RBXExchange: डेटा उजागर होने का कथित मामला

लीक हुए SQL डेटाबेस डंप (rbx.exchange.sql) और उपयोगकर्ता एक्सपोर्ट फ़ाइलों (rbx.exchange_users.txt) में 1,10,000 से अधिक खिलाड़ियों के खाते और बड़ी मात्रा में लेन-देन के लॉग मौजूद हैं। इनमें शामिल हैं:

• पहचान और गेमर प्रोफ़ाइल: प्लेटफ़ॉर्म के उपयोगकर्ता नाम, जुड़े हुए Roblox खिलाड़ियों के पहचानकर्ता और Discord हैंडल।
• संपर्क विवरण: उपयोगकर्ताओं के सत्यापित ईमेल पते।
• प्रमाणीकरण विवरण: उपयोगकर्ता खातों के पासवर्ड, जिन्हें bcrypt क्रिप्टोग्राफ़िक एल्गोरिदम ($2y$10$) से हैश किया गया था।
• नेटवर्क टेलीमेट्री: उपयोगकर्ताओं के पंजीकरण और लॉगिन के IP पते।
• वर्चुअल मुद्रा और इनवॉइस संबंधी डेटा: Robux और टोकन का शेष बैलेंस, पेमेंट गेटवे (PayPal, Stripe, Bitcoin) पर इनवॉइस से जुड़े लेन-देन के रिकॉर्ड और ग्राहक सहायता से हुआ पत्राचार।

RFC 5322 ASCII के अनुसार की गई कठोर कैनोनिकल सत्यापन प्रक्रिया से डेटाबेस रिकॉर्ड में 1,14,785 अलग-अलग वैध ईमेल पतों की पुष्टि हुई।

हालाँकि पासवर्ड bcrypt के ज़रिए एन्क्रिप्ट किए गए थे, गेमर अक्सर अपने आधिकारिक Roblox खातों, ईमेल सेवाओं और गेमिंग समुदायों में एक ही लॉगिन विवरण का इस्तेमाल करते हैं। हमलावर तीसरे पक्ष के Robux बाज़ारों से उजागर हुए लॉगिन विवरण का नियमित रूप से स्वचालित क्रेडेंशियल स्टफ़िंग हमलों में इस्तेमाल करते हैं, ताकि आधिकारिक Roblox खिलाड़ी प्रोफ़ाइल में सेंध लगाकर दुर्लभ और सीमित संख्या में उपलब्ध वर्चुअल वस्तुओं को बेच सकें।

जिन उपयोगकर्ताओं ने पहले RBXExchange पर पंजीकरण किया था, उन्हें चाहिए कि वे:

• अपने आधिकारिक Roblox खातों, ईमेल खातों और Discord प्रोफ़ाइल के पासवर्ड तुरंत बदलें।
• अपने आधिकारिक Roblox प्रोफ़ाइल पर ऑथेंटिकेटर ऐप का उपयोग करके दो-चरणीय सत्यापन (2SV / MFA) चालू करें।
• तीसरे पक्ष की ऐसी अनधिकृत ट्रेडिंग साइटों का उपयोग न करें जो प्लेटफ़ॉर्म की सेवा की शर्तों का उल्लंघन करती हैं।