TheGradCafe: डेटा में सेंध

उपयोगकर्ता नाम, ईमेल, नाम और स्थान की जानकारी को एक साथ जोड़ने पर ऑनलाइन समुदाय में इस्तेमाल की जाने वाली पहचान को किसी वास्तविक व्यक्ति की प्रोफ़ाइल से जोड़ा जा सकता है। यदि एक ही पासवर्ड कई खातों में इस्तेमाल किया गया हो, तो हैश किए गए पासवर्ड वाला फ़ील्ड अन्य खातों के लिए भी जोखिम पैदा करता है। IP पते और भौतिक पते जैसे फ़ील्ड से उपयोगकर्ता की ऑनलाइन गतिविधि और स्थान के संदर्भ के बारे में अधिक जानकारी मिल सकती है।

नाम, ईमेल, फ़ोन या पते जैसे फ़ील्ड एक साथ उपलब्ध होने पर हमलावर उपयोगकर्ता से इस तरह संपर्क कर सकते हैं, मानो उनके बीच सेवा से जुड़ा कोई वैध संबंध हो। केवल यह जानकारी खाते पर कब्ज़ा हो जाने का प्रमाण नहीं है; फिर भी, यह फ़र्ज़ी सहायता संदेशों, डिलीवरी सूचनाओं, पासवर्ड रीसेट करने के प्रयासों और व्यक्ति विशेष के अनुरूप तैयार की गई धोखाधड़ी की योजनाओं के लिए एक मज़बूत आधार देती है। पंजीकरण, प्रशिक्षण और आवेदन प्रक्रिया से जुड़े होने के कारण, विश्वविद्यालय की ओर से आने वाले फ़र्ज़ी संदेश, प्रवेश परामर्श, आवेदन शुल्क, छात्रवृत्ति की सूचनाएँ या खाते के सत्यापन के संदेश अधिक विश्वसनीय लग सकते हैं। यह अपेक्षा नहीं की जाती कि हर पंक्ति में फ़ोन नंबर और भौतिक पते मौजूद हों, लेकिन कुछ रिकॉर्ड में ये फ़ील्ड हो सकते हैं।

घटना की तारीख 26 फरवरी 2023 है और प्रभावित खातों की संख्या 3,10,975 दर्ज की गई है। सुरक्षा लॉग से संकेत मिलता है कि TheGradCafe के उपयोगकर्ताओं का व्यक्तिगत डेटा उजागर हुआ था, पासवर्ड bcrypt से हैश किए हुए पाए गए थे और कुछ रिकॉर्ड में फ़ोन नंबर, भौतिक पता और जन्मतिथि जैसे अतिरिक्त फ़ील्ड भी हो सकते हैं। दर्ज डेटा श्रेणियाँ मुख्य जोखिम क्षेत्रों के अनुरूप हैं।

घटना का दायरा समझाते समय यह नहीं कहा जाना चाहिए कि पासवर्ड प्लेन टेक्स्ट में हैं। हैश किया गया पासवर्ड भी जोखिम पैदा करता है, यदि वही पासवर्ड दूसरे खातों में इस्तेमाल किया गया हो। इसके अलावा, इस रिकॉर्ड का अर्थ यह नहीं है कि आवेदन के सभी परिणाम या निजी संदेश लीक हो गए हैं; इसका आकलन उपयोगकर्ता खाते, प्रोफ़ाइल और संचार से जुड़ी जानकारी के संदर्भ में किया जाना चाहिए।

जोखिम में वे उपयोगकर्ता हैं जिन्होंने स्नातकोत्तर पाठ्यक्रमों की आवेदन प्रक्रिया के दौरान TheGradCafe पर खाता बनाया, आवेदन का अपना अनुभव साझा किया या फ़ोरम जैसे क्षेत्रों में अपने उपयोगकर्ता नाम के साथ दिखाई दिए। अन्य शैक्षणिक प्लेटफ़ॉर्म पर भी वही उपयोगकर्ता नाम इस्तेमाल करने वालों की पहचान को आपस में जोड़ना अधिक आसान हो सकता है।

आवेदन की अवधि में उपयोगकर्ता छात्रवृत्ति, प्रवेश, वीज़ा, परामर्श या आवेदन शुल्क जैसे संवेदनशील विषयों वाले संदेशों पर अधिक भरोसा कर सकते हैं। यदि भौगोलिक स्थान और IP की जानकारी को स्थानीय शिक्षण संस्थान या देश के संदर्भ से जोड़ा जाए, तो लक्षित संदेश अधिक वास्तविक लग सकते हैं।

जिन उपयोगकर्ताओं की जानकारी इस रिकॉर्ड से मेल खाती है, उन्हें अपने TheGradCafe खाते और उन सभी खातों के पासवर्ड बदलने चाहिए जहाँ वही पासवर्ड इस्तेमाल किया गया है। सबसे पहले ईमेल खातों, विश्वविद्यालय के आवेदन पोर्टल और भुगतान के लिए इस्तेमाल किए जाने वाले शैक्षणिक प्लेटफ़ॉर्म की जाँच करनी चाहिए। जहाँ भी संभव हो, दो-कारक प्रमाणीकरण चालू करना चाहिए।

प्राप्त लिंक सीधे खोलने के बजाय, उपयोगकर्ता को संबंधित सेवा के ज्ञात वेब पते या ऐप के ज़रिए लॉग इन करना चाहिए। फ़ोन करने वाले को नाम, ईमेल, पता या पिछले लेनदेन की जानकारी होना उसके भरोसेमंद होने का प्रमाण नहीं है। सहायता से जुड़ी किसी भी बातचीत में एक बार इस्तेमाल होने वाले सत्यापन कोड, भुगतान कार्ड की जानकारी या खाते के पासवर्ड साझा नहीं करने चाहिए।

लंबे समय में पासवर्ड मैनेजर का इस्तेमाल, हर खाते के लिए अलग पासवर्ड, जिन खातों में उपलब्ध हो उनमें दो-कारक प्रमाणीकरण और खातों से अनावश्यक व्यक्तिगत जानकारी हटाने की आदत जोखिम कम करती है। अलग-अलग प्लेटफ़ॉर्म पर एक ही ईमेल पता इस्तेमाल करने से अलग-अलग डेटा उल्लंघनों की जानकारी को आपस में जोड़ना आसान हो जाता है; इसलिए महत्वपूर्ण खातों के लिए अलग ईमेल पते या उपनाम वाले ईमेल पते इस्तेमाल करने पर विचार किया जा सकता है।

शैक्षणिक समुदायों में इस्तेमाल किए जाने वाले उपयोगकर्ता नामों को वास्तविक पहचान से आसानी से जोड़ा जा सकता है, इसलिए उपयोगकर्ताओं को फ़ोरम प्रोफ़ाइल पर अनावश्यक व्यक्तिगत जानकारी साझा करना कम करना चाहिए। आवेदन के पुराने खाते बंद कर देने चाहिए, सुरक्षा प्रश्नों के उत्तरों से अनुमान लगाई जा सकने वाली व्यक्तिगत जानकारी हटा देनी चाहिए और आवेदन पोर्टल को अलग-अलग पासवर्ड से सुरक्षित रखना चाहिए।

LeakData की जाँच बताती है कि खोजा गया ईमेल पता इस रिकॉर्ड में मौजूद है या नहीं। मिलान मिलने का अर्थ यह ज़रूरी नहीं है कि सभी डेटा फ़ील्ड निश्चित रूप से उसी उपयोगकर्ता के हों; फिर भी, इसे एहतियाती कदम उठाने के लिए पर्याप्त चेतावनी माना जाना चाहिए। मिलान न मिलने का परिणाम केवल यह बताता है कि इस डेटासेट में कोई मिलान नहीं है और इससे अन्य डेटा उल्लंघनों में जानकारी मौजूद होने की संभावना खारिज नहीं होती।

मिलान मिलने पर सावधानी बरतना ज़रूरी है, खासकर शिक्षा से जुड़े आवेदनों और खाते की सुरक्षा से संबंधित संदेशों के मामले में। मिलान न मिलने का अर्थ है कि इस रिकॉर्ड में कोई मिलान नहीं है; वही ईमेल पता अन्य शैक्षणिक प्लेटफ़ॉर्म पर मौजूद हो सकता है, इसलिए इसकी भी अलग से जाँच करनी चाहिए।