साइबर सुरक्षा, ऑनलाइन गोपनीयता, और डेटा सुरक्षा की दुनिया में हर महीने बहुत कुछ चल रहा है। इसका ट्रैक रखना मुश्किल है!
हमारा मासिक सुरक्षा डाइजेस्ट आपको हर महीने सबसे महत्वपूर्ण सुरक्षा और गोपनीयता समाचारों पर नजर रखने में मदद करेगा। यहां सितंबर में क्या हुआ।
1. 5 करोड़ फेसबुक अकाउंट हैक
सितंबर के आखिरी हफ्ते में सबसे बड़ी खबरों में से एक सामने आई: 5 करोड़ व्यक्तिगत फेसबुक उपयोगकर्ता खातों को हैक कर लिया गया। फेसबुक ने 9 करोड़ खातों के पासवर्ड रीसेट किए, बस सुनिश्चित होने के लिए, यह दर्शाता है कि समझौता किए गए खातों की अंतिम संख्या बढ़ सकती है।
हमलावरों ने फेसबुक के "View As" फीचर में एक भेद्यता का फायदा उठाया, जो उपयोगकर्ताओं को यह देखने की अनुमति देता है कि उनका अपना खाता दूसरों को कैसा दिखता है। फेसबुक की भेद्यता तीन बग्स से उपजी है। पहला फेसबुक वीडियो अपलोड टूल को View As पेज पर प्रकट होने की अनुमति देता है। दूसरा अपलोड टूल को एक एक्सेस कोड जनरेट करने देता है। अंतिम बग View As पेज को उस उपयोगकर्ता के लिए एक एक्सेस कोड जनरेट करने देता है जिसे हैकर चाहता है।
यह मुद्दा फेसबुक साइट तक सीमित नहीं है। इंस्टाग्राम जैसी अन्य फेसबुक सेवाएं भी कमजोर हैं, साथ ही सर्वव्यापी फेसबुक लॉगिन का उपयोग करने वाली साइटें और सेवाएं। (यह है कि आप सोशल लॉगिन का उपयोग करते समय अपने खातों को कैसे सुरक्षित करते हैं।)
प्रारंभ में, यह बताने का एकमात्र तरीका कि क्या आप पीड़ित हैं, अगर फेसबुक ने आपको बिना चेतावनी के आपके खाते से साइन आउट कर दिया। हालांकि, फेसबुक अब कहता है कि अगर आपका खाता शामिल था तो यह आपके न्यूज फीड के शीर्ष पर एक संदेश पोस्ट करेगा।
फेसबुक हैक MakeUseOf के यूरोपीय पाठकों के लिए विशेष महत्व रखता है; यह मई 2018 में EU द्वारा जनरल डेटा प्रोटेक्शन (GDPR) कानून लागू करने के बाद से एक प्रमुख टेक कंपनी का पहला महत्वपूर्ण डेटा उल्लंघन है।
चूंकि फेसबुक आयरलैंड में पंजीकृत है, आयरिश डेटा प्रोटेक्शन कमीशन GDPR की शर्तों के तहत फेसबुक पर भारी जुर्माना लगा सकता है, लेकिन आयुक्त ने अभी तक "उल्लंघन की प्रकृति और उपयोगकर्ताओं के लिए जोखिम" स्पष्ट नहीं किया है।
यदि आप फेसबुक हैक के शिकार हैं, तो यहां चार चीजें हैं जो आपको तुरंत करने की आवश्यकता है।
2. फाइव आइज़ सरकारें एन्क्रिप्शन पर हमला करती हैं
"संयुक्त राज्य अमेरिका, यूनाइटेड किंगडम, कनाडा, ऑस्ट्रेलिया, और न्यूजीलैंड की सरकारें व्यक्तिगत अधिकारों और गोपनीयता के लिए प्रतिबद्ध हैं, और उन अधिकारों की रक्षा में एन्क्रिप्शन की भूमिका का समर्थन करती हैं।"
फाइव आइज़ सरकारों के मंत्री - U.S.A., यूनाइटेड किंगडम, कनाडा, ऑस्ट्रेलिया, और न्यूजीलैंड - वार्षिक FCM के लिए ऑस्ट्रेलिया में मिले। इसी फाइव कंट्री मिनिस्ट्रियल में उपरोक्त बयान का मसौदा तैयार किया गया था।
हालांकि, संयुक्त बयान के आगे निरीक्षण से पता चलता है कि फाइव आइज़ सहयोगी Apple, Facebook, और Google जैसी टेक दिग्गजों को अपने उत्पादों के लिए "कानूनी पहुंच समाधान" प्रदान करने के लिए मजबूर करने वाला कानून पेश करने की धमकी दे रहे हैं। दूसरे शब्दों में: फाइव आइज़ देशों की सरकारें एन्क्रिप्शन बैकडोर चाहती हैं, और वे उन्हें अभी चाहती हैं।
दुर्भाग्य से, यह बस संभव नहीं है। एक व्यक्ति के लिए बैकडोर बनाने से यह दूसरों के लिए मौजूद नहीं रहता। एक बार एन्क्रिप्शन बैकडोर खुल जाने पर, सैकड़ों लाखों अन्य कानून-पालन करने वाले उपयोगकर्ताओं की सुरक्षा वाष्पित हो जाती है।
यह एक ऐसा मुद्दा नहीं है जो जल्द ही दूर होने वाला है। इसके अलावा, एन्क्रिप्शन तोड़ने के खिलाफ कई तर्क हैं, लेकिन इसके पक्ष में बहुत कम। कभी-कभी, ग्रेकी जैसे एन्क्रिप्शन-ब्रेकिंग टूल कानून प्रवर्तन को एक ब्रेक देने के लिए पॉप-अप करते हैं, लेकिन वे कम और दूर हैं। अन्य देश एक वैकल्पिक दृष्टिकोण पर विचार कर रहे हैं। उदाहरण के लिए, जर्मन इंटीरियर मिनिस्ट्री के दस्तावेज iOS, Android, और ब्लैकबेरी डिवाइस को टारगेट करने के लिए रिमोट कम्युनिकेशन इंटरसेप्शन सॉफ्टवेयर के उपयोग का संदर्भ देते हैं, बिना Apple, Google, Facebook, आदि जैसे सेवा प्रदाताओं पर भरोसा किए।
अपने संदिग्धों के डिवाइस पर बैकडोर इंस्टॉल करने वाली पुलिस? यह एक और कहानी है।
3. ब्रिटिश एयरवेज उल्लंघन: 300,000 ग्राहक प्रभावित
UK फ्लैग कैरियर ब्रिटिश एयरवेज (BA) ने खुलासा किया कि 21 अगस्त 2018 को 22:58 से 5 सितंबर 2018 को 21:45 तक की अवधि के दौरान, 300,000 ग्राहकों के भुगतान विवरण का उल्लंघन किया गया था। (हां, ये अजीब तरह से विशिष्ट समय BA से आते हैं।)
चोरी की गई जानकारी में उस अवधि के दौरान BA के साथ बुकिंग करने वाले किसी भी ग्राहक की व्यक्तिगत और वित्तीय जानकारी शामिल थी। इसमें हालांकि, उन ग्राहकों के पासपोर्ट या पहचान दस्तावेज डेटा शामिल नहीं थे। BBC Radio 4 के टुडे ऑन फ्राइडे कार्यक्रम पर बोलते हुए, BA के अध्यक्ष और CEO एलेक्स क्रूज़ ने कहा कि हैक "एक परिष्कृत, दुर्भावनापूर्ण आपराधिक हमला" था और BA "जो हुआ उसके लिए बेहद खेद है।" क्रूज़ ने यह भी वादा किया कि BA "100 प्रतिशत प्रतिबद्ध" था किसी भी प्रभावित ग्राहक को मुआवजा देने के लिए।
BA ने आधिकारिक तौर पर खुलासा नहीं किया है कि हैक कैसे हुआ। हालांकि, RiskIQ के सुरक्षा शोधकर्ताओं का मानना है कि हैकर्स ने Modernizr JavaScript लाइब्रेरी के संशोधित संस्करण के माध्यम से BA भुगतान पेज पर दुर्भावनापूर्ण कोड लगाया। दुर्भावनापूर्ण कोड चोरी किए गए डेटा को रोमानिया में होस्ट किए गए सर्वर पर अपलोड करता था। यह बदले में Time4VPS नामक एक VPS प्रदाता का हिस्सा है, जो लिथुआनिया में स्थित है।
"इस हमले में उपयोग किया गया इंफ्रास्ट्रक्चर केवल ब्रिटिश एयरवेज को ध्यान में रखकर स्थापित किया गया था और जानबूझकर उन स्क्रिप्ट्स को टारगेट किया गया था जो सामान्य भुगतान प्रसंस्करण के साथ मिश्रित हो जाएंगी ताकि पता लगाने से बचा जा सके।"
शोधकर्ताओं ने हैक को Magecart नामक एक समूह से जोड़ा जो Ticketmaster और Newegg पर हाल के हमलों के लिए भी जिम्मेदार हैं।
4. ESET ने पहला UEFI-आधारित रूटकिट खोजा
ESET के सुरक्षा शोधकर्ताओं ने जंग में पहला UEFI-आधारित रूटकिट खोजा। रूटकिट एक हैकर को एक कमजोर सिस्टम पर लगातार मैलवेयर इंस्टॉल करने की अनुमति देता है जिसमें पूर्ण-सिस्टम फॉर्मेट से बचने की क्षमता होती है।
UEFI रूटकिट की खोज विशेष रूप से परेशान करने वाली है क्योंकि UEFI सिस्टम पारंपरिक रूप से ऐसे खतरों के खिलाफ सुरक्षित रहे हैं। हालांकि, रूटकिट एक महत्वपूर्ण समस्या प्रस्तुत करता है क्योंकि इसे हटाने के लिए पूर्ण मदरबोर्ड फर्मवेयर फ्लैश की आवश्यकता होती है; आपके नियमित एंटीवायरस और एंटीमैलवेयर प्रोग्राम रूटकिट के पास नहीं पहुंच पाएंगे।
"किसी सिस्टम के UEFI इमेज को संशोधित करना कठिन है, कुछ समाधान सिस्टम के UEFI मॉड्यूल को स्कैन करने और दुर्भावनापूर्ण लोगों का पता लगाने के लिए मौजूद हैं," ESET ब्लॉग पढ़ता है। "इसके अलावा, सिस्टम के UEFI फर्मवेयर को साफ करने का मतलब इसे री-फ्लैश करना है, एक ऑपरेशन जो आमतौर पर नहीं किया जाता है और निश्चित रूप से औसत उपयोगकर्ता द्वारा नहीं। ये फायदे बताते हैं कि क्यों दृढ़ और साधन संपन्न हमलावर सिस्टम के UEFI को टारगेट करना जारी रखेंगे।"
रूटकिट, जिसे LoJack के नाम से जाना जाता है, को कुख्यात रूसी-सरकार से जुड़े हैकिंग ग्रुप, Fancy Bear का काम माना जाता है। हैकर्स ने Absolute Software के वैध LoJack लैपटॉप एंटी-थेफ्ट टूल को संशोधित किया। टूल सिस्टम BIOS में इंस्टॉल होता है ताकि सिस्टम वाइप से बच सके। संशोधन मूल LoJack कोड के कुछ हिस्सों को कमजोर UEFI चिप्स को फिर से लिखने के लिए बदल देता है।
UEFI रूटकिट से कैसे बचाव करें? सबसे आसान तरीका है UEFI Secure Boot को चालू रखना। आपका सिस्टम फर्मवेयर तब उचित सत्यापन प्रमाण पत्र के बिना किसी भी फाइल को अस्वीकार कर देगा, जिससे आपका सिस्टम नुकसान से सुरक्षित रहेगा।
5. उत्तर कोरियाई हैकर पर WannaCry और Sony हैक्स में आरोप
US सरकार ने 2017 WannaCry वैश्विक रैंसमवर्म हमले के साथ-साथ 2014 Sony Pictures हैक के लिए एक उत्तर कोरियाई हैकर पर आरोप लगाया और प्रतिबंध लगाए, जिसने कंपनी को अपनी तत्कालीन आगामी फिल्म, The Interview को वापस लेने के लिए मजबूर किया। (The Interview उत्तर कोरियाई नेता, किम जोंग-उन की हत्या की साजिश के बारे में एक कॉमेडी है।)
आरोप पत्र में आरोप लगाया गया है कि उत्तर कोरियाई प्रोग्रामर, पार्क जिन ह्योक, चीन और DPRK में कार्यालयों वाली एक सरकारी फ्रंट कंपनी के लिए काम करता था। पार्क और उनके सहयोगियों पर उत्तर कोरियाई सेना की ओर से दुर्भावनापूर्ण गतिविधि में शामिल होने का आरोप है।
"शिकायत द्वारा आरोपित साइबर-अपराधों का पैमाना और दायरा चौंका देने वाला है और उन सभी के लिए आक्रामक है जो कानून के शासन और जिम्मेदार राष्ट्रों द्वारा स्वीकार किए गए साइबर मानदंडों का सम्मान करते हैं," सहायक अटॉर्नी जनरल जॉन डेमर्स ने कहा। "शिकायत में आरोप लगाया गया है कि उत्तर कोरियाई सरकार, एक राज्य-प्रायोजित समूह के माध्यम से, एक केंद्रीय बैंक और अन्य देशों के नागरिकों को लूटा, आधी दुनिया दूर मुक्त भाषण के खिलाफ जवाबी कार्रवाई की, और विघटनकारी मैलवेयर बनाया जिसने 150 से अधिक अन्य देशों में पीड़ितों को अंधाधुंध प्रभावित किया, जिससे सैकड़ों मिलियन, यदि नहीं तो अरबों डॉलर का नुकसान हुआ।"
हैकिंग ग्रुप को Lockheed Martin के खिलाफ असफल हैक प्रयास के लिए भी जिम्मेदार माना जाता है। ग्रुप बांग्लादेश बैंक, इक्वाडोर में बैंको डेल ऑस्ट्रो, वियतनाम के टिएन फोंग बैंक, और कई क्रिप्टोकरेंसी एक्सचेंजों पर हमलों के लिए भी जिम्मेदार है।
उत्तर कोरियाई सरकार ने US अभियोग पर पलटवार करते हुए इसे "बदनाम करने वाला अभियान" करार दिया। यह यह भी दावा करता है कि पार्क एक "गैर-इकाई" है। परिस्थितियों को देखते हुए समझ में आता है।
सुरक्षा समाचार राउंडअप: सितंबर 2018
ये सितंबर 2018 की शीर्ष पांच सुरक्षा कहानियां हैं। लेकिन बहुत कुछ हुआ; हमारे पास बस इसे विस्तार से सूचीबद्ध करने के लिए जगह नहीं है। यहां पांच और दिलचस्प सुरक्षा कहानियां हैं जो पिछले महीने सामने आईं:
- US स्टेट डिपार्टमेंट ने पुष्टि की कि एक सुरक्षा उल्लंघन ने "1% से कम कर्मचारी इनबॉक्स" के ईमेल को प्रभावित किया।
- डेटा मैनेजमेंट फर्म, Veeam, ने लगभग दस दिनों के लिए 445 मिलियन रिकॉर्ड उजागर किए।
- US अटॉर्नी कार्यालय ने खुलासा किया कि Mirai बॉटनेट निर्माता FBI को "जटिल" साइबर अपराध मामलों की जांच में कैसे मदद कर रहे हैं। उनकी सहायता उन्हें जेल से बाहर रखती है।
- Uber ने अपने 2017 डेटा उल्लंघन के लिए $148 मिलियन का जुर्माना भरा।
- Nexusguard के अनुसार, औसत DDoS हमले का आकार 26Gbps तक बढ़ गया है।
साइबर सुरक्षा, गोपनीयता, डेटा सुरक्षा, मैलवेयर, और एन्क्रिप्शन में हर महीने बहुत कुछ होता है। अगले महीने की शुरुआत में अपने अक्टूबर 2018 सुरक्षा राउंडअप के लिए वापस जांचें। इस बीच, उन पांच सुरक्षा उल्लंघनों को देखें जिनसे आपका डेटा जोखिम में पड़ सकता है!
