QIP में 2011 का डेटा लीक

ईमेल पते, पासवर्ड और उपयोगकर्ता नाम का मेल दुर्भावनापूर्ण लोगों को खातों का मिलान करने, लक्षित फ़िशिंग करने और दोबारा इस्तेमाल किए गए लॉगिन विवरणों से प्रवेश की कोशिश करने में मददगार जानकारी देता है। उस समय की एक सुरक्षा रिपोर्ट में कहा गया था कि संग्रह में पासवर्ड प्लेनटेक्स्ट में दिखाई दिए थे। प्लेनटेक्स्ट में पासवर्ड को किसी एकतरफ़ा प्रक्रिया से सुरक्षित रूप में नहीं बदला गया होता। जहाँ उसी पासवर्ड को बिना बदले किसी दूसरी सेवा में भी इस्तेमाल किया गया हो, वहाँ उसे उस खाते में प्रवेश के लिए सीधे आज़माया जा सकता है। सत्यापित डेटा में वेबसाइट गतिविधि की श्रेणी मौजूद है, लेकिन उसका विशिष्ट अर्थ परिभाषित नहीं किया गया था। इसके आधार पर वेबसाइट पर जाने, संदेशों, संपर्क सूचियों, प्रोफ़ाइल की पसंदों, भुगतानों, IP पतों या किसी अन्य व्यक्तिगत जानकारी के बारे में दावे नहीं किए जाने चाहिए।

डेटा लीक की तारीख जून 2011 के रूप में दर्ज है। 2016 में प्रकाशित एक रिपोर्ट में सार्वजनिक हो चुके एक अलग डेटा संग्रह का उल्लेख था, जिसमें 3,33,83,392 कच्ची डेटा पंक्तियाँ थीं। वहीं, घटना में खातों की सत्यापित संख्या 2,61,83,992 अलग-अलग खाते बनी हुई है। ये संख्याएँ अलग-अलग चीज़ें मापती हैं, इसलिए इन्हें न तो आपस में जोड़ना चाहिए और न ही एक की जगह दूसरी का इस्तेमाल करना चाहिए। यह अंतर दोहराई गई पंक्तियों, डेटा के कई अलग-अलग रूपों या गिनती के अलग-अलग तरीकों के कारण हो सकता है, लेकिन उपलब्ध साक्ष्य सटीक कारण स्थापित नहीं करते। पुष्टि किए गए तथ्यों में QIP सेवा से संबंध, समयावधि, खातों की संख्या और उजागर हुई डेटा की चार श्रेणियाँ शामिल हैं। प्रवेश का रास्ता, प्रभावित प्रणालियाँ, सूचना दिए जाने का समय और सुधारात्मक कदम स्थापित नहीं हो सके।

जून 2011 के आसपास जिन लोगों का QIP खाता था, वे मुख्य प्रभावित समूह हैं। उन लोगों के लिए जोखिम अधिक है जिन्होंने वही पासवर्ड किसी ईमेल खाते, सोशल नेटवर्क, गेमिंग सेवा या काम के लिए इस्तेमाल होने वाले टूल पर भी इस्तेमाल किया था। उजागर उपयोगकर्ता नाम से अलग-अलग असंबद्ध वेबसाइटों पर उसी उपनाम को खोजना या ऐसे खातों के बीच संबंध जोड़ना भी आसान हो सकता है जो संभवतः एक ही व्यक्ति के हों। ईमेल पते और उपयोगकर्ता नाम एक साथ होने पर फ़र्ज़ी साइन-इन सूचनाएँ और खाता पुनर्प्राप्ति संदेश अधिक विश्वसनीय लग सकते हैं। संग्रह का पुराना होना यह साबित नहीं करता कि किसी मौजूदा खाते तक पहुँच बनाई गई है। फिर भी, लंबे समय तक एक ही पासवर्ड का इस्तेमाल जारी रहने का मतलब है कि पुराने लॉगिन विवरणों को मौजूदा खाते की सुरक्षा के लिए अप्रासंगिक नहीं मानना चाहिए।

यदि किसी दूसरी सेवा पर भी QIP वाला पासवर्ड इस्तेमाल किया गया था, तो सबसे पहले वहाँ उसे एक लंबे, अलग पासवर्ड से बदलें। ईमेल खाते पर विशेष ध्यान देना चाहिए, क्योंकि पासवर्ड रीसेट करने के संदेश आम तौर पर वहीं आते हैं। जिन खातों में एक ही लॉगिन विवरण इस्तेमाल किए गए थे, उनके सक्रिय सत्र समाप्त करें, खाता पुनर्प्राप्ति के लिए दिए गए ईमेल पतों और फ़ोन नंबरों की समीक्षा करें, और जहाँ सेवा इसकी सुविधा देती हो, वहाँ बहु-कारक प्रमाणीकरण चालू करें। कोई अप्रत्याशित डेटा लीक सूचना या साइन-इन लिंक मिलने पर संदेश के लिंक पर जाने के बजाय सेवा को उसके ज्ञात पते से खोलें। भले ही पुराने QIP खाते तक अब पहुँच संभव न हो, उससे जुड़े ईमेल पते और दूसरी जगह उसी पासवर्ड के इस्तेमाल की समीक्षा करना फिर भी ज़रूरी है।

हर ऑनलाइन सेवा के लिए अलग पासवर्ड इस्तेमाल करने से यह संभावना बहुत कम हो जाती है कि किसी पुराने डेटा संग्रह के आधार पर दूसरे खातों में प्रवेश की कोशिशें की जाएँ। पासवर्ड मैनेजर लंबे, यादृच्छिक पासवर्ड इस्तेमाल करना आसान बनाता है, जबकि जहाँ उपलब्ध हों, वहाँ पासकी या बहु-कारक प्रमाणीकरण अतिरिक्त सुरक्षा देते हैं। हर सेवा पर बिल्कुल वही पुराना उपयोगकर्ता नाम इस्तेमाल करने से बचने पर उजागर उपनाम के आधार पर प्रोफ़ाइलों का मिलान सीमित किया जा सकता है। सक्रिय सत्रों, खाता पुनर्प्राप्ति के विकल्पों और जुड़े हुए ऐप की अनुमतियों की नियमित समीक्षा करने से भूले हुए खातों का प्रभाव भी कम होता है। जिन पुराने खातों का अब इस्तेमाल नहीं होता, उनमें मौजूद वास्तव में ज़रूरी जानकारी सुरक्षित रखने के बाद उन्हें बंद करने पर विचार करें। इससे भविष्य में जानकारी उजागर होने का जोखिम कम हो सकता है।

इस पेज पर ईमेल पते की जाँच से यह पता लगाने में मदद मिल सकती है कि आपके नियंत्रण वाला कोई पता QIP की घटना में मौजूद है या नहीं। केवल अपना ईमेल पता दर्ज करें; कभी भी पासवर्ड, पहचान संख्या या कोई अन्य संवेदनशील जानकारी न दें। मिलान मिलने का अर्थ है कि बताई गई डेटा श्रेणियाँ इस ऐतिहासिक घटना से जुड़ी थीं। केवल इससे यह साबित नहीं होता कि वर्तमान में किसी के पास खाते तक पहुँच है, और न ही यह पता चलता है कि हर प्रभावित व्यक्ति के लिए हर फ़ील्ड मौजूद था। मिलान मिलने पर अलग-अलग सेवाओं में एक ही पासवर्ड का इस्तेमाल बंद करें, ईमेल खाते की सुरक्षा मज़बूत करें और अप्रत्याशित संदेशों के प्रति अधिक सावधानी बरतें। मिलान न मिलने से अन्य स्रोतों से जुड़े जोखिम समाप्त नहीं होते, इसलिए खाते की सुरक्षा की अच्छी आदतें बनाए रखना ज़रूरी है।