Tumblr डेटा में सेंध

जिन डेटा श्रेणियों की पुष्टि हुई है, वे ईमेल पते और पासवर्ड हैं। ईमेल पते के ज़रिए उपयोगकर्ता के खाते, संपर्क माध्यम और अन्य सेवाओं पर उसकी सत्र पहचान को आपस में जोड़ा जा सकता है। पासवर्ड हैश उजागर होने से जोखिम अधिक होता है, खासकर उन उपयोगकर्ताओं के लिए जो एक ही पासवर्ड कई जगह इस्तेमाल करते हैं। हमलावर क्रैक किए जा सकने वाले पासवर्ड को उसी ईमेल पते के साथ अलग-अलग सेवाओं पर आज़मा सकते हैं, उनकी तुलना पहले से लीक हुई पासवर्ड सूचियों से कर सकते हैं और खाते की रिकवरी के माध्यमों को निशाना बना सकते हैं।

इस घटना में फ़ोन नंबर, भौतिक पता, भुगतान कार्ड, सरकारी पहचान पत्र, जन्मतिथि या निजी संदेशों की सामग्री को पुष्टि किए गए डेटा फ़ील्ड के रूप में सूचीबद्ध नहीं किया गया है। फिर भी, ईमेल और पासवर्ड दोनों का एक साथ उपलब्ध होना खाते पर कब्ज़ा करने की प्रक्रिया के लिए दो सबसे अहम जानकारियाँ उपलब्ध कराता है। यदि उपयोगकर्ता ने सोशल मीडिया, ईमेल, गेमिंग, खरीदारी, फ़ोरम या काम से जुड़े खातों में वही पासवर्ड दोबारा इस्तेमाल किया है, तो लीक का असर Tumblr से आगे बढ़कर सुरक्षा का कहीं व्यापक मुद्दा बन जाता है।

इस रिकॉर्ड का दायरा फरवरी 2013 की Tumblr घटना और उससे प्रभावित 6,54,69,298 खातों तक सीमित है। रिकॉर्ड Tumblr के डोमेन नाम tumblr.com से जुड़ा है और इसे पुष्टि किए गए डेटा उल्लंघन के रूप में वर्गीकृत किया गया है। रिकॉर्ड जोड़े जाने और आखिरी बार संशोधित किए जाने की तारीख 29 मई 2016 होने की पुष्टि हुई है। डेटा श्रेणियाँ केवल ईमेल पते और पासवर्ड तक सीमित हैं; जिन व्यक्तिगत या वित्तीय फ़ील्ड की पुष्टि नहीं हुई है, उन्हें उपयोगकर्ता को नहीं दिखाया जाता।

पासवर्ड फ़ील्ड हैश के रूप में होने पर भी यह निष्कर्ष नहीं निकाला जा सकता कि जोखिम कम है। हैश मान अपने-आप में सादे टेक्स्ट वाला पासवर्ड नहीं है; फिर भी, कमज़ोर पासवर्ड चुनने, एक ही पासवर्ड दोबारा इस्तेमाल करने और वर्षों के दौरान क्रैक करने की क्षमता बढ़ने के कारण व्यावहारिक जोखिम बना रहता है। इसलिए यह विवरण घटना की तारीख 2025 दिखाने के बजाय उल्लंघन की वास्तविक तारीख, प्रभावित खातों की सही संख्या और पुष्टि किए गए डेटा फ़ील्ड पर आधारित है।

जोखिम वाले पहले समूह में वे लोग हैं जिनका Tumblr खाता 2013 से पहले या उस समय मौजूद था और जो अलग-अलग सेवाओं पर एक ही ईमेल पता इस्तेमाल करते थे। अन्य खातों पर वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल करने वाले उपयोगकर्ताओं को अधिक जोखिम है। अपने पुराने खाते अब इस्तेमाल न करने वाले लोग भी प्रभावित हो सकते हैं, क्योंकि यदि ईमेल पता अभी भी सक्रिय है, तो उसका इस्तेमाल पासवर्ड आज़माने, खाते की रिकवरी के प्रयास करने और फ़िशिंग संदेश भेजने के लिए किया जा सकता है।

जोखिम वाले दूसरे समूह में वे उपयोगकर्ता हैं जो अपने Tumblr खाते को अपनी व्यक्तिगत पहचान, कला प्रोफ़ाइल, समुदाय की सदस्यता या अन्य सोशल खातों से स्पष्ट रूप से जोड़ते हैं। जब ईमेल और पासवर्ड के डेटा को अन्य डेटासेट के साथ जोड़ा जाता है, तो किसी की पहचान का इस्तेमाल करने वाले फ़र्ज़ी खाते, नकली सहायता संदेश, खाता लॉक होने की सूचनाएँ या पासवर्ड रीसेट के जाल अधिक विश्वसनीय लग सकते हैं। जिन उपयोगकर्ताओं ने वर्षों से अपने पुराने पासवर्ड नहीं बदले हैं, उन्हें खास तौर पर ध्यान रखना चाहिए कि पहले सुरक्षित लगने वाले खातों में आज भी जोखिम हो सकता है।

प्रभावित उपयोगकर्ताओं को अपना Tumblr पासवर्ड और उससे मिलते-जुलते सभी पासवर्ड बदलने चाहिए। नया पासवर्ड केवल उसी खाते के लिए होना चाहिए, लंबा होना चाहिए और पासवर्ड मैनेजर से बनाया जाना चाहिए। उसी ईमेल पते से इस्तेमाल किए जाने वाले सोशल मीडिया, ईमेल, खरीदारी, फ़ोरम, गेमिंग और क्लाउड खातों की भी जाँच की जानी चाहिए। जहाँ भी संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए और लॉगिन इतिहास तथा जुड़े हुए ऐप्लिकेशन की समीक्षा करनी चाहिए।

ईमेल खाते को अलग से प्राथमिकता देना ज़रूरी है, क्योंकि अधिकांश सेवाओं पर खाते की रिकवरी के लिंक ईमेल के ज़रिए काम करते हैं। उपयोगकर्ता को ईमेल खाते का पासवर्ड मज़बूत करना चाहिए, फ़ॉरवर्डिंग नियमों और रिकवरी विकल्पों की जाँच करनी चाहिए तथा अनजान सत्रों से लॉग आउट करना चाहिए। Tumblr या किसी अन्य सेवा की ओर से मिले पासवर्ड रीसेट, खाता निलंबन, कॉपीराइट, समुदाय के नियमों या सुरक्षा सूचना से जुड़े संदेशों की पुष्टि सीधे लिंक पर क्लिक किए बिना आधिकारिक लॉगिन स्क्रीन से करनी चाहिए।

लंबी अवधि की सुरक्षा का आधार एक ही पासवर्ड को दोबारा इस्तेमाल करना पूरी तरह बंद करना है। हर सेवा के लिए अलग पासवर्ड इस्तेमाल करना, पासवर्ड मैनेजर से मज़बूत पासवर्ड बनाना और बहु-कारक प्रमाणीकरण को हमेशा चालू रखना ज़रूरी है। पुराने सोशल खातों की नियमित अंतराल पर समीक्षा करनी चाहिए; इस्तेमाल न होने वाले खाते बंद करने चाहिए, रिकवरी ईमेल पते अपडेट करने चाहिए और सार्वजनिक प्रोफ़ाइल में दिखाई जाने वाली जानकारी को न्यूनतम रखना चाहिए, ताकि उसमें अनावश्यक व्यक्तिगत जानकारी न हो।

संस्थाओं और समुदाय प्रबंधकों के लिए सीख यह है कि वे पासवर्ड संग्रहीत करने की विधियों को नियमित रूप से अपडेट करें और पुराने हैश एल्गोरिदम के जोखिमों को गंभीरता से लें। उपयोगकर्ताओं को यह नहीं भूलना चाहिए कि वर्षों पहले हुए डेटा उल्लंघन का असर आज भी हो सकता है। जब तक पासवर्ड से जुड़ी पुरानी आदतें नहीं बदली जातीं, तब तक पुराने लीक का इस्तेमाल खातों पर कब्ज़ा करने के नए प्रयासों में किया जा सकता है।

यदि रिकॉर्ड में कोई मिलान मिलता है, तो उपयोगकर्ता को पहले जाँचना चाहिए कि उनका Tumblr खाता अभी भी खुल रहा है या नहीं और क्या घटना के बाद पासवर्ड बदला गया था। इसके बाद उन्हें उसी ईमेल पते वाली अन्य सेवाओं पर पासवर्ड के दोबारा इस्तेमाल की जाँच करनी चाहिए, पुराने पासवर्ड पूरी तरह हटाने चाहिए और सुरक्षा चेतावनियों की समीक्षा करनी चाहिए। यदि ईमेल पता अभी भी सक्रिय है, तो प्राप्त होने वाले संदिग्ध लिंक, फ़ाइलों और खाते की रिकवरी से जुड़े संदेशों के मामले में अधिक सावधानी बरतनी चाहिए।

Tumblr का डेटा उल्लंघन पुराना होने के बावजूद बड़े असर वाली घटना है, क्योंकि इसमें ईमेल और पासवर्ड फ़ील्ड एक साथ लीक हुए थे। सही कार्रवाई केवल Tumblr का पासवर्ड बदलने तक सीमित नहीं है; यदि अन्य खातों पर भी उसी पैटर्न के पासवर्ड इस्तेमाल किए गए थे, तो उन सभी खातों को अलग-अलग सुरक्षित करना ज़रूरी है। जब उपयोगकर्ता हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण और ईमेल खाते की सुरक्षा से जुड़े कदम पूरे कर लेता है, तो इस घटना से पैदा हुआ खातों पर कब्ज़े का लगातार बना रहने वाला जोखिम काफ़ी कम हो जाता है।