सॉफ़्टवेयर अपडेट से साइबर हमले क्यों हो सकते हैं — और क्या करें

सिस्टम को चालू रखने और ज्ञात कमज़ोरियों को ठीक करने के लिए सॉफ़्टवेयर अपडेट ज़रूरी हैं, तो वे साइबर हमलों को कैसे बढ़ावा दे सकते हैं? हैरानी की बात है कि हमलावर, अंदरूनी खतरे या यहाँ तक कि अंतिम उपयोगकर्ता भी कई तरीकों से एक हानिरहित फिक्स को साइबर खतरे में बदल सकते हैं। अपडेट करने के क्या जोखिम हैं? सबसे महत्वपूर्ण बात यह है कि लोग अपने डेटा और डिवाइस की सुरक्षा कैसे कर सकते हैं?

सॉफ्टवेयर अपडेट कब सुरक्षा जोखिम बन जाते हैं?

कभी-कभी, रिलीज़ में नई सुविधाएँ, यांत्रिकी या एकीकरण शामिल होते हैं। भले ही डेवलपर्स संभावित कमज़ोरियों के लिए कोड की हज़ारों पंक्तियों की गहन समीक्षा करें, लेकिन वे कुछ को अनदेखा कर ही देते हैं। हमलावर पैच के लाइव होने के तुरंत बाद इन शून्य-दिन की कमज़ोरियों का फ़ायदा उठा सकते हैं, जिससे उन्हें अंतिम उपयोगकर्ताओं को लक्षित करने का समय मिल जाता है जबकि टीम के सदस्य फ़िक्स के लिए संघर्ष करते हैं।

अपूर्ण फिक्स का भी यही नतीजा होता है। ज़्यादातर लोग पैच नोट्स पढ़ने के लिए उत्साहित रहते हैं, इसलिए उन्हें यह एहसास नहीं होता कि कुछ कमज़ोरियाँ हो सकती हैं जिन्हें अभी तक संबोधित नहीं किया गया है। सुरक्षा की उनकी झूठी भावना उन्हें खतरों के प्रति कमज़ोर बनाती है - खासकर इसलिए क्योंकि हमलावर चेंजलॉग को पढ़कर यह निर्धारित कर सकते हैं कि किसका फ़ायदा उठाना है।

दोषपूर्ण रिलीज़ दुर्लभ हैं लेकिन होते हैं। वे सिस्टम को बाधित कर सकते हैं या संवेदनशील जानकारी को उजागर कर सकते हैं, जिससे हमलावरों को मौका मिल जाता है। साइबर हमले तब होते हैं जब व्यक्ति डेवलपर्स पर बहुत अधिक भरोसा करते हैं और अपने सुरक्षा उपायों के बारे में लापरवाह हो जाते हैं। संयुक्त राज्य अमेरिका में, 92% कंपनियों ने अनुभव किया है किसी तृतीय-पक्ष विक्रेता के कारण साइबर सुरक्षा संबंधी घटना घटित होना।

अपहृत अपग्रेड अपेक्षाकृत असामान्य हैं, लेकिन हो सकते हैं। एक हमलावर मूल उपकरण निर्माताओं के डिवाइस प्रबंधन सिस्टम पर कब्जा कर सकता है या कोड में गुप्त रूप से एक दुर्भावनापूर्ण स्क्रिप्ट जोड़ सकता है। उस स्थिति में, वे अपने प्रोग्राम को अपडेट करने वाले किसी भी व्यक्ति के डिवाइस में सीधे मैलवेयर इंजेक्ट कर सकते हैं।

मार्च में, माइक्रोसॉफ्ट के एक सॉफ्टवेयर इंजीनियर को पता चला कि किसी ने स्रोत कोड अद्यतन को अपहृत कर लिया गया xz Utils के लिए — एक ओपन-सोर्स डेटा कंप्रेसर जो लिनक्स इकोसिस्टम में बड़े पैमाने पर इस्तेमाल किया जाता है — ऑपरेटिंग सिस्टम में एक बैकडोर बनाने के लिए। अपराधी जिया टैन था, एक अकेला डेवलपर जिसने मैलवेयर इंजेक्ट करने से पहले मददगार कोड का योगदान देकर विश्वास हासिल किया।

यह हमला सफल होने के "बेहद करीब" था। अगर ऐसा होता, तो यह विनाशकारी होता, और दुनिया भर में लिनक्स सिस्टम पर इसका असर होता। ओवर-द-एयर प्रोग्रामिंग - वायरलेस नेटवर्क पर डिवाइस को डिलीवर किए जाने वाले पैच - इन साइबर सुरक्षा घटनाओं के प्रति संवेदनशील होने के लिए कुख्यात हैं क्योंकि वे इंटरनेट पर स्वचालित रूप से इंस्टॉल हो जाते हैं।

सॉफ्टवेयर अपडेट करने से साइबर हमले क्यों होते हैं?

अधिकतर मामलों में, साइबर हमलों के लिए उपयोगकर्ता की गलती को ही दोषी ठहराया जाता है। फ़िशिंग ईमेल सॉफ़्टवेयर अपडेट के रूप में प्रच्छन्न हो सकता है , लोगों को अपने एप्लिकेशन को अपडेट करने के बजाय मैलवेयर इंस्टॉल करने के लिए प्रेरित करना। पॉप-अप संदेश एक और आम हमला है। वे दावा करते हैं कि व्यक्ति पुराने संस्करण का उपयोग करता है या अपग्रेड करने से लाभ उठा सकता है।

विशेष रूप से दुर्भावनापूर्ण पॉप-अप में कोई रद्द करने का बटन नहीं होता है, इसके बजाय "अभी इंस्टॉल करें" और "रात भर इंस्टॉल करें" जैसे विकल्प प्रदर्शित होते हैं, जो उपयोगकर्ताओं को यह सोचने के लिए प्रेरित करते हैं कि उनके पास स्वीकार करने के अलावा कोई विकल्प नहीं है। ये नकली रिलीज़ स्पाइवेयर या मैलवेयर इंजेक्ट करते हैं, जिससे लक्षित डिवाइस से समझौता होता है। चूँकि पीड़ित को उम्मीद होती है कि कुछ इंस्टॉल किया जाएगा, इसलिए उन्हें शुरू में अपनी गलती का एहसास भी नहीं हो सकता है।

शोधकर्ताओं ने हाल ही में एंड्रॉइड ऐप के रूप में छिपे स्पाइवेयर की खोज की गई जो इस रणनीति का उपयोग करता है। यह रिमोट एक्सेस ट्रोजन एक पुश नोटिफिकेशन भेजता है जो सिस्टम अपडेट जैसा दिखता है। यदि उपयोगकर्ता इसे स्वीकार करते हैं, तो यह उनके स्थान डेटा, छवि फ़ाइलें, कॉल लॉग और संपर्क सूची चुरा लेता है। यह फोन के माइक्रोफ़ोन का उपयोग करके आपकी बातें भी सुनता है और कैमरे का उपयोग करके जासूसी करता है।

भले ही अपग्रेड वैध हो, फिर भी समस्याएँ हो सकती हैं। गलत एकीकरण, अक्षम सुरक्षा सुविधाएँ और गलत तरीके से कॉन्फ़िगर की गई सेटिंग्स जैसी उपयोगकर्ता त्रुटियाँ अज्ञात कमज़ोरियों को जन्म दे सकती हैं। बुरे लोग फ़िक्सेस लाइव होने के तुरंत बाद हमला करना पसंद करते हैं क्योंकि जब लोग ऐसी गलतियाँ करते हैं तो उन्हें मौका मिल जाता है।

लाइव वातावरण नियंत्रित परीक्षण से काफी अलग होता है, इसलिए अप्रत्याशित शोषण अपरिहार्य हैं। इन साइबर खतरों के लिए संगतता मुद्दे एक आम चालक हैं। भले ही कोई शून्य-दिन की भेद्यता मौजूद न हो, बुरे अभिनेता नेटवर्क में घुसपैठ करने और सिस्टम पर हमला करने के लिए उपयोगकर्ता की त्रुटि का लाभ उठा सकते हैं।

दुर्भावनापूर्ण अपडेट इंस्टॉल करने के परिणाम

मैलवेयर इंजेक्शन जल्दबाजी में, अधूरे, दोषपूर्ण या अनौपचारिक पैच का सबसे आम परिणाम है। बुरे अभिनेता रैनसमवेयर, कीलॉगर, वायरस या स्पाइवेयर इंस्टॉल कर सकते हैं। इससे वे फिरौती के बदले पीड़ितों के डिवाइस को ब्रिक कर सकते हैं या संवेदनशील डेटा एकत्र करने के लिए गतिविधि की निगरानी कर सकते हैं। यदि वे किसी कंपनी पर हमला करते हैं, तो वे मालिकाना और व्यक्तिगत रूप से पहचान योग्य जानकारी निकाल सकते हैं।

इन स्थितियों में वित्तीय नुकसान आम बात है। संयुक्त राज्य अमेरिका में डेटा उल्लंघन की औसत लागत कुल 9.48 मिलियन डॉलर का रिकॉर्ड उच्च स्तर 2023 में यह राशि 2022 में 9.44 मिलियन डॉलर से अधिक हो जाएगी। व्यक्ति कम भुगतान करते हैं क्योंकि हैकर्स को पता है कि उनके पास कम लिक्विडिटी है और समझौता करने के लिए कम डिवाइस हैं। हालांकि, वे अभी भी रिकवरी पर सैकड़ों या हजारों डॉलर खर्च करते हैं।

जब लोग घटना की प्रतिक्रिया और पुनर्प्राप्ति प्रक्रिया में होते हैं, तो हमलावर संवेदनशील डेटा चुरा सकते हैं, जिससे वे पहचान की चोरी, फ़िशिंग और अनुवर्ती साइबर हमलों के प्रति संवेदनशील हो जाते हैं। इसके अलावा, उन्हें संभवतः साइबर हमले का कारण बनने वाले किसी भी प्रोग्राम या सिस्टम को बंद करना होगा, जिससे अप्रत्याशित डाउनटाइम या देरी हो सकती है।

जोखिम के बावजूद उपयोगकर्ताओं को अपडेट क्यों करना चाहिए

शोधकर्ताओं ने 150,000 से अधिक मध्यम और बड़ी कंपनियों के सर्वर सॉफ़्टवेयर परिवर्तनों को ट्रैक करके उपयोगकर्ता अपडेट पर अब तक का सबसे बड़ा डेटासेट बनाने में लगभग दो दशक लगा दिए। उन्होंने पाया कि इनमें से 57% संगठन सुरक्षित संस्करण उपलब्ध होने पर भी गंभीर कमजोरियों वाले कोड का उपयोग किया गया।

यह जानते हुए कि एक साधारण फिक्स कितनी आसानी से साइबर हमलों का वाहक बन सकता है, कुछ लोगों को अपडेट करने से रोकेगा। हालाँकि, यह उपाय विकल्प से भी बदतर है। पैच ज्ञात कमज़ोरियों को संबोधित करते हैं जिनका हैकर सक्रिय रूप से फायदा उठाने की कोशिश कर रहे हैं। वे संगतता, प्रसंस्करण और सुविधाओं को अद्यतित करके एकीकरण को भी सुरक्षित करते हैं।

हालाँकि रिलीज़ से कमज़ोरियाँ आ सकती हैं या डिवाइस को पूरी तरह से नुकसान पहुँच सकता है, लेकिन उन्हें अस्वीकार करने से साइबर सुरक्षा पर बुरा असर पड़ता है। पुराने वर्शन का इस्तेमाल करने वाले लोगों को साइबर अपराधियों द्वारा निशाना बनाए जाने की संभावना ज़्यादा होती है, जिसके परिणामस्वरूप अधिक बार और जटिल हमले होते हैं - जिनके सफल होने की संभावना बहुत ज़्यादा होती है।

लोगों को यह नहीं मान लेना चाहिए कि वे सुरक्षित हैं, क्योंकि पैच उनकी सुरक्षा के लिए है। डिजिटल युग की वास्तविकता यह है कि चाहे कितनी भी सुरक्षा क्यों न हो, कोई न कोई व्यक्ति अंततः कोई न कोई खामी या कमजोरी खोज ही लेता है, जिसका फायदा उठाया जा सके। यह भयावह लगता है, लेकिन यह आश्वस्त करने वाला होना चाहिए - इसका मतलब है कि सॉफ्टवेयर किसी भी अन्य संपत्ति की तरह ही है। अक्सर, सतर्कता सबसे अच्छे बचावों में से एक है।

डेटा और डिवाइस की सुरक्षा कैसे करें

चूंकि सॉफ्टवेयर अपडेट को नजरअंदाज करना कोई विकल्प नहीं है, इसलिए व्यक्तियों को सर्वोत्तम प्रथाओं का पालन करना चाहिए और अपने पास उपलब्ध प्रत्येक प्रासंगिक सुरक्षा उपकरण का उपयोग करना चाहिए।

1. स्वचालित अपडेट बंद करें

ओवर-द-एयर और स्वचालित अपडेट हमलावरों को लाभ देते हैं। लोगों को उन्हें बंद कर देना चाहिए और अपने सिस्टम को अपडेट कर लेना चाहिए क्योंकि डेवलपर्स फ़िक्स उपलब्ध कराते हैं। उन्हें सर्वर की पहचान भी सत्यापित करनी चाहिए और आगे बढ़ने से पहले यह सुनिश्चित करना चाहिए कि उनका कनेक्शन एन्क्रिप्टेड है।

2. पैच नोट्स की समीक्षा करें

संभावित रूप से दुर्भावनापूर्ण छेड़छाड़ की पहचान करने के लिए अंतिम उपयोगकर्ताओं को पैच नोट्स, चेंजलॉग और कोड की लगातार समीक्षा करनी चाहिए। यह दृष्टिकोण उन्हें यह भी देखने देता है कि कौन से शोषण को संबोधित किया गया था और कौन से नहीं, जिससे सुरक्षा की किसी भी झूठी भावना को समाप्त किया जा सके।

3. सुरक्षित-डिफ़ॉल्ट कॉन्फ़िगरेशन का उपयोग करें

साइबर सुरक्षा और सूचना सुरक्षा एजेंसी डिफ़ॉल्ट रूप से सुरक्षित कॉन्फ़िगरेशन का उपयोग करने की अनुशंसा करता है साइबर सुरक्षा की स्थिति में सुधार करना। इसमें पहचान प्रमाणीकरण उपायों का उपयोग करना और डिफ़ॉल्ट पासवर्ड को कुछ मजबूत में बदलना शामिल है।

4. अनेक सुरक्षा उपकरणों का उपयोग करें

पैचिंग से हर सुरक्षा कमज़ोरी ठीक नहीं होती। जैसा कि कहावत है, डेवलपर्स को मिलने वाली हर कमज़ोरी के लिए, अन्य पाँच कमज़ोरियाँ मौजूद होती हैं। डिवाइस मालिकों को अपने डेटा की सुरक्षा के लिए फ़ायरवॉल, नेटवर्क मॉनिटरिंग, मल्टीफ़ैक्टर प्रमाणीकरण और वर्चुअल प्राइवेट नेटवर्क स्थापित करना चाहिए।

5. स्रोत से अपडेट करें

डिफ़ॉल्ट रूप से अविश्वास करना एक प्रचलित साइबर सुरक्षा अभ्यास बनता जा रहा है। लोगों को स्वचालित रूप से यह मान लेना चाहिए कि उन्हें किसी वेबसाइट पर जाने या किसी लिंक पर क्लिक करने के लिए निर्देशित करने वाला कोई भी संदेश फ़िशिंग है। उन्हें जानकारी या इंस्टॉल के लिए सीधे आधिकारिक स्रोत पर जाना चाहिए।

सॉफ्टवेयर और डेटा की सुरक्षा के प्रति सतर्क रहें

साइबर अपराधी चालाक और धूर्त होते हैं, इसलिए वे पैच को हाईजैक करने, छेड़छाड़ करने या उसे खराब करने के नए-नए तरीके ईजाद करते रहते हैं। सबसे अच्छा उपाय है सतर्क और सावधान रहना। सर्वोत्तम प्रथाओं का पालन करना, मजबूत सुरक्षा उपकरणों का लाभ उठाना और चेंजलॉग पढ़ना साइबर हमले का शिकार बनने और सुरक्षित रहने के बीच का अंतर हो सकता है।