Webkinz: डेटा में सेंध

जारी की गई फ़ाइल में Webkinz के उपयोगकर्ता नाम और MD5-Crypt पासवर्ड हैश थे। MD5-Crypt सादा टेक्स्ट नहीं है और यह सीधे MD5 से बनाए गए हैश के समान भी नहीं है, लेकिन पासवर्ड संग्रहीत करने के आधुनिक मानकों के अनुसार यह पुराना पड़ चुका है और ऑफ़लाइन अनुमान लगाकर पासवर्ड पता करने के प्रयासों के विरुद्ध पर्याप्त सुरक्षा नहीं देता। यदि कोई छोटा, आम या आसानी से अनुमान लगाया जा सकने वाला पासवर्ड पता चल जाए, तो उसी पासवर्ड का इस्तेमाल करने वाला हर दूसरा खाता भी जोखिम में पड़ सकता है। रिपोर्टों में कहा गया था कि माता-पिता के ईमेल पतों के हैश किए गए मान अलग से हासिल किए गए थे, लेकिन वे सार्वजनिक रूप से जारी फ़ाइल में मौजूद नहीं थे। इसलिए ईमेल पतों को पुष्ट डेटा श्रेणी के रूप में नहीं जोड़ा जाना चाहिए। उस समय कंपनी ने कहा था कि Webkinz खातों के लिए कभी पते, फ़ोन नंबर या उपनाम नहीं माँगे गए थे और ये खाते eStore खाते के डेटा से जुड़े नहीं थे। यह दावा करने का कोई पुष्ट आधार नहीं है कि जारी फ़ाइल में भुगतान विवरण या वास्तविक पहचान से जुड़े रिकॉर्ड मौजूद थे।

रिपोर्टों के अनुसार घुसपैठ अप्रैल 2020 की शुरुआत में हुई थी; सटीक दिन नहीं बताया गया था, इसलिए 1 अप्रैल को केवल महीना दर्शाने वाली संदर्भ तिथि के रूप में इस्तेमाल किया गया है। 18 अप्रैल को प्रकाशित एक जाँच रिपोर्ट में कहा गया था कि शोधकर्ताओं ने फ़ाइल की एक प्रति हासिल करने और उसकी पुष्टि करने में मदद की थी। उसमें उपयोगकर्ता नाम और पासवर्ड की 2,29,82,319 जोड़ियाँ थीं। उस रिपोर्ट में उद्धृत सूत्रों के अनुसार, हमलावर ने वेबसाइट के एक फ़ॉर्म में SQL इंजेक्शन की खामी का इस्तेमाल किया था और Webkinz के कर्मचारियों ने घुसपैठ के रास्ते का पता लगाकर उसे ठीक कर दिया था। 19 अप्रैल को कंपनी ने कहा कि उसे कथित डेटा उल्लंघन की खबर की जानकारी थी, वह जाँच कर रही थी और चिंतित उपयोगकर्ताओं को अपने पासवर्ड बदलने की सलाह दी। इसके बाद एक आधिकारिक सुरक्षा अपडेट में हर खिलाड़ी के लिए साइन-इन करने से पहले खाते का पासवर्ड एक बार बदलना अनिवार्य कर दिया गया। हालाँकि शुरुआती पहुँच हासिल करने के तरीके से जुड़े दावे को विश्वसनीय रिपोर्टों का समर्थन प्राप्त है, लेकिन कंपनी की कोई विस्तृत फ़ॉरेंसिक रिपोर्ट या घटना की अंतिम सार्वजनिक रिपोर्ट नहीं मिली।

सबसे सीधे तौर पर प्रभावित समूह वे वर्तमान और पूर्व खिलाड़ी हैं जिनका अप्रैल 2020 से पहले Webkinz खाता था। जिन लोगों ने किसी दूसरे गेम, सोशल प्लेटफ़ॉर्म या ईमेल खाते पर वही उपयोगकर्ता नाम और पासवर्ड इस्तेमाल किया था, उन्हें क्रेडेंशियल स्टफिंग के प्रयासों का सामना करना पड़ सकता है। चूँकि खिलाड़ियों में बच्चे भी शामिल हैं, इसलिए पासवर्ड बदलने और खाते की पहुँच वापस पाने की प्रक्रिया माता-पिता या अभिभावक की मदद से पूरी की जानी चाहिए। उपयोगकर्ता नाम ज़रूरी नहीं कि वास्तविक नाम हो, इसलिए रिकॉर्ड को अपने-आप किसी विशेष बच्चे की पहचान से नहीं जोड़ा जाना चाहिए। फिर भी, उपयोगकर्ता नाम का इस्तेमाल गेम में किसी और का रूप धरने, सहायता के नाम पर नकली संदेश भेजने या खाते पर कब्ज़ा करने के प्रयासों में किया जा सकता है। जारी की गई फ़ाइल में ईमेल पते होने की पुष्टि नहीं हुई है, इसलिए केवल इस घटना के आधार पर इसे पुष्ट ईमेल लीक या फ़िशिंग के लिए ईमेल पतों की सूची के रूप में प्रस्तुत नहीं किया जाना चाहिए।

यदि आपका Webkinz खाता है और आपने 2020 के बाद उसका पासवर्ड नहीं बदला है, तो आधिकारिक साइन-इन स्क्रीन से नया और अनूठा पासवर्ड चुनें। जहाँ भी वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है, उसे बदलें। जुड़े हुए ईमेल खाते, गेम स्टोर और माता-पिता के खातों को प्राथमिकता दें। बच्चे के खाते के लिए माता-पिता या अभिभावक के साथ मिलकर नया पासवर्ड बनाएँ, समझाएँ कि उसे किसी से साझा नहीं करना है और सहायता के नाम पर आने वाले नकली अनुरोधों के बारे में बात करें। यदि खाते तक पहुँच खो गई है, तो केवल आधिकारिक सहायता माध्यमों का इस्तेमाल करें; किसी फ़ोरम या संदेश में कभी पासवर्ड, पालतू जानवर का नाम या खाते की पहुँच वापस पाने से जुड़ा विवरण न डालें। सक्रिय सत्रों, खाते से जुड़े ईमेल पते और खाते में हुए अप्रत्याशित बदलावों की समीक्षा करें। eStore खाते को अलग मानकर चलें: कंपनी ने कहा था कि वह Webkinz खाते के डेटा से जुड़ा नहीं था, इसलिए यह नहीं मानना चाहिए कि eStore की भुगतान संबंधी जानकारी इस फ़ाइल में है।

हर सेवा के लिए अलग पासवर्ड रखने से गेम का पासवर्ड पता चल जाने पर भी उससे जुड़ा जोखिम दूसरे खातों तक नहीं फैलता। परिवार बच्चों के खातों के लिए पासवर्ड मैनेजर में अलग-अलग प्रविष्टियाँ रख सकते हैं और खाते की पहुँच वापस पाने के लिए दर्ज ईमेल पते की समय-समय पर जाँच कर सकते हैं। भले ही Webkinz बहु-कारक प्रमाणीकरण उपलब्ध न कराता हो, ईमेल और गेम स्टोर खातों जैसी महत्वपूर्ण जुड़ी सेवाओं पर इसे चालू करें। पुराने खातों को न भूलें; जिन खातों की अब ज़रूरत नहीं है, उन्हें बंद करने या हटाने के लिए आधिकारिक सहायता से संपर्क करें। बच्चों को सिखाएँ कि गेम में उपहार या मुफ़्त सदस्यता देने का वादा करने वाले लोगों को पासवर्ड न दें और संदिग्ध संदेश किसी वयस्क को दिखाएँ। सेवा संचालकों के लिए पैरामीटरयुक्त क्वेरी, आधुनिक पासवर्ड हैशिंग, नियमित पेनेट्रेशन परीक्षण, न्यूनतम डेटा संग्रह और घटना के बारे में स्पष्ट संवाद लंबे समय तक सुरक्षा देने वाले उपाय हैं।

चूँकि Webkinz के इस रिकॉर्ड में किसी ईमेल पते की पुष्टि नहीं हुई है, इसलिए हो सकता है कि केवल ईमेल के आधार पर LeakData में खोज करने पर Webkinz से संबंधित कोई परिणाम न दिखाई दे। कोई परिणाम न मिलना यह साबित नहीं करता कि 2020 से पहले इस्तेमाल किया गया खाता उपयोगकर्ता नाम और पासवर्ड वाली फ़ाइल में मौजूद नहीं था। सबसे सुरक्षित जाँच यह है कि आप पता करें कि उस समय आपका खाता था या नहीं और क्या उसका पुराना पासवर्ड अब भी किसी दूसरी सेवा पर इस्तेमाल हो रहा है। पासवर्ड को कभी भी खोज फ़ॉर्म, फ़ोरम या तीसरे पक्ष की साइटों में दर्ज न करें। यदि आपका Webkinz खाता है, तो पासवर्ड रीसेट करने और सहायता पाने के आधिकारिक तरीकों का इस्तेमाल करें। फिर हर उस दूसरे खाते को अलग, अनूठे लॉगिन विवरण से सुरक्षित करें जिसमें पुराना पासवर्ड दोबारा इस्तेमाल किया गया था।