XKCD: डेटा में सेंध

इस घटना में सूचीबद्ध डेटा के प्रकार हैं: ईमेल पते, IP पते, पासवर्ड और उपयोगकर्ता नाम। IP पते और उपयोगकर्ता नाम के आधार पर तकनीकी समुदाय के किसी खाते को अन्य ऑनलाइन पहचानों से जोड़ा जा सकता है। इन फ़ील्ड का एक साथ मौजूद होना हमलावरों के लिए खातों से जुड़ी फ़र्ज़ी रिपोर्ट तैयार करना, धोखाधड़ी करना, अलग-अलग पहचानों के बीच संबंध जोड़ना या लक्षित सोशल इंजीनियरिंग के प्रयास करना आसान बना सकता है।

उपलब्ध जानकारी के अनुसार, पासवर्ड MD5 phpBB3 फ़ॉर्मैट में हैं; इसलिए एक ही पासवर्ड का दोबारा इस्तेमाल करने वाले उपयोगकर्ताओं के लिए जोखिम अधिक है। पासवर्ड न होने पर भी जोखिम पूरी तरह समाप्त नहीं होता; पता, फ़ोन नंबर, जन्मतिथि, डिवाइस की जानकारी, नौकरी से जुड़ी प्रोफ़ाइल, लॉयल्टी प्रोग्राम, वेब गतिविधि या खरीदारी की जानकारी भी उपयोगकर्ता को निशाना बनाने के लिए पर्याप्त हो सकती है। यदि पासवर्ड मौजूद है, तो तुरंत जाँचना चाहिए कि क्या वही पासवर्ड अन्य सेवाओं पर भी इस्तेमाल किया जा रहा है।

इस रिकॉर्ड में xkcd.com डोमेन नाम से जुड़े फ़ोरम के लगभग 562 हजार सदस्य शामिल हैं। यह घटना सत्यापित रिकॉर्ड की श्रेणी में आती है। डोमेन नाम, कंपनी के संदर्भ, देश, क्षेत्र, खातों की संख्या और डेटा के प्रकारों की तुलना करके इसका दायरा निर्धारित किया गया है। उपयोगकर्ता को दिखाए जाने वाले फ़ील्ड केवल उन्हीं फ़ील्ड तक सीमित हैं जो रिकॉर्ड में सूचीबद्ध हैं।

क्षेत्र को सुधारकर खुदरा व्यापार के बजाय वेबकॉमिक और फ़ोरम समुदाय किया गया है। कुछ मामलों में कंपनी का सत्यापन सीमित हो सकता है या डेटासेट तीसरे पक्ष के परिवेश में वितरित किया गया हो सकता है। इस मामले में विवरण उन पहलुओं पर केंद्रित है जो उपयोगकर्ता के वास्तविक जोखिम को दर्शाते हैं, और अनिश्चित बातों को बढ़ा-चढ़ाकर नहीं बताता।

XKCD फ़ोरम के उपयोगकर्ता, तकनीकी समुदायों में एक ही उपयोगकर्ता नाम इस्तेमाल करने वाले लोग और एक ही पासवर्ड दोबारा इस्तेमाल करने वाले खाते जोखिम में हैं। इन उपयोगकर्ताओं के लिए मुख्य जोखिम लीक हुए डोमेन का अन्य प्लेटफ़ॉर्म पर इस्तेमाल होने वाली समान जानकारी से मिलान किया जाना है। यदि अलग-अलग खातों में एक ही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम, पता, सोशल प्रोफ़ाइल या पासवर्ड का इस्तेमाल किया जाता है, तो हमले की गुंजाइश बढ़ जाती है।

तकनीकी फ़ोरम से जुड़े संदर्भ का इस्तेमाल फ़र्ज़ी निजी संदेशों, खाता सत्यापन या समुदाय के सूचना संदेशों में किया जा सकता है। गेमिंग, खुदरा व्यापार, भुगतान, सोशल प्रोफ़ाइल, यात्रा, निवेश, एयरलाइन और स्वास्थ्य व तंदुरुस्ती से जुड़े संदर्भ अलग-अलग तरह के जोखिम पैदा करते हैं। उपयोगकर्ता को केवल डोमेन की सूची ही नहीं देखनी चाहिए, बल्कि यह भी समझना चाहिए कि वे डोमेन किस खाते या सेवा से जुड़े हैं।

प्रभावित उपयोगकर्ताओं को जाँचना चाहिए कि क्या वे अपने फ़ोरम और ईमेल खातों में एक ही पासवर्ड इस्तेमाल कर रहे हैं। जिन खातों में वही पासवर्ड इस्तेमाल किया जाता है, उनके पासवर्ड बदलने चाहिए। यदि पासवर्ड या पासवर्ड जैसा कोई फ़ील्ड सूचीबद्ध है, तो उपयोगकर्ताओं को उन सभी खातों के पासवर्ड बदलने चाहिए जिनमें वे वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल करते हैं। हर खाते के लिए अलग पासवर्ड इस्तेमाल करना चाहिए और जहाँ संभव हो, बहु-कारक प्रमाणीकरण चालू करना चाहिए। ईमेल खाते को भी सुरक्षित रखना चाहिए।

यदि पता, फ़ोन नंबर, जन्मतिथि, डिवाइस, व्यावसायिक प्रोफ़ाइल, खरीदारी या लॉयल्टी प्रोग्राम जैसे फ़ील्ड मौजूद हैं, तो उपयोगकर्ताओं को खाता पुनर्प्राप्ति के विकल्प, सत्रों का इतिहास, फ़ॉरवर्डिंग नियम और संदिग्ध संदेश जाँचने चाहिए। वित्त, भुगतान या एयरलाइन से जुड़े संदर्भ में मिलने वाले सत्यापन और दस्तावेज़ों के अनुरोधों की पुष्टि दूसरे संचार माध्यम से की जानी चाहिए।

फ़ोरम खातों के लिए अलग-अलग पासवर्ड, पुराने खातों को बंद करना और IP पते को कम उजागर करने वाली सुरक्षित कनेक्शन संबंधी आदतें महत्वपूर्ण हैं। लंबे समय में पासवर्ड मैनेजर, हर खाते के लिए अलग पासवर्ड, बहु-कारक प्रमाणीकरण, पुराने खातों को बंद करना और अनावश्यक प्रोफ़ाइल फ़ील्ड हटाना सुरक्षा के बुनियादी उपाय हैं। चूँकि स्थायी व्यक्तिगत डेटा को वापस नहीं पाया जा सकता, इसलिए उपयोगकर्ता के व्यवहार और खाते की सेटिंग को अधिक सुरक्षित बनाना चाहिए।

संस्थानों में डेटा को न्यूनतम रखने की प्रक्रिया, पुराने ग्राहक रिकॉर्ड रखने की अवधि, फ़ोरम और समुदाय के खातों की अनुमतियाँ, लॉयल्टी प्रोग्राम के फ़ील्ड और घटना की रिपोर्टिंग प्रक्रियाओं का नियमित ऑडिट होना चाहिए। उपयोगकर्ताओं के लिए हर जगह एक ही पहचान संबंधी जानकारी इस्तेमाल न करना जोखिम को स्थायी रूप से कम करता है।

यदि उपयोगकर्ता की जानकारी इस रिकॉर्ड से मेल खाती है, तो उन्हें अपना XKCD फ़ोरम खाता और वे अन्य फ़ोरम जाँचने चाहिए जिन पर वे उसी उपयोगकर्ता नाम का इस्तेमाल करते हैं। मेल मिलने पर उपयोगकर्ता को पढ़ना चाहिए कि कौन-से डेटा फ़ील्ड सूचीबद्ध हैं और उसी के अनुसार कदमों का क्रम तय करना चाहिए। यदि पासवर्ड मौजूद है, तो पासवर्ड बदलना प्राथमिकता है; यदि पता या फ़ोन नंबर मौजूद है, तो धोखाधड़ी संबंधी चेतावनी प्राथमिकता है; यदि वित्त या भुगतान की जानकारी मौजूद है, तो खाते की निगरानी प्राथमिकता है; यदि सोशल प्रोफ़ाइल मौजूद है, तो निजता संबंधी नियंत्रण प्राथमिकता हैं।

अंतिम आकलन: यह रिकॉर्ड फ़ोरम खाते से जुड़ी एक संवेदनशील घटना का है, क्योंकि इसमें IP पता और पासवर्ड शामिल हैं। उपयोगकर्ता को इस रिकॉर्ड की तुलना अपने खाते के इतिहास से करनी चाहिए; जिन सेवाओं पर वे एक ही ईमेल, फ़ोन नंबर, उपयोगकर्ता नाम, पता या पासवर्ड इस्तेमाल करते हैं, उन्हें एक-एक करके जाँचना चाहिए। घटना के बाद किसी भी संदिग्ध खोज, ईमेल, संदेश या खाता पुनर्प्राप्ति की सूचना को अधिक जोखिम वाला मानना चाहिए।