UKScrappers: डेटा उजागर होने का कथित मामला

UKScrappers की प्रविष्टि बनाने से पहले मौजूदा रिकॉर्ड में शीर्षक, डोमेन नाम, मिलते-जुलते ब्रांड नाम, घटना की तारीख और पंजीकरणों की संख्या का मिलान किया गया। उसी घटना को दर्शाने वाला कोई रिकॉर्ड नहीं मिला, इसलिए इसे अलग रिकॉर्ड के रूप में रखा गया। मिलते-जुलते नाम वाले, लेकिन अलग डोमेन या अलग घटनाओं से संबंधित रिकॉर्ड इस निर्णय में शामिल नहीं किए गए।

जिन सूचियों का आकलन किया गया, उनमें रिकॉर्ड की संख्या और सत्यापित किए जा सकने वाले विवरणों की संख्या में थोड़ा अंतर हो सकता है। इसकी वजह मूल डेटा की पंक्तियों, अलग-अलग खातों, दोहराए गए ईमेल पतों, साफ़ किए गए रिकॉर्ड या नए रूप में संकलित डेटासेट के बीच अंतर हो सकता है। इस पेज पर सबसे बड़ी दिखाई देने वाली संख्या के बजाय 47,296 को आधार बनाया गया है, क्योंकि डेटा प्रकारों के साथ इस संख्या को लगातार साक्ष्यों का समर्थन मिलता है।

UKScrappers की घटना शौक और फ़ोरम से जुड़े समुदाय से संबंधित है, इसलिए उपयोगकर्ता नाम, IP पते और ईमेल के मिलान का आकलन एक साथ किया जाना चाहिए। शौक से जुड़े फ़ोरम कई वर्षों तक सक्रिय रह सकते हैं, इसलिए पुरानी प्रोफ़ाइलें किसी व्यक्ति के डिजिटल इतिहास के बारे में संदर्भ दे सकती हैं।

इस घटना में पासवर्ड हैश, उपयोगकर्ता नाम और IP पते एक साथ मौजूद होने के समर्थन में साक्ष्य मिले। IP पता अनुमानित स्थान या कनेक्शन इस्तेमाल करने की आदतों के बारे में संकेत दे सकता है। उपयोगकर्ता नाम से उसी व्यक्ति के अन्य फ़ोरम पर मौजूद प्रोफ़ाइल का मिलान करने में मदद मिल सकती है।

UKScrappers की घटना में सामान्य ईमेल लीक की तुलना में जोखिम अधिक है, क्योंकि MD5-आधारित हैश के रूप में पासवर्ड संबंधी जानकारी मिली थी। पासवर्ड डेटा से हमलावरों को अलग-अलग अनुमान आज़माने में कम समय लगता है, उसी पासवर्ड का इस्तेमाल करने वाली अन्य सेवाओं पर स्वचालित लॉगिन प्रयास करना आसान होता है और पासवर्ड रीसेट करने वाले संदेश अधिक विश्वसनीय लग सकते हैं।

अकेला ईमेल पता भले ही सीमित व्यक्तिगत डेटा लगे, लेकिन उपयोगकर्ता नाम, IP पते, पासवर्ड या प्रोफ़ाइल की जानकारी के साथ जुड़ने पर यह हमले का प्रभावी माध्यम बन जाता है। यदि उपयोगकर्ता काम, खरीदारी, फ़ोरम, गेम, वित्तीय सेवाओं या सोशल मीडिया खातों के लिए उसी ईमेल पते का इस्तेमाल करता है, तो असर संबंधित प्लेटफ़ॉर्म से आगे भी फैल सकता है।

यह घटना पुरानी होने के बावजूद सुरक्षा की दृष्टि से आज भी महत्वपूर्ण है। बहुत से उपयोगकर्ता पुराने पासवर्ड के पैटर्न में छोटे बदलाव करके उन्हें दोबारा इस्तेमाल करते हैं। इसलिए UKScrappers जैसी पुरानी डेटा उल्लंघन की घटना का इस्तेमाल वर्षों बाद भी पासवर्ड का अनुमान लगाने, क्रेडेंशियल स्टफ़िंग और लक्षित फ़िशिंग प्रयासों के लिए किया जा सकता है।

उपयोगकर्ताओं का पहला कदम यह याद करना है कि उन्होंने पहले UKScrappers या www.ukscrappers.co.uk पर किस ईमेल पते और पासवर्ड का इस्तेमाल किया होगा। यदि उसी तरह के पासवर्ड अन्य खातों पर भी इस्तेमाल किए गए थे, तो केवल संबंधित साइट पर पासवर्ड बदलना पर्याप्त नहीं है। दोबारा इस्तेमाल किए गए सभी पासवर्ड की जगह अलग-अलग और यादृच्छिक पासवर्ड रखने चाहिए।

इस घटना के बाद उठाए जा सकने वाले सबसे प्रभावी कदमों में से एक पासवर्ड मैनेजर का इस्तेमाल करना है। हर साइट के लिए अलग पासवर्ड बनाने से एक डेटा उल्लंघन का असर सिलसिलेवार तरीके से अन्य खातों तक फैलने से रोका जा सकता है। ब्राउज़र में सेव किए गए पुराने पासवर्ड की भी समीक्षा करनी चाहिए और कमज़ोर या दोहराए गए पासवर्ड हटाने या बदलने चाहिए।

विशेष रूप से ईमेल खातों, पासवर्ड मैनेजर, वित्तीय खातों, सोशल मीडिया प्रोफ़ाइल, गेमिंग खातों और एडमिन पैनल के लिए दो-कारक प्रमाणीकरण को प्राथमिकता दी जानी चाहिए। ऐप-आधारित प्रमाणीकरण या हार्डवेयर सुरक्षा कुंजियाँ, SMS-आधारित प्रमाणीकरण की तुलना में अधिक मज़बूत सुरक्षा देती हैं।

ईमेल खाते के फ़ॉरवर्डिंग नियमों, रिकवरी पतों, जुड़े हुए ऐप, विश्वसनीय डिवाइसों की सूची और हाल के सत्रों की जाँच करनी चाहिए। भले ही हमलावर सीधे UKScrappers खाते तक न पहुँच सके, वह ईमेल खाते के ज़रिए अन्य सेवाओं की पासवर्ड रीसेट प्रक्रियाओं को निशाना बना सकता है।

फ़िशिंग में पुरानी सेवा का नाम, उपयोगकर्ता नाम, क्षेत्र से जुड़ी जानकारी या पंजीकरण की तारीख इस्तेमाल की जा सकती है। उपयोगकर्ताओं को प्राप्त लिंक पर सीधे क्लिक करने के बजाय पता स्वयं टाइप करना चाहिए, जाँच किए बिना फ़ाइल अटैचमेंट नहीं खोलने चाहिए और ऐसे संदेशों से सावधान रहना चाहिए जो तुरंत कार्रवाई करने का दबाव बनाते हैं।

कॉर्पोरेट उपयोगकर्ताओं के लिए भी जोखिम का आकलन किया जाना चाहिए। यदि किसी कर्मचारी ने व्यक्तिगत लगने वाले खाते पर अपने काम के ईमेल का इस्तेमाल किया था, तो कंपनी के सिस्टम पर उसी पासवर्ड को आज़माने का प्रयास किया जा सकता है। इसलिए डोमेन-आधारित सुरक्षा स्कैन, बहु-कारक प्रमाणीकरण और पासवर्ड के दोबारा इस्तेमाल का पता लगाने वाले नियंत्रण महत्वपूर्ण हैं।

साइट मालिकों के लिए मुख्य सीख पासवर्ड के भंडारण और डेटा को न्यूनतम रखने से जुड़ी है। साधारण टेक्स्ट में रखे गए पासवर्ड या आसानी से तोड़े जा सकने वाले हैश फ़ॉर्मैट सीधे उपयोगकर्ताओं की सुरक्षा कमज़ोर करते हैं। आधुनिक सिस्टम में पासवर्ड से हैश तैयार करने की ऐसी विधियाँ इस्तेमाल करनी चाहिए जो मज़बूत हों, साल्ट का उपयोग करें और गणना में अधिक समय लें। उपयोगकर्ताओं के लॉगिन के दौरान पुराने हैश फ़ॉर्मैट को धीरे-धीरे नए फ़ॉर्मैट में बदलना चाहिए।

बैकअप, परीक्षण परिवेश, निर्यात की गई फ़ाइलों, पुराने फ़ोरम सॉफ़्टवेयर, एडमिन पैनल और अनावश्यक अनुमतियों का नियमित ऑडिट होना चाहिए। कई डेटा लीक मुख्य ऐप के दिखाई देने वाले हिस्से से नहीं, बल्कि भुला दिए गए सहायक सिस्टम या व्यापक अनुमतियों वाले खातों से होते हैं।

जिन संस्थानों के पास घटना से निपटने की योजना नहीं होती, वहाँ उपयोगकर्ताओं को सूचना देने, पासवर्ड रीसेट करने, लॉग की समीक्षा करने और जुड़े हुए सिस्टम की जाँच में देरी होती है। किन सिस्टम की निगरानी होगी, कौन-से रिकॉर्ड रखे जाएँगे, किन उपयोगकर्ताओं को सूचित किया जाएगा और किन बैकअप की समीक्षा होगी, यह पहले से तय होना चाहिए।

हालाँकि UKScrappers के लिए जाँची गई सूची में अधिक संख्या दिखाई दी थी, लेकिन सत्यापित किए जा सकने वाले सार्वजनिक विवरण 47,296 रिकॉर्ड का समर्थन करते थे। इसलिए इस पेज पर डेटा प्रकारों के साथ साफ़ किए गए और साक्ष्यों से समर्थित आँकड़ों का इस्तेमाल किया गया है।

स्क्रैपबुकिंग और हस्तशिल्प समुदायों में उपयोगकर्ताओं ने अपने असली नाम, शहर, कार्यशाला की जानकारी या सोशल प्रोफ़ाइल के लिंक साझा किए हो सकते हैं। इन फ़ील्ड को रिकॉर्ड में शामिल नहीं किया गया है, क्योंकि डेटा श्रेणी के रूप में इनके समर्थन में प्रत्यक्ष साक्ष्य नहीं हैं। फिर भी उपयोगकर्ताओं को अपनी पुरानी प्रोफ़ाइलों की समीक्षा करने की सलाह दी जाती है।

फ़ोरम सॉफ़्टवेयर को अद्यतन न रखने पर पुराने हैश एल्गोरिदम और प्लगइन लंबे समय तक जोखिम पैदा कर सकते हैं। इसलिए फ़ोरम मालिकों को पासवर्ड एल्गोरिदम, प्लगइन की सूची, बैकअप डायरेक्टरी और प्रशासक खातों की नियमित जाँच करनी चाहिए।

नवीनतम जाँच के दौरान UKScrappers वेबसाइट ने तय समय के भीतर जवाब नहीं दिया, इसलिए उपयोगकर्ताओं को अपने खातों तक सीधे पहुँचने में बाधा आ सकती है। इस स्थिति का मतलब यह नहीं है कि पुराने पासवर्ड का दोबारा इस्तेमाल अब चिंता का विषय नहीं रहा। यदि अन्य खातों पर भी वही ईमेल और पासवर्ड मौजूद हैं, तो उन्हें बदलना ज़रूरी है।

UKScrappers की लाइव साइट से विश्वसनीय लोगो प्राप्त नहीं हो सका, इसलिए एक साधारण स्थानीय SVG लोगो रखा गया। इससे पंजीकरण सेवा के भीतर प्रविष्टि का पेज दृश्य त्रुटियों के बिना उपलब्ध रहता है।

इस रिकॉर्ड में असत्यापित डेटा प्रकार जानबूझकर शामिल नहीं किए गए हैं। डेटा श्रेणियों की लंबी सूची बनाने के बजाय साक्ष्यों से समर्थित फ़ील्ड को स्पष्ट रूप से दिखाना उपयोगकर्ताओं का भरोसा बनाए रखने के लिए अधिक महत्वपूर्ण है। डेटा उल्लंघन संबंधी पेज का उद्देश्य डर पैदा करना नहीं, बल्कि सही दायरा और लागू किए जा सकने वाले सुरक्षा उपाय स्पष्ट रूप से समझाना है।

यह पेज UKScrappers डेटा उल्लंघन, www.ukscrappers.co.uk डेटा लीक, UKScrappers पासवर्ड लीक और UKScrappers उपयोगकर्ता डेटा जैसे विभिन्न नामों के अंतर्गत सरल और व्यावहारिक जानकारी देने के लिए तैयार किया गया था। इसमें सत्यापित पहलुओं और व्यावहारिक सुरक्षा कदमों की व्याख्या की गई है।

यह रिकॉर्ड देखने पर उपयोगकर्ताओं को केवल संबंधित प्लेटफ़ॉर्म के खाते का ही नहीं, बल्कि उसी ईमेल पते से खोले गए अन्य खातों का भी आकलन करना चाहिए। पुराने पासवर्ड दोबारा इस्तेमाल करने वाले खाते हमलावरों के शुरुआती निशानों में विशेष रूप से शामिल होते हैं। पुराने खाते बंद करने से भी दीर्घकालिक जोखिम कम होता है।

पासवर्ड के दोबारा इस्तेमाल को कम करने के लिए नए पासवर्ड में ब्रांड नाम, जन्म का वर्ष, उपयोगकर्ता नाम, टीम के नाम, शौक, शहर या आसानी से अनुमान लगाए जा सकने वाले अतिरिक्त हिस्से नहीं होने चाहिए। पासवर्ड के अंत में छोटी संख्या या विशेष चिह्न जोड़ देने से वह सुरक्षित नहीं बनता। हमलावरों के टूल ऐसे पैटर्न तेज़ी से आज़माते हैं।

खाते की सुरक्षा की जाँच-सूची स्पष्ट है: पुराना पासवर्ड बदलें, उसी पासवर्ड का इस्तेमाल करने वाले सभी खातों को अपडेट करें, दो-कारक प्रमाणीकरण चालू करें, ईमेल की रिकवरी जानकारी जाँचें, अनजान सत्र बंद करें और संदिग्ध संदेशों के लिंक के बजाय साइट का पता सीधे इस्तेमाल करें।

सुरक्षा टीमों को इस रिकॉर्ड का आकलन ऐसे ईमेल पतों के संदर्भ में करना चाहिए जो कर्मचारियों के डोमेन नामों से मेल खाते हैं। पुराने फ़ोरम, खरीदारी, वित्तीय या सामुदायिक खातों में इस्तेमाल किए गए कॉर्पोरेट ईमेल पते हमलावरों की लक्षित सूचियों में और जानकारी जोड़ सकते हैं।

ऐसी घटनाओं में डेटा को न्यूनतम रखना बेहद महत्वपूर्ण है। अनावश्यक प्रोफ़ाइल फ़ील्ड एकत्र नहीं करने चाहिए, डेटा रखने की उचित नीतियों के अनुसार निष्क्रिय खाते हटाने चाहिए, संवेदनशील फ़ील्ड तक पहुँच सीमित करनी चाहिए और डेटा निर्यात की गतिविधियों की अतिरिक्त निगरानी करनी चाहिए।

घबराने के बजाय उपयोगकर्ताओं को अपने खातों की साफ़-सफ़ाई और सुरक्षा संबंधी रखरखाव पूरा करना चाहिए। पुराने और भुला दिए गए खाते बंद करना, अनावश्यक सदस्यताएँ हटाना, रिकवरी पते अपडेट करना और महत्वपूर्ण खातों पर लॉगिन सूचनाएँ चालू करना लंबे समय तक सुरक्षा देता है।

प्रभावित खातों की संख्या, पासवर्ड संबंधी जानकारी के प्रकार, खाते पर कब्ज़ा करने में डेटा श्रेणियों के संभावित उपयोग और इस बात को ध्यान में रखकर कि घटना में दोबारा इस्तेमाल किए जा सकने वाले क्रेडेंशियल शामिल थे या नहीं, इस पेज पर जोखिम का स्तर अत्यंत गंभीर निर्धारित किया गया है। अत्यंत गंभीर स्तर का मतलब यह नहीं है कि दुरुपयोग निश्चित रूप से हुआ है, बल्कि यह दर्शाता है कि उपयोगकर्ता को जल्दी कार्रवाई करनी चाहिए।

संक्षेप में, UKScrappers का यह रिकॉर्ड जनवरी 2021 की अवधि में 47,296 खातों को प्रभावित करने वाले एक ही डेटा उल्लंघन की प्रविष्टि है। इसमें ईमेल पते, उपयोगकर्ता नाम, IP पते और पासवर्ड हैश जैसे फ़ील्ड शामिल हैं। उपयोगकर्ताओं को अलग-अलग पासवर्ड इस्तेमाल करने, दो-चरणीय सत्यापन चालू करने, ईमेल की सुरक्षा सेटिंग जाँचने और संदिग्ध लॉगिन की चेतावनियों पर नज़र रखने की सलाह दी जाती है।

UKScrappers के रिकॉर्ड में संख्या, शीर्षक और डोमेन का आकलन एक साथ किया जाता है, इसलिए उसी नाम से प्रसारित सूचियों के अस्पष्ट अंश इस पेज पर नहीं जोड़े गए हैं। उपयोगकर्ता को दिखाई देने वाला रिकॉर्ड सत्यापित डोमेन और घटना की अवधि तक सीमित है।

डेटा श्रेणियों को सरल रखना विशेष रूप से महत्वपूर्ण है, क्योंकि बिना साक्ष्य वाले फ़ील्ड जोड़ने से उपयोगकर्ता का जोखिम आकलन प्रभावित होता है। इसलिए इस रिकॉर्ड में ईमेल पतों, उपयोगकर्ता नामों, IP पतों और पासवर्ड हैश के अलावा अन्य दावों को प्रमाणित डेटा फ़ील्ड के रूप में प्रस्तुत नहीं किया गया है।

www.ukscrappers.co.uk डोमेन से जुड़ी पुरानी सदस्यताएँ भुला दी गई हो सकती हैं। यदि भुला दिए गए खातों पर पासवर्ड बदलना संभव नहीं है, तो अधिक व्यावहारिक प्राथमिकता उन अन्य सेवाओं को खोजना और सुरक्षित करना है जहाँ उसी पासवर्ड का इस्तेमाल किया गया है।

जब उपयोगकर्ता नाम या ईमेल पता अन्य लीक के डेटा से जुड़ जाता है, तो हमलावरों के लिए किसी व्यक्ति की रुचियों, देश, कार्यक्षेत्र या पहले की सदस्यता संबंधी आदतों का अनुमान लगाना आसान हो जाता है। इसलिए अकेला डेटा उल्लंघन छोटा लगने पर भी कई लीक के संयुक्त जोखिम का असर अधिक होता है।

संस्थानों को नियमित जागरूकता प्रशिक्षण में कर्मचारियों की व्यक्तिगत सदस्यताओं के लिए काम के ईमेल के इस्तेमाल का विषय शामिल करना चाहिए। ऐसे रिकॉर्ड चेतावनी का संकेत देते हैं, जिनसे पासवर्ड के दोबारा इस्तेमाल और व्यक्तिगत प्लेटफ़ॉर्म पर कॉर्पोरेट पहचान की दृश्यता का आकलन किया जा सकता है।

यदि उपयोगकर्ता को इस रिकॉर्ड में अपना ईमेल दिखाई देता है, तो उसे सबसे महत्वपूर्ण खातों से शुरुआत करनी चाहिए: ईमेल इनबॉक्स, बैंक या निवेश खाता, पासवर्ड मैनेजर, क्लाउड स्टोरेज, सोशल मीडिया और अक्सर इस्तेमाल किए जाने वाले खरीदारी खाते।

यदि खाते बंद करना संभव हो, तो अनावश्यक पुरानी सदस्यताएँ बंद करना भी अच्छा कदम है। जिन खातों को बंद नहीं किया जा सकता, उनमें कम से कम ऐसा पासवर्ड रखना चाहिए जो किसी अन्य खाते पर इस्तेमाल न हो, प्रोफ़ाइल की जानकारी न्यूनतम रखनी चाहिए और लॉगिन सूचनाएँ चालू करनी चाहिए।