ईमेल डेटा ब्रीच का नोटिस मिला? पहले घंटे में और उसके बाद क्या करें

मान लीजिए किसी वीक डे की शाम को एक टिकट बुकिंग साइट से मैसेज आता है, जिसे आपने तीन साल पहले आख़िरी बार इस्तेमाल किया था। विषय में लिखा है “ज़रूरी: आपका डेटा उजागर हो सकता है”। आपको उस अकाउंट की मुश्किल से याद है, पता नहीं कौन-सा पासवर्ड रखा था, और मैसेज में एक बड़ा बटन है “मेरा अकाउंट सुरक्षित करें”। यह एक घंटा बाकी पूरे हफ़्ते से ज़्यादा मायने रखता है, और इसमें सबसे पहला काम है उस बटन को हाथ न लगाना।

संक्षेप में: कंपनी की साइट पर खुद जाकर नोटिस की पुष्टि करें, पता करें कि किस तरह का डेटा चोरी हुआ, किसी भी और चीज़ से पहले अपना मुख्य मेलबॉक्स सुरक्षित करें, फिर लीक हुआ पासवर्ड हर उस जगह बदलें जहां आपने उसे इस्तेमाल किया था और टू-फ़ैक्टर ऑथेंटिकेशन या पासकी चालू करें। ईमेल डेटा ब्रीच का मतलब है कि आपका पता रखने वाली किसी कंपनी का उस पर से नियंत्रण छूट गया, आमतौर पर दूसरी जानकारियों के साथ। लीक को वापस नहीं किया जा सकता। लेकिन आप यह पक्का कर सकते हैं कि वह बस एक परेशानी बनकर रहे और चोरी हुए अकाउंट में न बदले।

पहला घंटा, क्रम से

नीचे का क्रम एक ही सोच से बना है: आपका मेलबॉक्स लगभग हर दूसरे पासवर्ड को रीसेट कर सकता है, इसलिए जिस अकाउंट में सेंध लगी है उससे पहले मेलबॉक्स को बचाया जाता है। समय मोटे अंदाज़े हैं। अगर लीक में पासवर्ड शामिल नहीं थे, तो आप चरण 4 और 5 छोड़ सकते हैं और पंद्रह मिनट में निपट सकते हैं।

1. मैसेज की किसी भी चीज़ का इस्तेमाल न करें (पहले 2 मिनट)। कोई लिंक नहीं, कोई अटैचमेंट नहीं, नोटिस में दिया कोई फ़ोन नंबर नहीं। असली ब्रीच के बाद फ़र्ज़ी नोटिस भेजना आम बात है, और असली नोटिस का बटन अनदेखा करने से कुछ नहीं बिगड़ता।
2. अलग से पुष्टि करें (अगले 5 मिनट)। कंपनी का पता खुद ब्राउज़र में टाइप करें या पुराना बुकमार्क इस्तेमाल करें, फिर सिक्योरिटी नोटिस या बैनर ढूंढें। कंपनी का नाम और “breach” शब्द खोजें और देखें कि भरोसेमंद समाचार स्रोत या कंपनी खुद इसकी खबर दे रही है या नहीं।
3. पढ़ें कि क्या चोरी हुआ (अगले 5 मिनट)। नोटिस, कंपनी का बयान या कोई लुकअप सर्विस डेटा के प्रकार बता देगी। पासवर्ड, कार्ड का डेटा और पहचान के दस्तावेज़, हर एक के लिए अलग काम करना पड़ता है, और नीचे की तालिका में यह साफ़ दिया है।
4. अपना मुख्य मेलबॉक्स सुरक्षित करें (अगले 15 मिनट)। उसे ऐसा लंबा पासवर्ड दें जो कहीं और इस्तेमाल न हुआ हो, बाकी सेशन से साइन आउट करें, टू-फ़ैक्टर ऑथेंटिकेशन या पासकी चालू करें, और फ़ॉरवर्डिंग नियम और रिकवरी की जानकारी जांचें। Gmail, Outlook और iCloud के चरण नीचे मेलबॉक्स वाले हिस्से में हैं।
5. लीक हुए पासवर्ड को संभालें (अगले 20 मिनट)। उसे ब्रीच वाली साइट पर, उसी साइट के अपने लॉगिन पेज से बदलें। फिर सोचें कि वही पासवर्ड या उससे मिलता-जुलता पासवर्ड आपने और कहां रखा था, और उन्हें भी बदलें। शुरुआत बैंकिंग, मोबाइल कंपनी, क्लाउड स्टोरेज और उन दुकानों से करें जहां कार्ड सेव है।
6. लिख लें कि आपने क्या किया (आख़िरी 5 मिनट)। कंपनी, तारीख़, शामिल डेटा और बदले गए पासवर्ड नोट कर लें। अगर तीन महीने बाद कुछ अजीब हो, तो यह नोट बताएगा कि दोनों बातें जुड़ी हैं या नहीं।

अगर समय या हिम्मत कम पड़े, तो चरण 4 के बाद रुक जाएं। सुरक्षित मेलबॉक्स ज़्यादातर रास्ते खुले रखता है, क्योंकि जो हमलावर आपकी मेल नहीं पढ़ सकता उसके लिए कुछ और रीसेट करना बहुत मुश्किल हो जाता है।

क्या नोटिस असली है?

कंपनियां ये मैसेज भेजती हैं, और कई जगहों पर उन्हें भेजना पड़ता है। EU के GDPR के अनुच्छेद 34 के तहत, जब किसी ब्रीच से लोगों के लिए ऊंचा जोखिम होने की संभावना हो, तो संस्था को प्रभावित लोगों को बिना अनुचित देरी के बताना होता है, और अमेरिका के हर राज्य का अपना ब्रीच नोटिफ़िकेशन क़ानून है जिसकी अपनी शर्तें हैं। नियम अलग-अलग हैं, इसीलिए हो सकता है एक कंपनी का संदेश कुछ दिनों में आए, दूसरी का महीनों बाद, या आए ही नहीं। क़ानूनी पहलू और विस्तार से हमारे ईमेल प्राइवेसी क़ानूनों वाले लेख में है।

अपराधी जानते हैं कि लोग ऐसे मैसेज की उम्मीद करते हैं। ऐसे फ़र्ज़ी नोटिस का एक काल्पनिक उदाहरण देखिए जिससे सावधान रहना चाहिए:

फ़र्ज़ी नोटिस का उदाहरण (काल्पनिक, सिर्फ़ समझाने के लिए):
विषय: आपके अकाउंट पर अत्यावश्यक सिक्योरिटी घटना
प्रिय ग्राहक, हाल की एक घटना में आपका पासवर्ड उजागर हुआ है। अगर आप नीचे दिए सुरक्षित बटन से अपना मौजूदा पासवर्ड और कार्ड नंबर कन्फ़र्म नहीं करते, तो 12 घंटे के भीतर आपका अकाउंट बंद कर दिया जाएगा।

तीन बातें इसे पकड़वा देती हैं। इसमें घंटों की समय-सीमा है, यह आपका मौजूदा पासवर्ड मांगता है, और कार्ड नंबर चाहता है, जो किसी असली रीसेट प्रक्रिया में कभी नहीं लगता। असली नोटिस बताता है कि क्या हुआ और आपसे साइट पर जाकर पासवर्ड बदलने को कहता है। फ़िशिंग ईमेल पहचानने की हमारी गाइड में और भी कई संकेत हैं, लेकिन ब्रीच से जुड़े संकेत नीचे की तुलना से समझ आ जाते हैं।

किस पर नज़र डालें	असली नोटिस आमतौर पर	फ़र्ज़ी नोटिस आमतौर पर
निर्देश	साइट पर पासवर्ड बदलने की सलाह देता है, या बताता है कि रीसेट ज़बरदस्ती कर दिया गया है	बटन के ज़रिए आपको एक लॉगिन पेज पर धकेलता है
ब्योरा	घटना का नाम, मोटी तारीख़ें और डेटा के प्रकार बताता है	क्या हुआ, इस बारे में धुंधला रहता है
मांगें	ईमेल से कोई संवेदनशील चीज़ नहीं मांगता	पासवर्ड, कार्ड नंबर या फ़ोन पर आया कोड मांगता है
अटैचमेंट	शायद ही कोई लगाता है	ZIP, मैक्रो वाला दस्तावेज़ या report.pdf.exe जैसी फ़ाइल के रूप में “रिपोर्ट” लगाता है
सार्वजनिक निशान	कंपनी की साइट के बयान से मेल खाता है	कहीं कोई सार्वजनिक निशान नहीं होता
ऑफ़र	किसी नामित कंपनी की आइडेंटिटी मॉनिटरिंग का ऑफ़र दे सकता है, जिसका कोड उसी कंपनी की साइट पर इस्तेमाल होता है	फ़ीस मांगता है, या मुआवज़ा देने के नाम पर बैंक की जानकारी मांगता है

कोई मैसेज हर तकनीकी जांच पास करके भी अनचाहा हो सकता है। Gmail में तीन बिंदुओं वाले मेनू में Show original है, जो SPF, DKIM और DMARC के नतीजे दिखाता है। किसी बड़ी कंपनी के नाम से आए मैसेज पर dmarc=fail एक मज़बूत चेतावनी है। पास का मतलब बस इतना है कि मेल दिखाए गए डोमेन से आई है, और वह डोमेन पिछले हफ़्ते रजिस्टर हुआ कोई मिलता-जुलता नाम भी हो सकता है।

कभी-कभी नोटिस ऐसे नाम से आता है जिसे आप नहीं पहचानते, क्योंकि घटना किसी वेंडर के यहां हुई थी: सपोर्ट डेस्क, मार्केटिंग प्लेटफ़ॉर्म या पेमेंट प्रोसेसर, जो आपकी जानी-पहचानी कंपनी के लिए काम करता है। ऐसे में जिस कंपनी को आप जानते हैं उससे पुष्टि ढूंढें। कुछ न मिले, तो उसके अपने संपर्क पेज से सपोर्ट टीम को लिखकर पूछ सकते हैं।

डेटा की सूची पढ़ें: उसी से तय होता है कि आपका काम कितना है

ईमेल पता लगभग कभी अकेला नहीं होता। इसमें आपके दस मिनट लगेंगे या पूरी दोपहर, यह इस पर निर्भर है कि चोरी हुई तालिका में उसके बगल में क्या था। मान लीजिए हमारे उदाहरण की टिकट साइट “नाम, ईमेल पते और हैश किए गए पासवर्ड” बताती है। तब आप नीचे की तीसरी पंक्ति में आते हैं, और दूसरी पंक्ति का कुछ काम भी आपको करना होगा।

आपके पते के साथ क्या लीक हुआ	इससे कोई क्या कर सकता है	आप क्या करें
और कुछ नहीं	स्पैम और निशाना बनाकर फ़िशिंग भेज सकता है, अलग-अलग ब्रीच में आपके रिकॉर्ड जोड़ सकता है, और दूसरी जगह दोहराए गए पासवर्ड आज़मा सकता है	उस सर्विस का ज़िक्र करने वाले मैसेज से सावधान रहें; अकाउंट को दूसरे पते पर ले जाने पर विचार करें
सादे टेक्स्ट में पासवर्ड	उसी वक़्त उस साइट पर लॉगिन कर सकता है और वही जोड़ी दूसरी जगह आज़मा सकता है	जहां-जहां इस्तेमाल हुआ, आज ही बदलें
हैश किया हुआ पासवर्ड	उसे ऑफ़लाइन तोड़ने की कोशिश कर सकता है; कमज़ोर और आम पासवर्ड सबसे पहले टूटते हैं	इसे ऐसे मानें जैसे वह सादे टेक्स्ट में था
नाम, फ़ोन नंबर, घर का पता	विश्वसनीय लगने वाले मैसेज लिख सकता है, स्कैम कॉल कर सकता है, SIM स्वैप की कोशिश कर सकता है	अपनी मोबाइल कंपनी के पास PIN या पोर्ट-आउट लॉक लगवाएं; अचानक आए कॉल और टेक्स्ट से सावधान रहें
जन्मतिथि, सिक्योरिटी सवालों के जवाब	अकाउंट रिकवरी का दुरुपयोग कर सकता है, कमज़ोर पहचान जांच पार कर सकता है	सिक्योरिटी जवाबों को रैंडम जवाबों से बदलें और पासवर्ड मैनेजर में सेव करें
कार्ड का आंशिक डेटा	स्कैम को विश्वसनीय बना सकता है (“हमें आपका 1234 पर ख़त्म होने वाला कार्ड दिख रहा है”)	स्टेटमेंट पर नज़र रखें; वे अंक जानने वाले कॉलर ने कुछ साबित नहीं किया
पूरा कार्ड नंबर	धोखाधड़ी वाली ख़रीदारी की कोशिश कर सकता है	कार्ड पर छपे नंबर पर अपने जारीकर्ता को कॉल करें और बदलवाने को कहें
सरकारी ID नंबर	पहचान की धोखाधड़ी की कोशिश कर सकता है	अपने देश के प्राधिकरण की सलाह मानें; नीचे पहचान के डेटा वाला हिस्सा देखें
IP पता, डिवाइस की जानकारी	आपकी मोटी लोकेशन का अंदाज़ा लगा सकता है, स्कैम को आपके हिसाब से ढाल सकता है	सीधे तौर पर करने को कुछ ख़ास नहीं
निजी मैसेज या फ़ाइलें	ब्लैकमेल कर सकता है या शर्मिंदा कर सकता है, दूसरों का डेटा उजागर कर सकता है	पता करें उनमें क्या था और और किस पर असर पड़ा; ब्लैकमेल की शिकायत पुलिस में करें

“हैश” पर एक बात, क्योंकि कंपनियां इसे तसल्ली देने के लिए इस्तेमाल करती हैं। हैश आपके पासवर्ड का एकतरफ़ा घोल है, और वह कितनी सुरक्षा देता है यह तरीके पर निर्भर है। bcrypt या Argon2 जैसे धीमे, सॉल्ट वाले एल्गोरिदम अंदाज़े लगाना महंगा बना देते हैं, इसलिए इस तरह रखा गया लंबा रैंडम पासवर्ड शायद कभी वापस न मिले। बिना सॉल्ट के MD5 या SHA-1 जैसे तेज़ हैश पर बहुत तेज़ी से हमला हो सकता है, और छोटे या आम पासवर्ड किसी भी तरीके में जल्दी टूट जाते हैं। नोटिस में शायद ही इतना लिखा होता है कि आप इसका अंदाज़ा लगा सकें, इसलिए पासवर्ड हर हाल में बदल दें।

अकेला लीक हुआ पता क्या कर सकता है

“सिर्फ़ आपका ईमेल पता प्रभावित हुआ” सुनने में अच्छी ख़बर लगती है, और पासवर्ड लीक की तुलना में है भी। पता कोई राज़ नहीं होता, और सिर्फ़ उससे कोई आपके अकाउंट में लॉगिन नहीं करता। फिर भी इससे आपकी स्थिति कुछ तरीकों से बदलती है, जिन्हें समझना ठीक रहता है।

किसी असली सर्विस का पता इस बात का संकेत है कि वह किसी ऐसे व्यक्ति का है जो चीज़ों पर साइन-अप करता है, इसलिए स्पैमर के लिए वह अंदाज़े से बनाए पते से ज़्यादा कीमती है। सूचियां मिलाई और बेची जाती हैं, इसलिए स्पैम में बढ़ोतरी घटना के महीनों बाद शुरू हो सकती है और उससे कोई साफ़ संबंध न दिखे।

लीक अपराधियों को यह भी बताता है कि आपका अकाउंट कहां है। “आपके ऑर्डर में समस्या” जैसे आम मैसेज को टालना आसान है। लेकिन जो मैसेज उसी दुकान का नाम ले जिसे आप सच में इस्तेमाल करते हैं, उसी लीक वाले नाम से आपको संबोधित करे, और ऐसे समय आए जब वह दुकान ख़बरों में हो, उसे पकड़ना बहुत मुश्किल है। नोटिस मिलने के बाद कई हफ़्तों तक सतर्क रहने की यही मुख्य व्यावहारिक वजह है।

आपका पता एक जोड़ने वाली कड़ी का भी काम करता है। मान लीजिए एक ब्रीच उसे किसी गेमिंग यूज़रनेम से जोड़ता है, दूसरा फ़ोन नंबर से और तीसरा घर के शहर से। तीनों रखने वाला कोई भी व्यक्ति साझा पते पर इन्हें मिलाकर ऐसी प्रोफ़ाइल बना सकता है जो आपने कभी एक साथ किसी को सौंपी ही नहीं। हर जगह एक ही पता देने से यह मुमकिन होता है, और यही वह हिस्सा है जिसे आप बदल सकते हैं।

और पता ज़्यादातर लॉगिन का आधा हिस्सा होता है, जो उस हमले तक ले जाता है जिससे ब्रीच महंगे पड़ते हैं।

एक ब्रीच कैसे कई बन जाता है

नुकसान अक्सर उस कंपनी में नहीं होता जिसका ब्रीच हुआ। क्रेडेंशियल स्टफ़िंग का मतलब है लीक हुई ईमेल और पासवर्ड की जोड़ियों को दूसरी सर्विसों पर अपने-आप आज़माना। कई ब्रीच की जोड़ियां मिलाकर बड़ी “कॉम्बो लिस्ट” बन जाती हैं, और टूल उन्हें ईमेल प्रोवाइडर, दुकानों, स्ट्रीमिंग सर्विस, गेम प्लेटफ़ॉर्म और क्लाउड स्टोरेज पर चलाते हैं। ज़्यादातर कोशिशें नाकाम होती हैं। इतनी सफल हो जाती हैं कि धंधा चल निकले, क्योंकि एक सफलता से सेव कार्ड पर सामान ख़रीदा जा सकता है, लॉयल्टी पॉइंट खाली किए जा सकते हैं, भरोसेमंद अकाउंट से स्पैम भेजा जा सकता है, या जुड़ी सर्विसों पर पासवर्ड रीसेट शुरू किए जा सकते हैं।

यह सब दोहराए गए पासवर्ड पर टिका है। उदाहरण के लिए, किसी ने Harbour2019! टिकट साइट पर, एक दुकान पर और अपने ईमेल पर रखा। टिकट ब्रीच से एक पासवर्ड और तीन अकाउंट उजागर हो जाते हैं। अगर हर साइट का अपना रैंडम पासवर्ड होता, तो वही ब्रीच बस एक ऐसा अकाउंट उजागर करता जिसे वह व्यक्ति मुश्किल से इस्तेमाल करता है। छोटे बदलावों से ज़्यादा फ़र्क नहीं पड़ता, क्योंकि हमलावरों के टूल साफ़ दिखने वाले बदलाव आज़माते हैं: साल बदलना, एक अंक जोड़ना, विस्मयादिबोधक चिह्न बदलना।

पासवर्ड स्प्रेइंग इसका उलटा रूप है। हर व्यक्ति के लिए एक जाना हुआ पासवर्ड आज़माने के बजाय, हमलावर वैध पतों की लंबी सूची पर कुछ बेहद आम पासवर्ड आज़माता है। इसके चलने के लिए आपका पासवर्ड लीक होना ज़रूरी नहीं था। उसका आम होना काफ़ी था, और पता ब्रीच ने दे दिया।

चुराए गए पासवर्ड का एक अलग स्रोत ज़िक्र के लायक है, क्योंकि वह सलाह बदल देता है। इन्फ़ोस्टीलर नाम का मैलवेयर संक्रमित डिवाइस से सेव किए पासवर्ड और लॉगिन कुकीज़ सीधे कॉपी कर लेता है, और ऐसे चुराए लॉग ब्रीच डेटा की तरह ही घूमते रहते हैं। अगर वह पासवर्ड उजागर दिखे जो आपने कभी दोहराया नहीं, या मज़बूत पासवर्ड और किसी जाने ब्रीच के बिना भी अकाउंट पर क़ब्ज़ा हो जाए, तो हो सकता है स्रोत आपका डिवाइस हो। उसे भरोसेमंद सिक्योरिटी सॉफ़्टवेयर से स्कैन करें और पासवर्ड बदलने का काम किसी साफ़ डिवाइस से करें, क्योंकि संक्रमित कंप्यूटर पर पासवर्ड बदलने से नया पासवर्ड भी हाथ से जा सकता है।

अपना एक्सपोज़र जांचना

नोटिस आपको एक कंपनी के बारे में बताता है। पूरी तस्वीर देखने के लिए एक से ज़्यादा स्रोत इस्तेमाल करें, क्योंकि कोई भी डेटाबेस हर घटना को कवर नहीं करता।

Have I Been Pwned (haveibeenpwned.com), जिसे सिक्योरिटी शोधकर्ता Troy Hunt चलाते हैं, सबसे जाना-माना लुकअप है। पता डालें तो वह उन जाने हुए ब्रीच की सूची देता है जिनमें वह है, तारीख़ों और डेटा के प्रकार के साथ। इसकी नोटिफ़िकेशन सुविधा तब ईमेल करती है जब आपका पता किसी नए लोड हुए ब्रीच में दिखे, जिसे एक बार चालू करके भूल जाना ठीक है। कुछ संवेदनशील माने गए ब्रीच सार्वजनिक खोज से छिपे रहते हैं और तभी दिखते हैं जब आप साबित करें कि पता आपका है। Mozilla Monitor Have I Been Pwned के डेटा से मिलता-जुलता लुकअप और अलर्ट देता है, और लगातार अलर्ट के लिए इसमें Mozilla अकाउंट चाहिए।

ख़ाली नतीजे का मतलब यह नहीं कि आप सुरक्षित हैं। कई ब्रीच कभी पकड़े नहीं जाते या इन सर्विसों तक पहुंचते ही नहीं। लंबी सूची का मतलब यह भी नहीं कि आप मुसीबत में हैं, क्योंकि पुरानी प्रविष्टियां अक्सर उन पासवर्ड की होती हैं जिन्हें आप कब का बदल चुके हैं। तारीख़ें और डेटा के प्रकार देखें, और जो अब भी इस्तेमाल में हो सकता है उस पर कार्रवाई करें।

ईमेल लुकअप के लिए सिर्फ़ आपका पता चाहिए। पासवर्ड में ज़्यादा सावधानी चाहिए। Google Password Manager में Password Checkup है, Apple डिवाइस के Passwords ऐप में Security सेक्शन है जो समझौता हुए और दोहराए गए पासवर्ड बताता है, और थर्ड-पार्टी मैनेजरों में भी ऐसी रिपोर्ट हैं, जैसे 1Password में Watchtower और Bitwarden में exposed passwords रिपोर्ट। ये आपकी सेव की हुई सूची पर चलते हैं, और यह भी पता लगाने का सबसे तेज़ तरीका है कि पासवर्ड कहां दोहराया गया।

Pwned Passwords सुविधा दिखाती है कि जांच पासवर्ड बताए बिना कैसे हो सकती है। आपका डिवाइस पासवर्ड का SHA-1 हैश निकालता है और सिर्फ़ पहले पांच अक्षर भेजता है। सर्विस उन अक्षरों से शुरू होने वाले हर लीक हुए हैश को लौटाती है, और बाकी की तुलना आपका डिवाइस खुद करता है। सर्विस को न पासवर्ड मिलता है, न उसका पूरा हैश, और इस तरीके को k-anonymity कहते हैं।

किसी भी अनजान वेबसाइट पर अपना पासवर्ड कभी न डालें जो बताने का दावा करे कि वह हैक हुआ है या नहीं। आपके पासवर्ड मैनेजर या ब्राउज़र में बने टूल ठीक हैं। ईमेल या विज्ञापन से पहुंचा चेकर पेज बस पासवर्ड इकट्ठा कर रहा हो सकता है।

अपनी ही मेल से भी आप काफ़ी कुछ सीख सकते हैं। अपने मेलबॉक्स में “welcome”, “verify your email”, “confirm your account” और “your password has been changed” खोजें। जो नतीजे आएंगे वे उन सर्विसों की मोटी सूची हैं जिनके पास आपका पता है, और उनमें कुछ आप भूल चुके होंगे। यह सूची नीचे की सफ़ाई वाले हिस्से में काम आती है।

मेलबॉक्स का ठीक से ऑडिट

अगर कोई पहले ही अंदर आ चुका है, तो सिर्फ़ पासवर्ड बदलना काफ़ी नहीं। मेलबॉक्स में घुसने वाला अक्सर कुछ ऐसा सेट कर देता है जो पासवर्ड बदलने के बाद भी टिका रहे, इसलिए ये चार चीज़ें देखें: खुले सेशन, फ़ॉरवर्डिंग, फ़िल्टर और रिकवरी की जानकारी। मेनू के नाम समय के साथ बदलते रहते हैं, पर नीचे के रास्ते आपको काफ़ी पास पहुंचा देंगे।

Gmail और Google अकाउंट

वेब पर Gmail में गियर आइकन पर जाएं, फिर See all settings। Forwarding and POP/IMAP में ऐसा कोई फ़ॉरवर्डिंग पता देखें जो आपने नहीं जोड़ा, और Filters and Blocked Addresses में वे नियम देखें जो मेल हटाते या फ़ॉरवर्ड करते हैं। इनबॉक्स के नीचे दाईं ओर, पिछली अकाउंट गतिविधि के नीचे Details लिंक हाल की पहुंच दिखाता है। आपके Google Account में Security पेज आपके डिवाइस, हाल की सिक्योरिटी गतिविधि, रिकवरी फ़ोन और ईमेल, और थर्ड-पार्टी कनेक्शन की सूची देता है। जो डिवाइस पहचान में न आए उसे साइन आउट करें और जो ऐप न पहचानें उसे हटाएं।

Outlook.com और Microsoft अकाउंट

वेब पर Outlook में Settings खोलें, फिर Mail। Forwarding और Rules देखें। अपने Microsoft अकाउंट में साइन-इन गतिविधि जांचने के लिए Security पर जाएं, और देखें कि कौन-से वेरिफ़िकेशन तरीके और ऐप जुड़े हैं।

Apple और iCloud Mail

iPhone पर Settings खोलें, अपने नाम पर टैप करें, फिर Sign-In & Security पर, ताकि अपने भरोसेमंद फ़ोन नंबर और रिकवरी के विकल्प देख सकें। नीचे की डिवाइस सूची में वह सब दिखता है जो आपके Apple Account में साइन इन है। iCloud Mail के मेल नियम और फ़ॉरवर्डिंग iCloud.com की Mail सेटिंग्स में देखे जा सकते हैं।

छेड़छाड़ हुआ मेलबॉक्स कैसा दिखता है

जो फ़ॉरवर्डिंग पता आपने नहीं जोड़ा वह सबसे साफ़ संकेत है, क्योंकि वह चुपचाप आपकी मेल की कॉपी, पासवर्ड रीसेट समेत, किसी और को भेजता रहता है। उसके ठीक बाद वह फ़िल्टर आता है जो “security”, “password” जैसे शब्दों या आपके बैंक के नाम वाले मैसेज सीधे ट्रैश या आर्काइव में भेज दे। अनजान भेजे गए मैसेज, कोई अनजान रिकवरी फ़ोन नंबर, या कोई जुड़ा हुआ ऐप जिसे आपने मंज़ूर नहीं किया, ये सब उसी तरफ़ इशारा करते हैं।

इनमें से कुछ भी मिले तो मेलबॉक्स को समझौता हुआ मानें। उस चीज़ को हटाएं, किसी भरोसेमंद डिवाइस से पासवर्ड फिर बदलें, सभी सेशन साइन आउट करें, और फिर मेल को खुद खंगालें। उन पासवर्ड रीसेट मैसेज को खोजें जो आपने नहीं मंगवाए थे, क्योंकि वे दिखाते हैं कि और किन अकाउंट को निशाना बनाया गया। अगर आप बाहर हो गए हैं तो प्रोवाइडर की अकाउंट रिकवरी प्रक्रिया सही रास्ता है, और उस तक प्रोवाइडर के अपने हेल्प पेज से पहुंचें। “email support number” की खोज के नतीजे स्कैमर का जाना-पहचाना शिकार का मैदान हैं।

दूसरा फ़ैक्टर चुनना

टू-फ़ैक्टर ऑथेंटिकेशन ज़्यादातर क्रेडेंशियल स्टफ़िंग रोक देता है, क्योंकि अकेले लीक हुए पासवर्ड से अब कोई अंदर नहीं जा पाता। तरीकों में बहुत फ़र्क है, और ब्रीच के बाद अपने अहम अकाउंट को जहां हो सके इस तालिका में ऊपर ले जाना समझदारी है।

तरीका	कितना टिकता है	कहां कमज़ोर पड़ता है
टेक्स्ट मैसेज कोड	सिर्फ़ पासवर्ड से कहीं बेहतर	SIM स्वैप; कोड नकली साइट पर टाइप किए जा सकते हैं और आगे पहुंचाए जा सकते हैं
ईमेल से भेजे कोड	आपके सबसे अहम अकाउंट पर कमज़ोर	मेलबॉक्स ही समझौता हो तो बेकार, और मेलबॉक्स के अपने लॉगिन पर बेमतलब
ऑथेंटिकेटर ऐप (TOTP)	अच्छा, और आपके फ़ोन नंबर पर निर्भर नहीं	कोड फिर भी किसी विश्वसनीय नकली लॉगिन पेज पर फ़िश हो सकते हैं; फ़ोन बदलने के लिए बैकअप रखें
पुश अप्रूवल	तब अच्छा जब वह नंबर मिलाने को कहे	नंबर मिलाए बिना, बार-बार आने वाले प्रॉम्प्ट थका देते हैं और आदमी Approve दबा देता है
पासकी या हार्डवेयर सिक्योरिटी की	ज़्यादातर लोगों के लिए सबसे मज़बूत विकल्प	थोड़े सेटअप और बैकअप के लिए दूसरी की या सिंक होने वाले डिवाइस की ज़रूरत; हर जगह उपलब्ध नहीं

इस संदर्भ में पासकी पर थोड़ा ज़्यादा ध्यान देना बनता है। पासकी पब्लिक-की क्रिप्टोग्राफ़ी पर आधारित क्रेडेंशियल है जो एक वेबसाइट के डोमेन से बंधा होता है। साइट केवल पब्लिक हिस्सा रखती है, इसलिए चुराई गई यूज़र तालिका में ऐसा कुछ नहीं होता जिससे आपके नाम से लॉगिन हो सके। मिलती-जुलती फ़िशिंग साइट को भी कुछ नहीं मिलता, क्योंकि आपका डिवाइस ग़लत डोमेन को क्रेडेंशियल देगा ही नहीं। अगर आपका मेल प्रोवाइडर और बैंक पासकी सपोर्ट करते हैं, तो ब्रीच नोटिस उसे सेट करने का ठीक मौका है। जो भी तरीका अपनाएं, जब रिकवरी कोड दिए जाएं तो उन्हें अपने पासवर्ड मैनेजर में या घर में किसी सुरक्षित जगह कागज़ पर रख लें।

जब भुगतान या पहचान का डेटा शामिल हो

सादे ईमेल और पासवर्ड के लीक में इसकी ज़रूरत नहीं पड़ती। अगर सूची में पूरे कार्ड नंबर, बैंक की जानकारी या सरकारी पहचान संख्याएं हैं, तो अगले कदम इस पर निर्भर हैं कि आप कहां रहते हैं और कंपनी क्या देती है।

कार्ड के लिए, कार्ड पर छपे नंबर से जारीकर्ता को कॉल करें और पूछें कि उसे बदलना चाहिए या नहीं। हाल के स्टेटमेंट में छोटे टेस्ट चार्ज देखें, जो अक्सर बड़े चार्ज से पहले आते हैं। अगर कंपनी मुफ़्त आइडेंटिटी मॉनिटरिंग देती है, तो आप उस तक कंपनी की आधिकारिक साइट से पहुंच सकते हैं, और यह जान लें कि मॉनिटरिंग समस्या शुरू होने के बाद ही उसकी रिपोर्ट करती है।

संयुक्त राज्य अमेरिका में क्रेडिट फ़्रीज़ सबसे मज़बूत मुफ़्त औज़ार है। संघीय क़ानून के तहत तीनों राष्ट्रव्यापी ब्यूरो (Equifax, Experian और TransUnion) में से हर एक पर आपकी फ़ाइल फ़्रीज़ और अनफ़्रीज़ करना मुफ़्त है, और फ़्रीज़ आम तौर पर आपके नाम से नया क्रेडिट खुलने से तब तक रोकता है जब तक आप उसे हटा न दें। आपको हर ब्यूरो से अलग संपर्क करना होगा। फ़्रॉड अलर्ट हल्का विकल्प है जो ऋणदाताओं से आपकी पहचान जांचने को कहता है, एक साल चलता है, और किसी एक ब्यूरो में लगाने पर बाकी तक पहुंच जाता है। अगर आपकी पहचान का दुरुपयोग हुआ है, तो FTC की साइट IdentityTheft.gov एक रिकवरी प्लान और एक रिपोर्ट बनाती है जिसे आप बैंकों और ब्यूरो के साथ इस्तेमाल कर सकते हैं।

दूसरी जगहों पर विकल्प अलग हैं। UK में आप क्रेडिट रेफ़रेंस एजेंसियों से अपनी फ़ाइल जांच सकते हैं और अपने बैंक से सलाह पूछ सकते हैं, और फ़्रॉड रोकथाम सेवा Cifas से सशुल्क सुरक्षात्मक रजिस्ट्रेशन मिल सकता है। EU और कई अन्य देशों में अपने बैंक से संपर्क करें और अपने राष्ट्रीय उपभोक्ता या डेटा संरक्षण प्राधिकरण की सलाह देखें। अगर पासपोर्ट या राष्ट्रीय ID का स्कैन चोरी हुआ, तो जारी करने वाला प्राधिकरण बता सकता है कि उसे बदलवाना उचित है या नहीं।

लीक हुए फ़ोन नंबर का अपना इलाज है। अपनी मोबाइल कंपनी से अकाउंट PIN, पोर्ट-आउट PIN या नंबर लॉक मांगें, जो भी नाम वह उसे देती हो। इनसे SIM-स्वैप धोखाधड़ी मुश्किल हो जाती है, जिसमें हमलावर कंपनी को मनाकर आपका नंबर अपने SIM पर करवा लेता है और फिर आपके टेक्स्ट कोड पाता है। कंपनियां जो देती हैं उसमें फ़र्क होता है, इसलिए सीधे पूछें।

उलझन वाली स्थितियां

ऐसी साइट का ब्रीच जो आपने कभी इस्तेमाल नहीं की

कई व्याख्याएं हो सकती हैं। किसी ने आपका पता ग़लती से टाइप किया हो या जान-बूझकर इस्तेमाल किया हो, डेटा नामित कंपनी के लिए काम करने वाले किसी वेंडर से आया हो, लीक स्क्रैप की गई या मिलाई गई सूची हो, या आप बस सालों पुराना अकाउंट भूल गए हों। पता करने के लिए आधिकारिक साइट पर “forgot password” फ़ंक्शन इस्तेमाल करें। अगर रीसेट आ जाए, तो अकाउंट मौजूद है, और आप उसे सुरक्षित या बंद कर सकते हैं। अगर आपने उसे नहीं बनाया, तो कंपनी से संपर्क करें, क्योंकि आपके पते से किसी और का डेटा जुड़ा हो सकता है।

पुराना पासवर्ड जो आप अब इस्तेमाल नहीं करते

यह अच्छी ख़बर है, बशर्ते “अब इस्तेमाल नहीं करते” हर जगह सच हो। भूले हुए अकाउंट पुराने पासवर्ड रखे रहते हैं, और उसी पैटर्न पर बना कोई भी नया पासवर्ड बदलने लायक है। अगर आपके पास पासवर्ड मैनेजर है, तो उसमें उसे खोजें।

आपका पासवर्ड बताने वाला ब्लैकमेल ईमेल

यह स्कैम आम है, और पहली बार डरावना लगता है। भेजने वाला सबूत के तौर पर आपका असली पुराना पासवर्ड लिखता है, दावा करता है कि उसने वेबकैम से आपकी रिकॉर्डिंग की है, और क्रिप्टोकरेंसी मांगता है। आम तौर पर पासवर्ड किसी ब्रीच सूची से आया होता है और कोई रिकॉर्डिंग नहीं होती। पैसे न दें और जवाब न दें। वह पासवर्ड हर उस जगह बदलें जहां आप अब भी उसे इस्तेमाल करते हैं, मैसेज की रिपोर्ट करें और भेजने वाले को ब्लॉक करें। अगर मैसेज में असली निजी सामग्री हो या ऐसी धमकी हो जिसे आप गंभीरता से लें, तो एक कॉपी रखें और पुलिस से संपर्क करें।

ब्रीच में आपका दफ़्तर का पता था

अपनी IT या सिक्योरिटी टीम को बताएं, भले ही बात छोटी लगे। वे कंपनी के सिस्टम में दोहराव की जांच करना, क्रेडेंशियल रीसेट करना या निशाना बनाकर होने वाली फ़िशिंग पर नज़र रखना चाह सकते हैं। दफ़्तर के पते से मॉनिटरिंग सर्विस पर साइन-अप करने से पहले अपने नियोक्ता की नीति देखें, और आगे निजी अकाउंट निजी पते पर रखें।

किसी माता-पिता या रिश्तेदार को नोटिस मिला

उनके साथ वही क्रम दोहराएं, उनके मुख्य मेलबॉक्स और दोहराए गए पासवर्ड पर ध्यान देकर। बड़े रिश्तेदार अक्सर ब्रीच का ज़िक्र करने वाले फ़ॉलो-अप कॉल का निशाना बनते हैं, इसलिए एक काम का नियम तय कर लें कि कोई असली कंपनी उनसे कोड पढ़कर सुनाने को नहीं कहेगी। अगर कॉल करने वाला कुछ और कहे, तो वे फ़ोन रख सकते हैं और बैंक कार्ड या स्टेटमेंट पर छपे नंबर पर वापस कॉल कर सकते हैं।

सेटलमेंट या मुआवज़े का मैसेज

बड़े ब्रीच के बाद आपको क्लास एक्शन या मुआवज़ा योजनाओं के मैसेज मिल सकते हैं। कुछ असली होते हैं, और कुछ नकल होते हैं जो बैंक की जानकारी इकट्ठा करने के लिए बने हैं। कुछ भी भरने से पहले सेटलमेंट को किसी आधिकारिक अदालत, नियामक या कंपनी के पेज पर जांचें। मुआवज़ा पाने के लिए कोई फ़ीस न दें।

अगले कुछ हफ़्तों में

जब तात्कालिक हिस्सा निपट जाए, तो ब्रीच उस चीज़ को सुधारने का अच्छा बहाना है जिसने उसे ख़तरनाक बनाया। इनमें से कुछ भी एक बैठक में करना ज़रूरी नहीं।

अगर आप पासवर्ड मैनेजर इस्तेमाल नहीं करते, तो उससे शुरू करें। वह हर साइट के लिए रैंडम पासवर्ड बनाता है और मिलते-जुलते डोमेन पर भरने से मना कर देता है, जिससे फ़िशिंग से थोड़ी सुरक्षा भी मिलती है। कोई जाना-माना प्रोडक्ट चुनें, उसे लंबे पासफ़्रेज़ और दूसरे फ़ैक्टर से सुरक्षित करें, और पहले अपने सबसे अहम अकाउंट उसमें ले जाएं। बाकी आप लॉगिन करते हुए ले जा सकते हैं। NIST के डिजिटल आइडेंटिटी दिशानिर्देश केवल रिवाज़ के लिए बार-बार पासवर्ड बदलवाने के ख़िलाफ़ और पासवर्ड को ज्ञात लीक से मिलाकर जांचने के पक्ष में सलाह देते हैं, इसलिए आपको सब कुछ किसी शेड्यूल पर घुमाने की ज़रूरत नहीं। जो उजागर, कमज़ोर या दोहराया हुआ है उसे बदलें।

फिर अपनी मेलबॉक्स खोज से मिली भूले हुए अकाउंट की सूची देखें। हर निष्क्रिय अकाउंट अगली घटना की राह देखता हुआ जमा डेटा है। लॉगिन करें, प्रोफ़ाइल से जो हटा सकते हैं हटाएं, सेव किया कार्ड हटाएं, और अकाउंट बंद करें। जहां डिलीट बटन न हो, वहां साइट की प्राइवेसी नीति में दिए प्राइवेसी संपर्क को लिखें। GDPR और कैलिफ़ोर्निया जैसे कुछ अन्य क़ानूनों में कई लोगों को डिलीट करने का अनुरोध करने का अधिकार है, हालांकि कंपनी वे रिकॉर्ड रख सकती है जिन्हें रखना उसके लिए ज़रूरी है, और ये अधिकार इस पर निर्भर हैं कि आप कहां रहते हैं।

अगली बारी सिक्योरिटी सवालों की है। “मां का मायके का नाम” और “पहला स्कूल” अक्सर ब्रीच डेटा या सोशल मीडिया से मिल जाते हैं। जहां साइट उन्हें इस्तेमाल करने को मजबूर करे, वहां रैंडम जवाब दें और उसे पासवर्ड की तरह अपने पासवर्ड मैनेजर में सेव करें।

आख़िर में, कुछ समय तक ध्यान देते रहें। लीक हुआ डेटा सालों तक घूमता रहता है, और निशाना बनाकर की गई फ़िशिंग अक्सर सुर्ख़ियां फीकी पड़ने के काफ़ी बाद आती है। ब्रीच अलर्ट चालू रखें, हर कुछ महीनों में अपने पासवर्ड मैनेजर की रिपोर्ट देखें, और ब्रीच हुई सर्विस का ज़िक्र करने वाले किसी भी मैसेज पर भरोसा करने में देर करें।

अगले ब्रीच को छोटा बनाना

किसी कंपनी की सिक्योरिटी पर आपका बस नहीं चलता। आप यह ज़रूर तय करते हैं कि वह कितना रखे और एक रिकॉर्ड से लीक कितनी दूर फैल सकता है। मकसद यह है कि हर आगे का नोटिस बस पासवर्ड की एक जल्दी जांच का मामला रहे, और कुछ नहीं।

अपने पतों को भरोसे के हिसाब से बांटें

सबसे काम की तब्दीली है हर किसी को एक ही पता देना बंद करना। तीन स्तरों वाला सीधा ढांचा ज़्यादातर लोगों के लिए काफ़ी है, और हमारा निजी ईमेल रणनीति वाला लेख उसे चरण-दर-चरण समझाता है।

स्तर	किसके लिए इस्तेमाल करें	पते का प्रकार	ब्रीच की क़ीमत
मुख्य	बैंक, सरकार, स्वास्थ्य, दफ़्तर, पासवर्ड मैनेजर, मुख्य सोशल अकाउंट	लंबे समय का पता, मज़बूत साइन-इन सुरक्षा के साथ, शायद ही किसी को दिया गया	गंभीर, लेकिन इस स्तर को शायद ही लीक होना चाहिए, क्योंकि इसे कम कंपनियां रखती हैं
रोज़मर्रा	दुकानें, सब्सक्रिप्शन, वे सर्विस जो आप सालों रखते हैं	दूसरा मेलबॉक्स, या ऐसे एलियास जो आपके मेलबॉक्स में फ़ॉरवर्ड हों	सीमित; आप एक एलियास बंद कर सकते हैं या उसे फ़िल्टर कर सकते हैं
एक बार का	एक डाउनलोड, एक फ़ॉर्म जिसे आप दोबारा इस्तेमाल नहीं करेंगे, अपने ही साइन-अप पेज की टेस्टिंग	अस्थायी इनबॉक्स, अगर साइट की शर्तें इजाज़त दें	छोटा; पता आपके नाम से जुड़ा नहीं और इनबॉक्स ख़त्म हो चुका है

प्लस एड्रेसिंग, जैसे name+shop@example.com, बीच में कहीं बैठती है। यह Gmail और Outlook.com पर चलती है और दिखा सकती है कि आपका पता किसने लीक किया या बेचा। यह कुछ छिपाती नहीं, क्योंकि कोई भी टैग हटाकर मूल पता देख सकता है, और हमलावरों के टूल ठीक यही करते हैं। iCloud+, Proton या Firefox Relay जैसे फ़ॉरवर्डिंग एलियास असली पता सही मायनों में छिपा देते हैं, क्योंकि एलियास में ऐसा कुछ नहीं जो उस तक ले जाए। यहां ख़रीदारी पर ख़ास ध्यान देना चाहिए, क्योंकि दुकानों के डेटाबेस में पते, फ़ोन नंबर और घर के पते साथ रखे होते हैं। हमारी शॉपिंग ईमेल प्राइवेसी गाइड इसी मामले को समझाती है, रसीदें कैसे संभालें यह भी।

अस्थायी इनबॉक्स कहां काम आता है

अस्थायी इनबॉक्स उस साइट पर एक अकेले काम के लिए ठीक है जिससे आपका कोई लंबा रिश्ता नहीं, प्राइवेसी के लिए, और जहां साइट की शर्तें इजाज़त दें। VookMail ऐसी ही एक सर्विस है: पेज खुलते ही पता तैयार मिलता है, साइन-अप या पासवर्ड के बिना। आप नया दबाकर यूज़रनेम टाइप कर सकते हैं और 30 से ज़्यादा डोमेन में से एक चुन सकते हैं, या रैंडम पते के लिए पीला रैंडम बटन दबा सकते हैं। मैसेज, अटैचमेंट और पते क़रीब एक दिन बाद हटा दिए जाते हैं।

यही छोटी उम्र भविष्य के ब्रीच को सीमित करती है। अगर कोई साइट जिस पर आप एक बार गए थे बाद में अपनी यूज़र तालिका लीक कर दे, तो उस तालिका का पता ऐसे इनबॉक्स तक ले जाता है जिसमें अब कुछ नहीं और जो आपके नाम, फ़ोन या मुख्य मेलबॉक्स से जुड़ा नहीं है। वहां बनाया गया कोई भी पासवर्ड अब भी मायने रखता है, इसलिए उसे अनोखा रखें। प्रोफ़ाइल में भरी जानकारी भी उजागर होती है, इसलिए फ़ॉर्म जितना मांगे बस उतना ही भरना अच्छी वजह है।

सीमाएं भी उतनी ही साफ़ हैं। जो भी अस्थायी पते को जानता या अंदाज़े से बना ले वह उस इनबॉक्स को खोल सकता है, इसलिए रैंडम पता ज़्यादा सुरक्षित चुनाव है और वहां कुछ निजी नहीं रखना चाहिए। हफ़्तों बाद पासवर्ड रीसेट भरोसे से नहीं मिल सकता, इसलिए जिस अकाउंट की आपको दोबारा ज़रूरत पड़ सकती है उसके लिए यह ग़लत औज़ार है, और इसे बैंकिंग, सरकारी सेवाओं, स्वास्थ्य, दफ़्तर या मुख्य सोशल अकाउंट के लिए कभी इस्तेमाल नहीं करना चाहिए। कुछ साइटें डिस्पोज़ेबल डोमेन मना कर देती हैं। यह उनका फ़ैसला है, और सही जवाब इसका सम्मान करना और उन्हें स्थायी पता या एलियास देना है। हमारी नियम और शर्तें भी इस सर्विस का इस्तेमाल धोखाधड़ी, दुरुपयोग या प्रतिबंध से बचने के लिए करने से मना करती हैं।

शुरू से ही कम सौंपें

नुकसान इस पर निर्भर है कि क्या सेव था। वैकल्पिक फ़ील्ड ख़ाली छोड़ें। जिस साइट को कम इस्तेमाल करते हैं वहां कार्ड सेव न करें। जिन सर्विसों पर पूरा भरोसा नहीं, वहां “Sign in with” बटनों से सावधान रहें और देखें कि वे प्रोफ़ाइल की कौन-सी पहुंच मांगते हैं। फ़ोन नंबर देने से मना करें जब तक साइट को सच में सुरक्षा के लिए उसकी ज़रूरत न हो। जन्मतिथि, जो साइट बस बर्थडे कूपन के लिए चाहती है, ऐसा डेटा है जिसे आप, जहां फ़ॉर्म इजाज़त दे, अपने पास रख सकते हैं।

आपका डेटा दो अलग जगहों पर रहता है

दो तरह की घटनाओं को अलग करना मदद करता है, जिन्हें अक्सर एक साथ गिना जाता है। जब किसी सर्विस का ब्रीच होता है, तो हमलावर को वही मिलता है जो उस सर्विस ने रखा था: आपका पता, प्रोफ़ाइल, और डेटाबेस में जो भी और था। जब आपका मेलबॉक्स समझौता होता है, तो हमलावर को कुछ और मिलता है, यानी हर वह मैसेज जो आपने रखा है, पुरानी रसीदें, पासवर्ड रीसेट लिंक, स्कैन किए दस्तावेज़ और निजी बातचीत समेत।

दूसरी घटना आम तौर पर ज़्यादा बुरी है, और इसीलिए यह गाइड आपको बार-बार मेलबॉक्स की तरफ़ लौटाती है। इससे एक छोटी-सी आदत भी निकलती है: आपके मुख्य अकाउंट में दस साल की कम काम की मेल पड़ी रहना ज़रूरी नहीं। पुराने शिपिंग नोटिस और न्यूज़लेटर मिटाने से यह घट जाता है कि मेलबॉक्स समझौता होने पर क्या दिख सकता है, और ज़रूरी दस्तावेज़ों को अपनी अलग सुरक्षा के साथ कहीं सुरक्षित रखने में कम लगता है।

अस्थायी इनबॉक्स इसी सोच के दूसरे छोर पर हैं। VookMail पर हर डोमेन के MX रिकॉर्ड एक मेल डिलीवरी प्रोवाइडर की ओर इशारा करते हैं, जो मैसेज SMTP से पाता है और HTTPS से सर्विस को आगे भेज देता है। मैसेज और अटैचमेंट क़रीब एक दिन बाद हटा दिए जाते हैं, इसलिए कोई लंबा आर्काइव नहीं बनता। सर्विस डेटा को कैसे संभालती है, यह प्राइवेसी नीति और कार्यप्रणाली पेज पर बताया गया है।

ब्रीच खुद कैसे हुआ, और आपके लिए इसका क्या मतलब है

कंपनियां कारण हमेशा विस्तार से नहीं बतातीं, पर जब बताती हैं, तो वह आपको अंदाज़ा दे सकता है कि आगे क्या उम्मीद करें।

• डेटाबेस में सेंध, जैसे SQL इंजेक्शन या बिना पैच किए सर्वर की कमी से, का मतलब आमतौर पर यह होता है कि यूज़र तालिका थोक में कॉपी हुई। पते और पासवर्ड हैश की उम्मीद करें, और मानें कि डेटा बेचा जाएगा।
• ग़लत कॉन्फ़िगर किया स्टोरेज का मतलब है कि कोई डेटाबेस या क्लाउड बकेट इंटरनेट पर खुला छोड़ दिया गया था। हो सकता है किसी ने “हैक” कुछ भी न किया हो, और कंपनी को पता न हो कि किसने डाउनलोड किया, इसलिए “क्या मेरा डेटा लिया गया?” का ईमानदार जवाब “हम बता नहीं सकते” हो सकता है।
• वेंडर की घटना का मतलब है कि कोई मार्केटिंग प्लेटफ़ॉर्म, सपोर्ट डेस्क या एनालिटिक्स टूल समझौता हुआ। इससे समझ आता है कि अनजान नामों से नोटिस क्यों आते हैं, और इसमें आमतौर पर पासवर्ड नहीं, संपर्क डेटा और सपोर्ट टिकट उजागर होते हैं। सपोर्ट टिकट में आपने जो भी लिखा वह शामिल हो सकता है, इसलिए याद करें कि आपने उन्हें क्या भेजा था।
• स्क्रैपिंग साइट या API के ज़रिए बड़े पैमाने पर सार्वजनिक या अर्ध-सार्वजनिक प्रोफ़ाइल डेटा इकट्ठा करती है। कंपनियां कभी-कभी तर्क देती हैं कि यह ब्रीच नहीं है, पर आपका पता फिर भी बिकने वाले डेटासेट में पहुंच जाता है।
• अंदरूनी दुरुपयोग का मतलब है कि किसी कर्मचारी या ठेकेदार ने वह डेटा निकाल लिया जो उसे नहीं निकालना था। यह अक्सर निशाना बनाकर होता है, इसलिए असामान्य और निजी फ़ॉलो-अप मैसेज पर ज़्यादा शक करना बनता है।

दबाव में आसानी से होने वाली ग़लतियां

सबसे आम है सिर्फ़ ब्रीच वाली साइट का पासवर्ड बदलना और वही पासवर्ड अपने ईमेल और दुकान के अकाउंट पर छोड़ देना। उसके ठीक पीछे है पुराने पासवर्ड का छोटा-सा बदला रूप। Summer2024! से Summer2025! पर जाने में क्रैकिंग टूल को लगभग कोई अतिरिक्त मेहनत नहीं लगती।

लोग एक ही बदलाव पर रुक भी जाते हैं। वे फ़ॉरवर्डिंग नियम छोड़ देते हैं, और इसी तरह पासवर्ड बदलने से पहले अंदर आया व्यक्ति उसके बाद भी मेल पाता रहता है। जब ऑथेंटिकेटर ऐप या पासकी उपलब्ध हो तब भी टेक्स्ट कोड पर टिके रहना ज़रूरी अकाउंट पर एक सुराख़ छोड़ देता है, हालांकि जहां टेक्स्ट ही अकेला विकल्प हो वहां वे कुछ न होने से बेहतर हैं।

फिर इसकी उलटी ग़लती है: हर नोटिस को आपातकाल मान लेना। अगर सिर्फ़ आपका पता ऐसे अकाउंट से लीक हुआ जिसे आप आसानी से बंद कर सकते हैं, तो आपको अपना ईमेल पता बदलने की ज़रूरत नहीं, और किसी डरावने विज्ञापन के दिख जाने से मॉनिटरिंग प्रोडक्ट के लिए पैसे देने की भी नहीं। अपनी मेहनत उन मामलों के लिए बचाकर रखें जिनमें पासवर्ड, कार्ड या पहचान संख्या शामिल थी।

नोटिस के बाद उठने वाले सवाल

क्या मुझे अपना ईमेल अकाउंट डिलीट कर देना चाहिए?

आमतौर पर नहीं। आपका मुख्य पता सालों के पासवर्ड रीसेट और संपर्कों से जुड़ा है, और उसे छोड़ने के अपने जोखिम हैं, क्योंकि भूला हुआ अकाउंट वापस पाना मुश्किल हो सकता है। इसके बजाय उसे सुरक्षित करें, और कम भरोसे वाली साइटों को देना बंद करें। नया पता तभी समझदारी है जब पुराना बुरी तरह उजागर हो चुका हो, और तब भी अपने अकाउंट धीरे-धीरे ले जाएं और पुराने को कुछ समय खुला रखें।

कंपनी कहती है कि पासवर्ड एन्क्रिप्टेड थे। क्या फिर भी मुझे अपना बदलना होगा?

हां। तरीका और यह जाने बिना कि कुंजियां भी चोरी हुईं या नहीं, आप सुरक्षा का अंदाज़ा नहीं लगा सकते, और पासवर्ड बदलने में पता करने से कम समय लगता है। उसे हर उस जगह भी बदलें जहां आपने उसे इस्तेमाल किया था।

क्या अस्थायी पता ब्रीच रोक सकता है?

कोई टूल कंपनी का ब्रीच नहीं रोक सकता। अस्थायी पता यह बदल देता है कि ब्रीच आपके बारे में क्या बताता है। अगर इस तरह जुड़ा कोई फ़ोरम अपनी यूज़र तालिका लीक कर दे, तो लीक हुए पते का आपकी पहचान से कोई संबंध नहीं होता, बशर्ते आपने और कुछ पहचान वाला नहीं भरा हो।

मुझे कितनी बार जांचना चाहिए?

अलर्ट चालू कर दें ताकि जांच आपके बिना होती रहे। हर कुछ महीनों में पासवर्ड मैनेजर की रिपोर्ट पर एक बार हाथ से नज़र डालना काफ़ी है, और जब आपकी इस्तेमाल की कोई सर्विस ख़बरों में हो तब एक बार और।

क्या डार्क वेब मॉनिटरिंग के पैसे देना मदद करता है?

यह इस पर निर्भर है कि आप क्या ख़रीद रहे हैं। ये प्रोडक्ट ज़्यादातर यही बताते हैं कि आपका डेटा कहीं दिखा, जो आप ऊपर दी लुकअप सर्विसों से काफ़ी हद तक मुफ़्त जान सकते हैं। अगर आपका सरकारी ID डेटा उजागर हुआ तो आइडेंटिटी इंश्योरेंस या रिकवरी में मदद कुछ काम की हो सकती है, इसलिए पैसे देने से पहले पढ़ें कि प्लान असल में क्या कवर करता है।

मुझे इसकी रिपोर्ट किसे करनी चाहिए?

आम तौर पर आपको किसी कंपनी के ब्रीच की रिपोर्ट करने की ज़रूरत नहीं, क्योंकि नियामकों के प्रति कंपनी की अपनी ज़िम्मेदारियां हैं। रिपोर्ट तब करें जब आपका पैसा गया हो या आपको ब्लैकमेल किया जा रहा हो: पहले अपने बैंक को, फिर पुलिस या अपनी राष्ट्रीय धोखाधड़ी रिपोर्टिंग सेवा को। EU और UK में, अगर कंपनी घटना को ग़लत तरह संभाले या आपके अनुरोधों को अनदेखा करे, तो आप अपने डेटा संरक्षण प्राधिकरण से शिकायत कर सकते हैं।

अस्थायी इनबॉक्स कैसे काम करते हैं और मैसेज कितने समय तक रखे जाते हैं, इस बारे में और जानने के लिए VookMail FAQ देखें।