Rostelecom Smart Home: डेटा में सेंध

दूरसंचार और स्मार्ट होम खातों में ईमेल, फ़ोन नंबर, IP पता और उपकरण की जानकारी एक साथ मिलने पर हमलावर समझ सकते हैं कि उपयोगकर्ता कौन-सी सेवा इस्तेमाल कर रहा है, किस उपकरण से जुड़ रहा है और किन संचार माध्यमों से उसे निशाना बनाया जा सकता है। पासवर्ड हैश का अर्थ यह नहीं है कि पासवर्ड सादे पाठ में मौजूद हैं; फिर भी, अगर हैश बनाने का एल्गोरिदम कमजोर हो या पासवर्ड का दोबारा इस्तेमाल किया गया हो, तो उसे ऑफ़लाइन क्रैक करने की कोशिशें की जा सकती हैं। जब फ़ोन नंबर और ईमेल पता एक ही पंक्ति में हों, तो तकनीकी सहायता के नाम पर किए गए फ़र्ज़ी कॉल, भुगतान विवरण अपडेट करने के संदेश और उपकरण की सुरक्षा के बहाने भेजे गए लिंक अधिक विश्वसनीय लग सकते हैं। IP पतों का दुरुपयोग किसी क्षेत्र के लोगों को निशाना बनाने और सत्रों में असामान्य गतिविधियों के विश्लेषण के लिए किया जा सकता है।

स्वतंत्र तकनीकी समीक्षाओं में इस घटना को Rostelecom की स्मार्ट होम सेवा से जोड़ा गया है। अलग-अलग सूचियों में रिकॉर्डों की कुल संख्या लगभग समान है, लेकिन पूरी तरह एक जैसी नहीं है। इसलिए LeakData रिकॉर्ड में लगभग 809 हज़ार पंक्तियों का दायरा बताया गया है और अलग-अलग व्यक्तियों की संख्या की गारंटी नहीं दी गई है। कुछ पंक्तियों में सभी डेटा फ़ील्ड भरे हुए नहीं हो सकते हैं। इस रिकॉर्ड को Rostelecom के पूरे सामान्य ग्राहक डेटाबेस के रूप में नहीं समझना चाहिए। इसका केंद्र स्मार्ट होम खाता और इस सेवा से जुड़े पहचान, संपर्क, कनेक्शन तथा उपकरण संबंधी फ़ील्ड हैं। इसमें सादे पाठ में पासवर्ड या भुगतान कार्ड का डेटा होने का कोई दावा नहीं जोड़ा गया है।

मुख्य रूप से जोखिम में वे उपयोगकर्ता हैं जो Rostelecom Smart Home या इसी तरह के खातों से जुड़े हैं, होम ऑटोमेशन उपकरणों के मालिक हैं, या इस सेवा के लॉगिन विवरण का इस्तेमाल अन्य खातों में भी करते हैं। परिवार के सदस्यों के नाम पर खोले गए खाते, किराये के घरों में इस्तेमाल होने वाले उपकरणों के खाते या पुरानी सदस्यताएँ भी जोखिम पैदा कर सकती हैं। हमलावर तकनीकी सहायता, मॉडेम या स्मार्ट उपकरण के अपडेट, सदस्यता के नवीनीकरण या सुरक्षा चेतावनियों से जुड़े संदेशों के ज़रिए उपयोगकर्ताओं को धोखा देने की कोशिश कर सकते हैं। चूँकि फ़ोन नंबर और ईमेल एक साथ लीक हुए हैं, इसलिए हमला SMS, ईमेल और कॉल के ज़रिए हो सकता है।

जिन उपयोगकर्ताओं के ईमेल पते इस रिकॉर्ड में शामिल हैं, उन्हें संबंधित सेवा पर और उन सभी खातों में अपना पासवर्ड बदलना चाहिए जहाँ वे वही पासवर्ड इस्तेमाल करते हैं। पासवर्ड मैनेजर का इस्तेमाल करना, हर सेवा के लिए अलग पासवर्ड रखना और बहु-कारक प्रमाणीकरण चालू करना ज़रूरी कदम हैं। स्मार्ट होम उपकरणों के प्रबंधन पैनल, मॉडेम इंटरफ़ेस और उनसे जुड़े मोबाइल ऐप खातों की भी जाँच की जानी चाहिए। अनजान उपकरणों के सत्र बंद किए जाने चाहिए, अविश्वसनीय कनेक्शनों से आए सॉफ़्टवेयर अपडेट के अनुरोध अस्वीकार किए जाने चाहिए और उपकरण का सॉफ़्टवेयर केवल आधिकारिक इंटरफ़ेस से ही अपडेट किया जाना चाहिए। फ़ोन पर मिलने वाले तकनीकी सहायता के अनुरोधों की पुष्टि ऐसे माध्यम से की जानी चाहिए जो बताई गई पहचान पर निर्भर न हो।

स्मार्ट होम खातों के लिए सामान्य फ़ोरम खातों की तुलना में अधिक कड़े सुरक्षा मानकों की ज़रूरत होती है। उपयोगकर्ता उपकरणों के खातों को अपने निजी ईमेल खाते से अलग किसी ईमेल पते से जोड़ सकते हैं, सूचनाओं पर नियमित नज़र रख सकते हैं और इस्तेमाल न होने वाले उपकरणों को खाते से हटा सकते हैं। संगठनों के लिए यह ज़रूरी है कि पासवर्ड हैश मजबूत एल्गोरिदम से सुरक्षित किए जाएँ, उपकरणों की पहचान संबंधी जानकारी को अनावश्यक व्यक्तिगत जानकारी वाले फ़ील्ड के साथ एक ही तालिका में न रखा जाए और सदस्यता की अवधि समाप्त होने के बाद पुराने रिकॉर्डों की संख्या कम की जाए। दूरसंचार और स्मार्ट होम सेवाओं में डेटा उल्लंघन के बाद उपयोगकर्ताओं से किया जाने वाला संवाद भी स्पष्ट होना चाहिए। उपयोगकर्ता को साफ़ तौर पर बताया जाना चाहिए कि कौन-से हिस्से प्रभावित हुए हो सकते हैं और उपकरणों के संबंध में क्या कदम उठाना ज़रूरी है।

LeakData पर की जाने वाली जाँच से पता चलता है कि आपका ईमेल पता Rostelecom Smart Home के किसी लीक रिकॉर्ड से मेल खाता है या नहीं। अगर मेल मिलता है, तो केवल संबंधित खाते पर ही नहीं, बल्कि उन अन्य खातों पर भी कदम उठाएँ जहाँ आप वही ईमेल और मिलता-जुलता पासवर्ड इस्तेमाल करते हैं। घरेलू उपकरणों, मॉडेम प्रबंधन, क्लाउड कैमरों, अलार्म सिस्टम और मोबाइल ऑपरेटर के खातों पर विशेष ध्यान दें। मेल न मिलने से यह निष्कर्ष नहीं निकाला जा सकता कि आपने इस सेवा का कभी इस्तेमाल नहीं किया है। किसी दूसरे ईमेल पते, पुराने फ़ोन नंबर या परिवार के किसी सदस्य के नाम पर खोले गए खातों की भी जाँच की जानी चाहिए। यह रिकॉर्ड उन मामलों में जोखिम की शुरुआती चेतावनी देता है जहाँ संपर्क जानकारी के साथ उपकरणों से जुड़ी जानकारी भी मौजूद हो।