SuperDraft: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: जन्मतिथियाँ, ईमेल पते, भौगोलिक स्थान, अक्षांश-देशांतर के युग्म, पासवर्ड, खरीदारी की जानकारी और उपयोगकर्ता नाम। अक्षांश-देशांतर और खरीदारी की जानकारी न केवल उपयोगकर्ता के खाते, बल्कि उसके भौतिक स्थान और लेन-देन के इतिहास से जुड़े पहलुओं को भी प्रभावित कर सकती है। इन फ़ील्ड का एक साथ इस्तेमाल होने पर खाते पर कब्ज़ा, सोशल इंजीनियरिंग, धोखाधड़ी, व्यक्ति को उसके भौतिक स्थान पर निशाना बनाने या निजता के उल्लंघन जैसे परिणाम हो सकते हैं।

समझा जाता है कि पासवर्ड bcrypt हैश मानों से जुड़े हैं। मज़बूत हैशिंग विधि जोखिम कम करती है, लेकिन एक ही पासवर्ड का दोबारा इस्तेमाल करने पर जोखिम बना रहता है। जिन रिकॉर्ड में पासवर्ड मौजूद हैं, उनमें सबसे गंभीर जोखिमों में से एक है अन्य सेवाओं पर वही या मिलता-जुलता पासवर्ड इस्तेमाल करना। जिन रिकॉर्ड में पासवर्ड नहीं हैं, उनमें डिवाइस, स्थान, फ़ोन, पता, शिक्षा, नौकरी के आवेदन या वित्तीय संदर्भ जैसे फ़ील्ड लक्षित संदेशों को अधिक विश्वसनीय बना सकते हैं।

इस रिकॉर्ड में superdraft.io डोमेन से जुड़े लगभग 3,00,000 ग्राहक खाते शामिल हैं। घटना को सत्यापित रिकॉर्ड के रूप में वर्गीकृत किया गया है। दायरे के आकलन में खातों की संख्या, डोमेन, उद्योग, देश और डेटा की श्रेणियों की अलग-अलग जाँच की गई। उपयोगकर्ता को दिखाए गए डेटा फ़ील्ड केवल उन्हीं फ़ील्ड तक सीमित रखे गए हैं जो वास्तव में रिकॉर्ड में सूचीबद्ध हैं।

पिछले रिकॉर्ड में छूट गया अक्षांश-देशांतर फ़ील्ड अब डेटा की श्रेणियों में जोड़ दिया गया है। दायरे की यह सीमा मिलते-जुलते ब्रांड नामों, कई सेवाओं को शामिल करने वाले रिकॉर्ड या संवेदनशील क्षेत्रों के लिए विशेष रूप से महत्त्वपूर्ण है। इस रिकॉर्ड को किसी अन्य घटना के साथ नहीं मिलाया गया है और न ही इसका इस तरह विस्तार किया गया है जिससे दोहरे रिकॉर्ड बनें। कंपनी से जुड़े संदर्भ को भी यथासंभव स्पष्ट किया गया है।

खेल या गेमिंग खातों पर एक ही उपयोगकर्ता नाम इस्तेमाल करने वाले SuperDraft ग्राहक और वे उपयोगकर्ता जोखिम में हैं जिनकी स्थान संबंधी जानकारी मौजूद है। इनके लिए मुख्य जोखिम यह है कि लीक हुए डेटा का मिलान अन्य खातों पर इस्तेमाल होने वाली समान जानकारी से किया जा सकता है। एक ही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम, डिवाइस ID या पासवर्ड दोहराए जाने पर हमलावर इन विवरणों को अलग-अलग सेवाओं पर आज़मा सकते हैं।

फैंटेसी स्पोर्ट्स के संदर्भ का फ़ायदा इनाम, भुगतान, इनाम भुनाने या खाता सत्यापन से जुड़े फ़र्ज़ी संदेशों के ज़रिए उठाया जा सकता है। कॉर्पोरेट उपयोगकर्ताओं के मामले में काम का ईमेल और कार्य संबंधी जानकारी प्रमुख होती है, जबकि व्यक्तिगत उपयोगकर्ताओं के लिए पता, जन्मतिथि, खरीदारी, स्थान या सदस्यता का संदर्भ प्रमुख होता है। शिक्षा, दूरसंचार, वित्त, यात्रा, राजनीति, नौकरी के आवेदन और VPNs जैसे क्षेत्रों में संदर्भ अपने आप में भी निशाना बनाए जाने का जोखिम बढ़ा सकता है।

प्रभावित उपयोगकर्ताओं को अपने पासवर्ड बदलने चाहिए, भुगतान और खरीदारी का इतिहास जाँचना चाहिए और देखना चाहिए कि उनके खातों में कोई अनजान सत्र तो नहीं है। यदि पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वे वही पासवर्ड इस्तेमाल करते हैं। हर खाते के लिए अलग पासवर्ड इस्तेमाल करें और जहाँ संभव हो, बहु-कारक प्रमाणीकरण सक्षम करें। केवल एक प्लेटफ़ॉर्म पर कार्रवाई करना पर्याप्त नहीं हो सकता।

यदि फ़ोन, पता, जन्मतिथि, डिवाइस ID, आधिकारिक ID, नौकरी के आवेदन या इनाम की शेष राशि जैसे फ़ील्ड मौजूद हों, तो उपयोगकर्ताओं को खाता पुनर्प्राप्ति की जानकारी, दर्ज सत्र, ईमेल फ़ॉरवर्डिंग और संदिग्ध संदेशों की जाँच करनी चाहिए। संस्थानों को कर्मचारी अलर्ट, फ़र्ज़ी इनवॉइस और खाता सत्यापन के प्रयासों से निपटने के लिए अपनी प्रक्रियाएँ अद्यतन करनी चाहिए।

खेल और पुरस्कार वाले गेम के खातों में स्थान और भुगतान संबंधी डेटा आवश्यक न होने पर सीमित रखा जाना चाहिए। खाते की सुरक्षा भी नियमित रूप से जाँची जानी चाहिए। लंबी अवधि में पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खातों को बंद करना, अनावश्यक प्रोफ़ाइल फ़ील्ड हटाना और डेटा को न्यूनतम रखना सुरक्षा का बुनियादी आधार हैं। चूँकि स्थायी व्यक्तिगत डेटा वापस नहीं लिया जा सकता, इसलिए सुरक्षा खातों के इस्तेमाल से जुड़ी आदतों को बेहतर बनाने पर निर्भर करती है।

कंपनियों और संस्थानों को घटना के बाद की इन्वेंटरी, पहुँच की अनुमतियों, पुराने डेटा के भंडारण, सूचना देने की प्रक्रियाओं और तृतीय-पक्ष प्लेटफ़ॉर्म के इस्तेमाल पर फिर से विचार करना चाहिए। उपयोगकर्ताओं के लिए अलग-अलग सेवाओं पर एक ही पहचान संबंधी जानकारी दोहराने से बचना और संदिग्ध संपर्क की पुष्टि किसी दूसरे माध्यम से करने की आदत स्थायी सुरक्षा प्रदान करती है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उसे उन सभी खेल, गेमिंग और भुगतान खातों की जाँच करनी चाहिए जहाँ वही ईमेल-पासवर्ड जोड़ी इस्तेमाल की जाती है। मेल मिलने पर उपयोगकर्ता को पहले पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं, फिर उन्हीं के आधार पर कदमों की प्राथमिकता तय करनी चाहिए। पासवर्ड होने पर पासवर्ड बदलने को प्राथमिकता दें; आधिकारिक ID होने पर ID की निगरानी को; स्थान या डिवाइस की जानकारी होने पर डिवाइस की सुरक्षा को; और शिक्षा या नौकरी के आवेदन की जानकारी होने पर संस्थागत खातों की जाँच को प्राथमिकता दें।

अंतिम आकलन: इस रिकॉर्ड को संवेदनशील श्रेणी में रखा गया है क्योंकि इसमें पासवर्ड, जन्मतिथि, खरीदारी और स्थान संबंधी फ़ील्ड एक साथ शामिल हैं। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खाते के इतिहास से करनी चाहिए और उन सेवाओं की अलग-अलग जाँच करनी चाहिए जहाँ वह एक ही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम या पासवर्ड इस्तेमाल करता है। घटना के बाद अचानक आने वाले कॉल, संदेश, ईमेल या खाता पुनर्प्राप्ति की सूचना को अधिक जोखिम वाला माना जाना चाहिए।