Trello: डेटा में सेंध

इस रिकॉर्ड का सत्यापित दायरा 1,51,11,945 अलग-अलग ईमेल पतों और उनसे जोड़े जा सकने वाले नामों तथा Trello उपयोगकर्ता नामों तक सीमित है। पासवर्ड, फ़ोन नंबर, भुगतान विवरण, निजी संदेश, बोर्ड की सामग्री, कार्ड और अटैचमेंट इस रिकॉर्ड में सत्यापित डेटा फ़ील्ड नहीं हैं। मुख्य जोखिम यह है कि प्रोफ़ाइल के जो विवरण अलग-अलग तौर पर सार्वजनिक हो सकते हैं, उन्हें बड़े पैमाने पर ऐसे ईमेल पतों से जोड़ दिया गया जिन्हें सार्वजनिक करने का इरादा नहीं था। इस संबंध से हमलावर को यह पुष्टि करने में मदद मिल सकती है कि किसी ईमेल पते से खाता जुड़ा है। वह असली नाम और उपयोगकर्ता नाम का इस्तेमाल करके अधिक विश्वसनीय लगने वाले संदेश बना सकता है और उसी पहचानकर्ता को दूसरी जगहों पर भी खोज सकता है। चूँकि इस रिकॉर्ड में कोई पासवर्ड नहीं है, इसलिए यह सीधे तौर पर साइन-इन क्रेडेंशियल उजागर होने का मामला नहीं है। हालाँकि, यदि किसी उपयोगकर्ता ने दूसरी घटना में उजागर हुआ पासवर्ड यहाँ भी इस्तेमाल किया हो, तो ईमेल पते से खाते का संबंध पुष्ट होने पर स्वचालित साइन-इन प्रयास अधिक लक्षित हो सकते हैं।

यह डेटा लगभग 16 जनवरी 2024 को बिक्री के लिए पेश किया गया था और बाद में इसे सत्यापित डेटा उल्लंघनों की सूची में जोड़ा गया। जाँच से संकेत मिला कि इस गतिविधि को अंजाम देने वाले व्यक्ति ने वैध खातों की पहचान करने के लिए पहले के डेटा संग्रहों से मिले ईमेल पतों को सार्वजनिक रूप से उपलब्ध Trello प्रोफ़ाइल संसाधन पर जाँचा था। ईमेल पते से खोज करने पर यह संसाधन प्रोफ़ाइल नाम और उपयोगकर्ता नाम जैसे सार्वजनिक फ़ील्ड लौटाता था। इससे निजी ईमेल पतों को सार्वजनिक प्रोफ़ाइलों से बड़े पैमाने पर जोड़ना संभव हुआ। प्लेटफ़ॉर्म संचालक ने कहा कि उसे Trello सिस्टम या उपयोगकर्ता प्रोफ़ाइलों तक अनधिकृत पहुँच का कोई प्रमाण नहीं मिला। इसलिए इस घटना को खातों के डेटाबेस की चोरी नहीं कहा जाना चाहिए। दुरुपयोग का पता चलने के बाद, बिना प्रमाणीकरण वाले उपयोगकर्ताओं और सेवाओं को ईमेल पते के आधार पर किसी दूसरे व्यक्ति की सार्वजनिक जानकारी माँगने से रोक दिया गया। इसका उचित वर्गीकरण API के ज़रिए खातों की मौजूदगी का पता लगाना और डेटा स्क्रैपिंग है, न कि किसी तृतीय-पक्ष आपूर्तिकर्ता से जुड़ी घटना या पासवर्ड लीक।

असली नाम, कार्यस्थल से जुड़ी पहचान या आसानी से पहचाने जाने वाले उपयोगकर्ता नाम का इस्तेमाल करने वाले लोग लक्षित फ़िशिंग के लिए अधिक आसानी से पहचाने जा सकते हैं। कॉर्पोरेट ईमेल पतों के मामले में, हमलावर नियोक्ता और Trello खाते के बीच संबंध का इस्तेमाल करके नकली बोर्ड निमंत्रण, काम की सूचना, टीम-सदस्यता अनुरोध या पासवर्ड रीसेट संदेश बना सकता है। सोशल नेटवर्क और डेवलपर प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम इस्तेमाल करने से अलग-अलग प्रोफ़ाइलों के बीच संबंध पहचाने जाने का जोखिम बढ़ता है। ईमेल पता मिलने से यह साबित नहीं होता कि खाते पर किसी और ने नियंत्रण कर लिया था, किसी निजी बोर्ड को पढ़ा गया था या पासवर्ड उजागर हुआ था। जोखिम का आकलन करते समय यह देखें कि ईमेल पता अन्य डेटा उल्लंघनों में मौजूद है या नहीं, क्या एक ही पासवर्ड कई जगह इस्तेमाल किया गया है, प्रोफ़ाइल में कौन-से विवरण सार्वजनिक हैं और क्या कोई संदिग्ध संदेश मिले हैं। अप्रत्याशित बोर्ड निमंत्रणों, अनजान वर्कस्पेस से जुड़े अनुरोधों और अपरिचित साइन-इन अलर्ट की विशेष रूप से जाँच करनी चाहिए।

सबसे पहले अपने Trello खाते और उससे जुड़े Atlassian खाते की सुरक्षा सेटिंग, सक्रिय सत्रों और बहु-कारक प्रमाणीकरण की स्थिति की समीक्षा करें। जिन सत्रों को आप नहीं पहचानते, उन्हें समाप्त करें। सुनिश्चित करें कि खाता पुनर्प्राप्ति के तरीके आपके ही नियंत्रण में हैं, और जहाँ उपलब्ध हो, पासकी या फ़िशिंग-प्रतिरोधी प्रमाणीकरण चालू करें। हालाँकि यहाँ किसी पासवर्ड की पुष्टि नहीं हुई है, फिर भी कई जगह इस्तेमाल किए गए पासवर्ड बदलें और हर खाते के लिए लंबा, अलग पासवर्ड रखें। ईमेल से आए बोर्ड निमंत्रण या सुरक्षा चेतावनी के लिंक पर जाने के बजाय, सेवा के ज्ञात पते से उसे सीधे खोलें। भेजने वाले का डोमेन और निमंत्रण बनाने वाले व्यक्ति की जाँच करें, और देखें कि अनुरोध आपकी टीम के संदर्भ से मेल खाता है या नहीं। सार्वजनिक रखने की ज़रूरत न होने पर पूरा नाम, परिचय और लिंक जैसी जानकारी कम करें तथा ऐसे वर्कस्पेस छोड़ दें जिनका आप इस्तेमाल नहीं करते। प्रबंधित खाते के मामले में संदिग्ध निमंत्रणों की सूचना सुरक्षा टीम को दें और किसी संदेश में कभी भी पासवर्ड या सत्यापन कोड साझा न करें।

हर सेवा के लिए अलग लॉगिन क्रेडेंशियल बनाने वाला पासवर्ड मैनेजर और जहाँ समर्थन उपलब्ध हो वहाँ पासकी का इस्तेमाल, किसी दूसरे डेटा संग्रह में मौजूद पासवर्ड से Trello में सफल साइन-इन को रोकता है। चूँकि मुख्य ईमेल खाता अन्य खातों की पुनर्प्राप्ति का केंद्र होता है, इसलिए उसे मज़बूत प्रमाणीकरण, साइन-इन अलर्ट और उससे जुड़े एप्लिकेशन की समीक्षा के ज़रिए सुरक्षित रखें। नियमित रूप से जाँचें कि प्रोफ़ाइल की कौन-सी जानकारी सार्वजनिक है। यदि अलग-अलग प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम है, तो कामकाजी और निजी पहचानों के बीच संबंध को भी नियंत्रित रखें। संगठनों को सहयोग संबंधी निमंत्रणों पर केवल इसलिए भरोसा नहीं करना चाहिए कि उनकी भाषा जानी-पहचानी लगती है; प्रक्रियाओं में भेजने वाले और गंतव्य डोमेन का सत्यापन होना चाहिए। एकल साइन-ऑन, शर्तों के आधार पर पहुँच और संदिग्ध सत्रों को केंद्रीय स्तर पर रद्द करने से खाते पर अनधिकृत नियंत्रण का जोखिम कम होता है। यह घटना दिखाती है कि किसी निजी पहचानकर्ता के आधार पर सार्वजनिक प्रोफ़ाइल डेटा में खोज करना, अलग-अलग तौर पर हानिरहित फ़ील्ड को बड़े पैमाने की सुरक्षा चिंता में बदल सकता है।

सुरक्षित खोज फ़ील्ड के ज़रिए जाँचें कि आपका ईमेल पता Trello डेटा संग्रह में मौजूद है या नहीं। यदि वह मिलता है, तो खाते की सुरक्षा के कदमों को प्राथमिकता दें। किसी परिणाम का मतलब यह नहीं है कि आपका पासवर्ड प्रकाशित हुआ था, निजी बोर्ड देखे गए थे या आपके खाते पर किसी और ने नियंत्रण कर लिया था। वह केवल यह बताता है कि ईमेल पते को नाम और उपयोगकर्ता नाम जैसे फ़ील्ड से जोड़ा गया था। पता मिलने के बाद प्रोफ़ाइल की सार्वजनिक दृश्यता, सक्रिय सत्रों, जुड़े एप्लिकेशन और हाल की सुरक्षा सूचनाओं की समीक्षा करें। अप्रत्याशित निमंत्रणों की पुष्टि करने के लिए एप्लिकेशन सीधे खोलें। कोई भी परिणाम इस बात की गारंटी नहीं दे सकता कि ईमेल पता बाकी सभी घटनाओं में अनुपस्थित था। यदि बाद में प्रोफ़ाइल के इस संबंध का इस्तेमाल सोशल इंजीनियरिंग या खाते पर नियंत्रण करने के प्रयास में किया जाए, तो लगातार निगरानी, हर खाते के लिए अलग पासवर्ड और मज़बूत प्रमाणीकरण प्रभावी सुरक्षा प्रदान करते हैं।