क्रेडेंशियल स्टफिंग हमले: हैकर्स आपके पासवर्ड का कैसे करते हैं दुरुपयोग
क्रेडेंशियल स्टफिंग एक स्वचालित हमला है जिसमें हैकर्स चोरी किए गए उपयोगकर्ता नाम और पासवर्ड संयोजनों का उपयोग करके कई वेबसाइटों और सेवाओं पर आपके खातों तक अनधिकृत पहुंच प्राप्त करते हैं। यह हमला इसलिए सफल होता है क्योंकि कई लोग विभिन्न प्लेटफार्मों पर एक ही पासवर्ड का पुन: उपयोग करते हैं—जब किसी कंपनी का डेटा लीक होता है, तो अपराधी लीक हुए क्रेडेंशियल्स को इकट्ठा करते हैं और विशेष सॉफ़्टवेयर की मदद से उन लॉगिन संयोजनों को सैकड़ों अन्य साइटों पर तेजी से आजमाते हैं। 2024 के Verizon डेटा ब्रीच इन्वेस्टिगेशन रिपोर्ट के अनुसार, डेटा ब्रीच के 40% से अधिक मामलों में क्रेडेंशियल समझौता शामिल होता है, जो इसे सबसे आम हमले के तरीकों में से एक बनाता है। एक अकेला क्रेडेंशियल स्टफिंग हमला घंटों में लाखों लॉगिन संयोजनों का परीक्षण कर सकता है, जिसमें सफलता दर 0.1% से 2% तक होती है, जो हमलावर की पासवर्ड सूची की गुणवत्ता पर निर्भर करती है। इसका मतलब है कि एक मिलियन चोरी किए गए क्रेडेंशियल्स की सूची में, हमलावर 1,000 से 20,000 खातों में सफलतापूर्वक घुसपैठ कर सकते हैं—और ये खाते आमतौर पर वित्तीय जानकारी, व्यक्तिगत डेटा या अधिक संवेदनशील सिस्टम तक पहुंच रखते हैं। क्रेडेंशियल स्टफिंग का खतरा केवल प्रारंभिक खाते के समझौते तक सीमित नहीं है। एक बार जब हमलावर आपके ईमेल खाते तक पहुंच जाते हैं, तो वे आपके बैंकिंग, सोशल मीडिया और क्रिप्टोकरेंसी खातों के लिए पासवर्ड रीसेट का अनुरोध कर सकते हैं। यदि वे LinkedIn क्रेडेंशियल्स के माध्यम से आपके कार्य ईमेल तक पहुंचते हैं, तो वे कॉर्पोरेट जासूसी या रैंसमवेयर हमले के लिए एक आधार प्राप्त कर लेते हैं। FBI के 2023 इंटरनेट क्राइम कंप्लेंट सेंटर को क्रेडेंशियल समझौते से संबंधित 14,000 से अधिक रिपोर्ट मिलीं, जिनमें $137 मिलियन से अधिक का नुकसान हुआ। यह हमला विशेष रूप से खतरनाक है क्योंकि पीड़ित अक्सर तब तक समझौता होने का एहसास नहीं करते जब तक उनके खातों पर धोखाधड़ी वाले लेनदेन नहीं दिखते या उनकी प्रोफ़ाइल जानकारी में अनधिकृत बदलाव नहीं होते। LinkedIn (700 मिलियन खाते), Yahoo (3 बिलियन खाते) और कई रिटेल चेन जैसे बड़े पैमाने पर हुए डेटा ब्रीच ने विशाल क्रेडेंशियल डेटाबेस बनाए हैं जिनका अपराधी सक्रिय रूप से दुरुपयोग करते हैं।
सामान्य रणनीतियाँ
- • डार्क वेब मार्केटप्लेस या पिछले डेटा ब्रीच से चोरी किए गए क्रेडेंशियल सूचियाँ प्राप्त करना, फिर Sentry MBA या OpenBullet जैसे स्वचालित उपकरणों का उपयोग करके इन क्रेडेंशियल्स को बैंक, ईमेल प्रदाता, सोशल मीडिया प्लेटफॉर्म और ई-कॉमर्स साइटों के लॉगिन पोर्टल पर तेजी से परीक्षण करना।
- • रोटेटिंग प्रॉक्सी सर्वर और रेसिडेंशियल IP पतों का उपयोग करके अनुरोधों को कई IP रेंजों में वितरित करना, जिससे सामान्य रेट-लिमिटिंग सुरक्षा उपायों को बायपास किया जा सके जो एक ही स्रोत से तेज़ लॉगिन प्रयासों को पहचानते हैं।
- • पहले कम सुरक्षित साइटों जैसे फोरम खाते या रिटेलर्स पर क्रेडेंशियल्स का परीक्षण करना, फिर उच्च-मूल्य वाले लक्ष्यों जैसे ईमेल और बैंकिंग खातों को निशाना बनाना, ताकि वे यह सत्यापित कर सकें कि कौन से क्रेडेंशियल्स अभी भी काम करते हैं।
- • हमले के दौरान चोरी किए गए पासवर्ड में मामूली बदलाव या म्यूटेशन लागू करना, जैसे सामान्य प्रत्यय '123' या '!' जोड़ना, ताकि उन उपयोगकर्ताओं को भी कवर किया जा सके जिन्होंने ब्रीच के बाद अपने पासवर्ड में थोड़ा बदलाव किया हो।
- • सफल खाते की पहुंच की निगरानी करना ताकि यह पता लगाया जा सके कि कौन से क्रेडेंशियल्स सबसे मूल्यवान जानकारी प्रदान करते हैं, फिर इन सत्यापित सक्रिय क्रेडेंशियल्स को डार्क वेब पर बेचना या उनका उपयोग खाता अधिग्रहण या पहचान चोरी जैसे द्वितीयक हमलों के लिए करना।
- • हमलों को ऑफ-पीक घंटों में समयबद्ध करना या उन्हें विस्तारित अवधि में फैलाना ताकि बड़ी संख्या में असफल लॉगिन प्रयासों से उत्पन्न सुरक्षा अलर्ट को ट्रिगर होने से बचाया जा सके।
कैसे पहचानें
- आपको एक सूचना मिलती है कि किसी ने आपके खाते में किसी अपरिचित स्थान या डिवाइस से लॉगिन किया है, या आप ऐसे समय में लॉगिन गतिविधि देखते हैं जब आप ऑनलाइन नहीं थे।
- आपके ईमेल खाते में पासवर्ड रीसेट सूचनाएं या खाता पुनर्प्राप्ति प्रयास होते हैं जिन्हें आपने शुरू नहीं किया है, जो संकेत देते हैं कि कोई आपके खाते तक पहुंचने की कोशिश कर रहा है।
- आप अपने खाते में असामान्य गतिविधि देखते हैं जैसे प्रोफ़ाइल जानकारी में बदलाव, अनधिकृत खरीदारी, सुरक्षा सेटिंग्स में संशोधन, या अपरिचित जुड़े ऐप्स या डिवाइस।
- वित्तीय खातों में अनधिकृत लेनदेन दिखते हैं, या आपका बैंक संदिग्ध लॉगिन प्रयासों के बारे में आपको सूचित करता है, भले ही आप मजबूत और अद्वितीय पासवर्ड का उपयोग करते हों।
- आपको अपने ईमेल प्रदाता से संदिग्ध गतिविधि, कई स्थानों से असफल लॉगिन प्रयासों, या अज्ञात स्रोतों से पासवर्ड बदलने के अनुरोधों के बारे में अलर्ट मिलते हैं।
- आपके सोशल मीडिया खातों का उपयोग बिना अनुमति के संदेश भेजने या आपके संपर्कों को मित्र अनुरोध भेजने के लिए किया गया है, जो संकेत है कि किसी और के पास आपके लॉगिन क्रेडेंशियल्स का नियंत्रण है।
खुद को कैसे सुरक्षित रखें
- हर ऑनलाइन खाते के लिए अद्वितीय, जटिल पासवर्ड बनाएं और पासवर्ड मैनेजर जैसे Bitwarden, 1Password, या Dashlane का उपयोग करें—साइटों के बीच पासवर्ड पुन: उपयोग से बचें, क्योंकि यही क्रेडेंशियल स्टफिंग हमलों को सफल बनाता है।
- सभी खातों पर मल्टी-फैक्टर ऑथेंटिकेशन (MFA) सक्षम करें जो इसे समर्थन करते हैं, विशेष रूप से ईमेल, बैंकिंग, क्रिप्टोकरेंसी, और सोशल मीडिया खातों पर; संभव हो तो SMS के बजाय Google Authenticator या Authy जैसे ऑथेंटिकेटर ऐप्स का उपयोग करें, क्योंकि SMS SIM स्वैपिंग के लिए संवेदनशील होता है।
- अपने खातों की नियमित रूप से निगरानी करें और नए डिवाइस या स्थान से लॉगिन के लिए खाता अलर्ट सेट करें; अधिकांश प्रमुख प्लेटफॉर्म आपको सक्रिय सत्रों की समीक्षा करने और अज्ञात डिवाइसों से लॉगआउट करने की अनुमति देते हैं।
- Equifax, Experian, और TransUnion के साथ फ्रॉड अलर्ट या क्रेडिट फ्रीज लगाएं ताकि हमलावर आपके व्यक्तिगत डेटा के समझौते के बाद आपके नाम पर नए खाते खोलने से रोक सकें।
- haveibeenpwned.com और researchbreaches.com जैसी साइटों का उपयोग करके जांचें कि आपका ईमेल पता किसी ज्ञात डेटा ब्रीच में तो नहीं है; यदि पाया जाता है, तो तुरंत उस खाते और समान क्रेडेंशियल्स वाले अन्य खातों के पासवर्ड बदलें।
- अपने उपकरणों को नवीनतम सुरक्षा पैच के साथ अपडेट रखें और विश्वसनीय एंटीवायरस सॉफ़्टवेयर का उपयोग करें ताकि कीलॉगर या क्रेडेंशियल चोरी करने वाले मैलवेयर को आपके पासवर्ड को लक्षित वेबसाइट तक पहुंचने से पहले पकड़ने से रोका जा सके।
वास्तविक उदाहरण
एक सॉफ्टवेयर डेवलपर के LinkedIn क्रेडेंशियल्स 2021 के एक ब्रीच में लीक हो गए थे, लेकिन उसने अपना पासवर्ड अपडेट नहीं किया। महीनों बाद, हमलावरों ने उसके लीक हुए उपयोगकर्ता नाम और पासवर्ड का उपयोग करके उसके LinkedIn खाते में प्रवेश किया, फिर खाते की पुनर्प्राप्ति प्रक्रिया का उपयोग करके उसके Gmail पासवर्ड को रीसेट किया। एक बार उसके ईमेल में प्रवेश करने के बाद, उन्होंने उसके AWS, GitHub, और बैंकिंग पासवर्ड रीसेट किए, जिससे वे उसकी कंपनी के क्लाउड इन्फ्रास्ट्रक्चर और व्यक्तिगत बचत तक पहुंच गए। उसने ब्रीच का पता तब लगाया जब उसकी कंपनी की सुरक्षा टीम ने असामान्य AWS एक्सेस पैटर्न का पता लगाया, जिससे पता चला कि इस हमले ने पहले ही $8,000 के धोखाधड़ी वाले क्लाउड शुल्क और गोपनीय परियोजना कोड का खुलासा कर दिया था।
एक रिटेल मैनेजर ने अपने कार्य खाते, ईमेल, और व्यक्तिगत बैंकिंग सिस्टम में एक ही पासवर्ड का पुन: उपयोग किया था। जब उस रिटेलर का डेटा ब्रीच हुआ जिसमें 50,000 कर्मचारी क्रेडेंशियल्स लीक हुए, तो हमलावरों ने तुरंत उन क्रेडेंशियल्स का परीक्षण लोकप्रिय बैंकिंग वेबसाइटों पर किया। मैनेजर के बैंक खाते तक 12 घंटे के भीतर पहुंच गई, और धोखेबाजों ने बैंक के धोखाधड़ी पहचान प्रणाली के अतिरिक्त लेनदेन पर रोक लगाने से पहले $4,200 क्रिप्टोकरेंसी एक्सचेंजों में ट्रांसफर कर दिए। जांच में पता चला कि हमलावरों ने 47 विभिन्न वेबसाइटों पर क्रेडेंशियल्स का परीक्षण किया और सफलतापूर्वक उसके ईमेल और PayPal खातों तक पहुंच बनाई।
एक ई-कॉमर्स व्यवसायी ने अपने व्यापारी खाते पर असामान्य चार्जबैक देखे और पाया कि हमलावरों ने क्रेडेंशियल स्टफिंग के जरिए उसके ईमेल तक पहुंच बनाई थी। उसके ईमेल एक्सेस का उपयोग करके, उन्होंने उसके ई-कॉमर्स प्लेटफॉर्म के एडमिन पैनल में लॉगिन किया, उत्पाद की कीमतें बदलीं, ग्राहक भुगतान हमलावर-नियंत्रित खातों में पुनर्निर्देशित किए, और ग्राहक भुगतान जानकारी चुराई। धोखाधड़ी का पता चलने से पहले 5 दिनों की अवधि में, हमलावरों ने $23,000 के डायवर्टेड लेनदेन किए और 300 से अधिक ग्राहकों के भुगतान डेटा को समझौता किया, जिससे महत्वपूर्ण वित्तीय और प्रतिष्ठा संबंधी नुकसान हुआ।
रिपोर्ट कहाँ करें — भारत
आपके क्षेत्र में इस घोटाले की रिपोर्ट के लिए आधिकारिक चैनल।
राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल
साइबर अपराधगृह मंत्रालय का साइबर अपराध हेल्पलाइन (1930) और रिपोर्टिंग पोर्टल।
CERT-In
रिपोर्टिंगइलेक्ट्रॉनिक्स एवं सूचना प्रौद्योगिकी मंत्रालय के तहत साइबर सुरक्षा एजेंसी।
राष्ट्रीय उपभोक्ता हेल्पलाइन
उपभोक्ता संरक्षणउपभोक्ता मामलों के विभाग द्वारा संचालित शिकायत हेल्पलाइन।
RBI Sachet (वित्तीय धोखाधड़ी)
वित्तीय नियामकभारतीय रिजर्व बैंक का अनधिकृत संस्थाओं की रिपोर्ट के लिए पोर्टल।
क्या आपको लगता है कि आप इस घोटाले के संपर्क में आए?
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), क्रेडेंशियल स्टफिंग हमले: हैकर्स आपके पासवर्ड का कैसे करते हैं दुरुपयोग is described at https://scamlens.org/hi/encyclopedia/credential-stuffing.