Star Sonata: डेटा उजागर होने का कथित मामला

Star Sonata का रिकॉर्ड बनाने से पहले मौजूदा रिकॉर्ड में शीर्षक, डोमेन नाम, मिलते-जुलते ब्रांड नाम, घटना की तारीख और रिकॉर्ड की संख्या का मिलान किया गया। उसी घटना को दर्शाने वाला कोई रिकॉर्ड नहीं मिला, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। मिलते-जुलते नामों वाले ऐसे रिकॉर्ड, जिनके डोमेन या घटनाएँ अलग थीं, इस निर्णय में शामिल नहीं किए गए।

संबंधित सूचियों में दर्ज रिकॉर्ड की संख्या और सत्यापित किए जा सकने वाले विवरणों की संख्या में अंतर हो सकता है। इसकी वजह मूल डेटा की पंक्तियों, दोहराव रहित खातों, दोहराए गए ईमेल पतों, साफ़ किए गए रिकॉर्ड, फ़ोरम की पंक्तियों, प्रोफ़ाइल की पंक्तियों या दोबारा पैक किए गए डेटा सेटों में अंतर हो सकता है। इस पृष्ठ पर दिखाई गई सबसे बड़ी संख्या के बजाय 22,941 को आधार बनाया गया है, क्योंकि डेटा प्रकारों के साथ इस संख्या की भी लगातार पुष्टि होती है।

Star Sonata को अंतरिक्ष की थीम पर आधारित ऑनलाइन गेम के संदर्भ में देखा गया है। गेम के खाते उपयोगकर्ता नाम, ईमेल और संबंधित गेम IDs से जुड़े हो सकते हैं, इसलिए खातों पर अनधिकृत कब्ज़े और अलग-अलग प्रोफ़ाइलों के बीच संबंध स्थापित किए जाने का जोखिम रहता है।

इस घटना में ईमेल पते, उपयोगकर्ता नाम और MD5 पासवर्ड हैश उजागर हुए थे। MD5 एक कमज़ोर हैश है, इसलिए दोबारा इस्तेमाल किए गए पासवर्ड अन्य गेम या सोशल मीडिया खातों पर आज़माए जा सकते हैं।

Star Sonata की घटना में जोखिम सामान्य ईमेल लीक से अधिक है, क्योंकि MD5 हैश के रूप में पासवर्ड डेटा मिला था। पासवर्ड डेटा हमलावरों के अनुमान लगाकर अलग-अलग संयोजन आज़माने में लगने वाला समय कम करता है, उन अन्य सेवाओं पर स्वचालित लॉगिन प्रयास आसान बनाता है जहाँ वही पासवर्ड इस्तेमाल हुआ हो, और पासवर्ड रीसेट के संदेशों को अधिक विश्वसनीय बनाता है।

सिर्फ़ ईमेल पता सीमित व्यक्तिगत जानकारी लग सकता है, लेकिन उपयोगकर्ता नाम, IP पते, फ़ोन नंबर, पूरे नाम, जन्मतिथि या पासवर्ड की जानकारी के साथ जुड़ने पर वह हमले का एक प्रभावी माध्यम बन जाता है। यदि उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेम, स्वास्थ्य, वित्त या सोशल मीडिया खातों के लिए एक ही ईमेल पता इस्तेमाल करता है, तो असर संबंधित प्लेटफ़ॉर्म से आगे भी फैल सकता है।

यह घटना पुरानी होने के बावजूद सुरक्षा के लिहाज़ से आज भी प्रासंगिक है। बहुत से उपयोगकर्ता अपने पुराने पासवर्ड के पैटर्न में मामूली बदलाव करके उन्हें फिर इस्तेमाल करते हैं। इसलिए Star Sonata जैसी पुरानी सेंध का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, क्रेडेंशियल स्टफिंग और लक्षित फ़िशिंग प्रयासों में किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना है कि उन्होंने पहले Star Sonata या www.starsonata.com पर कौन-सा ईमेल पता और पासवर्ड इस्तेमाल किया होगा। यदि उसी पैटर्न के पासवर्ड अन्य खातों पर भी इस्तेमाल किए गए हैं, तो केवल संबंधित साइट पर पासवर्ड बदलना पर्याप्त नहीं है। दोबारा इस्तेमाल किए गए सभी पासवर्ड की जगह अलग-अलग और यादृच्छिक पासवर्ड रखने चाहिए।

इस घटना के बाद उठाए जा सकने वाले सबसे प्रभावी कदमों में से एक पासवर्ड मैनेजर का इस्तेमाल है। हर साइट के लिए अलग पासवर्ड बनाने से एक सेंध का असर सिलसिलेवार तरीके से अन्य खातों तक फैलने से रोका जा सकता है। ब्राउज़र में सहेजे गए पुराने पासवर्ड भी जाँचे जाने चाहिए और कमज़ोर या दोहराए गए पासवर्ड हटाए जाने चाहिए।

ईमेल खातों, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइलों, नौकरी खोजने वाले खातों और एडमिन पैनलों के लिए दो-कारक प्रमाणीकरण को विशेष प्राथमिकता दी जानी चाहिए। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजी, SMS-आधारित प्रमाणीकरण की तुलना में अधिक मज़बूत सुरक्षा देती है।

ईमेल खाते में फ़ॉरवर्डिंग नियमों, रिकवरी पतों, जुड़े हुए ऐप्लिकेशन, विश्वसनीय डिवाइसों की सूची और हाल के सत्रों की जाँच करनी चाहिए। हमलावर Star Sonata खाते तक सीधे पहुँच न बना पाए, तब भी वह ईमेल खाते के ज़रिए अन्य सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग में पुरानी सेवा का नाम, उपयोगकर्ता नाम, उद्योग से जुड़ी जानकारी, देश, शौक या पंजीकरण की तारीख इस्तेमाल की जा सकती है। उपयोगकर्ताओं को मिले हुए लिंक पर सीधे क्लिक करने के बजाय पता स्वयं टाइप करना चाहिए, बिना जाँच किए अटैचमेंट नहीं खोलने चाहिए और ऐसे संदेशों से सावधान रहना चाहिए जो तुरंत कार्रवाई करने का दबाव डालते हों।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन किया जाना चाहिए। यदि किसी कर्मचारी ने निजी लगने वाले खाते में अपने काम का ईमेल इस्तेमाल किया था, तो उसी पासवर्ड को कंपनी के सिस्टम पर आज़माया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा स्कैन, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्वपूर्ण हैं।

साइट मालिकों के लिए मुख्य सीख पासवर्ड के भंडारण और कम से कम डेटा रखने से जुड़ी है। सादे टेक्स्ट या आसानी से तोड़े जा सकने वाले हैश प्रारूप सीधे उपयोगकर्ता की सुरक्षा कमज़ोर करते हैं। आधुनिक सिस्टम में मज़बूत, सॉल्टयुक्त और धीमी पासवर्ड व्युत्पत्ति विधियाँ इस्तेमाल की जानी चाहिए। उपयोगकर्ता के लॉगिन के दौरान पुराने हैश प्रारूपों को धीरे-धीरे नए प्रारूपों में बदला जाना चाहिए।

बैकअप, परीक्षण परिवेश, एक्सपोर्ट फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनलों और अनावश्यक अनुमतियों का नियमित ऑडिट होना चाहिए। कई डेटा लीक मुख्य ऐप्लिकेशन के दिखाई देने वाले हिस्से से नहीं, बल्कि भूले हुए सहायक सिस्टम या व्यापक अनुमतियों वाले खातों से होते हैं।

जिन संस्थानों के पास घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचना देने, पासवर्ड रीसेट करने, लॉग की समीक्षा करने और जुड़े हुए सिस्टम की जाँच करने में देरी होती है। किन सिस्टम की निगरानी होगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को सूचित किया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

हालाँकि सार्वजनिक बयान में प्रभावित उपयोगकर्ताओं की अधिक संख्या बताई गई है, यहाँ यह संख्या इस्तेमाल की गई है क्योंकि कार्ड पर प्रमाणों से समर्थित रिकॉर्ड की संख्या 22,941 है।

Star Sonata को रिकॉर्ड में बंद सेवा के रूप में चिह्नित नहीं किया गया, क्योंकि मौजूदा जाँच में उसने 200 प्रतिक्रिया दी थी। यदि उपयोगकर्ता अपने खातों तक पहुँच सकते हैं, तो उन्हें अपना पासवर्ड बदलना चाहिए।

भले ही गेम खातों में Steam या ऐसी ही जुड़ी हुई पहचान से संबंधित जानकारी सादे टेक्स्ट में भेजी जाती हो, इसे डेटा श्रेणी के रूप में नहीं जोड़ा गया है, क्योंकि डेटा प्रकारों की सूची में इसके लिए प्रत्यक्ष समर्थन नहीं है।

गेम की संपत्तियों या पुराने खातों का इस्तेमाल ठगी वाले संदेशों में किया जा सकता है। उपयोगकर्ताओं को नकली सहायता और सुरक्षा सत्यापन संदेशों से सावधान रहना चाहिए।

Star Sonata के लोगो की छवि का इस रिकॉर्ड से मिलान किया गया है।

इस रिकॉर्ड में असत्यापित डेटा प्रकारों को जानबूझकर शामिल नहीं किया गया है। डेटा श्रेणियों की लंबी सूची बनाने के बजाय प्रमाणों से समर्थित फ़ील्ड को स्पष्ट रूप से दिखाना उपयोगकर्ताओं का भरोसा बनाए रखने के लिए अधिक उपयोगी है। डेटा उल्लंघन के पृष्ठों का उद्देश्य डरावना दिखना नहीं, बल्कि सही दायरा और लागू किए जा सकने वाले सुरक्षा उपाय स्पष्ट रूप से समझाना है।

यह पृष्ठ Star Sonata डेटा उल्लंघन, www.starsonata.com डेटा लीक, Star Sonata पासवर्ड लीक और Star Sonata उपयोगकर्ता डेटा जैसे विभिन्न शब्दों के बारे में सरल और अमल में लाई जा सकने वाली जानकारी देने के लिए तैयार किया गया था। इसमें सत्यापित पहलुओं और व्यावहारिक सुरक्षा कदमों को समझाया गया है।

यह रिकॉर्ड देखने पर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का ही नहीं, बल्कि उसी ईमेल पते से खोले गए अन्य खातों का भी आकलन करना चाहिए। जिन खातों में पुराने पासवर्ड दोबारा इस्तेमाल किए गए हैं, वे विशेष रूप से हमलावरों का पहला निशाना होते हैं। पुराने खाते बंद करने से भी लंबे समय में जोखिम कम होता है।

पासवर्ड की पुनरावृत्ति कम करने के लिए नए पासवर्ड में ब्रांड नाम, जन्म का वर्ष, उपयोगकर्ता नाम, टीम के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले अतिरिक्त अंश नहीं होने चाहिए। पासवर्ड के अंत में कोई छोटी संख्या या विशेष चिह्न जोड़ने से वह सुरक्षित नहीं हो जाता; हमलावरों के टूल इन पैटर्न को तेज़ी से आज़माते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, वही पासवर्ड इस्तेमाल करने वाले सभी खातों को अपडेट करें, दो-कारक प्रमाणीकरण चालू करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय सीधे साइट का पता इस्तेमाल करें।

सुरक्षा टीमों को कर्मचारी ईमेल के डोमेन नामों से मेल खाने वाले ईमेल पतों के संदर्भ में इस रिकॉर्ड का आकलन करना चाहिए। पुराने फ़ोरम, खरीदारी, वित्तीय या सामुदायिक खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्ष्य-सूचियों में और जानकारी जोड़ सकते हैं।

ऐसी घटनाओं में कम से कम डेटा रखना बेहद महत्वपूर्ण है। अनावश्यक प्रोफ़ाइल फ़ील्ड एकत्र नहीं किए जाने चाहिए, उचित डेटा प्रतिधारण नीतियों के तहत निष्क्रिय खाते हटाए जाने चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित होनी चाहिए और डेटा एक्सपोर्ट की गतिविधियों पर अतिरिक्त निगरानी होनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को अपने खातों की सुरक्षा से जुड़ी साफ़-सफ़ाई पूरी करनी चाहिए। पुराने और भूले हुए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अपडेट करना और महत्वपूर्ण खातों पर लॉगिन सूचनाएँ चालू करना स्थायी सुरक्षा देता है।

इस पृष्ठ पर जोखिम का स्तर अत्यंत गंभीर निर्धारित किया गया है। इसमें प्रभावित खातों की संख्या, पासवर्ड जानकारी के प्रकार, खातों पर अनधिकृत कब्ज़े में डेटा श्रेणियों की संभावित भूमिका और इस बात को ध्यान में रखा गया है कि क्या घटना में दोबारा इस्तेमाल किए जा सकने वाले लॉगिन विवरण शामिल थे। अत्यंत गंभीर स्तर का अर्थ यह नहीं है कि दुरुपयोग निश्चित रूप से हुआ है; इसका अर्थ है कि उपयोगकर्ता को तुरंत कदम उठाने की ज़रूरत है।

संक्षेप में, Star Sonata का यह रिकॉर्ड दिसंबर 2018 की अवधि में 22,941 खातों को प्रभावित करने वाली डेटा में सेंध की एक ही घटना का रिकॉर्ड है। इसमें ईमेल पते, उपयोगकर्ता नाम और MD5 पासवर्ड हैश के फ़ील्ड शामिल हैं। उपयोगकर्ताओं को अलग-अलग पासवर्ड इस्तेमाल करने, दो-चरणीय सत्यापन चालू करने, ईमेल की सुरक्षा सेटिंग जाँचने और संदिग्ध लॉगिन की चेतावनियों पर नज़र रखने की सलाह दी जाती है।

Star Sonata के रिकॉर्ड में संख्या, शीर्षक और डोमेन का एक साथ आकलन किया गया है। इसलिए उसी नाम से प्रसारित हो रही सूचियों की अस्पष्ट प्रविष्टियाँ इस पृष्ठ पर नहीं जोड़ी गई हैं। उपयोगकर्ता को दिखाई देने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा श्रेणियों को सरल रखना विशेष रूप से महत्वपूर्ण है, क्योंकि प्रमाणों से असमर्थित फ़ील्ड जोड़ने से उपयोगकर्ता के जोखिम आकलन में बाधा आती है। इसलिए इस रिकॉर्ड में ईमेल पते, उपयोगकर्ता नाम और MD5 पासवर्ड हैश के अलावा किसी अन्य जानकारी के दावे को प्रमाणित डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

www.starsonata.com डोमेन से जुड़ी पुरानी सदस्यताएँ भुलाई जा चुकी हो सकती हैं। यदि भूले हुए खातों के पासवर्ड नहीं बदले जा सकते, तो उन अन्य सेवाओं को ढूँढ़कर सुरक्षित करना अधिक व्यावहारिक प्राथमिकता है जहाँ वही पासवर्ड इस्तेमाल किया गया था।

जब उपयोगकर्ता नाम, ईमेल या फ़ोन की जानकारी अन्य लीक से जुड़ती है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, कार्यक्षेत्र या पिछली सदस्यताओं की आदतों का अनुमान लगाना आसान हो जाता है। इसलिए कोई एक सेंध छोटी लगने पर भी संयुक्त जोखिम अधिक होता है।

संस्थानों के दृष्टिकोण से, कर्मचारियों द्वारा निजी सदस्यताओं में काम के ईमेल का इस्तेमाल नियमित जागरूकता प्रशिक्षण में शामिल किया जाना चाहिए। ऐसे रिकॉर्ड चेतावनी का संकेत देते हैं, जिनकी मदद से पासवर्ड के दोबारा इस्तेमाल और निजी प्लेटफ़ॉर्म पर कॉर्पोरेट पहचान की दृश्यता का आकलन किया जा सकता है।

यदि उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल दिखता है, तो उसे सबसे महत्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले खरीदारी के खाते।

यदि खाते बंद किए जा सकते हैं, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी अच्छा कदम है। जिन खातों को बंद नहीं किया जा सकता, उनमें कम से कम पासवर्ड अलग रखा जाना चाहिए, प्रोफ़ाइल की जानकारी न्यूनतम की जानी चाहिए और लॉगिन सूचनाएँ चालू की जानी चाहिए।