Skoolkit डेटा उजागर होने का कथित मामला

Skoolkit का रिकॉर्ड बनाने से पहले मौजूदा रिकॉर्डों में शीर्षक, डोमेन नाम, मिलते-जुलते ब्रांड नाम, घटना की तारीख और रिकॉर्डों की संख्या का मिलान किया गया। उसी घटना का कोई रिकॉर्ड नहीं मिला, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। मिलते-जुलते नामों वाले, लेकिन अलग डोमेन या अलग घटनाओं से जुड़े रिकॉर्ड इस निर्णय में शामिल नहीं किए गए।

लक्षित सूचियों में रिकॉर्डों की संख्या और सत्यापित किए जा सकने वाले विवरणों की संख्या में अंतर हो सकता है। इसकी वजह कच्ची डेटा पंक्तियों, अलग-अलग खातों, दोहराए गए ईमेल पतों, साफ़ किए गए रिकॉर्डों, फ़ोरम की पंक्तियों, प्रोफ़ाइल की पंक्तियों या नए रूप में पैक किए गए डेटा सेटों के बीच अंतर हो सकता है। इस पृष्ठ पर दिखाई गई सबसे बड़ी संख्या के बजाय 30,079 को आधार बनाया गया है, क्योंकि डेटा प्रकारों के साथ यह संख्या भी लगातार पुष्ट होती है।

Skoolkit एक ऐसा प्लेटफ़ॉर्म है जिसका मूल्यांकन स्कूल यूनिफ़ॉर्म की खरीदारी के संदर्भ में किया गया है। जब अभिभावकों या विद्यार्थियों के खाते ईमेल और पासवर्ड से जुड़े होते हैं, तो वही पासवर्ड दूसरे खरीदारी और ईमेल खातों पर आज़माए जाने का जोखिम रहता है।

इस घटना में ईमेल पतों और पासवर्ड हैश की सुरक्षा भंग हुई थी। हैश के प्रकार bcrypt और MD5 के रूप में दिखाई देते हैं, इसलिए संभावना है कि मज़बूत और कमज़ोर सुरक्षा वाली भंडारण विधियाँ साथ-साथ इस्तेमाल हुई हों। उपयोगकर्ताओं को पासवर्ड के दोबारा इस्तेमाल को ध्यान में रखकर कदम उठाने चाहिए।

Skoolkit की घटना में जोखिम सामान्य ईमेल लीक से अधिक है, क्योंकि bcrypt और MD5 से हैश की गई पासवर्ड जानकारी मिली थी। पासवर्ड संबंधी डेटा से हमलावरों को पासवर्ड आज़माने में कम समय लगता है। यह दूसरी सेवाओं पर उसी पासवर्ड से स्वचालित लॉगिन प्रयास आसान बनाता है और पासवर्ड रीसेट के संदेशों को अधिक विश्वसनीय बनाता है।

अकेले ईमेल पते में निजी जानकारी सीमित लग सकती है, लेकिन उपयोगकर्ता नाम, IP पते, फ़ोन नंबर, पूरे नाम, जन्मतिथि या पासवर्ड जानकारी के साथ जुड़ने पर यह हमले का प्रभावी माध्यम बन जाता है। यदि उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेम, स्वास्थ्य, वित्त या सोशल मीडिया के खातों के लिए एक ही ईमेल पता इस्तेमाल करता है, तो असर संबंधित प्लेटफ़ॉर्म से आगे भी फैल सकता है।

यह घटना पुरानी होने के बावजूद सुरक्षा के लिहाज़ से आज भी महत्त्वपूर्ण है। बड़ी संख्या में उपयोगकर्ता पुराने पासवर्ड पैटर्न में मामूली बदलाव करके उन्हें दोबारा इस्तेमाल करते हैं। इसलिए Skoolkit जैसी पुरानी डेटा सेंध का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, क्रेडेंशियल स्टफ़िंग और लक्षित फ़िशिंग प्रयासों के लिए किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना होना चाहिए कि उन्होंने पहले Skoolkit या skoolkit.co.uk पर कौन-सा ईमेल पता और पासवर्ड इस्तेमाल किया होगा। यदि उसी पासवर्ड के मिलते-जुलते रूप दूसरे खातों पर भी इस्तेमाल किए गए हैं, तो केवल संबंधित साइट पर बदलाव करना पर्याप्त नहीं है। दोबारा इस्तेमाल किए गए सभी पासवर्ड बदलकर हर खाते के लिए अलग और यादृच्छिक पासवर्ड रखना ज़रूरी है।

इस घटना के बाद उठाए जा सकने वाले सबसे प्रभावी कदमों में पासवर्ड मैनेजर का इस्तेमाल भी शामिल है। हर साइट के लिए अलग पासवर्ड बनाने से एक डेटा सेंध का असर सिलसिलेवार ढंग से दूसरे खातों तक पहुँचने से रुकता है। ब्राउज़र में सेव किए गए पुराने पासवर्ड की भी समीक्षा करनी चाहिए और कमज़ोर या दोहराए गए पासवर्ड हटा देने चाहिए।

दो-कारक प्रमाणीकरण को खास तौर पर ईमेल खातों, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइल, नौकरी खोजने वाले खातों और एडमिन पैनल के लिए प्राथमिकता देनी चाहिए। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजी, SMS-आधारित प्रमाणीकरण की तुलना में हमलों के विरुद्ध अधिक मज़बूत सुरक्षा देती है।

ईमेल खाते के फ़ॉरवर्डिंग नियमों, रिकवरी पतों, जुड़े हुए ऐप, भरोसेमंद डिवाइसों की सूची और हाल के सत्रों की जाँच करनी चाहिए। भले ही हमलावर सीधे Skoolkit खाते तक न पहुँच सके, वह ईमेल खाते के ज़रिए दूसरी सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग में पुरानी सेवा का नाम, उपयोगकर्ता नाम, उद्योग से जुड़ी जानकारी, देश, शौक या पंजीकरण की तारीख इस्तेमाल की जा सकती है। उपयोगकर्ताओं को आए हुए लिंक पर सीधे क्लिक करने के बजाय पता खुद टाइप करना चाहिए, पुष्टि किए बिना अटैचमेंट नहीं खोलने चाहिए और तुरंत कार्रवाई करने का दबाव बनाने वाले संदेशों से सावधान रहना चाहिए।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन करना चाहिए। यदि किसी कर्मचारी ने निजी दिखने वाले खाते पर काम का ईमेल इस्तेमाल किया था, तो उसी पासवर्ड को कंपनी के सिस्टम पर आज़माया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा स्कैन, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्त्वपूर्ण हैं।

साइट मालिकों के लिए मुख्य सीख पासवर्ड के सुरक्षित भंडारण और कम-से-कम डेटा रखने से जुड़ी है। सादे टेक्स्ट या जल्दी तोड़े जा सकने वाले हैश प्रारूप सीधे उपयोगकर्ता की सुरक्षा को कमज़ोर करते हैं। आधुनिक सिस्टम में मज़बूत सुरक्षा वाली, सॉल्ट युक्त और धीमी पासवर्ड-डेरिवेशन विधियाँ इस्तेमाल करनी चाहिए। उपयोगकर्ताओं के लॉगिन के दौरान पुराने हैश प्रारूपों को धीरे-धीरे अपडेट करना चाहिए।

बैकअप, परीक्षण परिवेश, एक्सपोर्ट फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनल और अनावश्यक अनुमतियों का नियमित ऑडिट होना चाहिए। कई डेटा लीक मुख्य ऐप के दिखाई देने वाले हिस्से से नहीं, बल्कि भुला दिए गए सहायक सिस्टम या व्यापक अनुमतियों वाले खातों से शुरू होते हैं।

जिन संस्थानों में घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचित करने, पासवर्ड रीसेट करने, लॉग की समीक्षा और जुड़े सिस्टम की जाँच में देरी होती है। किन सिस्टम की निगरानी होगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को सूचित किया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

हालाँकि Skoolkit की लक्षित प्रविष्टि में लगभग 35 हज़ार रिकॉर्ड दिखाई देते हैं, प्रत्यक्ष रूप से पुष्ट संख्या 30,079 ही रखी गई है। संख्याओं का यह अंतर कच्ची डेटा पंक्तियों और अलग-अलग खातों के बीच अंतर के कारण हो सकता है।

मौजूदा जाँच में साइट ने 200 लौटाया, इसलिए रिकॉर्ड को निष्क्रिय के रूप में चिह्नित नहीं किया गया। यदि उपयोगकर्ता साइट तक पहुँच सकता है, तो उसे सीधे अपने खाते की सेटिंग और पासवर्ड की जाँच करनी चाहिए।

स्कूल यूनिफ़ॉर्म और खरीदारी के संदर्भ में नकली ऑर्डर, डिलीवरी, रिटर्न या भुगतान के संदेश अधिक विश्वसनीय लग सकते हैं। उपयोगकर्ताओं को लिंक के बजाय आधिकारिक पता खुद दर्ज करके साइट खोलनी चाहिए।

इस रिकॉर्ड में नाम, पता या भुगतान संबंधी जानकारी शामिल नहीं की गई है, क्योंकि उनकी प्रत्यक्ष पुष्टि नहीं होती। इसे ईमेल और पासवर्ड हैश तक सीमित रखा गया है।

Skoolkit के लिए स्थानीय रूप से रखा गया एक साधारण SVG लोगो इस्तेमाल किया गया, क्योंकि यह एक सामान्य दृश्य सामग्री है। इससे पंजीकरण पृष्ठ पर दृश्य सामग्री न दिखने का जोखिम भी दूर हो गया।

इस रिकॉर्ड में असत्यापित डेटा प्रकारों को जानबूझकर शामिल नहीं किया गया है। डेटा श्रेणियों की लंबी सूची बनाने के बजाय पुष्टि वाले फ़ील्ड स्पष्ट रूप से दिखाना उपयोगकर्ता का भरोसा बनाए रखने के लिए अधिक उपयोगी है। डेटा सेंध के पृष्ठों का उद्देश्य डरावना दिखना नहीं, बल्कि सही दायरा और लागू होने वाले सुरक्षा उपाय स्पष्ट करना है।

यह पृष्ठ Skoolkit के डेटा में सेंध, skoolkit.co.uk का डेटा लीक, Skoolkit पासवर्ड लीक और Skoolkit उपयोगकर्ता डेटा जैसे अलग-अलग नामों के तहत सरल और व्यावहारिक जानकारी देने के लिए तैयार किया गया है। पाठ में सत्यापित पहलुओं और व्यावहारिक सुरक्षा कदमों को समझाया गया है।

इस रिकॉर्ड को देखने पर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का ही नहीं, बल्कि उसी ईमेल पते से खोले गए दूसरे खातों का भी आकलन करना चाहिए। जिन खातों में पुराने पासवर्ड दोबारा इस्तेमाल किए गए हैं, वे खास तौर पर हमलावरों के शुरुआती निशाने होते हैं। पुराने खाते बंद करने से भी दीर्घकालिक जोखिम कम होता है।

पासवर्ड के दोबारा इस्तेमाल को कम करने के लिए नए पासवर्ड में ब्रांड नाम, जन्म वर्ष, उपयोगकर्ता नाम, टीमों के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले जोड़ शामिल नहीं होने चाहिए। पासवर्ड के अंत में कोई छोटी संख्या या विशेष चिह्न जोड़ने से वह सुरक्षित नहीं हो जाता। हमलावरों के उपकरण ऐसे पैटर्न तेज़ी से आज़माते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों को अपडेट करें, दो-कारक प्रमाणीकरण चालू करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय सीधे साइट का पता इस्तेमाल करें।

सुरक्षा टीमों को इस रिकॉर्ड का आकलन उन ईमेल पतों के संदर्भ में करना चाहिए जो कर्मचारियों के डोमेन नामों से मेल खाते हैं। पुराने फ़ोरम, खरीदारी, वित्तीय या सामुदायिक खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्ष्य सूचियों को और समृद्ध कर सकते हैं।

ऐसी घटनाओं में कम-से-कम डेटा रखना बेहद महत्त्वपूर्ण है। अनावश्यक प्रोफ़ाइल फ़ील्ड एकत्र नहीं करने चाहिए, उचित डेटा-प्रतिधारण नीतियों के तहत निष्क्रिय खाते हटाने चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित करनी चाहिए और डेटा एक्सपोर्ट की कार्रवाइयों पर अतिरिक्त निगरानी रखनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को अपने खातों को सुरक्षित रखने के लिए ज़रूरी कदम उठाने चाहिए। पुराने और भूले हुए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अपडेट करना और महत्त्वपूर्ण खातों पर लॉगिन सूचनाएँ चालू करना लंबे समय तक सुरक्षा देता है।

इस पृष्ठ पर जोखिम का स्तर अत्यंत गंभीर तय किया गया है। इसके लिए प्रभावित खातों की संख्या, पासवर्ड जानकारी के प्रकार, डेटा श्रेणियों के ज़रिए खातों पर कब्ज़ा किए जाने की संभावना और घटना में दोबारा इस्तेमाल किए जा सकने वाले लॉगिन विवरण शामिल होने या न होने को ध्यान में रखा गया है। अत्यंत गंभीर स्तर का अर्थ निश्चित दुरुपयोग नहीं है; इसका अर्थ है कि उपयोगकर्ता को तेज़ी से कदम उठाने की ज़रूरत है।

संक्षेप में, Skoolkit का यह रिकॉर्ड जून 2016 की अवधि की एक ही डेटा सेंध का रिकॉर्ड है, जिसने 30,079 खातों को प्रभावित किया और जिसमें ईमेल पते तथा पासवर्ड हैश के फ़ील्ड शामिल हैं। उपयोगकर्ताओं को हर खाते के लिए अलग पासवर्ड रखने, दो-कारक प्रमाणीकरण चालू करने, ईमेल की सुरक्षा सेटिंग जाँचने और संदिग्ध लॉगिन की चेतावनियों पर नज़र रखने की सलाह दी जाती है।

Skoolkit के रिकॉर्ड में संख्या, शीर्षक और डोमेन का एक साथ मूल्यांकन किया गया है। इसलिए उसी नाम से प्रसारित होने वाली अस्पष्ट सूची प्रविष्टियाँ इस पृष्ठ पर नहीं लाई गई हैं। उपयोगकर्ता को दिखाई देने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा श्रेणियों को सरल रखना खास तौर पर महत्त्वपूर्ण है, क्योंकि अपुष्ट फ़ील्ड जोड़ने से उपयोगकर्ता के जोखिम आकलन में बाधा आती है। इसलिए इस रिकॉर्ड में ईमेल पतों और पासवर्ड हैश के अलावा अन्य दावों को प्रमाणित डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

skoolkit.co.uk डोमेन से जुड़ी पुरानी सदस्यताएँ भुला दी गई हो सकती हैं। यदि भूले हुए खातों के पासवर्ड बदलना संभव न हो, तो अधिक व्यावहारिक प्राथमिकता उन दूसरी सेवाओं को ढूँढ़कर सुरक्षित करना है, जहाँ वही पासवर्ड इस्तेमाल किया गया था।

जब उपयोगकर्ता नाम, ईमेल या फ़ोन संबंधी जानकारी दूसरे लीक से जुड़ती है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, क्षेत्र या पिछली सदस्यताओं की आदतों का अनुमान लगाना आसान हो जाता है। इसलिए भले ही एक डेटा सेंध छोटी लगे, संयुक्त जोखिम अधिक होता है।

संस्थानों को नियमित जागरूकता प्रशिक्षण में कर्मचारियों की निजी सदस्यताओं के लिए काम के ईमेल के इस्तेमाल पर चर्चा करनी चाहिए। ऐसे रिकॉर्ड पासवर्ड के दोबारा इस्तेमाल और निजी प्लेटफ़ॉर्म पर कॉर्पोरेट पहचान की दृश्यता का आकलन करने के लिए चेतावनी संकेत देते हैं।

यदि उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल दिखता है, तो उसे सबसे पहले सबसे महत्त्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले खरीदारी खाते।

यदि खाते बंद करना संभव है, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी अच्छा कदम है। जो खाते बंद नहीं किए जा सकते, उनके लिए कम-से-कम अलग पासवर्ड रखना चाहिए, प्रोफ़ाइल की जानकारी न्यूनतम करनी चाहिए और लॉगिन सूचनाएँ चालू करनी चाहिए।