SmartHem: डेटा उजागर होने का कथित मामला

SmartHem का रिकॉर्ड बनाने से पहले मौजूदा रिकॉर्ड में शीर्षक, डोमेन नाम, मिलते-जुलते ब्रांड नाम, घटना की तारीख और रिकॉर्ड की संख्या के आधार पर मिलान किया गया। उसी घटना का कोई रिकॉर्ड नहीं मिला, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। मिलते-जुलते नाम वाले, लेकिन अलग डोमेन या अलग घटनाओं से जुड़े रिकॉर्ड को इस निर्णय में शामिल नहीं किया गया।

संबंधित सूचियों में रिकॉर्ड की संख्या और सत्यापित किए जा सकने वाले विवरणों की संख्या में मामूली अंतर दिख सकता है। इसका कारण मूल डेटा की पंक्तियों, अलग-अलग खातों, दोहराए गए ईमेल पतों, साफ़ किए गए रिकॉर्ड या नए रूप में पैक किए गए डेटासेट के बीच अंतर हो सकता है। इस पृष्ठ पर सबसे बड़ी दिखने वाली संख्या के बजाय 53,971 को आधार बनाया गया है, क्योंकि डेटा के प्रकारों के साथ इस संख्या की लगातार पुष्टि होती है।

SmartHem का संदर्भ महत्वपूर्ण है, क्योंकि घरेलू उत्पाद और उपभोक्ता वस्तुएँ खरीदने वाले उपयोगकर्ता अलग-अलग शॉपिंग साइटों पर ईमेल और पासवर्ड इस्तेमाल करने की एक जैसी आदतें रख सकते हैं। स्वीडन स्थित इस ई-कॉमर्स सेवा के संदर्भ में लीक हुए पासवर्ड न केवल पुराने स्टोर खाते, बल्कि अन्य रिटेल और भुगतान खातों के लिए भी जोखिम पैदा कर सकते हैं।

SmartHem के मामले में डेटा के प्रकार सीमित लग सकते हैं, फिर भी सादे टेक्स्ट में पासवर्ड मिल जाने का जोखिम बढ़ जाता है। अगर किसी शॉपिंग खाते का पासवर्ड ईमेल इनबॉक्स, मार्केटप्लेस, डिलीवरी ऐप या भुगतान खाते में भी इस्तेमाल किया गया है, तो हमलावर उसी संयोजन को तुरंत आज़मा सकते हैं।

SmartHem की घटना में सामान्य ईमेल लीक की तुलना में जोखिम अधिक है, क्योंकि सादे टेक्स्ट में पासवर्ड की जानकारी मिली थी। पासवर्ड डेटा से हमलावरों को अनुमान लगाकर अलग-अलग संयोजन आज़माने में कम समय लगता है, उसी पासवर्ड वाली अन्य सेवाओं पर स्वचालित लॉगिन प्रयास आसान होते हैं और पासवर्ड रीसेट करने वाले संदेश अधिक भरोसेमंद लगते हैं।

अकेला ईमेल पता सीमित व्यक्तिगत डेटा लग सकता है, लेकिन उपयोगकर्ता नाम, IP पते, पासवर्ड या प्रोफ़ाइल जानकारी के साथ मिलकर यह हमले का एक प्रभावी माध्यम बन जाता है। अगर उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेम, वित्तीय सेवाओं या सोशल मीडिया खातों के लिए एक ही ईमेल पता इस्तेमाल करता है, तो असर संबंधित प्लेटफ़ॉर्म से आगे भी फैल सकता है।

यह घटना पुरानी होने पर भी सुरक्षा के लिहाज़ से इसका महत्व बना हुआ है। बड़ी संख्या में उपयोगकर्ता पुराने पासवर्ड पैटर्न में मामूली बदलाव करके उन्हें फिर से इस्तेमाल करते हैं। इसलिए SmartHem जैसे पुराने डेटा उल्लंघन का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, क्रेडेंशियल स्टफिंग और लक्षित फ़िशिंग प्रयासों में किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना होना चाहिए कि उन्होंने पहले SmartHem या smarthem.se पर कौन-सा ईमेल पता और पासवर्ड इस्तेमाल किया होगा। अगर उसी पैटर्न वाले पासवर्ड अन्य खातों पर भी इस्तेमाल किए गए हैं, तो केवल संबंधित साइट पर बदलाव करना पर्याप्त नहीं है। बार-बार इस्तेमाल किए गए सभी पासवर्डों की जगह हर खाते के लिए अलग और यादृच्छिक पासवर्ड रखने चाहिए।

इस घटना के बाद उठाए जा सकने वाले सबसे प्रभावी कदमों में पासवर्ड मैनेजर का उपयोग शामिल है। हर साइट के लिए अलग पासवर्ड बनाने से एक डेटा उल्लंघन का असर सिलसिलेवार ढंग से दूसरे खातों तक फैलने से रुकता है। ब्राउज़र में सहेजे गए पुराने पासवर्डों की भी समीक्षा करनी चाहिए और कमज़ोर या दोहराए गए पासवर्ड हटा देने चाहिए।

दो-कारक प्रमाणीकरण को विशेष रूप से ईमेल खातों, पासवर्ड मैनेजरों, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइलों, गेमिंग खातों और एडमिन पैनलों के लिए प्राथमिकता दी जाती है। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजियाँ, SMS-आधारित प्रमाणीकरण की तुलना में अधिक मज़बूत सुरक्षा देती हैं।

ईमेल खाते में फ़ॉरवर्डिंग नियमों, रिकवरी पतों, जुड़े हुए ऐप्लिकेशन, विश्वसनीय डिवाइसों की सूची और हाल के सत्रों की जाँच करनी चाहिए। हमलावर सीधे SmartHem खाते तक न पहुँच पाए, तब भी वह ईमेल खाते के ज़रिए अन्य सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग में पुरानी सेवा का नाम, उपयोगकर्ता नाम, क्षेत्र से जुड़ी जानकारी या पंजीकरण की तारीख इस्तेमाल की जा सकती है। उपयोगकर्ताओं को मिले हुए लिंक पर सीधे क्लिक करने के बजाय पता स्वयं टाइप करना चाहिए, सत्यापन के बिना संलग्न फ़ाइलें नहीं खोलनी चाहिए और ऐसे संदेशों से सावधान रहना चाहिए जो तत्काल कार्रवाई करने का दबाव बनाते हैं।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन करना चाहिए। अगर किसी कर्मचारी ने निजी लगने वाले खाते में अपने काम का ईमेल पता इस्तेमाल किया है, तो वही पासवर्ड कंपनी के सिस्टम पर आज़माया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा जाँच, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्वपूर्ण हैं।

साइट मालिकों के लिए मुख्य सीख पासवर्ड के भंडारण और न्यूनतम डेटा रखने से जुड़ी है। सादे टेक्स्ट में पासवर्ड रखना या ऐसे हैश प्रारूप इस्तेमाल करना जिन्हें जल्दी क्रैक किया जा सके, सीधे उपयोगकर्ताओं की सुरक्षा को कमज़ोर करता है। आधुनिक सिस्टम में मज़बूत, सॉल्ट का उपयोग करने वाली और धीमी पासवर्ड व्युत्पत्ति विधियाँ अपनानी चाहिए। उपयोगकर्ता के लॉगिन करते समय पुराने हैश प्रारूपों को धीरे-धीरे अद्यतन करना चाहिए।

बैकअप, परीक्षण परिवेश, एक्सपोर्ट फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनलों और अनावश्यक अनुमतियों की नियमित जाँच होनी चाहिए। कई डेटा लीक मुख्य ऐप्लिकेशन के दिखाई देने वाले हिस्से से नहीं, बल्कि भुला दिए गए सहायक सिस्टम या व्यापक अनुमतियों वाले खातों से होते हैं।

जिन संस्थानों में घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचना देने, पासवर्ड रीसेट करने, लॉग की समीक्षा करने और जुड़े हुए सिस्टम की जाँच करने में देरी होती है। किन सिस्टम की निगरानी होगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को बताया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

SmartHem डोमेन पर इस समय उपयोगकर्ता अनुभव ठीक न होने के कारण पुराने खातों तक सीधे पहुँचना मुश्किल हो सकता है। इससे जोखिम समाप्त नहीं होता, क्योंकि अगर लीक हुआ पासवर्ड पहले अन्य खातों पर भी इस्तेमाल किया गया था, तो यह डेटा अब भी हमले की श्रृंखला में उपयोगी हो सकता है।

उपयोगकर्ता मान सकते हैं कि घरेलू और जीवनशैली से जुड़े उत्पाद बेचने वाली वेबसाइटों में डिलीवरी पता, बिलिंग जानकारी या खरीदारी का इतिहास जैसे फ़ील्ड भी होंगे। हालाँकि, इस रिकॉर्ड में सीधे तौर पर पुष्ट होने वाले डेटा के प्रकार केवल ईमेल और पासवर्ड तक सीमित थे। ऐसे पते या भुगतान संबंधी फ़ील्ड नहीं जोड़े गए जिनकी पुष्टि नहीं होती।

स्वीडिश बाज़ार को लक्षित करने वाली सेवा होने के कारण उसी देश के उपभोक्ता खातों में पासवर्ड दोबारा इस्तेमाल किए जाने की संभावना अधिक हो सकती है। अगर उपयोगकर्ता ने उसी ईमेल पते से दूसरे स्थानीय स्टोर में खाते खोले हैं, तो उन खातों की भी जाँच करनी चाहिए।

ई-कॉमर्स खातों के मामले में हमलावर कभी-कभी ऐसे संदेश तैयार करते हैं जो असली ऑर्डर सूचनाओं जैसे दिखते हैं। इसलिए पुराने स्टोर के नाम, सामान लौटाने के अनुरोध, डिलीवरी की समस्या या छूट के कूपन से जुड़े संदेशों को भी संदिग्ध माना जाना चाहिए।

SmartHem पृष्ठ का लोगो एक साधारण स्थानीय छवि के रूप में रखा गया, क्योंकि लाइव साइट भरोसेमंद ढंग से प्रतिक्रिया नहीं दे रही थी। इससे उपयोगकर्ता के लिए रिकॉर्ड अधूरी छवि के बिना उपलब्ध रहता है और वेबसाइट का पता प्रोटोकॉल के बिना संग्रहीत किया जाता है।

इस रिकॉर्ड में असत्यापित डेटा प्रकारों को जानबूझकर शामिल नहीं किया गया है। डेटा के प्रकारों की लंबी सूची बनाने के बजाय पुष्ट फ़ील्ड को स्पष्ट रूप से दिखाना उपयोगकर्ताओं का भरोसा बनाए रखने के लिए अधिक उपयोगी है। डेटा उल्लंघन के पृष्ठों का उद्देश्य डरावना दिखना नहीं, बल्कि सही दायरे और लागू सुरक्षा उपायों को स्पष्ट रूप से समझाना है।

यह पृष्ठ SmartHem डेटा उल्लंघन, smarthem.se डेटा लीक, SmartHem पासवर्ड लीक और SmartHem उपयोगकर्ता डेटा जैसे अलग-अलग नामों के अंतर्गत स्पष्ट और व्यावहारिक जानकारी देने के लिए तैयार किया गया है। इसमें सत्यापित पहलुओं और सुरक्षा के व्यावहारिक कदमों की व्याख्या की गई है।

यह रिकॉर्ड देखने पर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का ही नहीं, बल्कि उसी ईमेल पते से खोले गए अन्य खातों का भी आकलन करना चाहिए। जिन खातों में पुराने पासवर्ड फिर से इस्तेमाल किए जाते हैं, वे खास तौर पर हमलावरों के शुरुआती निशाने होते हैं। पुराने खाते बंद करने से भी लंबे समय में जोखिम कम होता है।

पासवर्ड के दोबारा इस्तेमाल को कम करने के लिए नए पासवर्डों में ब्रांड नाम, जन्म वर्ष, उपयोगकर्ता नाम, टीम के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले अतिरिक्त हिस्से शामिल नहीं होने चाहिए। पासवर्ड के अंत में कोई छोटी संख्या या विशेष चिह्न जोड़ने से वह सुरक्षित नहीं हो जाता। हमलावरों के उपकरण ऐसे पैटर्न जल्दी आज़मा लेते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, उसी पासवर्ड वाले सभी खातों को अद्यतन करें, दो-कारक प्रमाणीकरण चालू करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय सीधे साइट का पता इस्तेमाल करें।

सुरक्षा टीमों को इस रिकॉर्ड का आकलन उन ईमेल पतों के आधार पर करना चाहिए जो कर्मचारियों के डोमेन नामों से मेल खाते हैं। पुराने फ़ोरम, शॉपिंग, वित्तीय या समुदाय से जुड़े खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्ष्य सूचियों को अधिक उपयोगी बना सकते हैं।

ऐसी घटनाओं में न्यूनतम डेटा रखना बेहद महत्वपूर्ण है। अनावश्यक प्रोफ़ाइल फ़ील्ड एकत्र नहीं करने चाहिए, निष्क्रिय खातों को उचित डेटा प्रतिधारण नीतियों के तहत हटाना चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित रखनी चाहिए और डेटा एक्सपोर्ट गतिविधियों पर अतिरिक्त निगरानी रखनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को अपने खातों की सुरक्षा से जुड़े ज़रूरी रखरखाव के काम पूरे करने चाहिए। पुराने और भुला दिए गए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अद्यतन करना और महत्वपूर्ण खातों पर लॉगिन सूचनाएँ चालू करना स्थायी सुरक्षा प्रदान करता है।

इस पृष्ठ पर जोखिम का स्तर अति गंभीर तय किया गया है। इसमें प्रभावित खातों की संख्या, पासवर्ड संबंधी जानकारी का प्रकार, डेटा के प्रकारों से खातों पर कब्ज़ा किए जाने की संभावना और घटना में दोबारा इस्तेमाल किए जा सकने वाले लॉगिन विवरणों की मौजूदगी को ध्यान में रखा गया है। अति गंभीर स्तर का अर्थ यह नहीं है कि दुरुपयोग निश्चित रूप से हुआ है; इसका अर्थ है कि उपयोगकर्ता को तेज़ी से कार्रवाई करनी चाहिए।

निष्कर्षतः, SmartHem का यह रिकॉर्ड अप्रैल 2018 की अवधि में 53,971 खातों को प्रभावित करने वाले डेटा उल्लंघन का एक अलग रिकॉर्ड है। इसमें ईमेल पतों और सादे टेक्स्ट में लिखे पासवर्डों के फ़ील्ड शामिल हैं। उपयोगकर्ताओं को हर खाते के लिए अलग पासवर्ड इस्तेमाल करने, दो-कारक प्रमाणीकरण चालू करने, ईमेल की सुरक्षा सेटिंग जाँचने और संदिग्ध लॉगिन चेतावनियों पर नज़र रखने की सलाह दी जाती है।

SmartHem रिकॉर्ड में संख्या, शीर्षक और डोमेन का एक साथ आकलन किया गया है। इसलिए उसी नाम से प्रसारित सूचियों की अस्पष्ट प्रविष्टियाँ इस पृष्ठ पर नहीं लाई गईं। उपयोगकर्ता को दिखाई देने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा के प्रकारों को सरल रखना विशेष रूप से महत्वपूर्ण है, क्योंकि ऐसे फ़ील्ड जोड़ने से उपयोगकर्ता का जोखिम आकलन बिगड़ता है जिनकी पुष्टि नहीं होती। इसलिए इस रिकॉर्ड में ईमेल पतों और सादे टेक्स्ट में लिखे पासवर्डों के अलावा अन्य दावों को सिद्ध डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

smarthem.se डोमेन से जुड़ी पुरानी सदस्यताएँ भुलाई जा चुकी हो सकती हैं। अगर भुला दिए गए खातों पर पासवर्ड बदलना संभव न हो, तो उन दूसरी सेवाओं को ढूँढ़ना और सुरक्षित करना अधिक व्यावहारिक प्राथमिकता है जहाँ वही पासवर्ड इस्तेमाल किया गया है।

जब उपयोगकर्ता नाम या ईमेल पता अन्य लीक के साथ जोड़ा जाता है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, उद्योग या पिछली सदस्यता संबंधी आदतों का अनुमान लगाना आसान हो जाता है। इसलिए कोई एक डेटा उल्लंघन छोटा लगे, तब भी संयुक्त जोखिम अधिक होता है।

संस्थानों को नियमित जागरूकता प्रशिक्षण में कर्मचारियों की निजी सदस्यताओं के लिए काम के ईमेल के इस्तेमाल का विषय शामिल करना चाहिए। ऐसे रिकॉर्ड चेतावनी के संकेत देते हैं, जिनसे पासवर्ड के दोबारा इस्तेमाल और निजी प्लेटफ़ॉर्मों पर कॉर्पोरेट पहचान की दृश्यता को मापा जा सकता है।

अगर उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल दिखता है, तो उसे सबसे महत्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले शॉपिंग खाते।

अगर खाते बंद करना संभव हो, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी एक अच्छा कदम है। जिन खातों को बंद नहीं किया जा सकता, उनमें कम से कम अलग पासवर्ड रखना चाहिए, प्रोफ़ाइल जानकारी न्यूनतम करनी चाहिए और लॉगिन सूचनाएँ चालू करनी चाहिए।