पासवर्ड कैसे लीक होते हैं: असली कारण और रक्षा

मान लीजिए कि आपका Gmail पासवर्ड अचानक आपके Gmail अकाउंट से दूसरे ईमेल अकाउंट में काम कर जाता है। या आपको एक वेबसाइट से ईमेल मिलता है जो दावा करती है कि आपके पासवर्ड को "क्रैक" किया गया है। ऐसा क्यों होता है? और इस तरह के मामलों में आपको सबसे ज्यादा चिंता किस चीज की होनी चाहिए?

ज्यादातर लोगों को लगता है कि पासवर्ड लीक होना हैकर्स द्वारा "क्रैक" किया जाना है — जैसे कोई फिल्म में गणित करके एक कोड तोड़ता है। लेकिन वास्तविकता बिलकुल अलग है। वास्तव में पासवर्ड लीक होना ज्यादातर सीधा होता है: कोई आपके पासवर्ड को सीधे पढ़ लेता है, या आप खुद ही गलती से किसी को दे देते हैं।

डेटाबेस ब्रीच: जब कंपनियां गलती से आपका डेटा खोल देती हैं

जब आप किसी सेवा के लिए साइन अप करते हैं — यह सोशल मीडिया साइट हो, ईकमर्स स्टोर हो, या कोई और प्लेटफॉर्म — तो आपका ईमेल, पासवर्ड और अन्य जानकारी कंपनी के कंप्यूटर (जिसे सर्वर कहते हैं) पर सहेजी जाती है। आमतौर पर, कंपनियां पासवर्ड को सीधे स्टोर नहीं करती। इसके बजाय, वे इसे "हैश" में बदलती हैं — एक एकतरफा गणितीय फॉर्मूला जो आपके पासवर्ड को एक अलग स्ट्रिंग में परिवर्तित करता है।

लेकिन यहां समस्या आती है: यदि कोई हैकर कंपनी के डेटाबेस में घुस जाता है, तो वह इन हैश किए गए पासवर्ड को चोरी कर सकता है। वह सीधे आपके पासवर्ड को नहीं जानता, लेकिन वह सामान्य पासवर्ड की एक विशाल सूची ले सकता है ("123456", "password", "qwerty") और उनमें से प्रत्येक को हैश करके देख सकता है कि क्या वे मेल खाते हैं। यह प्रक्रिया को "डिक्शनरी अटैक" कहते हैं।

यह महत्वपूर्ण है: हैशिंग इसलिए अच्छी है क्योंकि यह कंपनी को आपका पासवर्ड सीधे जानने से रोकती है। लेकिन यदि कंपनी कमजोर तरीके से हैश करती है, या यदि आपका पासवर्ड बहुत आसान है, तब भी हैकर इसे निकाल सकते हैं। इसीलिए लंबे और यादृच्छिक पासवर्ड महत्वपूर्ण हैं।

फिशिंग: जब आप खुद ही पासवर्ड दे देते हैं

डेटाबेस ब्रीच से कहीं अधिक सामान्य है फिशिंग। यह एक सामाजिक इंजीनियरिंग हमला है। आपको एक ईमेल मिलता है जो दिखता है कि वह Amazon, Instagram या आपकी बैंक की ओर से आया है। ईमेल में कहा जाता है कि आपको "तुरंत लॉगिन करना चाहिए" या "अपना खाता सत्यापित करना चाहिए।" आप लिंक पर क्लिक करते हैं, और यह एक नकली वेबसाइट पर खोलता है जो असली वेबसाइट की तरह दिखता है। आप अपना ईमेल और पासवर्ड टाइप करते हैं, और बस — हैकर के पास यह जानकारी है।

यहां सबसे महत्वपूर्ण बात है: कोई "हैकिंग" नहीं हुई। आपने सीधे अपना पासवर्ड दे दिया। यह एक ताला तोड़ने जैसा नहीं है; यह किसी को नकली तरीके से अपनी चाबी देना है। यह आश्चर्यजनक रूप से प्रभावी है क्योंकि लोग जल्दबाजी में रहते हैं, या नकली ईमेल बहुत अच्छी तरह से डिज़ाइन किए जाते हैं।

मालवेयर और कीलॉगर: आपके डिवाइस में गुप्त निगरानी

कभी-कभी आपका पासवर्ड आपकी खुद की डिवाइस से चोरी हो जाता है। यदि आपका कंप्यूटर या फोन मालवेयर (दुर्भावनापूर्ण सॉफ्टवेयर) से संक्रमित है, तो हैकर कीलॉगर नामक एक उपकरण स्थापित कर सकते हैं। यह हर चीज को रिकॉर्ड करता है जो आप टाइप करते हैं — पासवर्ड सहित। आप कभी नहीं जानते कि यह चल रहा है।

यह एक घर में चोरी के जैसा है जहां चोर छत में एक छिपा हुआ कैमरा लगाता है। आपको पता नहीं चलता कि आप निगरानी में हैं।

क्रेडेंशियल स्टफिंग: आपका पासवर्ड दूसरी जगह दोबारा इस्तेमाल होता है

यहां सबसे आसान समस्या है: आप एक ही पासवर्ड कई वेबसाइटों पर उपयोग करते हैं। मान लीजिए आपका पासवर्ड "Bluesky2024" है और आप इसे Gmail, Netflix, Instagram और एक छोटी खरीदारी साइट के लिए उपयोग करते हैं। यदि उस छोटी साइट का डेटाबेस ब्रीच होता है, तो हैकर को आपका पासवर्ड पता चल जाता है। फिर वह "क्रेडेंशियल स्टफिंग" नामक एक हमला करता है: वह एक बॉट बनाता है जो यह पासवर्ड लाखों वेबसाइटों पर आजमाता है। जब यह आपके Gmail या Netflix अकाउंट में काम करता है, तो हैकर सफल होता है।

यह एक फोटोकॉपी की तरह है। एक बार जब किसी के पास आपकी चाबी की कॉपी हो, तो वह कई ताले खोल सकता है।

बहु-कारक प्रमाणीकरण (MFA) आपकी ढाल है

इन सभी हमलों में एक सामान्य बात है: वे आपके पासवर्ड को चाहते हैं। लेकिन यदि आपके अकाउंट को केवल पासवर्ड से नहीं, बल्कि एक दूसरी चीज की भी आवश्यकता होती है, तो ये हमले आधे मायने रखते हैं।

इसे बहु-कारक प्रमाणीकरण (MFA) कहते हैं। जब आप लॉगिन करते हैं, तो आप अपना पासवर्ड डालते हैं, फिर आपको एक दूसरी चीज प्रदान करनी होती है — आमतौर पर आपका फोन। यह कोड एक टेक्स्ट संदेश हो सकता है, एक ऐप्लिकेशन हो सकता है, या सबसे सुरक्षित विकल्प एक हार्डवेयर सुरक्षा कुंजी हो सकती है (एक छोटी यूएसबी डिवाइस जो आप अपनी चाबी की श्रृंखला पर रखते हैं)।

क्यों? क्योंकि यहां तक कि यदि हैकर के पास आपका पासवर्ड है, तो भी वह आपके फोन या हार्डवेयर कुंजी तक नहीं पहुंच सकता (जब तक वह शारीरिक रूप से आपके पास न हो)। हार्डवेयर कुंजी सबसे सुरक्षित विकल्प है क्योंकि फिशिंग उस पर काम नहीं करती। नकली वेबसाइट कुंजी को नहीं पढ़ सकती।

व्यावहारिक सुरक्षा: पासवर्ड मैनेजर और मजबूत अभ्यास

तो आप क्या कर सकते हैं? पहला कदम एक अच्छा पासवर्ड मैनेजर का उपयोग करना है। यह एक लॉकबॉक्स की तरह काम करता है जो आपके सभी पासवर्ड को स्टोर करता है। आपको केवल एक मजबूत पासवर्ड याद रखना है — मैनेजर की एक ही चाबी। फिर प्रत्येक साइट के लिए, मैनेजर एक लंबा, यादृच्छिक पासवर्ड बनाता है और स्टोर करता है। क्योंकि हर पासवर्ड अलग है, क्रेडेंशियल स्टफिंग वास्तव में काम नहीं करती।

दूसरा कदम: हर उस साइट पर MFA चालू करें जो महत्वपूर्ण है — विशेषकर ईमेल, क्योंकि आपका ईमेल दूसरे सभी अकाउंट को रीसेट करने की कुंजी है।

तीसरा कदम: फिशिंग को रोकना। सदा ध्यान दें कि आप वास्तव में किस वेबसाइट पर हैं। URL देखें। यदि कोई साइट आपको लॉगिन करने के लिए कहती है, तो उस लिंक पर क्लिक न करें। इसके बजाय, सीधे अपने ब्राउज़र में साइट खोलें।

सारांश

पासवर्ड लीक होना बहुमुखी घटना है, लेकिन ज्यादातर मामलों में यह हैकर्स की "प्रतिभा" की तुलना में आपकी ओर से एक व्यावहारिक समस्या है। डेटाबेस ब्रीच, फिशिंग, क्रेडेंशियल स्टफिंग — ये सब आसान लक्ष्य हैं क्योंकि मानव गलतियां और कमजोर प्रथाएं सामान्य हैं। लेकिन अच्छी खबर यह है: मजबूत, अद्वितीय पासवर्ड और बहु-कारक प्रमाणीकरण इन ज्यादातर हमलों को अप्रभावी बना देते हैं। यह कोई परिपूर्ण रक्षा नहीं है, लेकिन यह काफी मजबूत है कि हैकर आसान लक्ष्य की ओर मुड़ जाएंगे।