R2Games डेटा में सेंध

इस घटना के रिकॉर्ड में ईमेल पते, उपयोगकर्ता नाम, IP पते और पासवर्ड हैश शामिल हैं। ईमेल पते और उपयोगकर्ता नाम को साथ देखने से हमलावर को असली R2Games खातों की पहचान करने और पासवर्ड रीसेट, गेम में मिलने वाले इनाम या सहायता से जुड़े ऐसे संदेश तैयार करने में मदद मिल सकती है जो विश्वसनीय लगें। IP पते से किसी के घर या व्यक्तिगत ठिकाने की सटीक पुष्टि नहीं होती, लेकिन इससे अनुमानित क्षेत्र और इंटरनेट सेवा प्रदाता की जानकारी मिल सकती है, जिससे किसी व्यक्ति को निशाना बनाने वाले फ़िशिंग संदेश अधिक विश्वसनीय लग सकते हैं। पासवर्ड सीधे पढ़े जा सकने वाले रूप में सूचीबद्ध नहीं थे, फिर भी रिपोर्टों के अनुसार सॉल्टेड हैशिंग का कार्यान्वयन इतना कमज़ोर था कि कई पासवर्ड तेज़ी से क्रैक किए जा सकते थे। जोखिम केवल पुराने R2Games खाते तक सीमित नहीं है: यदि वही पासवर्ड किसी दूसरे गेम, ईमेल खाते या सोशल नेटवर्क पर भी इस्तेमाल किया गया था, तो उन्हीं लॉगिन विवरणों को दूसरी सेवाओं पर आज़माने वाले क्रेडेंशियल स्टफ़िंग प्रयासों का असर उन सेवाओं तक भी पहुँच सकता है।

दर्ज तारीख केवल नवंबर 2015 के महीने को दर्शाती है; सार्वजनिक साक्ष्यों से घुसपैठ के हर हिस्से के लिए कोई एक सटीक दिन निर्धारित नहीं होता। शुरुआती विश्लेषण में लगभग 21 लाख फ़ोरम रिकॉर्ड की पहचान हुई। मार्च 2016 में लगभग 1.1 करोड़ अतिरिक्त खाते और जुलाई 2016 में 90 लाख और खाते इसी घटना में शामिल किए गए, जिससे सत्यापित कुल संख्या 2,22,81,337 खाते हो गई। चरणों में संख्या बढ़ने का अर्थ यह नहीं है कि कंपनी में डेटा लीक की तीन अलग-अलग घटनाएँ हुई थीं; यह R2Games से जुड़े उन डेटासेट को दर्शाता है जिन्हें अलग-अलग समय पर प्राप्त और सत्यापित किया गया था। प्रभावित फ़ोरम का तकनीकी ढाँचा vBulletin पर आधारित था, जहाँ IP पते और पासवर्ड मौजूद थे। रिपोर्टों के अनुसार कमज़ोर कार्यान्वयन के कारण सॉल्टेड पासवर्ड हैश तेज़ी से क्रैक किए जा सकते थे। कंपनी ने इन दावों से इनकार किया; सत्यापन डेटासेट की स्वतंत्र जाँचों पर आधारित है। 2017 में रिपोर्ट की गई फ़ोरम की दूसरी घटना अलग है, और उसके 10,23,466 खाते इस कुल संख्या में शामिल नहीं हैं।

सबसे अधिक जोखिम उन खिलाड़ियों को है जिन्होंने 2015–2016 के दौरान R2Games पोर्टल या फ़ोरम पर खाता बनाया था और वही पासवर्ड किसी दूसरी सेवा पर भी इस्तेमाल किया था। कोई निष्क्रिय गेमिंग खाता भले ही महत्वहीन लगे, लेकिन पुराना उपयोगकर्ता नाम, ईमेल पता और क्रैक किया जा सकने वाला पासवर्ड हमलावर को मौजूदा खातों तक पहुँचने की कोशिश शुरू करने का आधार दे सकते हैं। जिन लोगों ने एक ही ईमेल पते से कई गेमिंग सेवाओं पर पंजीकरण किया था, गेम के भीतर खरीदारी की थी, सार्वजनिक फ़ोरम प्रोफ़ाइल रखी थीं या ईमेल पर बहु-कारक प्रमाणीकरण बंद रहने दिया था, उन्हें विशेष सावधानी बरतनी चाहिए। पुराने खातों में ऐसे पासवर्ड भी हो सकते हैं जो दूसरी जगहों पर इस्तेमाल किए गए हों, और खाते की पुनर्प्राप्ति के लिए पुराने ईमेल पते दर्ज हो सकते हैं। जिन लोगों को R2Games याद नहीं है, उनका डेटा भी किसी पुरानी फ़ोरम सदस्यता या वर्षों पहले इस्तेमाल किए गए वैकल्पिक ईमेल पते के कारण इन रिकॉर्ड में हो सकता है।

यदि आपने अपना पुराना R2Games पासवर्ड कहीं और भी इस्तेमाल किया था, तो उन खातों के पासवर्ड तुरंत बदलें। हर सेवा के लिए लंबा और अलग पासवर्ड बनाएँ और जहाँ संभव हो, उसे किसी विश्वसनीय पासवर्ड मैनेजर में रखें। पहले ईमेल खाते को सुरक्षित करें, क्योंकि ईमेल तक पहुँच मिलने पर कई अन्य खातों के पासवर्ड रीसेट किए जा सकते हैं। यदि R2Games खाता अभी भी सक्रिय है, तो उसका पासवर्ड बदलें और लॉगिन सत्रों तथा खाता पुनर्प्राप्ति के विवरणों की जाँच करें; यदि अब उसकी ज़रूरत नहीं है, तो आधिकारिक सहायता के ज़रिए उसे हटाने का अनुरोध करने पर विचार करें। ईमेल, गेमिंग स्टोर और सोशल खातों पर बहु-कारक प्रमाणीकरण सक्रिय करें। जहाँ विकल्प उपलब्ध हो, SMS के बजाय ऑथेंटिकेटर ऐप या सुरक्षा कुंजी को प्राथमिकता दें। उन लिंक पर क्लिक न करें जो मुफ्त गेम मुद्रा का वादा करते हों, खाता निलंबित होने की चेतावनी देते हों या रिफ़ंड की पेशकश करते हों और तुरंत कार्रवाई करने को कहते हों। सेवा का पता खुद टाइप करें और केवल r2games.com डोमेन तथा आधिकारिक सहायता माध्यमों पर भरोसा करें।

यह घटना दिखाती है कि पुराना फ़ोरम खाता वर्षों बाद भी किसी व्यक्ति की सुरक्षा व्यवस्था की कमज़ोर कड़ी क्यों बना रह सकता है। गेमिंग, फ़ोरम और समुदाय की साइटों पर बनाए गए खातों की सूची रखें; जिनकी अब ज़रूरत नहीं है, उन्हें बंद कर दें और छोड़ी जा चुकी प्रोफ़ाइल से अपना मौजूदा मुख्य ईमेल पता जुड़ा न रहने दें। पासवर्ड मैनेजर की मदद से हर खाते के लिए अलग पासवर्ड रखना व्यावहारिक हो जाता है, जिससे एक हैश क्रैक होने पर असंबंधित सेवाओं तक पहुँच नहीं मिलती। जिस ईमेल खाते के ज़रिए पासवर्ड रीसेट होते हैं, उस पर बहु-कारक प्रमाणीकरण और लॉगिन सत्रों के अलर्ट सक्रिय रखें तथा खाता पुनर्प्राप्ति के विकल्प अद्यतन रखें। समीक्षा में केवल रोज़ इस्तेमाल होने वाली सेवाएँ ही नहीं, बल्कि पुरानी फ़ोरम सदस्यताएँ और पहले इस्तेमाल किए गए उपयोगकर्ता नाम भी शामिल होने चाहिए। भेजने वाले के दिखाई देने वाले नाम पर भरोसा करने के बजाय असली डोमेन, लिंक कहाँ ले जाता है और अनुरोध सामान्य है या नहीं, यह जाँचें। हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण और लॉगिन सत्रों की निगरानी से यह संभावना घटती है कि उजागर हुई पहचान-संबंधी जानकारी के ज़रिए कोई खाते पर नियंत्रण कर ले।

LeakData पर अपना ईमेल पता जाँचें और देखें कि वह R2Games के रिकॉर्ड या किसी अन्य ज्ञात डेटा लीक के रिकॉर्ड से मेल खाता है या नहीं। मिलान मिलने का अर्थ यह नहीं है कि खाते पर अभी किसी और का नियंत्रण है या कोई पुराना IP पता आपके मौजूदा स्थान को उजागर करता है; इसका अर्थ है कि वह ईमेल पता किसी सत्यापित डेटा लीक के डेटासेट में मौजूद है। परिणाम को समझते समय घटना की तारीख, सूचीबद्ध डेटा के प्रकार और उस समय पासवर्ड इस्तेमाल करने की अपनी आदतों को भी ध्यान में रखें। यदि मिलान मिलता है, तो हर उस सेवा की पहचान करें जहाँ पुराना पासवर्ड इस्तेमाल किया गया हो सकता है। पहले ईमेल और भुगतान से जुड़े खातों को सुरक्षित करें, फिर फ़ोरम और गेमिंग प्रोफ़ाइल की समीक्षा करें। मिलान न मिलना भी पूर्ण सुरक्षा की गारंटी नहीं है, क्योंकि हर डेटासेट सार्वजनिक नहीं होता या उसका सत्यापन संभव नहीं होता। हर खाते के लिए अलग पासवर्ड और बहु-कारक प्रमाणीकरण लगातार अपनाए जाने वाले सुरक्षा उपाय होने चाहिए, न कि केवल अलर्ट मिलने के बाद उठाए जाने वाले कदम।