SuperVPN & GeckoVPN: डेटा में सेंध

डेटा की जिन श्रेणियों की पुष्टि हुई है, उनमें ईमेल पते, डिवाइस की जानकारी, डिवाइस के सीरियल नंबर, IMSI नंबर, भौगोलिक स्थान और लॉगिन का इतिहास शामिल हैं। भौगोलिक जानकारी वाला फ़ील्ड उस देश को दर्शाता है जहाँ से लॉगिन किया गया था; इससे यह साबित नहीं होता कि सटीक GPS निर्देशांक उजागर हुए थे। लॉगिन का इतिहास उन तारीखों और समय को दिखा सकता है जब किसी व्यक्ति ने सेवा का इस्तेमाल किया था। ईमेल पते का इस्तेमाल सीधे संपर्क करने और अलग-अलग खातों के बीच संबंध पहचानने के लिए किया जा सकता है, जिससे लक्षित फ़िशिंग की आशंका बढ़ती है। सीरियल नंबर और IMSI नंबर जैसे स्थायी पहचानकर्ताओं से अलग-अलग रिकॉर्ड को एक ही डिवाइस से जोड़ना आसान हो सकता है। पासवर्ड, उपयोगकर्ता नाम, पूरे नाम और भुगतान विवरण इस डेटासेट की सत्यापित श्रेणियों में शामिल नहीं हैं, इसलिए इन फ़ील्ड से जुड़े शुरुआती दावों को यहाँ पुष्ट डेटा उजागर होने के रूप में प्रस्तुत नहीं किया गया है।

इस घटना की मानक दर्ज तारीख 25 फ़रवरी 2021 है। अगले दिन प्रकाशित शुरुआती रिपोर्टों में बताया गया था कि एक फ़ोरम उपयोगकर्ता कई मुफ़्त Android VPN सेवाओं से जुड़े आर्काइव बेचने की पेशकश कर रहा था। बाद में सत्यापित किए गए 2,03,39,937 अलग-अलग ईमेल रिकॉर्ड के समूह को SuperVPN और GeckoVPN के अंतर्गत सूचीबद्ध किया गया। उसी फ़ाइल में किसी तीसरे VPN ऐप से जुड़े कुछ रिकॉर्ड भी मिले थे, जिससे संकेत मिलता है कि इन सेवाओं का प्लेटफ़ॉर्म या डेटा ढाँचा साझा रहा हो सकता है। बिक्री के मूल दावे में सार्वजनिक रूप से पहुँच योग्य डेटाबेस और डिफ़ॉल्ट एक्सेस क्रेडेंशियल का उल्लेख था, लेकिन पहुँच के इस तरीके को निश्चित कारण के रूप में स्वतंत्र रूप से स्थापित नहीं किया गया। इस रिकॉर्ड को सत्यापित डेटा लीक के रूप में वर्गीकृत किया गया है, न कि लॉगिन क्रेडेंशियल के संकलन, जानकारी चुराने वाले मैलवेयर से प्राप्त डेटा या केवल ऐसी फ़ोरम पोस्ट पर आधारित आरोप के रूप में, जिसकी जाँच नहीं हुई थी।

सबसे अधिक जोखिम उन लोगों को है जिन्होंने 2021 की शुरुआत तक SuperVPN या GeckoVPN के Android ऐप का इस्तेमाल किया था और ईमेल पते के ज़रिए सेवा से जुड़े थे। जिन लोगों ने दूसरे खातों के लिए भी उसी ईमेल पते का इस्तेमाल किया था, उन्हें VPN के इस्तेमाल का ज़िक्र करने वाले ऐसे संदेश मिल सकते हैं जो अधिक विश्वसनीय लगें। देश की जानकारी और लॉगिन की तारीख व समय से किसी ठग को यात्रा, कनेक्शन की समस्या या सदस्यता के नवीनीकरण के संदर्भ में संदेश तैयार करने में मदद मिल सकती है। डिवाइस का मॉडल, सीरियल नंबर या IMSI अपने आप किसी खाते का पासवर्ड नहीं बताता, लेकिन इससे ऐसे सोशल इंजीनियरिंग प्रयास अधिक प्रभावी हो सकते हैं जिनमें यह जताने की कोशिश की जाती है कि संदेश भेजने वाला उपयोगकर्ता या उसके डिवाइस को पहले से जानता है। सटीक GPS निर्देशांक, संदेशों की सामग्री, ब्राउज़िंग का इतिहास और VPN से होकर गुज़रने वाला इंटरनेट ट्रैफ़िक पुष्ट दायरे का हिस्सा नहीं हैं, और इस रिकॉर्ड के आधार पर इनके उजागर होने का निष्कर्ष नहीं निकालना चाहिए।

आपकी पहली प्राथमिकता SuperVPN या GeckoVPN से जुड़े ईमेल खाते में अनजान सत्रों, सुरक्षा अलर्ट और अप्रत्याशित पासवर्ड रीसेट अनुरोधों की जाँच करना है। ईमेल खाते पर बहु-कारक प्रमाणीकरण सक्षम करें और जहाँ विकल्प उपलब्ध हो, वहाँ SMS के बजाय ऑथेंटिकेटर ऐप, पासकी या हार्डवेयर सुरक्षा कुंजी को प्राथमिकता दें। यदि ऐप अब भी इंस्टॉल है, तो आधिकारिक ऐप स्टोर से उसके संस्करण और डेवलपर की पुष्टि करें। यदि अब उसकी ज़रूरत नहीं है, तो उसे हटाएँ और फिर किसी बची हुई पहुँच की जाँच के लिए Android ऐप की अनुमतियों और सहेजी गई VPN प्रोफ़ाइल की समीक्षा करें। संबंधित ईमेल खाते पर कोई कमज़ोर या दूसरे खातों में भी इस्तेमाल किया गया पासवर्ड हो, तो उसे फिर भी एक मज़बूत, अलग पासवर्ड से बदलें। VPN सहायता, सदस्यता के नवीनीकरण, डिवाइस सत्यापन या रिफ़ंड की पेशकश करने का दावा करने वाले संदेशों के लिंक न खोलें। कोई भी वैध कार्रवाई सहेजी गई ऐप-स्टोर लिस्टिंग या सेवा के किसी अन्य सत्यापित माध्यम से शुरू करें।

किसी VPN को केवल इसलिए न चुनें कि उसे बड़ी संख्या में इंस्टॉल किया गया है या उसका विज्ञापन मुफ़्त सेवा के रूप में किया जाता है। जाँचें कि क्या प्रदाता अपनी कानूनी इकाई की पहचान बताता है, सहायता के लिए संपर्क योग्य माध्यम उपलब्ध रखता है, अद्यतन गोपनीयता नीति प्रकाशित करता है, स्वतंत्र सुरक्षा आकलन करवाता है और घटनाओं के बारे में उपयोगकर्ताओं को सूचित करने की प्रक्रिया रखता है। केवल “कोई लॉग नहीं रखा जाता” कहना पर्याप्त नहीं है। पढ़ें कि सेवा खाता बनाने, तकनीकी समस्याओं की जाँच, विज्ञापन और सदस्यता संबंधी कामों के लिए कौन-सी जानकारी एकत्र करती है। अपने ईमेल खाते पर साइन-इन अलर्ट सक्षम रखें और समय-समय पर खाता पुनर्प्राप्ति के लिए दर्ज ईमेल पते और फ़ोन नंबर की जाँच करें। IMSI या डिवाइस का सीरियल नंबर पासवर्ड की तरह बदला नहीं जा सकता, इसलिए इनमें से किसी भी जानकारी का किसी के पास होना कभी इस बात का प्रमाण नहीं माना जाना चाहिए कि कॉल करने वाला या संदेश भेजने वाला भरोसेमंद है। यदि आपका मोबाइल सेवा प्रदाता खाते के लिए अतिरिक्त PIN या सुरक्षा पासकोड का विकल्प देता है, तो SIM-स्वैप और खाते पर कब्ज़ा करने के प्रयासों के विरुद्ध सुरक्षा की एक अतिरिक्त परत के रूप में उसे सक्षम करें।

यह पता लगाने के लिए कि आपका डेटा SuperVPN & GeckoVPN रिकॉर्ड में है या नहीं, डेटा लीक की जाँच करने वाले किसी भरोसेमंद टूल से हर उस ईमेल पते की जाँच करें जिसका इस्तेमाल आपने इनमें से किसी भी सेवा के साथ किया हो सकता है। मिलान मिलने को इस बात का प्रमाण मानें कि वह पता सत्यापित डेटासेट में डिवाइस और लॉगिन के मेटाडेटा के साथ मौजूद है, न कि इस बात का प्रमाण कि आपका पासवर्ड हासिल कर लिया गया था। पुराने पते भी शामिल करें, क्योंकि 2021 के बाद बदला गया ईमेल पता ऐतिहासिक रिकॉर्ड में अब भी मौजूद हो सकता है। डेटा लीक के नियमित अलर्ट सक्षम करने से आपको अधिक तेज़ी से कदम उठाने में मदद मिलेगी, यदि बाद में वही पता किसी दूसरी घटना में मिलता है। डेटा लीक की जाँच के फ़ॉर्म में कभी IMSI या डिवाइस का सीरियल नंबर दर्ज न करें और अपनी पहल पर संपर्क करने वाले किसी अनजान कॉलकर्ता या संदेश भेजने वाले को ये पहचानकर्ता न बताएँ। परिणामों का इस्तेमाल केवल अपने खाते की सुरक्षा के बारे में निर्णय लेने के लिए करें, न कि किसी दूसरे व्यक्ति की VPN गतिविधि का अनुमान लगाने या बिना अनुमति दूसरों के ईमेल पते खोजने के लिए।