Troy Hunt की Mailchimp सूची

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: ईमेल पते, भौगोलिक स्थान, IP पते और अक्षांश-देशांतर युग्म। सदस्यता की जानकारी के साथ IP और अनुमानित स्थान की जानकारी जोड़ने पर किसी व्यक्ति के अनुमानित क्षेत्र और सुरक्षा ब्लॉगों में उसकी रुचि के बीच संबंध स्थापित किया जा सकता है। एक ही उपयोगकर्ता से कई फ़ील्ड जोड़ पाने पर हमलावरों की फ़र्ज़ी सूचनाओं, खाता रिकवरी, सोशल इंजीनियरिंग या पहचान संबंधी जानकारियों को आपस में जोड़ने की कोशिशें अधिक विश्वसनीय लग सकती हैं।

इस रिकॉर्ड में पासवर्ड फ़ील्ड सूचीबद्ध नहीं है; जोखिम सदस्यता, IP और स्थान संबंधी डेटा के एक साथ होने से उत्पन्न होता है। यदि पासवर्ड, पासवर्ड संकेत, निजी संदेश, आधिकारिक पहचान-पत्र, वित्तीय जानकारी, स्थान या प्रोफ़ाइल फ़ोटो जैसे फ़ील्ड मौजूद हों, तो जोखिम केवल ईमेल स्पैम तक सीमित नहीं रहता। पासवर्ड न होने वाले रिकॉर्ड में भी फ़ोन, पता, IP, जन्मतिथि या सोशल प्रोफ़ाइल की जानकारी का इस्तेमाल लक्षित हमलों में किया जा सकता है।

इस डेटा उल्लंघन के दायरे में troyhunt.com डोमेन से जुड़े लगभग 16.6 हज़ार न्यूज़लेटर ग्राहक आते हैं। घटना को सत्यापित डेटा उल्लंघन के रूप में वर्गीकृत किया गया है। खातों की संख्या, डोमेन, देश, क्षेत्र और डेटा वर्गों की अलग-अलग जाँच करके इसका दायरा लिखा गया है। जो डेटा प्रकार सूचीबद्ध नहीं हैं, उन्हें उपयोगकर्ता के डेटा में मौजूद होने के रूप में प्रस्तुत नहीं किया गया है।

पिछले रिकॉर्ड में अनुपस्थित अक्षांश-देशांतर फ़ील्ड को डेटा वर्गों में जोड़ दिया गया है। कुछ घटनाओं के अलग-अलग संदर्भ होते हैं, जैसे कंपनी की प्रतिक्रिया, तृतीय-पक्ष सेवा, फ़ोरम खाता, न्यूज़लेटर सूची या उपयोगकर्ता प्रोफ़ाइल। इन रिकॉर्ड को अलग-अलग रखा गया है, दोहराया नहीं गया है, और घटना का वास्तविक सेवा-संबंधी संदर्भ बनाए रखा गया है।

न्यूज़लेटर की सदस्यता लेने वाले लोग, सुरक्षा क्षेत्र में काम करने वाले लोग और ऐसे उपयोगकर्ता जिन्हें IP तथा स्थान की जानकारी के आधार पर निशाना बनाया जा सकता है, जोखिम में हैं। इन उपयोगकर्ताओं के लिए मुख्य जोखिम यह है कि लीक हुई जानकारी का मिलान अन्य प्लेटफ़ॉर्म पर इस्तेमाल की गई जानकारी से किया जा सकता है। यदि अलग-अलग खातों में वही ईमेल, उपयोगकर्ता नाम, फ़ोन नंबर, IP, पता या पासवर्ड दोहराया जाता है, तो हमलावर इन साझा पहचान-सूचकों का फ़ायदा उठा सकते हैं।

सुरक्षा ब्लॉग के संदर्भ का इस्तेमाल फ़र्ज़ी न्यूज़लेटर, खाते से जुड़ी सूचनाओं या सुरक्षा चेतावनी संदेशों में किया जा सकता है। फ़ोरम, गेम, व्यंजन विधियों, ठहरने की व्यवस्था, ऊर्जा, कार्यक्रमों के टिकट, न्यूज़लेटर, सोशल मीडिया और वित्त जैसे अलग-अलग संदर्भ अलग-अलग जोखिम पैदा करते हैं। उपयोगकर्ता को केवल डेटा फ़ील्ड पर ही नहीं, बल्कि इस बात पर भी ध्यान देना चाहिए कि वे किस सेवा से जुड़े हैं।

प्रभावित उपयोगकर्ताओं को अपने ईमेल खाते की सुरक्षा की जाँच करनी चाहिए और न्यूज़लेटर से जुड़े लिंक की पुष्टि आधिकारिक माध्यमों से करनी चाहिए। यदि पासवर्ड या पासवर्ड संकेत सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों का पासवर्ड बदलना चाहिए जहाँ वे वही या मिलता-जुलता पासवर्ड इस्तेमाल करते हैं, हर खाते के लिए अलग पासवर्ड रखना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण सक्षम करना चाहिए। ईमेल खाते की सुरक्षा भी जाँची जानी चाहिए।

जिन रिकॉर्ड में फ़ोन, पता, स्थान, जन्मतिथि, निजी संदेश, सोशल प्रोफ़ाइल या वित्तीय जानकारी शामिल हो, उनसे जुड़े उपयोगकर्ताओं को खाता रिकवरी के विकल्पों, सत्र इतिहास, फ़ॉरवर्डिंग नियमों और संदिग्ध सूचनाओं की जाँच करनी चाहिए। कॉर्पोरेट या सार्वजनिक रूप से उपलब्ध प्रोफ़ाइल वाले लोगों को लक्षित संदेशों और प्रतिष्ठा से जुड़े जोखिम पर भी विचार करना चाहिए।

न्यूज़लेटर और सदस्यता खातों में स्थान संबंधी अनावश्यक डेटा एकत्र नहीं किया जाना चाहिए, और ईमेल सुरक्षा की नियमित जाँच होनी चाहिए। लंबी अवधि में पासवर्ड मैनेजर का इस्तेमाल, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खातों को बंद करना और प्रोफ़ाइल से अनावश्यक जानकारी कम करना बुनियादी सुरक्षा उपाय हैं। स्थायी व्यक्तिगत डेटा को बदला नहीं जा सकता, इसलिए उपयोगकर्ताओं की आदतों और खाते की सेटिंग्स को अधिक सुरक्षित बनाया जाना चाहिए।

संस्थाओं के लिए ये घटनाएँ दिखाती हैं कि बैकअप फ़ाइलों तक पहुँच, फ़ोरम खातों की अनुमतियों, न्यूज़लेटर सदस्यता डेटा, ग्राहकों का डेटा रखने की अवधि और सूचना देने की प्रक्रियाओं का नियमित ऑडिट ज़रूरी है। उपयोगकर्ताओं के लिए अलग-अलग सेवाओं पर वही पहचान संबंधी जानकारी न दोहराना और अप्रत्याशित संदेशों की किसी दूसरे माध्यम से पुष्टि करना लंबे समय तक सुरक्षा प्रदान करता है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उसे अपने ईमेल खाते के सत्रों और सुरक्षा सूचनाओं की समीक्षा करनी चाहिए। मिलान मिलने पर उपयोगकर्ता को पहले यह पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं, फिर उसी के अनुसार कदमों की प्राथमिकता तय करनी चाहिए। पासवर्ड मौजूद हो तो पासवर्ड बदलने को, वित्तीय डेटा हो तो खाते की निगरानी को, निजी संदेश या सोशल प्रोफ़ाइल हों तो गोपनीयता की जाँच को, और स्थान संबंधी डेटा हो तो शारीरिक सुरक्षा के आकलन को प्राथमिकता दी जानी चाहिए।

अंतिम आकलन: इस रिकॉर्ड में पासवर्ड नहीं है, फिर भी IP और अक्षांश-देशांतर फ़ील्ड शामिल होने के कारण इसे संवेदनशील सदस्यता डेटा के रूप में चिह्नित किया गया है। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खाते के इतिहास से करनी चाहिए; जिन सेवाओं पर उसने वही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम, पता या पासवर्ड इस्तेमाल किया है, उनकी अलग-अलग जाँच करनी चाहिए। घटना के बाद किसी भी संदिग्ध खोज, ईमेल, संदेश या खाता रिकवरी सूचना को अधिक जोखिम वाला माना जाना चाहिए।