ShareThis: डेटा में सेंध

सत्यापित डेटा श्रेणियों में जन्मतिथियाँ, ईमेल पते, नाम संबंधी जानकारी और पासवर्ड शामिल हैं। पासवर्ड वाले फ़ील्ड को हैश किए गए पासवर्ड का डेटा माना जाना चाहिए, न कि सामान्य पाठ में लिखे पासवर्ड का। हैश किए गए पासवर्ड का मतलब यह नहीं है कि पासवर्ड को सीधे पढ़ा जा सकता है; फिर भी हमलावर कमज़ोर, छोटे या बार-बार इस्तेमाल किए गए पासवर्ड का अनुमान लगा सकते हैं। यदि वही पासवर्ड ईमेल, सोशल मीडिया, खरीदारी, प्रकाशक खातों या विज्ञापन टूल के खातों पर भी काम करता है, तो इस सेंध का असर दूसरी सेवाओं तक फैल सकता है।

ईमेल पते के साथ जन्मतिथि और नाम संबंधी जानकारी मिल जाने पर उपयोगकर्ता के लिए व्यक्तिगत लगने वाले फ़र्ज़ी संदेश तैयार करने का मज़बूत आधार मिल जाता है। ShareThis की सेवाएँ वेबसाइटों, शेयरिंग टूल और ऑनलाइन मार्केटिंग तंत्र से जुड़ी हैं, इसलिए हमलावर विज्ञापन खातों, सामग्री संबंधी टूल, सोशल शेयरिंग प्लगइन या खाता सत्यापन के बहाने संदेश तैयार कर सकते हैं। लोगों की असत्यापित संख्या, डेटा फ़ील्ड और हमलावरों के दावों को घटना के सार्वजनिक दायरे का हिस्सा नहीं माना जाता। जोखिम का विवरण केवल उन फ़ील्ड पर आधारित होना चाहिए जिनकी पुष्टि हुई है।

ShareThis की इस घटना के लिए LeakData में दायरा 4,09,60,499 अलग-अलग ईमेल खातों तक रखा जाना चाहिए। हालाँकि बाहरी बिक्री सूचियों में खाता रिकॉर्ड की संख्या लगभग 41 मिलियन से अधिक हो सकती है, उपयोगकर्ता को दिखाई जाने वाली मुख्य संख्या अलग-अलग ईमेल खातों की संख्या के अनुरूप ही रहनी चाहिए। सेंध की तारीख 9 जुलाई 2018 और सत्यापित सूची में जोड़े जाने की तारीख 3 मार्च 2019 दर्ज की जानी चाहिए। यह अंतर बनाए रखना ज़रूरी है, ताकि उपयोगकर्ता घटना की तारीख और सत्यापित सूची में उसे जोड़े जाने की तारीख को लेकर भ्रमित न हों।

इस घटना का दायरा ShareThis के खाता डेटा के प्रसार, सोशल शेयरिंग टूल के उपयोगकर्ताओं और उनसे जुड़ी खाता जानकारी से संबंधित है। इसे भुगतान कार्ड, बैंक खाते, आधिकारिक पहचान दस्तावेज़, संपर्क सूची, निजी संदेश या ब्राउज़िंग इतिहास के पूरे डेटा में सेंध की घटना के रूप में प्रस्तुत नहीं किया जाना चाहिए। कुछ समाचार रिपोर्टें डेटा की बिक्री की एक अधिक व्यापक लहर का वर्णन करती हैं, इसलिए डेटा पैकेजों की कुल संख्या को ShareThis के उपयोगकर्ताओं की संख्या नहीं बताया जाना चाहिए। यह अंतर बेवजह डर पैदा होने से रोकता है और उपयोगकर्ता को सही कदमों की सूची भी देता है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो अपने ShareThis खाते के ईमेल पते और पासवर्ड को दूसरे खातों पर भी इस्तेमाल करते हैं। यदि वही लॉगिन विवरण ईमेल खाते, सोशल मीडिया, सामग्री प्रबंधन टूल, विज्ञापन पैनल या खरीदारी खाते पर भी काम करते हैं, तो हमलावर स्वचालित लॉगिन प्रयासों के ज़रिए इन खातों को निशाना बना सकते हैं। जन्मतिथि और नाम संबंधी जानकारी से पासवर्ड रीसेट करने के सवालों, फ़र्ज़ी सुरक्षा संदेशों या व्यक्तिगत लगने वाले फ़िशिंग संदेशों के लिए अतिरिक्त जानकारी भी मिलती है।

वेबसाइट मालिकों, सामग्री निर्माताओं, मार्केटिंग टीमों और लंबे समय से एक ही ईमेल पते के साथ सोशल मीडिया टूल इस्तेमाल करने वाले लोगों को भी सावधान रहना चाहिए। भले ही पुराना ShareThis खाता अब सक्रिय न हो, उसी ईमेल पते का इस्तेमाल काम से जुड़े दूसरे खातों में होने पर जोखिम बना रहता है। कंपनी के ईमेल पते से खोले गए खाते, कंपनी के डोमेन को निशाना बनाने वाले हमलावरों के सोशल इंजीनियरिंग प्रयासों से जुड़ सकते हैं। निजी ईमेल पतों से खोले गए खातों में स्पैम, फ़र्ज़ी सदस्यता सूचनाओं और पासवर्ड रीसेट अनुरोधों का जोखिम प्रमुख है।

जिस उपयोगकर्ता का ईमेल पता ShareThis के डेटा में शामिल है, उसे सबसे पहले यह सुनिश्चित करना चाहिए कि ShareThis खाते में इस्तेमाल किया गया पुराना पासवर्ड आज किसी भी सेवा पर काम न करे। यदि वही या उससे मिलता-जुलता पासवर्ड दूसरे खातों में इस्तेमाल किया गया है, तो हर खाते के लिए अलग, लंबा और ऐसा पासवर्ड तय करना चाहिए जिसका अनुमान लगाना मुश्किल हो। पासवर्ड मैनेजर का इस्तेमाल एक ही पासवर्ड को दोबारा इस्तेमाल करने का जोखिम कम करता है। पासवर्ड के अंत में कोई वर्ष, विस्मयादिबोधक चिह्न या छोटा प्रत्यय जोड़ना सुरक्षित बदलाव नहीं माना जाता; उस पैटर्न का इस्तेमाल पूरी तरह बंद कर देना चाहिए।

ईमेल खातों, सोशल मीडिया, सामग्री प्रबंधन प्रणालियों, विज्ञापन पैनलों और भुगतान सेवाओं सहित सभी संबंधित सेवाओं पर दो-कारक प्रमाणीकरण सक्षम करना चाहिए। कोई अप्रत्याशित लॉगिन सूचना, पासवर्ड रीसेट अनुरोध या ShareThis अथवा किसी सोशल शेयरिंग टूल से जुड़ा लिंक मिलने पर भेजने वाले के पते और डोमेन की स्वतंत्र रूप से जाँच करनी चाहिए। उसी ईमेल पते से बनाए गए पुराने खातों की समीक्षा करनी चाहिए और इस्तेमाल में न आने वाले खातों को बंद कर देना चाहिए या उन्हें विशिष्ट पासवर्ड देकर अलग रखना चाहिए। संदिग्ध लॉगिन का कोई संकेत मिले, तो सत्र समाप्त कर देने चाहिए और खाता पुनर्प्राप्ति के लिए दिए गए ईमेल पते अपडेट करने चाहिए।

ShareThis की सेंध दिखाती है कि पुराने ऑनलाइन टूल के खाते लंबे समय तक सुरक्षा जोखिम बने रह सकते हैं। उपयोगकर्ताओं को काम, निजी उपयोग, सोशल मीडिया और मार्केटिंग टूल के लिए एक ही पासवर्ड दोबारा इस्तेमाल नहीं करना चाहिए। ईमेल पते और जन्मतिथियों जैसी स्थायी जानकारी का इस्तेमाल कई साल बाद भी फ़िशिंग के लिए किया जा सकता है। इसलिए पुराने खातों की सूची की नियमित अंतराल पर समीक्षा करनी चाहिए, जिन सदस्यताओं की अब ज़रूरत नहीं है उन्हें बंद कर देना चाहिए और बाकी सक्रिय खातों को विशिष्ट पासवर्ड से सुरक्षित रखना चाहिए।

सेवा प्रदाताओं के लिए मुख्य सीख यह है कि पासवर्ड हैश को आधुनिक और अधिक लागत वाली पासवर्ड भंडारण विधियों से सुरक्षित रखा जाए, अनावश्यक व्यक्तिगत डेटा फ़ील्ड कम किए जाएँ और सेंध की सूचना जल्द दी जाए। उपयोगकर्ता को स्पष्ट रूप से बताया जाना चाहिए कि कौन-से फ़ील्ड प्रभावित हुए, किन फ़ील्ड की पुष्टि नहीं हुई और घटना किस तारीख को हुई। ShareThis के मामले में वित्तीय डेटा या आधिकारिक पहचान संबंधी जानकारी पर असर की पुष्टि नहीं हुई है, इसलिए जोखिम के बारे में जानकारी देते समय ध्यान खाते की सुरक्षा, व्यक्तिगत डेटा के मिलान और फ़िशिंग पर ही रहना चाहिए।

यदि परिणाम सकारात्मक हो, तो ईमेल पते, नाम संबंधी जानकारी, जन्मतिथि और पासवर्ड हैश को जोखिम में माना जाना चाहिए। यदि परिणाम नकारात्मक हो, तो इसका केवल इतना मतलब है कि इस विशेष डेटासेट में कोई मिलान नहीं मिला; इससे यह साबित नहीं होता कि उस व्यक्ति का डेटा किसी दूसरी सेंध में प्रभावित नहीं हुआ है। पासवर्ड इस्तेमाल करने की वही आदतें बनी रहें, तो पुरानी घटना से भी वर्तमान में जोखिम पैदा होता रहता है।

सही कदम यह है कि पुराने पासवर्ड का इस्तेमाल पूरी तरह बंद किया जाए, उन सभी खातों के पासवर्ड बदले जाएँ जहाँ वही या मिलते-जुलते पासवर्ड इस्तेमाल होते हैं, ईमेल खाते को बहु-कारक प्रमाणीकरण से सुरक्षित किया जाए और ShareThis या सोशल शेयरिंग टूल के बहाने भेजे गए फ़र्ज़ी संदेशों से सावधान रहा जाए। उपयोगकर्ता को उसी ईमेल पते से खोले गए पुराने मार्केटिंग, सोशल मीडिया, प्रकाशक और सामग्री संबंधी टूल के खातों की भी जाँच करनी चाहिए। ये कदम इस जोखिम को कम करते हैं कि 2018 की डेटा सेंध आज खाते पर अनधिकृत कब्ज़े या लक्षित फ़िशिंग का कारण बन जाए।