YouNow: डेटा में सेंध

सत्यापित डेटा श्रेणियों में ईमेल पते, IP पते, नाम, उपयोगकर्ता नाम और सोशल मीडिया प्रोफ़ाइल के लिंक शामिल हैं। बिक्री की लिस्टिंग में लगभग 4 करोड़ खाता रिकॉर्ड होने का उल्लेख था, जबकि विश्वसनीय इंडेक्स में 1,82,41,518 अलग-अलग ईमेल पते पाए गए। कई रिकॉर्ड में ईमेल पता नहीं था, इसलिए ये आँकड़े अलग-अलग स्तरों की गिनती दर्शाते हैं। इन्हें आपस में जोड़ना नहीं चाहिए और न ही इन्हें 4 करोड़ अलग-अलग लोगों के रूप में प्रस्तुत करना चाहिए। YouNow उपयोगकर्ताओं का प्रमाणीकरण सोशल लॉगिन प्रदाताओं के ज़रिए करता था और उसने कहा था कि घटना से जुड़े डेटासेट में कोई पासवर्ड मौजूद नहीं था। किसी सोशल प्रोफ़ाइल का लिंक YouNow पर किसी व्यक्ति की पहचान को दूसरे प्लेटफ़ॉर्म पर उसकी मौजूदगी से जोड़ सकता है, जबकि नाम और उपयोगकर्ता नाम की मदद से किसी खास व्यक्ति की पहचान का इस्तेमाल करके धोखा देना आसान हो सकता है। ईमेल पतों का इस्तेमाल फ़िशिंग और संबंधित खातों का पता लगाने के लिए किया जा सकता है। IP पते से अनुमानित क्षेत्र और कनेक्शन से जुड़ी जानकारी मिल सकती है। सोशल लॉगिन प्रदाताओं के पासवर्ड, एक्सेस टोकन, निजी संदेश, भुगतान की जानकारी और प्रसारण सामग्री यहाँ सत्यापित डेटा श्रेणियाँ नहीं हैं; इन्हें शामिल करना उपलब्ध साक्ष्यों से आगे बढ़कर दावा करना होगा।

YouNow से जुड़ा खाता डेटा 14 फरवरी 2019 को अन्य बड़े डेटाबेस की लिस्टिंग के साथ बिक्री के लिए सामने आया। इस रिकॉर्ड में दी गई 15 फरवरी की तारीख कैटलॉग का संदर्भ है; साक्ष्यों से यह स्थापित नहीं होता कि डेटा किस दिन निकाला गया था। लिस्टिंग में 4 करोड़ रिकॉर्ड होने का दावा किया गया था, लेकिन ईमेल पते के बिना वाले रिकॉर्ड के कारण अलग-अलग ईमेल पतों की सत्यापित गिनती कम रही। कई साइटों में डेटाबेस की एक जैसी कमज़ोरी होने की संभावना जताई गई थी, लेकिन YouNow के मामले में PostgreSQL की किसी खामी, ऐप्लिकेशन के बग या कॉन्फ़िगरेशन की त्रुटि की पुष्टि नहीं हुई। डेटा तक पहुँचने के तरीके का अनुमान नहीं लगाना चाहिए। “डेटाबेस लीक” उस स्वरूप को बताता है जिसमें खाते की जानकारी बड़े पैमाने पर डेटाबेस के रूप में वितरित की गई थी; सोशल साइन-इन का मतलब यह नहीं है कि किसी पहचान प्रदाता में सेंध लगी थी। पासवर्ड न होने से यह डेटा जोखिमरहित नहीं हो जाता, लेकिन इस घटना को पासवर्ड उजागर होने की घटना नहीं बताया जाना चाहिए।

मुख्य जोखिम उन लोगों को है जिन्होंने फरवरी 2019 से पहले YouNow का इस्तेमाल किया था और उससे कोई ईमेल पता, नाम, उपयोगकर्ता नाम या सोशल प्रोफ़ाइल जोड़ी थी। अलग-अलग प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम इस्तेमाल करने से प्रोफ़ाइलों को आपस में जोड़ना और किसी व्यक्ति की पहचान का इस्तेमाल करके उसे निशाना बनाना आसान हो जाता है। ईमेल का इस्तेमाल फ़र्ज़ी सुरक्षा चेतावनियाँ, प्रसारण के निमंत्रण, कॉपीराइट नोटिस, सत्यापन संदेश या खाता पुनर्प्राप्ति के संदेश भेजने के लिए किया जा सकता है। IP पता घर का पता नहीं होता, लेकिन अनुमानित स्थान, सेवा प्रदाता या कनेक्शन की अवधि से जुड़ी जानकारी किसी संदेश को भरोसेमंद दिखा सकती है। चूँकि कोई पासवर्ड मौजूद नहीं है, इसलिए मिलान मिलने से यह साबित नहीं होता कि कोई हमलावर सोशल खाते में साइन इन कर सकता था या YouNow खाते पर नियंत्रण पा सकता था। किसी सोशल प्रोफ़ाइल का लिंक होने का मतलब भी यह नहीं है कि कोई एक्सेस टोकन लीक हुआ था। डेटा का उजागर होना, अलग-अलग प्लेटफ़ॉर्म पर पहचान का जुड़ना, फ़िशिंग और खाते का पुष्ट दुरुपयोग अलग-अलग जोखिम हैं।

अगर मिलान मिलता है, तो YouNow के लिए इस्तेमाल किए गए सोशल लॉगिन प्रदाता के खाते को सुरक्षित करें और उससे जुड़े ईमेल खाते की सुरक्षा भी सुनिश्चित करें। बहु-कारक प्रमाणीकरण चालू करें, खाता पुनर्प्राप्ति की जानकारी की समीक्षा करें, अनजान सत्रों को समाप्त करें और उन जुड़े हुए ऐप्स को हटाएँ जिनका अब आप इस्तेमाल नहीं करते। YouNow या किसी सोशल नेटवर्क की सहायता टीम की ओर से आए हुए दिखने वाले संदेशों में भेजने वाले का वास्तविक डोमेन और लिंक कहाँ ले जाता है, यह जाँचें। संदेश से साइन इन करने के बजाय ऐप खोलें या पता स्वयं टाइप करें। चूँकि पासवर्ड उजागर होने की पुष्टि नहीं हुई है, इसलिए केवल इस रिकॉर्ड के आधार पर यह न मानें कि आपके सोशल लॉगिन प्रदाता का पासवर्ड लीक हुआ था। फिर भी, कई जगह इस्तेमाल किए गए पासवर्ड बदलकर हर खाते के लिए अलग पासवर्ड रखें, क्योंकि वे किसी अन्य घटना में उजागर हो सकते हैं। अगर आपको आपकी पहचान का इस्तेमाल करने वाली कोई फ़र्ज़ी प्रोफ़ाइल, अनधिकृत प्रसारण, अनजान ऐप या खाता पुनर्प्राप्ति की जानकारी में अप्रत्याशित बदलाव मिलता है, तो साक्ष्य सुरक्षित रखें, सत्र समाप्त करें और आधिकारिक सहायता माध्यम से इसकी रिपोर्ट करें।

सोशल साइन-इन सुविधाजनक है, लेकिन एक ही प्रदाता कई खातों में प्रवेश का माध्यम बन सकता है। मुख्य ईमेल और सोशल खातों के लिए अलग-अलग पासवर्ड रखें, उन्हें पासवर्ड मैनेजर में सहेजें और किसी ऐप या हार्डवेयर कुंजी के साथ बहु-कारक प्रमाणीकरण चालू करें। जुड़े हुए ऐप्स की अनुमतियों की नियमित समीक्षा करें, इस्तेमाल न होने वाली सेवाएँ हटाएँ और किसी ऐप को प्रोफ़ाइल तक ऐसी पहुँच न दें जिसकी उसे ज़रूरत नहीं है। अलग-अलग प्लेटफ़ॉर्म पर एक ही उपयोगकर्ता नाम रखने से पहचान को आपस में जोड़ना आसान हो जाता है; सार्वजनिक प्रसारण के लिए इस्तेमाल की जाने वाली पहचान और निजी खातों के लिए अलग-अलग उपयोगकर्ता नाम या ईमेल उपनाम रखने पर विचार करें। प्रोफ़ाइल में स्थान, संपर्क जानकारी और दूसरे नेटवर्क के लिंक अनावश्यक रूप से साझा करना कम करें। केवल ऐप हटाकर खाता न छोड़ दें; खाता बंद करने और डेटा मिटाने के विकल्पों का इस्तेमाल करें। ईमेल लिंक के बजाय सेवा के भीतर जाकर सुरक्षा सूचनाओं की पुष्टि करें और समय-समय पर यह जाँचते रहें कि आपका डेटा उजागर तो नहीं हुआ है।

ईमेल का मिलान मिलने का मतलब है कि वह YouNow से जुड़े 1,82,41,518 अलग-अलग पतों वाले डेटासेट में मौजूद था। इससे यह साबित नहीं होता कि दावा किए गए 4 करोड़ रिकॉर्ड अलग-अलग उपयोगकर्ताओं के थे, खाता अब भी खुला है, कोई पासवर्ड दिखाई दे रहा था या किसी सोशल लॉगिन प्रदाता में सेंध लगी थी। अगर मिलान मिलता है, तो साइन-इन के लिए इस्तेमाल किए गए सोशल खाते के सत्रों, जुड़े हुए ऐप्स और खाता पुनर्प्राप्ति की सेटिंग्स की समीक्षा करें। आपके ईमेल या उपयोगकर्ता नाम को निशाना बनाने वाली फ़र्ज़ी YouNow सूचनाओं पर भी नज़र रखें। मिलान न मिलना पूरी सुरक्षा की गारंटी नहीं है, क्योंकि हो सकता है कि आपने किसी दूसरे ईमेल का इस्तेमाल किया हो, आपका डेटा केवल ऐसे रिकॉर्ड में हो जिसमें ईमेल नहीं था, या आप किसी अन्य घटना से प्रभावित हुए हों। जाँच सेवाएँ केवल इंडेक्स किए गए डेटासेट को कवर करती हैं। यह तथ्य बरकरार रखें कि पासवर्ड मौजूद नहीं थे और किसी सोशल प्रोफ़ाइल के लिंक को एक्सेस टोकन न बताएँ। संदिग्ध संदेशों का आकलन करते समय भेजने वाले के डोमेन, लिंक के गंतव्य, कार्रवाई करने के दबाव और पासवर्ड या सत्यापन कोड माँगे जाने को एक साथ ध्यान में रखें।