अकाउंट टेकओवर: जब कोई विज्ञापनदाता का लॉगिन हाईजैक करता है तो असल में क्या होता है

एक पासवर्ड जो उस खाते से भी ज्यादा कीमती है जिसे वह खोलता है

इंटरनेट पर ज्यादातर खातों में ऐसा कुछ नहीं होता जिसे कोई चोर सीधे इस्तेमाल कर सके। किसी फोरम या न्यूज़लेटर का चुराया हुआ लॉगिन किसी आपराधिक बाज़ार में बस चंद पैसों का होता है, क्योंकि उसके पीछे कुछ है ही नहीं। क्लासिफाइड्स साइट पर एक विज्ञापनदाता का खाता एक बिल्कुल अलग चीज़ है। इस एक लॉगिन के पीछे एक सहेजे गए कार्ड से जुड़ा भुगतान किया हुआ सब्सक्रिप्शन, महीनों या सालों की रैंकिंग का इतिहास जिसे कोई बिल्कुल नई लिस्टिंग कभी वापस नहीं खरीद सकती, एक बैज जिसे कमाने में असली सत्यापन का काम लगा, और एक फोन नंबर या इनबॉक्स जिस पर मौजूदा ग्राहक पहले से भरोसा करते हैं, ये सब मौजूद होता है। जिसके पास पासवर्ड है वह यह सब तुरंत विरासत में पा लेता है, बिना किसी प्रतीक्षा अवधि और बिना किसी नई जांच के।

यही वह चीज़ है जो इन खातों को चुराने लायक बनाती है, भले ही उनके अंदर कोई नकद शेष न हो। किसी लिस्टिंग पर कब्ज़ा करने वाले अपराधी को कोई बटुआ खाली नहीं करना पड़ता। उसे बस बैज, खोज परिणामों में स्थान, और दोनों जो भरोसा दर्शाते हैं, वह चाहिए, और जिस पल पासवर्ड काम करता है, उसे तीनों मिल जाते हैं। लिस्टिंग खुद पूरी तरह बदली जा सकती है, अलग तस्वीरें, अलग नंबर, अलग शहर, जबकि विश्वसनीयता के वे संकेत जिन्हें प्लेटफॉर्म ने महीनों में बनाया था, ठीक वहीं बने रहते हैं।

ऑपरेटर अक्सर इन खातों की सुरक्षा में कमी छोड़ देते हैं, ठीक इसलिए क्योंकि इनका मूल्य किसी बैलेंस फील्ड में लिखे अंक जैसा नहीं होता। एक बैंक अपने धोखाधड़ी नियंत्रण एक ठोस राशि के इर्द-गिर्द बनाता है। एक क्लासिफाइड्स साइट को इसके बजाय प्रतिष्ठा और खोज में स्थान की रक्षा करनी होती है, ऐसी संपत्तियाँ जो किसी बैलेंस शीट में नहीं दिखतीं मगर जिन पर एक ग्राहक ठीक उतना ही वास्तविक भरोसा करता है जब वह तय करता है कि किसी अजनबी की लिस्टिंग पर विश्वास करे या नहीं। विज्ञापनदाता लॉगिन को सिर्फ इसलिए कम जोखिम वाला मान लेना क्योंकि उसके पीछे नकदी नहीं है, यह गलत समझना है कि दांव पर वास्तव में क्या लगा है।

यह खाई सबसे पहले सपोर्ट टिकटों में दिखती है, धोखाधड़ी वाले डैशबोर्ड में नहीं: कोई विज्ञापनदाता लिखता है और जोर देकर कहता है कि उसने कभी वह नहीं डाला जो अब उसके नाम से लाइव है, या कोई ग्राहक किसी ऐसी लिस्टिंग की शिकायत करता है जिसने पहले जैसा जवाब देना बंद कर दिया है। इनमें से जब तक कोई संदेश पहुंचता है, तब तक खाता आमतौर पर पहले से ही कई दिनों से किसी और के हाथ में होता है।

लॉगिन असल में चुराया कैसे जाता है

इनमें से बहुत कम कब्ज़े ऐसे होते हैं जिनमें कोई अपराधी खासतौर से किसी एक विज्ञापनदाता को निशाना बनाता है। कहीं ज्यादा आम पैटर्न है क्रेडेंशियल स्टफिंग: हमलावर एक बिल्कुल अलग, असंबंधित डेटा लीक से निकले ईमेल और पासवर्ड के जोड़े लेता है, शायद किसी शॉपिंग साइट या फोरम से जिसका इस डायरेक्टरी से कोई लेना-देना नहीं, और उन्हें यहां के लॉगिन फॉर्म पर अपने-आप आज़माता है, यह दांव लगाकर कि काफी लोग हर जगह वही पासवर्ड दोहराते हैं। सुरक्षा विशेषज्ञ इसे सिर्फ पासवर्ड अंदाज़ा लगाने से अलग स्वचालित हमले की श्रेणी मानते हैं, ठीक इसलिए क्योंकि यहां कुछ भी अंदाज़ा नहीं लगाया जा रहा। हर आज़माई गई साख कहीं और पहले ही काम करके साबित हो चुकी होती है।

फिशिंग दूसरा बड़ा स्रोत है, और दोनों एक-दूसरे को पोषित करते हैं। किसी रिपोर्ट की गई लिस्टिंग या खत्म होती सब्सक्रिप्शन के बारे में एक नकली ईमेल, जो देखने में मानो प्लेटफॉर्म से आया हो, विज्ञापनदाता को एक लॉगिन पेज पर भेजता है जो वह जो कुछ टाइप करता है सब पकड़ लेता है। ये चुराए गए जोड़े अक्सर उन्हीं सूचियों में जा मिलते हैं जो बाद में दूसरी साइटों के खिलाफ स्टफिंग हमलों में इस्तेमाल होती हैं, इसलिए ये दोनों तरीके असल में एक-दूसरे के प्रतिस्पर्धी नहीं, बल्कि एक ही आपूर्ति श्रृंखला के चरण हैं।

जो चीज़ क्रेडेंशियल स्टफिंग को स्पष्ट उपाय से रोकना मुश्किल बनाती है वह है इसका पैमाना और वितरण। एक ही आईपी पते से नाकाम लॉगिन की मुट्ठी भर कोशिशों को लगभग कोई भी बुनियादी लॉकआउट पकड़ लेता है। मगर घुमते हुए रेज़िडेंशियल प्रॉक्सी के एक समूह पर बंटे, हर पते से बस कुछ ही, हज़ारों प्रयास ऐसी रक्षा को सामान्य ट्रैफिक जैसे दिखते हैं जो कुछ नाकामियों के बाद एक पते को रोकने के लिए बनाई गई है। यही कारण है कि किसी भी ऐसे लॉगिन फॉर्म के खिलाफ प्रयास, जो कुछ मूल्यवान की रक्षा करता है, आमतौर पर एक दुर्लभ, नाटकीय घटना नहीं बल्कि लगातार चलने वाला निम्न-स्तर का पृष्ठभूमि शोर होते हैं, और यही कारण है कि खाता सुरक्षा के बारे में तभी सोचना जब कोई घटना रिपोर्ट हो चुकी हो, पहले ही देर हो चुकी होती है।

ऑपरेटर के लिए व्यावहारिक नतीजा यह है कि लॉगिन फॉर्म खुद ही अगली मोर्चा है, न कि वह सपोर्ट कतार जो बाद के नतीजों को संभालती है। इसे धीमा करने के लिए जो कुछ भी बनाया जाए, उसे लगातार, बंटे हुए प्रयासों के खिलाफ काम करना होगा, न कि किसी एक साफ तौर पर संदिग्ध व्यक्ति के खिलाफ जो एक ही खाते को लगातार पचास बार आज़मा रहा हो।

किसी के अंदर घुसने के बाद असल में इसकी कीमत क्या है

चलते हुए लॉगिन वाला हमलावर आमतौर पर सबसे पहले यह देखता है कि खाता किस-किस तक पहुंच सकता है: बिलिंग जानकारी, भुगतान निकासी की जानकारी, लिस्टिंग की सामग्री खुद, और कोई भी संपर्क विवरण जिससे आने वाले ग्राहकों की रुचि गुज़रती है। संपर्क नंबर या जुड़ा हुआ मैसेजिंग खाता बदलना अक्सर पहला ही कदम होता है, क्योंकि यह हर भावी ग्राहक पूछताछ को चुपचाप हमलावर की ओर मोड़ देता है, असली विज्ञापनदाता की ओर नहीं, जिसे तब तक कुछ बदलने का पता ही नहीं चलता जब तक कोई ग्राहक इसका ज़िक्र न करे या पैसा आना बंद न हो जाए।

बैज दूसरा शिकार है, और यह वही है जो खुद प्लेटफॉर्म की प्रतिष्ठा के लिए सबसे ज्यादा मायने रखता है। किसी लिस्टिंग को सत्यापित कहना एक ऐसी प्रक्रिया के बारे में दावा है जो एक खास पल में सच थी, न कि इस बारे में स्थायी तथ्य कि अभी पेज कौन चला रहा है, और एक हाईजैक किया गया खाता इस दावे को पूरी तरह गलत साबित कर देता है जबकि बैज खुद अछूता रहता है। जिस व्यक्ति से ग्राहक अब वास्ता रख रहा है, उसकी कभी जांच ही नहीं हुई। प्लेटफॉर्म का अपना भरोसे का संकेत अब किसी ऐसे के लिए गारंटी दे रहा है जिसे उसने कभी देखा ही नहीं।

पैसा भी हिलता है, और आमतौर पर नए कार्ड से नहीं बल्कि पहले से दर्ज कार्ड के ज़रिए। जो हमलावर किसी चुराए हुए कार्ड की वैधता परखना चाहता है, या जिसने अभी हथियाए गए खाते पर भारी प्रचार को वित्त पोषित करना चाहता है, वह असली विज्ञापनदाता के सहेजे भुगतान तरीके का इस्तेमाल करके विज्ञापन क्रेडिट या फीचर्ड जगह खरीद लेता है। जब असली कार्डधारक को आखिरकार पता चलता है, तो वह अपने बैंक के साथ इस पर विवाद दर्ज करता है, और वह विवाद ठीक उन्हीं धोखाधड़ी और विवाद-दर की सीमाओं में गिना जाता है जो पहले से ही एक उच्च-जोखिम व्यापारी खाते को निगरानी में रखती हैं, सिवाय इसके कि इस बार ऑपरेटर किसी बिगड़े हुए ग्राहक संबंध की ओर इशारा भी नहीं कर सकता। दर्ज कार्ड किसी ऐसे व्यक्ति का था जिसने कभी उस खास खरीद को अधिकृत नहीं किया जो एक अजनबी ने अपने ही चुराए लॉगिन से की।

इस सबके नीचे एक ऐसा सपोर्ट खर्च छिपा है जिसे कम आंकना आसान है: दो लोग, असली विज्ञापनदाता और वह जिसका हमलावर अब उनके सामने रूप धरे हुए है, दोनों मानते हैं कि वे एक वैध खाते से वास्ता रख रहे हैं, और प्लेटफॉर्म की तरफ से किसी को यह पता लगाना पड़ता है कि कौन-सा संस्करण असली है, सही वाले को बहाल करना पड़ता है, और किसी ग्राहक को यह समझाना पड़ता है कि जिस व्यक्ति से वह एक हफ्ते से बात कर रहा था वह वह नहीं था जो उसे लगता था।

क्या यह सिर्फ एक सपोर्ट टिकट नहीं बल्कि एक कानूनी सूचना बन जाता है

क्या किसी खाते के कब्ज़े से कानूनी सूचना देने का दायित्व बनता है, यह ठीक इस बात पर निर्भर करता है कि हमलावर असल में क्या देख पाया, न कि सिर्फ इस पर कि उसने लॉगिन किया। कैलिफोर्निया पहला राज्य था जिसने समझौता किए गए लॉगिन क्रेडेंशियल, खासतौर पर पासवर्ड या सुरक्षा प्रश्न के जवाब के साथ जुड़े यूज़रनेम या ईमेल पते को, अपने डेटा उल्लंघन सूचना कानून के तहत निजी जानकारी माना जाने वाली चीज़ों में जोड़ा, यह 2014 में ही हो गया था, और तब से एक दर्जन से ज्यादा दूसरे राज्यों ने खुद अपने तौर पर ऐसी ही भाषा जोड़ी है। जहां यह श्रेणी लागू होती है, वहां सिर्फ लॉगिन तक सीमित कब्ज़ा, जिसमें कोई सोशल सिक्योरिटी नंबर, सरकारी पहचान पत्र, या वित्तीय खाता संख्या उजागर नहीं हुई हो, अकेले ही सूचना देने का दायित्व शुरू कर सकता है।

यह दायित्व असल में जो मांगता है वह आमतौर पर सोचे गए से हल्का होता है, और कितना चिंतित होना है यह तय करने से पहले यह फर्क जानना उचित है। समझौता किए गए क्रेडेंशियल को इस तरह कवर करने वाले कई राज्य ऑपरेटर को एक संकरी सूचना से इस ज़रूरत को पूरा करने देते हैं, जो बस प्रभावित व्यक्ति को पासवर्ड और उससे जुड़ा कोई भी सुरक्षा प्रश्न रीसेट करने का निर्देश देती है, न कि वह अधिक पूर्ण सूचना पैकेज जो चुराए गए सोशल सिक्योरिटी नंबर के लिए ज़रूरी होता है, जिसमें नियामक को सूचना और कुछ राज्यों में क्रेडिट मॉनिटरिंग की पेशकश शामिल है। कई राज्य तभी किसी तरह की सूचना की मांग करते हैं जब पहचान की चोरी या वित्तीय नुकसान का वास्तविक जोखिम हो, इसलिए सिर्फ लॉगिन तक सीमित कब्ज़ा, जिसमें और कुछ उजागर न हुआ हो, इन जगहों पर इस दायित्व से पूरी तरह बाहर रह सकता है।

यही ठीक वह वजह है कि हमलावर असल में कहां तक पहुंचा, इसका ब्योरा सिर्फ इस बात से ज्यादा मायने रखता है कि वह लॉगिन हुआ या नहीं। एक ऐसा सत्र जो सिर्फ लिस्टिंग एडिटर तक पहुंचा, कानूनी तौर पर उस सत्र से बिल्कुल अलग घटना है जिसने भुगतान निकासी के बैंक खाता नंबर या सत्यापन के दौरान अपलोड किए गए स्कैन किए पहचान पत्र वाला पेज खोला हो। यह दर्ज करना कि क्या देखा गया, न कि सिर्फ लॉगिन कब हुआ, यही वह चीज़ है जो किसी को दबाव में अंदाज़ा लगाने के बजाय, जब ग्राहक पहले से सवाल पूछ रहा हो, जल्दी तय करने देती है कि असल में कौन-सा नियम लागू होता है।

इसे सही तरीके से करने के लिए किसी स्थायी कानूनी टीम की ज़रूरत नहीं है। इसके लिए बस पहली घटना होने से पहले यह जानना ज़रूरी है कि इस प्लेटफॉर्म पर खाता कब्ज़ा किस श्रेणी में आएगा, और वह जवाब पहले से तैयार रखना, न कि उसे पहली बार तब खोजना जब कोई विज्ञापनदाता पहले से ही वकील बुलाने की धमकी दे रहा हो।

असल में इसे क्या रोकता है, क्रम में

विज्ञापनदाता लॉगिन पर मल्टी-फैक्टर ऑथेंटिकेशन सबसे ज्यादा असर वाला अकेला उपाय है, क्योंकि यह क्रेडेंशियल स्टफिंग को सीधे हरा देता है: हमलावर के पास एक काम करने वाला पासवर्ड होता है, मगर दूसरा फैक्टर नहीं, और वह चाहे कितने भी वैध पासवर्ड जोड़े आज़माए, प्रयास नाकाम हो जाता है। NIST के मौजूदा डिजिटल आइडेंटिटी दिशानिर्देश, जो 2025 में अंतिम रूप दिए गए और संघीय प्रणालियों के लिए लिखे गए मगर ठीक इसी समस्या के संदर्भ बिंदु के रूप में कहीं और भी व्यापक रूप से इस्तेमाल होते हैं, बचाव करने वाले पक्ष की ओर से वही निष्कर्ष बताते हैं: उपयोगकर्ताओं को तय समय पर पासवर्ड बदलने पर मजबूर करने के बजाय, जो ज्यादातर लोगों को बदलते समय याद रखने में आसान लेकिन कमज़ोर पासवर्ड चुनना सिखाता है, दिशानिर्देश यह मांगते हैं कि बदलाव तभी मजबूर किया जाए जब समझौते का असली सबूत हो, कि किसी भी नए पासवर्ड को आम या पहले से समझौता माने जाने वाले मूल्यों की सूचियों के खिलाफ जांचा जाए, और लॉक होने से पहले एक अकेला खाता जितने लगातार नाकाम लॉगिन प्रयास सह सकता है उनकी संख्या सीमित की जाए। इसमें से कुछ भी अनोखी इंजीनियरिंग नहीं है। यह बस एक लॉगिन फॉर्म है जो प्रतिरोध करता है।

पासवर्ड बदलते ही सभी सक्रिय सत्रों को खत्म कर देना सबसे आम अगली चाल को रोकता है, जिसमें पासवर्ड रीसेट से बाहर हुआ हमलावर बस उसी सत्र का इस्तेमाल करता रहता है जो उसने रीसेट से पहले ही खोल रखा था। इस कदम के बिना, पासवर्ड रीसेट अगले लॉगिन की रक्षा करता है, उस सत्र की नहीं जो पहले से चल रहा है।

पहले से सत्यापित लिस्टिंग में अचानक हुए बड़े बदलाव को सिर्फ पास कर दी जाने वाली मंज़ूरी के बजाय दूसरी नज़र लायक संकेत मानना, उस खास पैटर्न को पकड़ता है जो एक हाईजैक किया गया खाता लगभग हर बार पैदा करता है: नई तस्वीरें, नया फोन नंबर, और पहले से चला आ रहा बैज, सब कुछ एक ही सत्र में बदलता है। यह संयोजन लाइव होने से पहले एक छोटी सी हाथ से की गई जांच स्टाफ के समय का बस एक पल खर्च करती है और ठीक उसी परिस्थिति को रोकती है जिसमें महीनों पहले कमाया गया बैज आखिरकार किसी ऐसे के लिए गारंटी दे बैठता है जिसकी कभी जांच ही नहीं हुई।

भुगतान निकासी और बैंक विवरण को खाते की किसी भी और चीज़ से ज़्यादा मज़बूत ताला मिलना चाहिए, क्योंकि यही वह अकेला क्षेत्र है जिसे हमलावर खासतौर से असली पैसा मोड़ने के लिए बदलता है, सिर्फ प्रतिष्ठा के लिए नहीं। बदला हुआ भुगतान खाता सक्रिय होने से पहले एक प्रतीक्षा अवधि, साथ में नए के बजाय पुराने संपर्क विवरण पर भेजी गई सूचना, असली विज्ञापनदाता को यह मौका देती है कि किसी एक भुगतान के गलत जगह जाने से पहले वह बदलाव देखकर आपत्ति जता सके।

इनमें से कुछ भी एक साथ होने की ज़रूरत नहीं है। सहेजे गए भुगतान तरीके वाले खातों के लिए मल्टी-फैक्टर ऑथेंटिकेशन चालू करना, भुगतान निकासी बदलावों पर देरी लगाना, और एक पैराग्राफ में यह लिख देना कि क्या किसी घटना के रूप में गिना जाता है और कौन तय करता है कि इससे सूचना देने का दायित्व शुरू होता है या नहीं, ये तीन दोपहर का काम है, कोई सुरक्षा कार्यक्रम नहीं। दूसरा विकल्प यह है कि इन सवालों में से हर एक का जवाब तब खोजा जाए जब कोई विज्ञापनदाता पहले से फोन पर पूछ रहा हो कि कोई और उसकी तस्वीरें क्यों इस्तेमाल कर रहा है।