Qraved में 2021 का डेटा उल्लंघन

जिन डेटा श्रेणियों की पुष्टि हुई है, वे हैं ईमेल पते, नाम, फ़ोन नंबर, जन्मतिथियाँ और MD5 हैश के रूप में पासवर्ड मान। एक साथ इस्तेमाल किए जाने पर ये फ़ील्ड लक्षित फ़िशिंग संदेशों, सोशल इंजीनियरिंग के प्रयासों और खातों का मिलान करने की गतिविधियों को अधिक विश्वसनीय बना सकते हैं। केवल नाम और संपर्क जानकारी से खाते में सेंध लगने की पुष्टि नहीं होती, लेकिन इनसे हमलावर ऐसे संदेश बना सकता है जो किसी वास्तविक उपयोगकर्ता के लिए खास तौर पर तैयार किए गए लगें।

पासवर्ड फ़ील्ड में सादे टेक्स्ट में पासवर्ड होने की पुष्टि नहीं हुई है। हालाँकि, MD5 एक तेज़ हैश विधि है, जो आधुनिक पासवर्ड भंडारण के लिए पर्याप्त सुरक्षा नहीं देती। किसी दूसरी सेवा पर उसी पासवर्ड या उससे मिलते-जुलते पासवर्ड का उपयोग करने से इस बात की संभावना बढ़ जाती है कि अनुमान से निकाले गए पासवर्ड वहाँ भी आज़माए जाएँ। जन्मतिथियाँ, नाम और फ़ोन नंबर भी खाता पुनर्प्राप्ति के सवालों, सहायता अनुरोधों या लक्षित धोखाधड़ी की कोशिशों में अतिरिक्त संदर्भ दे सकते हैं।

भुगतान कार्ड का डेटा, बैंकिंग जानकारी, स्थान का इतिहास, डिलीवरी के पते, सेशन कुकीज़ और सरकार द्वारा जारी पहचान दस्तावेज़ इस घटना की सत्यापित डेटा श्रेणियों में शामिल नहीं हैं। यह कहना गलत होगा कि वे उजागर हुए थे। उपयोगकर्ताओं को पुष्टि किए गए फ़ील्ड से जुड़े वास्तविक जोखिम को नज़रअंदाज़ नहीं करना चाहिए, लेकिन अपुष्ट दावों के कारण उन्हें अनावश्यक रूप से चिंतित भी नहीं किया जाना चाहिए।

रिकॉर्ड के अनुसार, यह घटना 9 जुलाई 2021 को हुई थी और इसका सत्यापित दायरा 9,84,519 अलग-अलग ईमेल पतों का है। यह इंडोनेशिया की रेस्तराँ-केंद्रित सेवा से जुड़ी है। बाद में इस डेटासेट को एक बड़े डेटासेट में फिर से वितरित किए जाने का यह अर्थ नहीं है कि शुरुआती घटना बाद में हुई थी या उस बड़े डेटासेट का हर रिकॉर्ड इसी सेवा से आया था। यह संख्या अलग-अलग ईमेल पहचानकर्ताओं पर आधारित है। इसे उपयोगकर्ताओं, ग्राहकों या सक्रिय खातों की कुल संख्या नहीं मानना चाहिए, जहाँ हर ईमेल पता एक अलग व्यक्ति या खाते को दर्शाता हो।

सत्यापित डेटा श्रेणियों से यह साबित नहीं होता कि हर पंक्ति में पूरी प्रोफ़ाइल थी। कुछ पंक्तियों में सूचीबद्ध फ़ील्ड में से केवल कुछ ही मौजूद रहे होंगे। सेंध लगाने के तरीके, ज़िम्मेदार पक्षों, प्रभावित तकनीकी प्रणालियों के दायरे, संगठन की प्रतिक्रिया या डेटा हासिल किए जाने के तरीके के बारे में भी कोई विश्वसनीय विवरण नहीं है। इसी कारण यह पृष्ठ केवल पुष्टि की गई तारीख, पैमाने, सेवा के संदर्भ और डेटा के प्रकारों तक सीमित है।

MD5 के रूप में वर्गीकरण महत्वपूर्ण है, क्योंकि इसका अर्थ यह नहीं है कि सादे टेक्स्ट में पासवर्ड प्रकाशित किए गए थे। फिर भी, इससे कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड के लिए वास्तविक जोखिम बना रहता है। व्यावहारिक प्राथमिकता यह है कि हर उस खाते को सुरक्षित किया जाए जहाँ वही पासवर्ड इस्तेमाल हुआ हो सकता है, और संबंधित ईमेल पते पर आने वाले अनपेक्षित संदेशों को सावधानी से परखा जाए।

सबसे अधिक प्राथमिकता उन लोगों को देनी चाहिए जिन्होंने ईमेल, सोशल मीडिया, खरीदारी, खान-पान, कामकाज या वित्तीय सेवाओं पर एक ही या मिलता-जुलता पासवर्ड इस्तेमाल किया था। उन्हें केवल Qraved से जुड़े पासवर्ड की ही नहीं, बल्कि हर उस खाते की समीक्षा करनी चाहिए जहाँ वही पासवर्ड इस्तेमाल हुआ था। ईमेल खाता कई सेवाओं के लिए खाता पुनर्प्राप्ति का माध्यम होता है, इसलिए उसे मज़बूत और किसी अन्य खाते पर इस्तेमाल न किए गए पासवर्ड से सुरक्षित रखना विशेष रूप से महत्वपूर्ण है।

नाम, जन्मतिथियाँ और फ़ोन नंबर मौजूद होने से धोखाधड़ी वाले खाता पुनर्प्राप्ति संदेश, डिलीवरी अभियान, सहायता संबंधी बातचीत या छूट की सूचनाएँ अधिक विश्वसनीय लग सकती हैं। यदि हमलावर जानता है कि कोई व्यक्ति उस सेवा का ग्राहक हो सकता है, तो वह जल्दबाज़ी का दबाव बनाने की कोशिश कर सकता है। पासवर्ड, एक बार इस्तेमाल होने वाले कोड, बहु-कारक प्रमाणीकरण की स्वीकृति या डिवाइस तक दूरस्थ पहुँच की माँग को केवल इसलिए वैध नहीं मानना चाहिए कि उसमें व्यक्तिगत विवरण शामिल हैं।

डेटा में जिन लोगों के नाम हैं, उन सभी के लिए जोखिम एक जैसा नहीं है। रिकॉर्ड से मिलान होने का मतलब यह नहीं है कि खाता आज भी सक्रिय है, किसी पासवर्ड का मूल रूप पता चल गया है या किसी अन्य सेवा तक पहुँच हासिल कर ली गई है। इसका अर्थ यह ज़रूर है कि सेवा का उपयोग करने वाले या संपर्क विवरण साझा करने वाले लोगों को पासवर्ड के दोबारा इस्तेमाल और लक्षित फ़िशिंग को गंभीरता से लेना चाहिए।

पहले Qraved से जुड़ा पासवर्ड बदलें। इसके बाद जहाँ भी वही या मिलता-जुलता पासवर्ड इस्तेमाल किया था, वहाँ हर खाते के लिए अलग पासवर्ड रखें। शुरुआत ईमेल खाते, वित्तीय सेवाओं, खरीदारी के खातों और सोशल मीडिया प्लेटफ़ॉर्म से करें। हर खाते के लिए लंबा, बेतरतीब और अलग पासवर्ड रखने से यह संभावना कम होती है कि एक जगह डेटा उजागर होने का असर असंबंधित सेवाओं तक फैल जाए।

जहाँ भी उपलब्ध हो, बहु-कारक प्रमाणीकरण चालू करें। यदि सेवा इसका समर्थन करती है, तो प्रमाणीकरण ऐप या सुरक्षा कुंजी केवल टेक्स्ट संदेश से भेजे गए कोड की तुलना में अधिक मज़बूत सुरक्षा दे सकती है। खाता पुनर्प्राप्ति वाले ईमेल, साइन-इन सूचनाओं और नए डिवाइस के अलर्ट की समीक्षा करें। किसी गतिविधि को पहचान न पाने पर सीधे आधिकारिक सहायता माध्यम का उपयोग करें।

ईमेल, फ़ोन या चैट पर मिलने वाले डिलीवरी ऑफ़र, पासवर्ड रीसेट लिंक, खाता सत्यापन के अनुरोध और अन्य संदेशों के प्रति सावधानी बरतें। संदेश में दिए गए लिंक पर जाने के बजाय सेवा का वेब पता खुद खोलें। किसी वैध सहायता प्रतिनिधि को आपका पासवर्ड, एक बार इस्तेमाल होने वाला कोड या आपके डिवाइस तक दूरस्थ पहुँच नहीं माँगनी चाहिए।

पासवर्ड मैनेजर की मदद से हर सेवा के लिए अलग और लंबा पासवर्ड बनाना व्यावहारिक हो जाता है। व्यक्तिगत जानकारी, नाम, जन्मतिथि या अक्षरों में साधारण बदलाव करके बनाए गए पुराने पासवर्ड का अनुमान लगाना आसान होता है। पासवर्ड दोबारा इस्तेमाल न करना उन सबसे प्रभावी तरीकों में से एक है जिनसे पुराने डेटा उल्लंघन के कारण वर्षों बाद नया जोखिम पैदा होने से बचा जा सकता है।

अपने मुख्य ईमेल खाते के रिकवरी ईमेल, जुड़े हुए फ़ोन नंबर और बहु-कारक प्रमाणीकरण के विकल्पों की नियमित समीक्षा करें। इस्तेमाल न होने वाले खातों को बंद करने या पुराने खातों में रखी व्यक्तिगत जानकारी कम करने से भी हमले के संभावित रास्ते घटते हैं। जन्मतिथि और फ़ोन नंबर केवल ज़रूरत होने पर साझा करने से उस जानकारी को सीमित रखने में मदद मिलती है जिसका भविष्य में लक्षित धोखाधड़ी के लिए इस्तेमाल किया जा सकता है।

आप जिन सेवाओं का उपयोग करते हैं, उनकी सुरक्षा सूचनाओं, अपरिचित साइन-इन और पासवर्ड बदलने के अलर्ट पर नज़र रखें। हर अलर्ट असली नहीं होता, इसलिए संदेश के लिंक का उपयोग करने के बजाय सीधे अपना खाता खोलें। नियमित जाँच से एक बार डेटा उजागर होने के दीर्घकालिक प्रभावों से निपटना आसान होता है।

किसी भरोसेमंद डेटा उल्लंघन जाँच सेवा के ज़रिए आप जाँच सकते हैं कि कोई ईमेल पता इस रिकॉर्ड में मौजूद है या नहीं। मिलान मिलने का अर्थ है कि ईमेल पता सत्यापित डेटासेट में मौजूद है; इससे यह साबित नहीं होता कि किसी मौजूदा खाते में सेंध लगी है, हर डेटा फ़ील्ड आपका ही है या किसी पासवर्ड का मूल रूप पता चल गया है। इस परिणाम को पासवर्ड और बहु-कारक सुरक्षा की समीक्षा करने के संकेत के रूप में लें।

रिकॉर्ड की जाँच के लिए केवल ईमेल पते का उपयोग करें। पासवर्ड, सत्यापन कोड, पहचान दस्तावेज़ या भुगतान संबंधी जानकारी साझा न करें। यदि कोई अलर्ट संदिग्ध लगे, तो सेवा का वेब पता खुद टाइप करें, सीधे साइन इन करें और खाते की हाल की गतिविधि की समीक्षा करें। यह तरीका किसी ज्ञात घटना के नाम का इस्तेमाल करने वाले फ़िशिंग और नकली सहायता के प्रयासों से बचाव में मदद करता है।