डेटा उल्लंघन की सुर्खी को अपने खाते के बारे में दावा मानने से पहले स्रोत और उजागर हुए डेटा फ़ील्ड की पुष्टि करें।
जब डेटा उल्लंघन की कोई सुर्खी दिखाई दे, तो पहले यह पता करें कि किन बातों की पुष्टि हुई है, क्या आपका खाता प्रभावित है और कौन-सी जानकारी उजागर हुई है। अपराधियों के किसी फ़ोरम पर किया गया दावा संगठन की अपनी सूचना के बराबर नहीं होता। साथ ही, आप जाँच के हर विवरण की प्रतीक्षा किए बिना दोबारा इस्तेमाल किए गए लॉगिन विवरण बदल सकते हैं और खातों तक पहुँच की सुरक्षा मज़बूत कर सकते हैं।
यह लंबे समय तक उपयोगी रहने वाला कार्रवाई-मार्गदर्शक है, घटनाओं की लाइव साप्ताहिक फ़ीड नहीं। यह दावा नहीं करता कि किसी नामित कंपनी में नया, पुष्ट डेटा उल्लंघन हुआ है।
चार तारीखें और प्रमाण की स्थिति दर्ज करें
घटना की तारीख, उसके पता चलने की तारीख, सार्वजनिक खुलासे की तारीख और लेख के अपडेट होने की तारीख को अलग-अलग रखें। आज फिर से प्रकाशित किया गया पुराना डेटासेट ज़रूरी नहीं कि नई घुसपैठ हो। इसी तरह, हाल में सामने आई घटना महीनों पहले हुई पहुँच से संबंधित हो सकती है।
एक उपयोगी नोट इस तरह होता है:
- संगठन और आधिकारिक सूचना: कंपनी के अपने सुरक्षा या सहायता पेज का लिंक।
- स्थिति: दावा किया गया, जाँच जारी, पुष्टि हुई या जानकारी सुधारी गई।
- प्रभावित अवधि और खाते: ठीक वैसे ही जैसे बताए गए हों; जानकारी न दी गई हो तो अज्ञात लिखें।
- डेटा फ़ील्ड: नाम या ईमेल पते को पासवर्ड, पहचान दस्तावेज़ और भुगतान विवरण से अलग समझें।
- आपकी कार्रवाई और अंतिम समय-सीमा: सूचना में सुझाया गया कदम और आपने उसे कब पूरा किया।
खुद जाँच करने के लिए लीक हुए डेटाबेस डाउनलोड न करें। उनमें दूसरे लोगों का निजी डेटा, दुर्भावनापूर्ण फ़ाइलें, दोबारा इस्तेमाल किए गए रिकॉर्ड या गढ़ी हुई प्रविष्टियाँ हो सकती हैं। किसी “डेटा उल्लंघन जाँच सेवा” को कभी अपना मौजूदा पासवर्ड न दें।
डेटा उल्लंघन के दावे की पुष्टि कैसे करें
डेटा उल्लंघन की तेज़ रिपोर्टिंग अक्सर अधूरे प्रमाणों से शुरू होती है। एक सामान्य दावा इन चरणों से गुज़रता है:
- कोई दुर्भावनापूर्ण व्यक्ति या समूह दावा प्रकाशित करता है।
- कोई पत्रकार या शोधकर्ता उसकी रिपोर्ट करता है।
- संगठन जाँच करता है।
- संगठन, नियामक या कोई अन्य प्रामाणिक स्रोत उसकी पुष्टि करता है, उसके दायरे को सीमित करता है या उसे खारिज करता है।
- पहचाने गए प्रभावित उपयोगकर्ताओं को, जहाँ आवश्यक हो, सूचनाएँ मिलती हैं।
किसी रिपोर्ट को सही मानने से पहले प्रमाण के इन स्तरों का उपयोग करें:
| प्रमाण का स्तर | इससे क्या पता चलता है | कैसे प्रतिक्रिया दें |
|---|---|---|
| दुर्भावनापूर्ण पक्ष का दावा | एक दावा मौजूद है | कम लागत वाले एहतियाती कदम उठाएँ, लेकिन विवरणों को तथ्य न मानें |
| नमूना या स्क्रीनशॉट | कुछ सामग्री दिखाई गई है | सावधान रहें; नमूने पुराने, बदले हुए या दोबारा इस्तेमाल किए गए हो सकते हैं |
| स्वतंत्र तकनीकी सत्यापन | शोधकर्ताओं ने दावे के कुछ हिस्सों की जाँच की है | निगरानी बढ़ाएँ और जुड़े हुए खातों को सुरक्षित करें |
| कंपनी का खुलासा | संगठन किसी घटना की पुष्टि करता है | उसके बताए दायरे और निर्देशों का पालन करें |
| नियामक या अदालत में दाखिल दस्तावेज़ | आधिकारिक रिकॉर्ड से और विवरण मिलते हैं | पुष्ट जोखिम और उपलब्ध राहत के उपायों का आकलन करने के लिए इसका उपयोग करें |
| उपयोगकर्ता को सीधी सूचना | संगठन आपको प्रभावित व्यक्ति के रूप में पहचानता है | सुझाए गए कदम तुरंत पूरे करें |
ऐसी रिपोर्टिंग पर सवाल उठाएँ जो:
- प्राथमिक प्रमाण के बिना किसी दावे को पुष्ट बताती हो
- अपराधियों की किसी लिस्टिंग को हर रिकॉर्ड के असली होने का प्रमाण मानती हो
- खातों और अलग-अलग व्यक्तियों के बीच अंतर न करती हो
- डेटा फ़ील्ड अज्ञात होने के बावजूद विशिष्ट फ़ील्ड उजागर होने का दावा करती हो
- ट्रैकर में दर्ज पुराने संचयी आँकड़ों को एक हफ़्ते में हुए उल्लंघनों की संख्या बताती हो
- स्रोत या खुलासे की तारीख छोड़ देती हो
उजागर हुए डेटा के अनुसार कार्रवाई करें
संभावित नुकसान इस बात पर निर्भर करता है कि कौन-सा डेटा शामिल है:
| डेटा का प्रकार | संभावित नुकसान | पहला कदम |
|---|---|---|
| दोबारा इस्तेमाल किया गया पासवर्ड | कई सेवाओं के खातों पर कब्ज़ा | जहाँ-जहाँ उसका दोबारा इस्तेमाल हुआ है, वहाँ उसे बदलें |
| ईमेल के लॉगिन विवरण | पासवर्ड रीसेट, प्रतिरूपण और निजी संदेशों तक पहुँच | पहले ईमेल सुरक्षित करें और अनजान सत्र समाप्त करें |
| कर या पहचान संबंधी जानकारी | लक्षित फ़िशिंग और पहचान धोखाधड़ी | सूचनाओं की पुष्टि करें और संबंधित खातों पर नज़र रखें |
| बैंक या भुगतान विवरण | अनधिकृत लेन-देन | आधिकारिक माध्यम से प्रदाता से संपर्क करें |
| नाम, ईमेल या फ़ोन नंबर | फ़िशिंग, स्पैम और प्रतिरूपण | निजी विवरणों का उपयोग करने वाले अप्रत्याशित संपर्क पर भरोसा न करें |
| खाता पुनर्प्राप्ति विवरण | पासवर्ड रीसेट का दुरुपयोग | पुनर्प्राप्ति विकल्प और दोबारा इस्तेमाल किए गए उत्तर अपडेट करें |
हमलावर नई जानकारी को पुरानी लीक की जानकारी के साथ जोड़ सकते हैं। नाम, ईमेल पता और कर सेवा पर किसी खाते की जानकारी, कर रिकॉर्ड न होने पर भी, विश्वसनीय लगने वाला फ़िशिंग संदेश तैयार करने के लिए पर्याप्त हो सकती है।
डेटा उल्लंघन के बाद क्या करें
1. अपना ईमेल सुरक्षित करें
आपके ईमेल से दूसरे खातों तक पहुँच रीसेट की जा सकती है।
- कमज़ोर, दोबारा इस्तेमाल किए गए या उजागर हुए पासवर्ड की जगह एक अलग पासवर्ड रखें
- बहु-कारक प्रमाणीकरण चालू करें
- जहाँ उपलब्ध हो, पासकी, सुरक्षा कुंजी या ऑथेंटिकेटर ऐप को प्राथमिकता दें
- सक्रिय सत्रों और साइन-इन किए हुए डिवाइसों की समीक्षा करें
- अनजान पुनर्प्राप्ति ईमेल पते या फ़ोन नंबर हटाएँ
- फ़ॉरवर्डिंग नियमों और फ़िल्टर में अनधिकृत बदलावों की जाँच करें
2. उजागर हुए और दोबारा इस्तेमाल किए गए पासवर्ड बदलें
यदि उजागर हुए या संदिग्ध रूप से उजागर हुए पासवर्ड का दोबारा इस्तेमाल किया गया था, तो उसे इस्तेमाल करने वाले हर खाते में बदलें। इस क्रम में प्राथमिकता दें:
- ईमेल
- वित्तीय और कर सेवाएँ
- क्लाउड स्टोरेज
- मैसेजिंग और सोशल खाते
- खरीदारी और सदस्यता सेवाएँ
पुराने पासवर्ड में छोटे-मोटे बदलाव न करें। हर खाते के लिए अलग लॉगिन विवरण बनाने हेतु पासवर्ड मैनेजर का उपयोग करें।
3. डिवाइस में मैलवेयर की जाँच करें
किसी सेवा में उल्लंघन का अर्थ अपने-आप यह नहीं होता कि आपके डिवाइस में मैलवेयर है। यदि आपको अनजान सॉफ़्टवेयर या डिवाइस से समझौता होने के अन्य संकेत भी दिखें:
- संवेदनशील खातों के लिए उस डिवाइस का उपयोग बंद करें
- ऑपरेटिंग सिस्टम और सुरक्षा उपकरण अपडेट करें
- किसी भरोसेमंद सुरक्षा उपकरण से स्कैन करें
- संदिग्ध सॉफ़्टवेयर और ब्राउज़र एक्सटेंशन हटाएँ
- बेहद ज़रूरी पासवर्ड रीसेट करने के लिए साफ़, असंक्रमित डिवाइस का उपयोग करें
- लॉगिन विवरण बदलने के बाद मौजूदा सत्रों से साइन आउट करें
संक्रमित डिवाइस पर पासवर्ड बदलने से नए पासवर्ड भी उजागर हो सकते हैं।
4. लक्षित फ़िशिंग से सावधान रहें
इन विषयों वाले संदेशों पर संदेह करें:
- कर रिफ़ंड या रिटर्न दाखिल करने में गलतियाँ
- खाता निलंबन
- पहचान सत्यापन
- दस्तावेज़ तुरंत डाउनलोड करने का आग्रह
- खाते की सुरक्षा के लिए आवश्यक बताए गए भुगतान
- बहु-कारक प्रमाणीकरण के अप्रत्याशित अनुरोध
संगठन का ऐप खोलें या उसका जाना-पहचाना पता खुद टाइप करें। किसी संदिग्ध संदेश में दिए लिंक, फ़ोन नंबर या संपर्क विवरण का उपयोग न करें।
5. वित्तीय और पहचान-संबंधी गतिविधि की समीक्षा करें
संबंधित बैंक, कार्ड और कर खातों में ऐसी गतिविधि देखें जिसे आप नहीं पहचानते। कुछ गलत लगे तो प्रदाता की आधिकारिक वेबसाइट, ऐप, स्टेटमेंट या भुगतान कार्ड पर दिए संपर्क विवरण से संपर्क करें।
इनकी प्रतियाँ रखें:
- डेटा उल्लंघन की सूचनाएँ
- संदिग्ध संदेश और ईमेल हेडर
- लेन-देन रिकॉर्ड
- तारीखें और समय
- केस या शिकायत नंबर
बिना आपके अनुरोध के संपर्क करने वाले किसी व्यक्ति को पहचान दस्तावेज़ न भेजें। हर अनुरोध की पुष्टि किसी स्वतंत्र आधिकारिक माध्यम से करें।
6. डेटा लीक खोज सेवाओं का सावधानी से उपयोग करें
एक भरोसेमंद डेटा लीक खोज सेवा यह दिखा सकती है कि कोई ईमेल पता किसी ज्ञात डेटासेट में है या नहीं। परिणाम को आगे जाँच करने का संकेत मानें, अंतिम प्रमाण नहीं। बताई गई घटना की पुष्टि प्रभावित संगठन या किसी अन्य प्रामाणिक स्रोत से करें और जाँच सेवा में कभी अपना मौजूदा पासवर्ड दर्ज न करें।
अपने क्षेत्राधिकार के अनुसार आधिकारिक पुनर्प्राप्ति सहायता लें
डेटा उल्लंघन पर FTC का मार्गदर्शन उपयोगकर्ताओं को IdentityTheft.gov पर भेजता है, जहाँ उजागर हुई जानकारी के अनुसार कदम बताए जाते हैं। यह संयुक्त राज्य अमेरिका का संसाधन है; दूसरे स्थानों पर रिपोर्ट करने, क्रेडिट की सुरक्षा और पहचान दस्तावेज़ बदलने की प्रक्रियाएँ अलग होती हैं। यह मानने के बजाय कि हर देश में एक जैसे उपाय उपलब्ध हैं, अपने स्थानीय प्राधिकरण और बैंक के सत्यापित संपर्क विवरण का उपयोग करें।
यदि धोखाधड़ी पहले से हो रही है, तो उल्लंघन की जाँच पूरी होने का इंतज़ार करने के बजाय संबंधित प्रदाता से तुरंत संपर्क करें। अपनी निजी जानकारी को सार्वजनिक रूप से दोबारा पोस्ट किए बिना सूचनाएँ, लेन-देन संदर्भ और केस नंबर सुरक्षित रखें।
क्या E2EE डेटा उल्लंघन को नुकसानरहित बना देता है?
नहीं। एंड-टू-एंड एन्क्रिप्शन सुरक्षित संदेश सामग्री तक पहुँच को सीमित कर सकता है, लेकिन खातों के एक अलग डेटाबेस में पहचानकर्ता, प्रमाणीकरण रिकॉर्ड या मेटाडेटा हो सकता है। किसी एंडपॉइंट से समझौता होना या पढ़ा जा सकने वाला बैकअप, उजागर होने वाली जानकारी को फिर बदल देता है। वास्तव में प्रभावित सिस्टम और कुंजियाँ, उत्पाद के एन्क्रिप्शन संबंधी सामान्य नारे से ज़्यादा मायने रखते हैं।
किसी सुर्खी पर भरोसा करने से पहले पूछने योग्य सवाल
क्या रिकॉर्ड की संख्या प्रभावित लोगों की संख्या के बराबर होती है?
ज़रूरी नहीं। कई रिकॉर्ड एक ही व्यक्ति से संबंधित हो सकते हैं; किसी डेटासेट में डुप्लिकेट या पुरानी सामग्री भी जोड़ी गई हो सकती है। प्रकाशक की सटीक गणना-इकाई का उपयोग करें और “रिकॉर्ड” को “अलग-अलग पीड़ितों” में न बदलें।
क्या किसी भी उल्लंघन की रिपोर्ट के बाद मुझे हर पासवर्ड बदलना चाहिए?
पहले प्रभावित लॉगिन विवरण और उन सभी जगहों को प्राथमिकता दें जहाँ उनका दोबारा इस्तेमाल हुआ था, फिर संबंधित ईमेल और पुनर्प्राप्ति तरीकों को सुरक्षित करें। आधिकारिक सूचना का पालन करें। किसी दूसरी सेवा की घटना से अलग, असंबंधित पासवर्ड अपने-आप उजागर नहीं हो जाते।
क्या उजागर हुई जानकारी पूरी तरह हटाई जा सकती है?
जब प्रतियाँ फैलने लगें, तो उन्हें पूरी तरह हटाने का वादा नहीं किया जा सकता। ऐसे गुप्त विवरण बदलें जिन्हें रद्द किया जा सकता है, खातों को सुरक्षित करें और दुरुपयोग पर नज़र रखें। लीक की हर प्रति मिटाने का वादा करने वाली भुगतान वाली सेवाओं से सावधान रहें।
डेटा उल्लंघन की अप्रत्याशित सूचना मिलने पर मुझे क्या करना चाहिए?
संगठन के जाने-पहचाने ऐप, वेबसाइट या स्वतंत्र रूप से सत्यापित नंबर का उपयोग करके उससे संपर्क करें। संदेश के लिंक से साइन इन न करें और खाते को “सुरक्षित” करने के लिए कोई शुल्क न दें। CISA का सुरक्षा मार्गदर्शन फ़िशिंग पहचानने, मज़बूत और अलग-अलग पासवर्ड रखने, बहु-कारक प्रमाणीकरण तथा सॉफ़्टवेयर अपडेट की सलाह देता है।
