The Heritage Foundation: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: ईमेल पते, IP पते, नाम, पासवर्ड और उपयोगकर्ता नाम। जब किसी IP पते और उपयोगकर्ता नाम को किसी व्यक्ति की टिप्पणी या सामग्री के योगदान के संदर्भ से जोड़ा जाता है, तो वे उस व्यक्ति को निशाना बनाकर भेजे गए संदेशों या उसकी प्रतिष्ठा से जुड़े जोखिमों का कारण बन सकते हैं। इन फ़ील्ड का एक साथ इस्तेमाल होने पर खाते पर अनधिकृत कब्ज़ा, सोशल इंजीनियरिंग, धोखाधड़ी, व्यक्ति को शारीरिक रूप से निशाना बनाए जाने या गोपनीयता के उल्लंघन का जोखिम हो सकता है।

ऐसा समझा जाता है कि पासवर्ड MD5 या phpass हैश मानों से जुड़े हैं; यदि वही पासवर्ड अन्य खातों पर इस्तेमाल किया गया था, तो उसे बदल देना चाहिए। जिन रिकॉर्ड में पासवर्ड शामिल हैं, उनके लिए अन्य सेवाओं पर उसी या उससे मिलते-जुलते पासवर्ड का इस्तेमाल सबसे गंभीर जोखिमों में से एक है। जिन रिकॉर्ड में पासवर्ड नहीं हैं, उनमें डिवाइस, स्थान, फ़ोन, पता, शिक्षा, नौकरी के आवेदन या वित्तीय संदर्भ जैसे फ़ील्ड निशाना बनाकर भेजे गए संदेशों को अधिक विश्वसनीय बना सकते हैं।

इस रिकॉर्ड में heritage.org डोमेन से जुड़े लगभग 72,000 अलग-अलग ईमेल पते शामिल हैं। घटना को सत्यापित रिकॉर्ड की श्रेणी में रखा गया है। दायरे के आकलन में खातों की संख्या, डोमेन, क्षेत्र, देश और डेटा श्रेणियों की अलग-अलग जाँच की गई। उपयोगकर्ता को दिखाए गए डेटा फ़ील्ड केवल उन्हीं फ़ील्ड तक सीमित रखे गए जो वास्तव में रिकॉर्ड में सूचीबद्ध हैं।

क्षेत्र को सुधारकर खुदरा व्यापार के बजाय नीतिगत थिंक टैंक और मीडिया बताया गया है। समान ब्रांड नामों, कई सेवाओं को समेटने वाले रिकॉर्ड या संवेदनशील क्षेत्रों के मामले में यह अंतर विशेष रूप से महत्वपूर्ण है। इस रिकॉर्ड को किसी दूसरी घटना के साथ नहीं मिलाया गया है और न ही इसे इस तरह बढ़ाया गया है जिससे दोहरी प्रविष्टियाँ बनें। कंपनी से संबंधित संदर्भ को यथासंभव स्पष्ट किया गया है।

टिप्पणी करने वाले और सामग्री का योगदान देने वाले उपयोगकर्ता, तथा विभिन्न राजनीतिक या सामाजिक प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम इस्तेमाल करने वाले खाते, जोखिम में हैं। इन लोगों के लिए मुख्य जोखिम यह है कि लीक हुए फ़ील्ड का मिलान अन्य खातों पर इस्तेमाल होने वाली समान जानकारी से किया जा सकता है। जब वही ईमेल पता, फ़ोन नंबर, उपयोगकर्ता नाम, डिवाइस ID या पासवर्ड दोबारा इस्तेमाल होता है, तो हमलावर इस जानकारी को अलग-अलग सेवाओं पर आज़मा सकते हैं।

फर्जी दान, सदस्यता, टिप्पणी के सत्यापन, मीडिया खातों या सामग्री के योगदान से जुड़े संदेशों में नीतिगत संदर्भ का इस्तेमाल किया जा सकता है। कॉर्पोरेट उपयोगकर्ताओं के मामले में कारोबारी ईमेल और नौकरी की जानकारी को प्रमुखता दी जाती है, जबकि व्यक्तिगत उपयोगकर्ताओं के मामले में पते, जन्मतिथि, खरीदारी, स्थान या सदस्यता के संदर्भ पर ज़ोर दिया जाता है। शिक्षा, दूरसंचार, वित्त, यात्रा, राजनीति, नौकरी के आवेदन और VPNs जैसे क्षेत्रों में संदर्भ अपने आप में भी निशाना बनाए जाने का जोखिम बढ़ा सकता है।

प्रभावित उपयोगकर्ताओं को अपने पासवर्ड बदलने चाहिए और उन सोशल तथा मीडिया खातों की जाँच करनी चाहिए जिन पर वे वही उपयोगकर्ता नाम इस्तेमाल करते हैं। यदि पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल होता है, हर खाते के लिए अलग पासवर्ड रखना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। केवल एक प्लेटफ़ॉर्म पर कदम उठाना पर्याप्त नहीं हो सकता।

यदि फ़ोन, पता, जन्मतिथि, डिवाइस ID, आधिकारिक पहचान संबंधी जानकारी, नौकरी के आवेदन या रिवॉर्ड बैलेंस जैसे फ़ील्ड मौजूद हैं, तो उपयोगकर्ताओं को खाता रिकवरी की जानकारी, दर्ज सत्रों, ईमेल फ़ॉरवर्डिंग और संदिग्ध संदेशों की जाँच करनी चाहिए। संस्थानों को कर्मचारियों से जुड़े अलर्ट, फर्जी चालान और खाता सत्यापन के प्रयासों से निपटने के लिए अपनी प्रक्रियाएँ अद्यतन करनी चाहिए।

नीतिगत विषयों या सार्वजनिक टिप्पणियों के लिए इस्तेमाल किए जाने वाले खातों में अलग ईमेल, अन्य खातों से अलग पासवर्ड और प्रोफ़ाइल में सीमित व्यक्तिगत जानकारी रखने से जोखिम कम होता है। लंबे समय में पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खाते बंद करना, प्रोफ़ाइल के अनावश्यक फ़ील्ड हटाना और न्यूनतम डेटा रखना सुरक्षा की बुनियाद हैं। चूँकि स्थायी व्यक्तिगत डेटा वापस नहीं पाया जा सकता, इसलिए बचाव के लिए खातों से जुड़ी सुरक्षात्मक आदतों को मजबूत करना ज़रूरी है।

कंपनियों और संस्थानों को घटना के बाद की इन्वेंटरी, ऐक्सेस अनुमतियों, पुराने डेटा के भंडारण, सूचना देने की प्रक्रियाओं और तीसरे पक्ष के प्लेटफ़ॉर्म के इस्तेमाल पर फिर से विचार करना चाहिए। उपयोगकर्ताओं के लिए, अलग-अलग सेवाओं पर एक ही पहचान संबंधी जानकारी दोहराने से बचना और संदिग्ध संपर्क की पुष्टि किसी दूसरे माध्यम से करने की आदत लंबे समय तक सुरक्षा प्रदान करती है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उसे जाँचना चाहिए कि क्या नीतिगत या मीडिया खातों पर वही उपयोगकर्ता नाम और पासवर्ड इस्तेमाल किए जाते हैं। मेल मिलने पर उपयोगकर्ता को पहले पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं और फिर उन्हीं के अनुसार कदमों की प्राथमिकता तय करनी चाहिए। यदि पासवर्ड मौजूद है, तो पासवर्ड बदलने को प्राथमिकता दें; आधिकारिक पहचान संबंधी जानकारी हो, तो पहचान के इस्तेमाल की निगरानी को; स्थान या डिवाइस की जानकारी हो, तो डिवाइस की सुरक्षा को; और शिक्षा या नौकरी के आवेदन की जानकारी हो, तो संस्थागत खाते के सत्यापन को प्राथमिकता दें।

अंतिम आकलन: इस रिकॉर्ड को संवेदनशील श्रेणी में रखा गया है क्योंकि इसमें नीतिगत संदर्भ, IP पता और पासवर्ड फ़ील्ड एक साथ मौजूद हैं। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खातों के इतिहास से करनी चाहिए और उन सेवाओं की अलग-अलग जाँच करनी चाहिए जहाँ उसने वही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम या पासवर्ड इस्तेमाल किया है। घटना के बाद किसी भी अप्रत्याशित कॉल, संदेश, ईमेल या खाता रिकवरी की सूचना को अधिक जोखिम वाला मानना चाहिए।