बुधवार को सिएटल की एक संघीय अदालत ने हाल के वर्षों में हुए सबसे बड़े डेटा उल्लंघनों में से एक मामले को बंद किया। ओंटारियो के किचनर निवासी 26 वर्षीय कॉनर रिले मौक्का ने 2024 में की गई हैकिंग की एक श्रृंखला के मामले में कंप्यूटर धोखाधड़ी, वायर धोखाधड़ी, गंभीर पहचान-चोरी और साजिश के आरोपों में दोष स्वीकार किया। यह अभियान कम-से-कम 165 संगठनों तक पहुँचा और कम-से-कम 10 करोड़ लोगों से संबंधित रिकॉर्ड उजागर हुए। फिरौती और डेटा की बिक्री से उसने व्यक्तिगत रूप से कम-से-कम $495,000 हासिल किए। उसे 27 अक्टूबर को सजा सुनाई जानी है और केवल पहचान-चोरी वाले आरोप में दो साल की अनिवार्य न्यूनतम सजा का सामना करना पड़ रहा है, जबकि बाकी आरोपों में अधिकतम 30 साल तक की सजा हो सकती है।

ये संख्याएँ सुर्खियाँ हैं। जिस छोटे और कहीं कम नाटकीय विवरण पर गौर करना चाहिए, वह यह है: अभियोजकों के अनुसार मौक्का को वास्तव में अंदर आने देने वाली चीज़ पुराने पासवर्ड थे। कोई ज़ीरो-डे नहीं। लक्षित प्लेटफ़ॉर्म में कोई खामी नहीं, जिसका नाम न्याय विभाग ने अब तक सार्वजनिक रूप से नहीं बताया है (Snowflake और घटना पर प्रतिक्रिया देने वाली कंपनी Mandiant ने 2024 में खुद को इसमें शामिल बताया था, जिससे यह मामला उस वर्ष Snowflake ग्राहक खातों के खिलाफ हुई सेंधमारी की लहर से जुड़ता है)। ये क्रेडेंशियल वर्षों पहले इन्फोस्टीलर मैलवेयर द्वारा चुराए गए थे, बिना इस्तेमाल और बिना बदले पड़े रहे, और ऐसे खातों को खोल गए जिनमें संयोग से मल्टी-फैक्टर ऑथेंटिकेशन भी बंद था।

उस वाक्य में “बिना बदले” ही सारी बात क्यों कह देता है

इन्फोस्टीलर मैलवेयर दुर्भावनापूर्ण सॉफ़्टवेयर की एक श्रेणी है, जो किसी डिवाइस पर पहुँचते ही — अक्सर पायरेटेड ऐप, नकली ब्राउज़र अपडेट या दुर्भावनापूर्ण अटैचमेंट के ज़रिए — उस मशीन के ब्राउज़र के ऑटोफिल और सेव किए गए पासवर्ड के भंडार में मौजूद सभी क्रेडेंशियल चुपचाप निकाल लेता है और फिर उन्हें मैलवेयर चलाने वाले व्यक्ति तक भेज देता है। यह न तो कोई नई बात है, न ही कोई असाधारण तकनीक; वर्षों से यह अपराधियों के लिए एक सामान्य सेवा रही है, जिसमें चुराए गए क्रेडेंशियल के बैच थोक में खरीदे और बेचे जाते हैं।

Snowflake मामले को सीख देने वाला उपयोगी उदाहरण बनाने वाली बात चोरी और इस्तेमाल के बीच का अंतर है। बताया जाता है कि ये खास पासवर्ड “वर्षों पहले” चुराए गए थे। इसका मतलब है कि लंबे समय तक उन खातों के मालिकों के पास कहीं किसी डेटाबेस में एक समझौता किया जा चुका क्रेडेंशियल सक्रिय पड़ा था और ऐसा कुछ नहीं था जो उन्हें उसे बदलने के लिए मजबूर करता। किसी लॉगिन प्रयास को संदिग्ध के रूप में चिह्नित नहीं किया गया, क्योंकि हमलावर ने अभी कोशिश ही नहीं की थी। पासवर्ड रीसेट भी शुरू नहीं हुआ, क्योंकि किसी के ध्यान देने लायक कोई सक्रिय शोषण नहीं था। क्रेडेंशियल बस वैध स्थिति में पड़ा रहा, जब तक कि किसी ने उसे Snowflake ग्राहक खातों के खिलाफ बड़े पैमाने पर इस्तेमाल करने का फैसला नहीं किया।

यही वह विफलता का तरीका है जो दोबारा इस्तेमाल किए गए और बिना बदले छोड़े गए पासवर्ड पैदा करते हैं: समस्या यह नहीं कि वे ज़रूरी तौर पर कमज़ोर हैं — इन्फोस्टीलर मैलवेयर मज़बूत और विशिष्ट पासवर्ड भी ब्राउज़र के सेव किए गए पासवर्ड-वॉल्ट से सीधे उठा लेगा। समस्या यह है कि चुराए गए पासवर्ड की कोई समाप्ति-तिथि नहीं होती, जब तक कोई इंसान या नीति उसके लिए एक तय न कर दे। 2021 में हुआ उल्लंघन 2024 में भी दरवाज़े खोल सकता है, अगर इस बीच किसी ने क्रेडेंशियल को कभी बदला ही न हो।

वह दूसरा ताला जो लगा ही नहीं था

अभियोजकों द्वारा चिह्नित दूसरी बात — प्रभावित खातों पर MFA का बंद होना — ही वह कारण थी जिसने चुराए गए पासवर्ड को पूरे खाते तक पहुँच में बदल दिया। मल्टी-फैक्टर ऑथेंटिकेशन ठीक इसी स्थिति के लिए बनाया गया है: यह मानकर चलता है कि पासवर्ड अंततः लीक हो जाएंगे और पहचान का दूसरा प्रमाण (कोड, पुश नोटिफिकेशन, हार्डवेयर कुंजी) जोड़ता है, जिसे केवल चुराया गया पासवर्ड पूरा नहीं कर सकता। जब यह बंद हो, तो लीक हुआ क्रेडेंशियल ही पूरी रुकावट रह जाता है। 2024 में Snowflake से जुड़ी व्यापक सेंधमारी की लहर पर हुई रिपोर्टिंग में बताया गया है कि कई प्रभावित खातों पर MFA डिफ़ॉल्ट रूप से लागू नहीं था, यानी यह सेटिंग हर ग्राहक संगठन पर निर्भर थी कि वह इसे सक्रिय रूप से चालू करे।

वास्तव में इसका आपके लिए क्या मतलब है

इस न्यूज़लेटर के ज़्यादातर पाठक Snowflake डेटा वेयरहाउस नहीं चला रहे होंगे, लेकिन यहाँ बताई गई कार्यप्रणाली आपके किसी भी खाते पर लागू होती है, चाहे वह कहीं भी हो:

  • पुराने पासवर्ड को केवल कमज़ोर नहीं, बल्कि समझौता किया जा चुका मानें। अगर आपने एक ही पासवर्ड कई साइटों पर दोबारा इस्तेमाल किया है और तब से उसे बदला नहीं है, तो उसे पूरी तरह जला हुआ मानें — इसलिए नहीं कि किसी ने उसका अनुमान लगा लिया, बल्कि इसलिए कि वह पहले से ही चुराए गए क्रेडेंशियल की ऐसी सूची में पड़ा हो सकता है जिसे आप कभी देख नहीं पाएँगे।
  • आपके द्वारा इस्तेमाल की जाने वाली किसी भी सेवा के उल्लंघन की जानकारी देने के बाद क्रेडेंशियल बदल दें — भले ही आपको बताया गया हो कि आपका खास खाता “प्रभावित नहीं हुआ।” जाँच आगे बढ़ने के दौरान शुरुआती उल्लंघन सूचनाएँ अक्सर अधूरी होती हैं।
  • जहाँ भी MFA उपलब्ध हो, उसे चालू करें और यह न मानें कि कोई सेवा उसे डिफ़ॉल्ट रूप से सक्षम कर देती है। सीधे खाते की सुरक्षा सेटिंग जाँचें, न कि यह भरोसा करें कि सबसे सुरक्षित विकल्प पहले से सक्रिय है।
  • पासवर्ड मैनेजर मूल कारण का समाधान करता है, केवल लक्षण का नहीं: यह विशिष्ट और दोबारा इस्तेमाल न किए गए पासवर्ड को सबसे आसान विकल्प बना देता है, बजाय इसके कि आपको हर बार याद रखना पड़े कि ऐसा करना है।
  • अगर किसी डिवाइस के इन्फोस्टीलर मैलवेयर से संक्रमित होने की आशंका हो (कोई अपरिचित प्रोग्राम इंस्टॉल हुआ हो, पायरेटेड डाउनलोड किया गया हो या संदिग्ध लॉगिन अलर्ट मिला हो), तो उसके बाद सेव किए गए हर पासवर्ड को बदलना — केवल उस पासवर्ड को नहीं, जो आपको लगता है कि महत्वपूर्ण था — ही यह जानने का एकमात्र तरीका है कि पुराना संक्रमण उस डेटा को इकट्ठा करने वाले व्यक्ति के लिए अब भी लाभ नहीं कमा रहा है।

यह असंगति ही सबक है

इतने महत्वपूर्ण मामले — 30 साल तक की अधिकतम सजा, अनिवार्य न्यूनतम सजा, 10 करोड़ लोगों के रिकॉर्ड — का इतनी मामूली कार्यप्रणाली पर निर्भर होना लगभग असहज कर देने वाला है। न कोई जटिल शोषण-श्रृंखला, न कोई नई तकनीक, बस एक ऐसा पासवर्ड जिसे बदलने की किसी को सुध नहीं आई और एक ऐसी सुरक्षा सेटिंग जिसे किसी ने चालू नहीं किया। यही असंगति है जिसकी वजह से सजा से जुड़ी सुर्खियाँ फीकी पड़ने के बाद भी यह मामला याद रखने लायक है: सबसे बड़े उल्लंघनों के लिए आम तौर पर किसी प्रतिभाशाली हमलावर की ज़रूरत नहीं होती। उन्हें बस एक ऐसा क्रेडेंशियल चाहिए जिसे कभी बदला नहीं गया, और एक ऐसा खाता चाहिए जिस पर MFA कभी चालू नहीं किया गया।