Taobao डेटा उजागर होने का कथित मामला

जिन दो प्रकार के डेटा की पुष्टि हुई है, वे ईमेल पते और पासवर्ड हैं। प्लेन टेक्स्ट में रखे गए पासवर्ड बड़ा जोखिम पैदा करते हैं, क्योंकि उन्हें हैश क्रैक किए बिना सीधे आज़माया जा सकता है। अगर वही पासवर्ड ईमेल, खरीदारी, सोशल मीडिया या किसी दूसरी सेवा पर भी इस्तेमाल किया गया था, तो हमलावर उन खातों पर क्रेडेंशियल स्टफिंग का प्रयास कर सकता है। ईमेल और पासवर्ड की जोड़ी से ऑर्डर, भुगतान, खाता सत्यापन या पासवर्ड रीसेट के फ़र्ज़ी संदेश भी अधिक विश्वसनीय लग सकते हैं। चूँकि डेटासेट का स्रोत Taobao होना निश्चित नहीं है, इसलिए जोखिम का आकलन करते समय कुछ डेटा के असली होने के संकेतों और उसके स्रोत की अनिश्चितता, दोनों को ध्यान में रखना ज़रूरी है।

दर्ज तारीख 1 जनवरी 2012 हमले की सटीक तारीख नहीं है; यह केवल वर्ष को दर्शाने वाला संकेत है, जिसके अनुसार घटना लगभग 2012 की मानी गई है। डेटासेट से 2,11,49,008 खाता रिकॉर्ड जुड़े थे, और ईमेल-पासवर्ड की जोड़ियों में वास्तविक उपयोगकर्ताओं की जानकारी होने के संकेत मिले थे। भाषा, डोमेन नाम और स्थानीय सेवाओं के संदर्भ से जुड़ी अस्पष्टताओं तथा प्रभावित लोगों से एकसमान पुष्टि प्राप्त करने में कठिनाई के कारण स्रोत निर्णायक रूप से स्थापित नहीं हो सका। इसलिए यह रिकॉर्ड अपुष्ट स्थिति में प्रकाशित किया गया है: डेटासेट को केवल मनगढ़ंत बताकर खारिज नहीं किया जा सकता, लेकिन यह सिद्ध भी नहीं हुआ है कि वह Taobao के सिस्टम से आया है। 2,11,49,008 का आँकड़ा डेटासेट में खातों की संख्या दर्शाता है; चूँकि स्रोत और डुप्लिकेट रिकॉर्ड हटाने के तरीकों की पूरी जानकारी नहीं है, इसलिए इसे अलग-अलग व्यक्तियों की सटीक संख्या नहीं माना जाना चाहिए। यह 2020 की स्क्रैपिंग घटना नहीं है।

जिन लोगों ने लगभग 2012 में Taobao इस्तेमाल किया था और वही पासवर्ड किसी दूसरी सेवा पर भी इस्तेमाल किया था, उनके लिए व्यावहारिक जोखिम सबसे स्पष्ट है। भले ही कोई पुराना खाता बंद कर दिया गया हो या भुला दिया गया हो, उसका प्लेन टेक्स्ट पासवर्ड बाद में ईमेल, खरीदारी या सोशल मीडिया खातों के लिए फिर से इस्तेमाल किया गया हो सकता है। जिन लोगों ने एक ही मूल पासवर्ड में छोटे बदलाव करके उसे इस्तेमाल करना जारी रखा, उन्हें भी सावधान रहना चाहिए, क्योंकि पुराने पैटर्न हमलावर को नए लॉगिन विवरणों का अनुमान लगाने में मदद कर सकते हैं। स्रोत की पुष्टि नहीं हुई है, इसलिए किसी ईमेल पते का मिलना यह साबित नहीं करता कि उस व्यक्ति का Taobao खाता निश्चित रूप से था। वह पता किसी दूसरी सेवा, कई स्रोतों से जुटाए गए संग्रह या गलत नाम दिए गए स्रोत से आया हो सकता है। इस अनिश्चितता का मतलब यह नहीं है कि सुरक्षा के लिए कदम उठाना ज़रूरी नहीं है; यह केवल इतना बताती है कि डेटा किस कंपनी से आया, इस बारे में निर्णायक दावा नहीं किया जा सकता। जिन लोगों को Taobao इस्तेमाल करना याद नहीं है, उन्हें जाँचना चाहिए कि सूची में दिया गया पासवर्ड उनका था या नहीं और उस समय उन्होंने उसे कहाँ इस्तेमाल किया था।

अगर आपने पुराना पासवर्ड कहीं और भी इस्तेमाल किया था, तो हर प्रभावित खाते का पासवर्ड तुरंत बदलें। सबसे पहले ईमेल को सुरक्षित करें, क्योंकि ईमेल तक पहुँच मिलने से कई दूसरी सेवाओं के पासवर्ड रीसेट किए जा सकते हैं। हर खाते के लिए एक लंबा और अनोखा पासवर्ड बनाएँ, उसे किसी भरोसेमंद पासवर्ड मैनेजर में रखें और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करें। अगर आप अब भी Taobao खाते का इस्तेमाल करते हैं, तो उसका पासवर्ड बदलने के लिए आधिकारिक वेब पता स्वयं टाइप करें, फिर सक्रिय सत्रों और खाता रिकवरी की जानकारी की समीक्षा करें। ऑर्डर, रिफंड, डिलीवरी, भुगतान या खाता सत्यापन से जुड़े अप्रत्याशित संदेशों में दिए गए लिंक न खोलें; आधिकारिक ऐप या डोमेन के माध्यम से लेनदेन की जाँच करें। अगर पुराने पासवर्ड में मामूली बदलाव वाला पासवर्ड अब भी इस्तेमाल हो रहा है, तो केवल हूबहू मेल खाने वाला पासवर्ड बदलने के बजाय उसी पैटर्न से बने सभी पासवर्ड बदलें। स्रोत की अनिश्चितता, प्लेन टेक्स्ट पासवर्ड के उजागर होने की पुष्टि पर कार्रवाई करने की ज़रूरत को कम नहीं करती।

पासवर्ड मैनेजर की मदद से हर सेवा के लिए अलग, यादृच्छिक पासवर्ड रखना आसान होता है। इससे किसी एक डेटासेट में मौजूद प्लेन टेक्स्ट लॉगिन विवरण दूसरे खातों की चाबी नहीं बन पाते। ईमेल पर बहु-कारक प्रमाणीकरण और नए सत्र की सूचनाएँ चालू रखें तथा खाता रिकवरी के विकल्प अद्यतन रखें। पुराने खातों की नियमित समीक्षा करें, अब इस्तेमाल न होने वाली खरीदारी और फ़ोरम प्रोफ़ाइल बंद करें और सहेजे गए अनावश्यक भुगतान तरीके हटा दें। एक ही मूल शब्द में साइट का नाम या वर्ष जोड़कर पासवर्ड बनाना सुरक्षित नहीं है, क्योंकि हमलावर इस पैटर्न का अनुमान लगा सकते हैं। फ़िशिंग संदेशों में दिखाई देने वाले भेजने वाले के नाम पर भरोसा करने के बजाय वास्तविक डोमेन, लिंक के गंतव्य और इस बात की जाँच करें कि अनुरोध सामान्य है या नहीं। नियमित समीक्षा में निष्क्रिय खरीदारी प्रोफ़ाइल और वे रिकवरी ईमेल पते भी शामिल होने चाहिए जिन्हें वर्षों से अद्यतन नहीं किया गया है। डेटासेट का स्रोत अनिश्चित रहने पर भी, डेटासेट को किसी कंपनी से जोड़ने वाले अनुमान को तथ्य की तरह पेश करने के बजाय पासवर्ड के उजागर होने की पुष्ट जानकारी पर ध्यान देना अधिक उपयोगी है।

LeakData से अपने ईमेल पते की जाँच करें और देखें कि वह Taobao 2012 रिकॉर्ड या किसी अन्य ज्ञात डेटा उल्लंघन में मिलता है या नहीं। पता मिलने का मतलब यह नहीं है कि Taobao ने घटना की सार्वजनिक रूप से पुष्टि की है या वह पता निश्चित रूप से उसी सेवा से आया था; इसका मतलब केवल इतना है कि वह पता ऐसे डेटासेट में मौजूद है जिसे अपुष्ट रूप से Taobao से जोड़ा गया है। कदम उठाते समय स्रोत की अनिश्चितता और प्लेन टेक्स्ट पासवर्ड मिलने के तथ्य, दोनों को ध्यान में रखें। अगर आपका पता मिलता है, तो उन सभी खातों की पहचान करें जिनमें पुराना पासवर्ड इस्तेमाल हुआ था और पहले ईमेल, वित्तीय तथा खरीदारी सेवाओं को सुरक्षित करें। अगर आपको नहीं लगता कि आपका Taobao खाता था, तो स्रोत का अनुमान लगाए बिना पता करें कि पासवर्ड आपका था या नहीं और क्या वह किसी दूसरी सेवा पर इस्तेमाल हुआ था। निरंतर सुरक्षा के लिए अनोखे पासवर्ड, पासवर्ड मैनेजर और बहु-कारक प्रमाणीकरण का इस्तेमाल करें।