Twitter (200M) डेटा में सेंध

इस घटना में सत्यापित डेटा श्रेणियाँ ईमेल पते, नाम, सोशल मीडिया प्रोफ़ाइल की जानकारी और उपयोगकर्ता नाम हैं। पासवर्ड, भुगतान कार्ड की जानकारी, निजी संदेश, सत्र कुंजियाँ या पहचान दस्तावेज़ों का डेटा सत्यापित दायरे में नहीं आते हैं। फिर भी, जोखिम को कम नहीं आँकना चाहिए, क्योंकि ईमेल पते और सोशल मीडिया खाते के बीच संबंध उजागर होने से गोपनीयता को नुकसान हो सकता है, खासकर छद्म नाम इस्तेमाल करने वाले लोगों के लिए। हमलावर इस मिलान का इस्तेमाल फ़िशिंग संदेशों, लक्षित उत्पीड़न, सहायता के नाम पर फ़र्ज़ी सूचनाओं, प्रतिष्ठा को नुकसान पहुँचाने वाले हमलों और खातों पर कब्ज़ा करने के प्रयासों में कर सकते हैं। एक ही तालिका में उपयोगकर्ता नाम और ईमेल पता होने से अन्य सेवाओं से लीक हुए पासवर्ड के ज़रिए ब्रूट-फ़ोर्स हमले करना भी आसान हो जाता है। इसलिए, रिकॉर्ड में पासवर्ड न होने पर भी यह खातों की सुरक्षा के लिए गंभीर असर वाले सोशल इंजीनियरिंग हमलों का जोखिम पैदा करता है।

Twitter (20 करोड़) रिकॉर्ड का यह अर्थ नहीं है कि इस सोशल मीडिया सेवा की सभी आंतरिक प्रणालियों की सुरक्षा पूरी तरह भंग हुई थी। प्राप्त डेटासेट को एक तकनीकी कमजोरी के दुरुपयोग से जोड़ा गया है, जिसके कारण 2021 के दौरान ईमेल या फ़ोन की जानकारी से खातों का मिलान संभव था। बाद में, दोहराई गई पंक्तियाँ हटाने के बाद लगभग 21.15 करोड़ अलग-अलग ईमेल पतों वाला एक डेटासेट प्रसारित हुआ। सत्यापित डेटा फ़ील्ड सीमित हैं और इन सीमाओं का पालन करना महत्वपूर्ण है: ईमेल पते, नाम, सोशल मीडिया प्रोफ़ाइल की जानकारी और उपयोगकर्ता नाम। इस विशिष्ट 20 करोड़ वाले डेटासेट के सत्यापित मुख्य दायरे में फ़ोन नंबर, पासवर्ड या निजी संदेश जैसे अतिरिक्त फ़ील्ड शामिल नहीं हैं। इसलिए, रिकॉर्ड में उपयोगकर्ता को जोखिम स्पष्ट रूप से बताया जाना चाहिए, लेकिन असत्यापित दावों को निश्चित जानकारी के रूप में प्रस्तुत नहीं किया जाना चाहिए।

सबसे अधिक जोखिम उन लोगों को है जो अपने Twitter खाते को सीधे अपनी वास्तविक पहचान से नहीं जोड़ना चाहते, साथ ही पत्रकारों, कार्यकर्ताओं, सरकारी अधिकारियों, बड़ी संख्या में फ़ॉलोअर वाले उपयोगकर्ताओं, ब्रांड प्रतिनिधियों और क्रिप्टो परिसंपत्ति समुदायों में प्रमुखता से दिखाई देने वाले लोगों को भी है। ईमेल पते और प्रोफ़ाइल का संबंध उजागर होने से किसी व्यक्ति के लिए खास तौर पर तैयार किए गए संदेश अधिक विश्वसनीय लग सकते हैं। इनमें फ़र्ज़ी लॉगिन चेतावनियाँ, कॉपीराइट नोटिस, ब्रांड के साथ काम करने के प्रस्ताव या सहायता अनुरोध शामिल हैं। अलग-अलग प्लेटफ़ॉर्म पर एक ही ईमेल पता इस्तेमाल करने वालों के लिए जोखिम और बढ़ जाता है; हमलावर इस पते का पहले लीक हुए पासवर्ड से मिलान करके खातों पर हमले के प्रयास कर सकता है। कॉर्पोरेट खाते सँभालने वाली टीमों में कर्मचारियों के ईमेल पतों का उनकी सोशल मीडिया भूमिकाओं से जुड़ना हमले की अतिरिक्त गुंजाइश पैदा करता है। इसका इस्तेमाल कंपनी की ओर से भेजे गए लगने वाले संदेशों और खाता पुनर्प्राप्ति के प्रयासों के लिए किया जा सकता है।

इस लीक में पासवर्ड का कोई सत्यापित डेटा फ़ील्ड न होने पर भी प्रभावित उपयोगकर्ताओं को उसी ईमेल पते से जुड़े अपने सोशल मीडिया और ईमेल खातों की तुरंत समीक्षा करनी चाहिए। Twitter खाते के लिए एक अलग और मज़बूत पासवर्ड चुना जाना चाहिए। यदि यही पासवर्ड कहीं और भी इस्तेमाल किया गया है, तो उन सभी सेवाओं पर इसे बदलना चाहिए। बहु-चरणीय सत्यापन चालू करना चाहिए और जहाँ संभव हो, प्रमाणीकरण ऐप या सुरक्षा कुंजी को प्राथमिकता देनी चाहिए। खाता पुनर्प्राप्ति के लिए दिए गए ईमेल पते, फ़ोन नंबर और जुड़े हुए ऐप जाँचने चाहिए; अनजान सत्र बंद कर देने चाहिए। ईमेल इनबॉक्स में Twitter, ब्रांड, विज्ञापन, सत्यापन या सहायता से जुड़े संदेशों के प्रति सावधानी बरतनी चाहिए; लिंक पर क्लिक करने से पहले पतों और भेजने वालों की पुष्टि करनी चाहिए। कॉर्पोरेट खातों की पहुँच अनुमतियाँ सीमित करनी चाहिए, साझा पासवर्ड का इस्तेमाल बंद करना चाहिए और सोशल मीडिया प्रबंधन टूल में सत्रों की सुरक्षा दोबारा जाँचनी चाहिए।

लंबे समय के लिए सबसे प्रभावी बचाव है अलग-अलग उद्देश्यों के लिए अलग ईमेल पते इस्तेमाल करना और हर सेवा के लिए अलग पासवर्ड रखना। सोशल मीडिया खातों के लिए एक अलग ईमेल पता इस्तेमाल करने से निजी या कामकाजी ईमेल पतों का सार्वजनिक प्रोफ़ाइलों से जुड़ना कम हो सकता है। पासवर्ड मैनेजर के इस्तेमाल से एक ही पासवर्ड दोबारा इस्तेमाल करने की समस्या दूर होती है और क्रेडेंशियल स्टफिंग हमलों से मज़बूत सुरक्षा मिलती है। खातों की गोपनीयता सेटिंग की नियमित समीक्षा करनी चाहिए और सार्वजनिक प्रोफ़ाइल फ़ील्ड में अनावश्यक निजी जानकारी नहीं रखनी चाहिए। सार्वजनिक रूप से अधिक दिखाई देने वाले उपयोगकर्ताओं को अपने छद्म नाम, संपर्क पते और खाता पुनर्प्राप्ति की जानकारी अलग-अलग रखनी चाहिए। संस्थानों को सोशल मीडिया प्रबंधकों के लिए अलग खाता नीतियाँ, अनिवार्य बहु-चरणीय सत्यापन, पहुँच लॉग की समीक्षा और घटना के बाद सूचना देने की प्रक्रियाएँ तय करनी चाहिए।

जब यह लीक LeakData पर दिखाई देता है, तो इसका अर्थ है कि उपयोगकर्ता का ईमेल पता Twitter (20 करोड़) डेटासेट में शामिल है। यह नतीजा सीधे तौर पर साबित नहीं करता कि पासवर्ड की सुरक्षा भंग हुई है; हालाँकि, ईमेल पते का सोशल मीडिया प्रोफ़ाइल से मिलान लक्षित धोखाधड़ी और फ़िशिंग का जोखिम बढ़ाता है। उपयोगकर्ता को पहले अपने Twitter खाते की सुरक्षा सेटिंग जाँचनी चाहिए और फिर उसी ईमेल पते से बनाए गए महत्वपूर्ण खातों में एक ही पासवर्ड के दोबारा इस्तेमाल की जाँच करनी चाहिए। विशेष रूप से ईमेल खातों, वित्तीय सेवाओं, क्लाउड स्टोरेज, खरीदारी खातों और व्यवस्थापक पैनलों को प्राथमिकता दी जानी चाहिए। सूचना मिलने की तारीख को उल्लंघन की तारीख नहीं समझना चाहिए: घटना की मुख्य अवधि 2021 है और रिकॉर्ड जोड़े जाने की सत्यापित तारीख 2023 की है। यह अंतर उपयोगकर्ता को जोखिम की समयरेखा सही ढंग से समझने और घटना को वर्तमान समय का मानने की गलतफ़हमी से बचते हुए, उसके वास्तविक समय के आधार पर निर्णय लेने में मदद करता है।