R2 (2017 में फ़ोरम डेटा लीक)

इस रिकॉर्ड में ईमेल पते, पासवर्ड, उपयोगकर्ता नाम और साइट पर गतिविधि का डेटा देखा गया है। आकलन के अनुसार, पासवर्ड बिना सॉल्ट के MD5 हैश के रूप में संग्रहीत थे; सुरक्षा का यह तरीका कमज़ोर है। भुगतान कार्ड, बैंक खाते, निजी संदेश, स्वास्थ्य रिकॉर्ड या प्रोफ़ाइल के अतिरिक्त फ़ील्ड सत्यापित नहीं थे, इसलिए उन्हें डेटा श्रेणियों की सूची में नहीं जोड़ा गया; केवल वे फ़ील्ड रखे गए जिनके लिए प्रमाण उपलब्ध था।

साइट पर गतिविधि और उपयोगकर्ता नाम से समुदाय में खिलाड़ी के व्यवहार को उसके ईमेल पते से जोड़ा जा सकता है। अकेले ईमेल पते से भी स्पैम का जोखिम होता है; जब उसे फ़ोन, पते, IP, जन्मतिथि, पासवर्ड, आधिकारिक पहचान-पत्र, सहायता रिकॉर्ड, वाहन की जानकारी या भौतिक पते के साथ जोड़ा जाता है, तो हमलावर के लिए उस उपयोगकर्ता के अनुरूप संदेश तैयार करना आसान हो जाता है। जोखिम का आकलन इसी संयुक्त प्रभाव के आधार पर किया गया था।

इसका दायरा 2017 की शुरुआत में हुई R2 Games फ़ोरम की घटना तक सीमित है। जिन पहलुओं की पुष्टि हुई थी, उन्हें रखा गया, जबकि अपुष्ट पहलुओं को बाहर रखा गया। इस घटना को मिलते-जुलते नाम वाले डेटासेट, उसी कंपनी की अलग-अलग समय पर हुई घटनाओं या उद्योग क्षेत्र के गलत संदर्भों के साथ नहीं जोड़ा गया।

उसी डोमेन नाम से संबंधित 2015 के बड़े R2Games रिकॉर्ड को इस रिकॉर्ड में नहीं मिलाया गया। डोमेन नाम, कंपनी का नाम और उद्योग की जानकारी को यथासंभव सबसे सीमित और सटीक संदर्भ में रखा गया। जहाँ अनिश्चितता थी, वहाँ सत्यापन फ़्लैग या वेबसाइट फ़ील्ड उसी के अनुसार तय किए गए; इस तरह, ब्रांड की ऐसी ज़िम्मेदारी उपयोगकर्ता को नहीं दिखाई गई जिसकी पुष्टि नहीं हुई थी।

2017 की अवधि में जोखिम में रहे समूहों में वे खिलाड़ी शामिल हो सकते हैं जिनका R2 Games फ़ोरम पर खाता था, और वे लोग भी जो अलग-अलग गेम में एक ही उपयोगकर्ता नाम इस्तेमाल करते थे। जिन उपयोगकर्ताओं का डेटा मेल खाता है, उन्हें संबंधित सेवा के अलावा उन अन्य खातों की भी समीक्षा करनी चाहिए जहाँ उन्होंने वही ईमेल, फ़ोन या उपयोगकर्ता नाम, या पासवर्ड का वही पैटर्न इस्तेमाल किया था।

यदि फ़ोरम के पुराने पासवर्ड किसी गेम स्टोर या ईमेल खाते पर दोबारा इस्तेमाल किए गए हैं, तो मौजूदा खातों पर भी जोखिम आ जाता है। कॉर्पोरेट ईमेल, गेम फ़ोरम, मोटरसाइकिल ग्राहक पंजीकरण, शॉपिंग मॉल के ऐप, सहायता अनुरोध, किराये के खाते, मार्केटिंग सूची या मैलवेयर से जुड़ा संदर्भ होने पर सोशल इंजीनियरिंग का जोखिम बढ़ सकता है। केवल कुछ विवरणों का सही दिखना भरोसे का संकेत नहीं है।

प्रभावित उपयोगकर्ताओं को अपना R2 Games फ़ोरम पासवर्ड और उन सभी अन्य खातों के पासवर्ड बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल किया गया है। जिन रिकॉर्ड में पासवर्ड फ़ील्ड है, उनके मामले में वही पासवर्ड इस्तेमाल करने वाले सभी खातों के पासवर्ड बदलने चाहिए; जिन रिकॉर्ड में पासवर्ड फ़ील्ड नहीं है, उनमें ईमेल, फ़ोन, नकली सूचनाओं, निजता और पहचान का मिलान किए जाने से जुड़े जोखिमों पर ध्यान देना चाहिए।

संदेश में दिए गए लिंक पर क्लिक करने के बजाय, संबंधित सेवा का पता खुद टाइप करना चाहिए या किसी भरोसेमंद पासवर्ड मैनेजर में सहेजी गई प्रविष्टि इस्तेमाल करनी चाहिए। बिल, खाते की चेतावनी, गेम के पुरस्कार, सहायता, सामान की डिलीवरी, ग्राहक सेवा, रखरखाव की अपॉइंटमेंट, सार्वजनिक सूचना या सदस्यता के नवीनीकरण से जुड़े संदेशों पर किसी स्वतंत्र माध्यम से पुष्टि किए बिना भरोसा नहीं करना चाहिए।

गेमिंग फ़ोरम के लिए अलग और अनूठा पासवर्ड, अलग उपयोगकर्ता नाम और दो-चरणीय सत्यापन की आदत अपनानी चाहिए। उपयोगकर्ताओं को नियमित रूप से पुराने खाते, प्रोफ़ाइल के अनावश्यक फ़ील्ड, दोहराए गए उपयोगकर्ता नाम और फ़ोन व पते की पुरानी जानकारी हटानी चाहिए। हर सेवा के लिए अलग पासवर्ड और जहाँ भी संभव हो, दो-चरणीय सत्यापन अपनाना बुनियादी नियम होना चाहिए।

सेवा प्रदाताओं के लिए केवल आवश्यक डेटा रखना, पासवर्ड की मज़बूत सुरक्षा, एक्सेस लॉग की निगरानी, अनावश्यक फ़ील्ड हटाना और उपयोगकर्ताओं को सूचित करने की तैयार प्रक्रियाएँ ज़रूरी हैं। एक ही डोमेन पर हुई अलग-अलग घटनाओं के बारे में उपयोगकर्ता को उनके अलग-अलग दायरों के साथ बताया जाना चाहिए। दायरा सही ढंग से समझाना भी सुरक्षा कार्य का हिस्सा है; बढ़ा-चढ़ाकर दी गई या अधूरी जानकारी उपयोगकर्ता को गलत कदम उठाने के लिए गुमराह कर सकती है।

उपयोगकर्ता को पहले अपने ईमेल पते से इस रिकॉर्ड में जाँच करनी चाहिए। यदि मिलान मिलता है, तो यह मानकर चलना चाहिए कि साइट पर गतिविधि, उपयोगकर्ता नाम और कमज़ोर पासवर्ड हैश जोखिम में हो सकते हैं। मिलान न मिलने से किसी दूसरे ईमेल के इस्तेमाल या पुराने पासवर्ड के दोबारा इस्तेमाल की संभावना पूरी तरह समाप्त नहीं होती; महत्वपूर्ण खातों की भी समीक्षा करनी चाहिए।

यह रिकॉर्ड सत्यापित बना रहा; इसे 2015 के R2Games रिकॉर्ड की प्रतिलिपि के रूप में नहीं बनाया गया। इस व्यवस्था में डेटा फ़ील्ड अंग्रेज़ी की मानक श्रेणियों के रूप में ही रखे गए, उपयोगकर्ता को दिखाई देने वाला विवरण तुर्की में मौलिक रूप से लिखा गया, अपुष्ट फ़ील्ड नहीं जोड़े गए, और संवेदनशीलता फ़्लैग केवल तभी इस्तेमाल किया गया जब जोखिम के संदर्भ से उसका समर्थन होता था।