ان اکاؤنٹس کی حفاظت کریں جو باقی سب کچھ ری سیٹ کر سکتے ہیں
ڈیجیٹل شناخت ایک اکاؤنٹ نہیں۔ یہ ایک زنجیر ہے جو آپ کے بنیادی ای میل، فون نمبر، ڈیوائس ان لاک کوڈ، مالی اکاؤنٹس، کلاؤڈ اسٹوریج، صحت کے پورٹلز، ٹیکس ریکارڈز، اور اکاؤنٹ بازیابی کے طریقوں کو جوڑتی ہے۔ ایک حملہ آور جو بنیادی ای میل ایڈریس پر قبضہ کر لیتا ہے وہ ان کے پاس ورڈز کو شکست دیے بغیر کئی دوسرے اکاؤنٹس کو ری سیٹ کر سکتا ہے۔ AI فشنگ اور نقالی کو تیز اور زیادہ چمکدار بنا سکتا ہے، لیکن سب سے مفید دفاع عام سیکیورٹی کنٹرولز ہی رہتے ہیں: منفرد اسناد، فشنگ کے خلاف مزاحم سائن ان، محفوظ بازیابی، اپ ڈیٹس، اور تصدیق کی مشق شدہ عادت۔ CISA مضبوط پاس ورڈز، ملٹی فیکٹر تصدیق، فشنگ کی شناخت، اور سافٹ ویئر اپ ڈیٹس کو اپنے بنیادی صارفی اقدامات کے طور پر گروپ کرتا ہے۔
یہ امریکی گھرانوں کے لیے عمومی رہنمائی ہے، انفرادی قانونی، مالی، یا سائبر سیکیورٹی مشورہ نہیں۔ پیچھا کیے جانے، گھریلو تشدد، ھدف بنائی گئی ہراسانی، یا سمجھوتہ شدہ ڈیوائس کا سامنا کرنے والے لوگوں کو اکاؤنٹس بدلنے سے پہلے کسی اہل وکیل یا سیکیورٹی پیشہ ور کے ساتھ حفاظتی منصوبے کی ضرورت ہو سکتی ہے، کیونکہ اچانک تبدیلیاں کسی بدسلوکی کرنے والے کو خبردار کر سکتی ہیں۔
بازیابی کو کنٹرول کرنے والے اکاؤنٹس سے شروع کریں: بنیادی ای میل، پلیٹ فارم اکاؤنٹ، موبائل کیریئر، پاس ورڈ مینیجر، اور مالی اکاؤنٹس۔ پھر کم قدر والی خدمات کا احاطہ کریں۔ یہ ترتیب اس امکان کو کم کرتی ہے کہ کمزور بازیابی کہیں اور مضبوط تحفظ کو شکست دے۔
پاس ورڈ مینیجر استعمال کریں، پھر دہرائی ختم کریں
ہر اکاؤنٹ کے لیے ایک مختلف پاس ورڈ پیدا کرنے اور محفوظ کرنے کے لیے ایک قابلِ اعتماد پاس ورڈ مینیجر استعمال کریں۔ عملی مقصد درجنوں پیچیدہ تاروں کو یاد کرنا نہیں؛ یہ ہے کہ ایک خلاف ورزی کو ہر دوسری خدمت کے خلاف بیکار بنا دیا جائے۔ مینیجر کو ایک طویل، منفرد ماسٹر پاس ورڈ اور اس کے مضبوط ترین دستیاب ملٹی فیکٹر آپشن سے محفوظ کریں۔ بازیابی کوڈز کے ساتھ ماسٹر پاس ورڈ کو غیر خفیہ نوٹ میں نہ رکھیں۔
سب سے زیادہ نتیجہ خیز اکاؤنٹس پہلے بدلیں، پھر دہرائے گئے پاس ورڈز کو جیسے جیسے آپ ان کا سامنا کریں اپ ڈیٹ کریں۔ اگر کوئی سروس خلاف ورزی کی اطلاع دیتی ہے، تو اسناد کو اس کی معلوم ایپ یا ٹائپ کیے گئے پتے کے ذریعے بدلیں نہ کہ کسی وارننگ پیغام کے لنک کے ذریعے۔ مشترکہ رسائی کے لیے، پاس ورڈ ٹیکسٹ کرنے کے بجائے علیحدہ سروس لاگ ان یا پاس ورڈ مینیجر کے خاندانی اشتراک کے فیچر کو ترجیح دیں۔
پاس کیز یا سیکیورٹی کیز کو ترجیح دیں، بازیابی کی منصوبہ بندی کے ساتھ
پاس کیز اور FIDO/WebAuthn سیکیورٹی کیز اس طرح ڈیزائن کی جاتی ہیں کہ اسناد قانونی سائٹ سے بندھی ہوتی ہیں۔ درست طور پر ترتیب دی گئی پاس کیز فشنگ کے خلاف مزاحم ہیں کیونکہ ایک جعلی ڈومین حقیقی کے لیے ایک دوبارہ قابلِ استعمال راز حاصل نہیں کر سکتا؛ NIST اس تصدیق کنندہ-نام بندش کو بیان کرتا ہے اور مطابقت شدہ پاس کیز کے تبادلوں کی بھی وضاحت کرتا ہے۔ یہ انہیں ای میل، پاس ورڈ مینیجرز، کلاؤڈ اکاؤنٹس، اور مالی خدمات کے لیے ایک مضبوط انتخاب بناتا ہے جب پیش کیا جائے۔
“پاس کی” کا ہمیشہ مطلب ایک علیحدہ ہارڈویئر کی نہیں ہوتا۔ ایک پاس کی ایک ڈیوائس پر رکھی جا سکتی ہے، ایک پلیٹ فارم اکاؤنٹ کے ذریعے مطابقت پذیر ہو سکتی ہے، یا ایک جسمانی سیکیورٹی کی پر ذخیرہ کی جا سکتی ہے۔ مطابقت شدہ پاس کیز آلات کے درمیان استعمال اور بازیابی کو بہتر بناتی ہیں، لیکن پلیٹ فارم اکاؤنٹ اور اس کا بازیابی کا عمل پھر سیکیورٹی کی حد کا حصہ بن جاتا ہے۔ ایک ہارڈویئر کی اس مطابقت اکاؤنٹ پر انحصار کم کر سکتی ہے، لیکن ایک واحد کی کھو یا خراب ہو سکتی ہے۔ ایک اعلیٰ قدر والے اکاؤنٹ کے لیے، کم از کم دو تصدیق کنندگان رجسٹر کریں اگر سروس اجازت دیتی ہے: ایک دستیاب رکھیں اور ایک بیک اپ محفوظ، علیحدہ مقام پر۔
موجودہ سائن ان طریقے کو اس وقت تک حذف نہ کریں جب تک آپ نے نئے طریقے کو ایک علیحدہ سیشن میں آزمایا نہ ہو اور بازیابی کا جائزہ نہ لیا ہو۔ ایک بار استعمال ہونے والے بازیابی کوڈز کو آف لائن، ایک تالا بند مقام پر محفوظ کریں۔ چیک کریں کہ آیا نیا تصدیق کنندہ شامل کرنا الرٹ پیدا کرتا ہے، آیا پرانے سیشنز منسوخ کیے جا سکتے ہیں، اور کون سے فون نمبر یا ای میل ایڈریس اکاؤنٹ کو ری سیٹ کر سکتے ہیں۔ NIST کی موجودہ تصدیق کنندہ رہنمائی بازیابی کو اپنا لائف سائیکل واقعہ سمجھتی ہے، بعد کی سوچ نہیں۔
اگر پاس کیز دستیاب نہیں، تو سروس کی سب سے مضبوط MFA استعمال کریں جو وہ سپورٹ کرتی ہے۔ ایک تصدیق کنندہ ایپ یا ہارڈویئر ٹوکن عام طور پر SMS کی کچھ کمزوریوں سے بچتا ہے۔ SMS اب بھی عام طور پر صرف پاس ورڈ سے بہتر ہے، لیکن یہ فشنگ کے خلاف مزاحم نہیں اور فون اکاؤنٹ کی سیکیورٹی پر منحصر ہے۔ ایک کیریئر اکاؤنٹ پن شامل کریں، دستیاب پورٹ آؤٹ یا سم سویپ لاک فعال کریں، اور کبھی بھی کسی غیر طلب شدہ کالر کو ایک بار استعمال ہونے والا کوڈ نہ پڑھیں۔ ایک حقیقی سپورٹ ایجنٹ کو اس کوڈ کی ضرورت نہیں ہونی چاہیے جو لاگ ان کی اجازت دیتا ہے۔
بازیابی اور ڈیوائسز کو مضبوط کریں
سال میں دو بار اور فون نمبر، ای میل، تعلق، یا گھریلو تبدیلی کے بعد اکاؤنٹ بازیابی کی ترتیبات کا جائزہ لیں۔ سابقہ کام کے پتے، پرانے نمبر، نامعلوم ڈیوائسز، پرانی ایپ پاس ورڈز، اور ایسے لوگوں کو ہٹائیں جن کو مزید بازیابی رسائی نہیں ہونی چاہیے۔ بازیابی کے رابطے کو صرف اسی صورت استعمال کریں اگر وہ شخص ذمہ داری کو سمجھتا ہو اور اپنے اکاؤنٹ کی حفاظت کر سکتا ہو۔
فونز، کمپیوٹرز، براؤزرز، پاس ورڈ مینیجرز، اور سیکیورٹی سافٹ ویئر کے لیے خودکار اپ ڈیٹس آن کریں۔ ایک ڈیوائس پاس کوڈ استعمال کریں جو سالگرہ یا دہرایا گیا ہندسہ نہ ہو، جہاں دستیاب ہو مکمل ڈیوائس خفیہ کاری فعال کریں، اور ڈیوائس کو جلدی لاک ہونے کے لیے ترتیب دیں۔ اگر پیغام کی جھلک لاگ ان کوڈز یا نجی معلومات ظاہر کرتی ہے تو لاک اسکرین پر اسے چھپائیں۔ اہم ڈیٹا کا آزمائشی طریقے سے بیک اپ لیں، لیکن یاد رکھیں کہ ایک کلاؤڈ بیک اپ اس کے کلاؤڈ اکاؤنٹ کے ذریعے قابلِ رسائی ہے؛ اس اکاؤنٹ کو اسی کے مطابق محفوظ کریں۔ ان اکاؤنٹس کے پیچھے موجود روٹر کی ترتیب، نیٹ ورک سیگمنٹیشن، اور منسلک ڈیوائس مضبوطی کے لیے، گھریلو نیٹ ورک اور ڈیوائس سیکیورٹی دیکھیں۔
غیر مرئی ہونے کا پیچھا کیے بغیر شناختی نمائش کم کریں
نجی سوشل میڈیا ترتیبات عارضی نمائش کو کم کرتی ہیں لیکن کسی پوسٹ کو ہمیشہ کے لیے نجی نہیں بناتیں۔ جب عوامی ہونے کی ضرورت نہ ہو تو عوامی تاریخِ پیدائش، گھر کے پتے، معمول کے مقامات، سکول، سفر کی تاریخیں، رشتہ داروں کے نام، اور فون نمبر ہٹائیں۔ بچوں کو ٹیگ کرنے یا واضح آواز اور چہرے کی ریکارڈنگز شائع کرنے سے پہلے رشتہ داروں سے پوچھیں۔ مقصد ایک قائل کرنے والے بہانے کو جمع کرنا مشکل بنانا ہے، یہ وعدہ کرنا نہیں کہ کلوننگ ناممکن ہو جاتی ہے۔
لوگوں کی تلاش کرنے والی سائٹس عوامی ریکارڈز، سوشل میڈیا، اور دیگر بروکرز سے ڈیٹا مرتب کرتی ہیں۔ FTC وضاحت کرتا ہے کہ کسی سائٹ کا آپٹ آؤٹ عمل کیسے تلاش کیا جائے، لیکن آپٹ آؤٹ نامکمل ہیں اور دہرانے کی ضرورت پڑ سکتی ہے۔ ہٹانے کی درخواستوں کے لیے ایک مخصوص ای میل ایڈریس استعمال کریں، صرف واقعی مطلوبہ تصدیقی ڈیٹا فراہم کریں، اور مکمل کردہ درخواستوں کی تاریخ شدہ فہرست رکھیں۔ کسی نامعلوم “ہٹانے” کی سروس کو غیر رسمی طور پر شناختی دستاویزات اپ لوڈ نہ کریں۔
جہاں مناسب ہو کریڈٹ منجمد کریں
ایک کریڈٹ فریز کریڈٹ فائل تک رسائی کو محدود کرتا ہے اور اس شخص کے نام پر نیا کریڈٹ کھولنا مشکل بنا سکتا ہے۔ یہ موجودہ اکاؤنٹ کے ہائی جیک، بینک بیلنس کے غلط استعمال، ٹیکس فراڈ، طبی شناختی چوری، یا شناختی فراڈ کی ہر شکل کو نہیں روکتا۔ امریکہ میں، فریز مفت ہیں، ہر قومی کریڈٹ بیورو کے ساتھ الگ سے لگانے چاہئیں، اور جب جائز کریڈٹ درکار ہو تو ہٹائے جا سکتے ہیں۔ بیورو اکاؤنٹس اور فریز مینجمنٹ اسناد کی حفاظت کریں۔
والدین اور سرپرست کسی نابالغ کے لیے فریز کی درخواست کر سکتے ہیں۔ عام طور پر بچے کی پہلے سے کریڈٹ فائل نہیں ہونی چاہیے؛ IdentityTheft.gov بچے کی فائل چیک کرنے اور منجمد کرنے کے لیے بیورو-مخصوص عمل فراہم کرتا ہے۔ نتیجے میں آنے والے ریکارڈز کو محفوظ رکھیں کیونکہ ان میں شناختی معلومات ہوتی ہیں۔
کریڈٹ مانیٹرنگ آپ کو فائل بدلنے کے بعد الرٹ کر سکتی ہے؛ یہ تبدیلی کو نہیں روکتی۔ بینک اور کارڈ الرٹس کا بھی جائزہ لیں، اور کریڈٹ رپورٹس AnnualCreditReport.com، وفاقی طور پر مجاز ذریعے کے ذریعے حاصل کریں، کسی اشتہار کے ذریعے پہنچی ملتی جلتی سائٹ کے بجائے۔
گھرانے کو ایک لین دین کا قاعدہ دیں
ٹیکنالوجی یہ طے نہیں کر سکتی کہ ایک حقیقی نظر آنے والی درخواست جائز ہے۔ ایک قاعدہ قائم کریں کہ پیسے، اسناد، بازیابی کوڈز، ریموٹ کمپیوٹر رسائی، یا رازداری کی کسی بھی غیر متوقع درخواست پر اسی گفتگو میں عمل نہ کیا جائے۔ رابطہ ختم کریں اور پہلے سے حقیقی معلوم نمبر، ایپ، یا ذاتی طور پر ملاقات کے ذریعے تصدیق کریں۔ ایک خاندانی تصدیقی جملہ مدد کر سکتا ہے، لیکن آن لائن نظر آنے والی حقیقت استعمال نہ کریں، اور جملے کو پیسے منتقل کرنے کے اختیار کے طور پر نہ برتیں۔ ایک کال بیک اور دوسرے شخص کا جائزہ مضبوط تصدیق فراہم کرتے ہیں۔
پروٹوکول اکاؤنٹ پر مجاز ہر شخص کو سکھائیں۔ بڑی منتقلیوں کے لیے، بینک سے الرٹس، حدود، یا دوسری منظوری کے بارے میں پوچھیں۔
اگر شناختی چوری یا ہائی جیک ہو جائے
ایسی ڈیوائس سے کام کریں جس پر آپ کو بھروسہ کرنے کی وجہ ہو۔ ایک بیان، کارڈ، یا سرکاری ویب سائٹ کے ذریعے متاثرہ ادارے سے رابطہ کریں؛ ظاہر شدہ اسناد بدلیں؛ نامعلوم سیشنز منسوخ کریں؛ اور پیغامات، لین دین کی تفصیلات، اور ٹائم اسٹیمپس محفوظ کریں۔ اگر شناختی معلومات کا غلط استعمال ہوا، تو IdentityTheft.gov ایک خصوصی بازیابی کا منصوبہ اور FTC شناختی چوری کی رپورٹ بناتا ہے۔ مناسب ہونے پر FBI کے Internet Crime Complaint Center کو سائبر کے قابل جرم کی رپورٹ کریں، لیکن پتہ براہِ راست ٹائپ کریں کیونکہ FBI نے جعلی IC3 سائٹس کے بارے میں خبردار کیا ہے۔
ایسے “بازیابی ایجنٹ” کو ادائیگی نہ کریں جو پیشگی فیس کے لیے چوری شدہ پیسے واپس لانے کا وعدہ کرے۔ بازیابی ادائیگی کے طریقے اور رپورٹنگ کی رفتار پر منحصر ہے۔ فوری طور پر بینک، کارڈ جاری کنندہ، ٹرانسفر سروس، یا گفٹ کارڈ جاری کنندہ سے رابطہ کریں اور پوچھیں کہ کیا یہ لین دین روکا یا واپس کیا جا سکتا ہے؛ FTC ہر ادائیگی کی قسم کے لیے درست پہلا رابطہ درج کرتا ہے۔
ایک قابلِ عمل پہلا ویک اینڈ
- منفرد اسناد اور فشنگ کے خلاف مزاحم MFA کے ساتھ بنیادی ای میل اور پاس ورڈ مینیجر کو محفوظ کریں۔
- ایک بیک اپ تصدیق کنندہ رجسٹر اور آزمائیں؛ بازیابی کوڈز پرنٹ یا محفوظ طریقے سے ریکارڈ کریں۔
- موبائل کیریئر اکاؤنٹ کو لاک کریں اور اکاؤنٹ بازیابی کے پتوں، نمبروں، سیشنز، اور ڈیوائسز کا جائزہ لیں۔
- ہر معاون گھریلو ڈیوائس پر خودکار اپ ڈیٹس اور ڈیوائس خفیہ کاری فعال کریں۔
- گھریلو افراد کے لیے کریڈٹ منجمد کریں جنہیں بار بار نئے کریڈٹ تک رسائی کی ضرورت نہیں۔
- اتفاق کریں کہ غیر معمولی پیسے یا اسناد کی درخواستوں کے لیے ہمیشہ ایک آزاد کال بیک اور دوسری نظر درکار ہو۔
کوئی چیک لسٹ شناختی چوری کو ناممکن نہیں بناتی۔ حقیقت پسندانہ نتیجہ عام داخلی مقامات کو ہٹانا، سمجھوتے کو محدود کرنا، اور بازیابی کو تیز تر بنانا ہے۔