदेश, फ़र्ज़ी सहायता अनुरोध या पासवर्ड रीसेट करने की सूचना दिखाई दे, तो संबंधित खाते की सुरक्षा जाँच शुरू करनी चाहिए। पासवर्ड का दोबारा इस्तेमाल पूरी तरह बंद करना, बहु-कारक प्रमाणीकरण सक्षम करना और मार्केटप्लेस के संदेशों में डोमेन नाम जाँचने की आदत बनाना, Poshmark से जुड़े परिणाम मिलने पर उपयोगकर्ताओं के लिए सबसे प्रभावी कदम हैं।