कंपनी का डोमेन खो देना: वह जोखिम जिस पर कोई ध्यान नहीं देता
कल्पना कीजिए कि आप मंगलवार को उठते हैं और आपकी कंपनी की साइट नहीं खुलती। ईमेल भी नहीं। आप रजिस्ट्रार के पैनल में जाते हैं और पासवर्ड काम नहीं करता। किसी ने सपोर्ट को कॉल किया, कहा कि वही आप हैं, और एजेंट ने मान लिया। इस तरह कंपनी का डोमेन खो देना कोई फ़िल्म नहीं है। यह एक कहानी है जो हाल ही में Hacker News पर आई: एक यूज़र ने बताया कि Namecheap ने उसके अकाउंट का कंट्रोल एक तीसरे शख्स को सौंप दिया, जिसने पूरा वेरिफ़िकेशन भी पास नहीं किया था।
क्रूर बात यही है। कोई हैकिंग नहीं हुई। कोई पासवर्ड लीक नहीं हुआ। कोई मालवेयर नहीं था। चैट के दूसरी तरफ़ बैठा एक इंसान था, जिसने "अप्रूव" पर क्लिक कर दिया।
असल में हुआ क्या, साफ़ शब्दों में
उस व्यक्ति का एक पुराना अकाउंट था एक डोमेन रजिस्ट्रार के पास। एक तीसरे शख्स ने सपोर्ट से संपर्क किया और खुद को मालिक बताया। उसने अधूरी जानकारी दी। सपोर्ट ने दस्तावेज़ माँगे, कुछ ऐसा मिला जो ठीक-ठाक लग रहा था, और एक्सेस दे दिया।
दूसरी तरफ़, असली मालिक के पास कुछ नहीं बचा। डोमेन, DNS, डोमेन पर टिके ईमेल, सब। और फिर सबसे बुरा हिस्सा शुरू हुआ: एक ऐसी कंपनी के सामने खुद को साबित करना जो पहले ही तय कर चुकी है कि कोई और आप हैं।
ऐसे हालात में टू फ़ैक्टर ऑथेंटिकेशन नहीं बचाता। मज़बूत पासवर्ड नहीं बचाता। पासवर्ड मैनेजर नहीं बचाता। क्योंकि हमला सामने के दरवाज़े से नहीं आया। वह सपोर्ट काउंटर से आया।
आपकी डिजिटल सुरक्षा उतनी ही मज़बूत है जितना आपके सप्लायर के सपोर्ट का सबसे थका हुआ एजेंट।
यह IT की नहीं, बिज़नेस मालिक की समस्या क्यों है
क्योंकि डोमेन कोई तकनीकी बारीकी नहीं है। यह आपकी कंपनी का पता है।
सोचिए इस पर क्या-क्या टँगा हुआ है:
- साइट, ज़ाहिर है।
- कॉर्पोरेट ईमेल (
contato@,financeiro@,आप@). - लगभग हर SaaS का पासवर्ड रिकवरी जो आप इस्तेमाल करते हैं। बैंक, CRM, इनवॉइस सिस्टम, Google Workspace, Meta Business.
यह आख़िरी चीज़ ही जान लेती है। जो आपका ईमेल कंट्रोल करता है, वह हर चीज़ का "पासवर्ड भूल गए" कंट्रोल करता है। डोमेन खोना एक साइट खोना नहीं है। यह मास्टर चाबी खोना है।
मैंने अच्छी कमाई वाली कंपनियाँ देखी हैं जिन्हें पता चला कि डोमेन 2019 में नौकरी छोड़ चुके एक इंटर्न के निजी नाम पर रजिस्टर्ड था। और डोमेन का संपर्क ईमेल उसका निजी Hotmail था। उस हफ़्ते कोई चैन से नहीं सोया।
आप उनके सपोर्ट को कंट्रोल नहीं करते, पर तीन चीज़ें कंट्रोल करते हैं
हर सप्लायर के सपोर्ट की ट्रेनिंग का ऑडिट करना मुमकिन नहीं है। तो खेल बदल जाता है: चूक रोकने की कोशिश करने के बजाय, आप चूक होने पर होने वाला नुकसान घटाते हैं।
1. डोमेन का रिकवरी ईमेल अलग रखिए।
अगर रजिस्ट्रार में दर्ज ईमेल आप@आपकीकंपनी.com है, और कंपनी डोमेन खो देती है, तो आप वही ईमेल खो देंगे जिससे डोमेन वापस लेते। यह एक बंद गाँठ है। रजिस्ट्रार का संपर्क ईमेल किसी दूसरे प्रोवाइडर पर, दूसरे डोमेन के साथ होना चाहिए। सिर्फ़ इसी काम के लिए बना एक अलग Gmail काफ़ी है।
2. डोमेन को लॉक कीजिए।
हर गंभीर रजिस्ट्रार "रजिस्ट्रार लॉक" या ट्रांसफ़र लॉक देता है। कुछ बदलाव के बाद 60 दिन का लॉक भी देते हैं। इसे चालू कीजिए। एक क्लिक है और यह डोमेन को अपने आप दूसरे रजिस्ट्रार के पास जाने से रोक देता है।
3. सबूत रखिए कि डोमेन आपका है।
खरीद का मूल इनवॉइस, रजिस्ट्रेशन कन्फ़र्मेशन ईमेल, पेमेंट रसीद, रिकॉर्ड में कंपनी का नाम। एक फ़ोल्डर में एक PDF। अगर बुरा दिन आया, तो आप रात तीन बजे यह सब ढूँढ नहीं रहे होंगे।
दस मिनट का वह टेस्ट जो लगभग कोई नहीं करता
एक कॉफ़ी लेकर बैठिए और लिखकर जवाब दीजिए:
- आपकी कंपनी का डोमेन कहाँ रजिस्टर्ड है? कौन सी कंपनी, कौन सा लॉगिन।
- आज उस पैनल तक किसकी पहुँच है? नाम लीजिए, "IT वाले लोग" नहीं।
- वहाँ दर्ज ईमेल आज भी मौजूद है और कोई उसे पढ़ता है?
- अगर वह व्यक्ति कल गायब हो जाए, तो क्या आप अंदर जा पाएँगे?
- रिन्यूअल कौन चुकाता है? किसका कार्ड? क्या वह कार्ड अब भी वैध है?
अगर आप इनमें से दो पर अटक गए, तो आपको एक असली समस्या मिल गई। और यह समस्या आज ठीक करना सस्ता है, बाद में बहुत महँगा।
आख़िरी सवाल एक प्यारा सा जाल है। मैंने डोमेन एक्सपायर होते देखे हैं क्योंकि कंपनी छोड़ चुके पार्टनर का कार्ड कैंसल हो गया था और चेतावनी ईमेल ऐसे इनबॉक्स में जा रहा था जिसे कोई खोलता ही नहीं था। हमले की ज़रूरत ही नहीं पड़ी। कंपनी ने खुद कर लिया।
"पर यह तो दुर्लभ है, इसमें वक़्त क्यों लगाऊँ"
दुर्लभ तो है। पेंच यहीं है।
बहुत बड़े असर वाली दुर्लभ चीज़ें ठीक वही होती हैं जिनकी कोई तैयारी नहीं करता, क्योंकि कम संभावना आलस को जायज़ ठहरा देती है। बस कीमत उस अनुपात में नहीं होती। साइट का एक दिन जाना झुंझलाहट है। तीन हफ़्ते तक डोमेन खोए रहना, जबकि आप दूसरे टाइम ज़ोन के सपोर्ट से लड़ रहे हैं, मतलब कमाई खोना, ग्राहक खोना, और सबको समझाना कि "नहीं, हमने दुकान बंद नहीं की"।
और एक साइड इफ़ेक्ट है जो कोई नहीं बताता: इन दिनों में, जिसके पास आपका डोमेन है वह आपके नाम से ईमेल भेज सकता है। आपके ग्राहकों को। किसी और खाते में भुगतान माँगते हुए।
मैं डर में जीने को नहीं कह रहा। मैं कह रहा हूँ कि आधे घंटे की व्यवस्था एक ऐसा बीमा खरीद देती है जिसे शायद आप कभी इस्तेमाल नहीं करेंगे। यह बैकअप जैसा है। उबाऊ, उस दिन तक जब तक वह आपकी ज़िंदगी का सबसे अच्छा फ़ैसला न बन जाए।
बड़ा पैटर्न: आपके अकाउंट का मालिक कौन है?
डोमेन सबसे नाटकीय मामला है, पर यही तर्क आपके बाकी SaaS पर भी लागू होता है।
उन अकाउंट की एक सूची बनाइए जो गायब हो जाएँ तो संचालन रुक जाए। आम तौर पर छह से दस होते हैं: डोमेन रजिस्ट्रार, ईमेल प्रोवाइडर, होस्टिंग, पेमेंट गेटवे, CRM, मार्केटिंग टूल, ऐड मैनेजर, टैक्स सिस्टम।
हर एक के लिए तीन कॉलम: मालिक कौन है, एक्सेस का ईमेल क्या है, और मालिक के गायब होने पर रिकवर कौन कर सकता है। एक सादी स्प्रेडशीट। एक दोपहर लगती है।
आप जो पाएँगे वह अनुमानित है और हमेशा खटकता है: आधे अकाउंट किसी ऐसे व्यक्ति के नाम पर हैं जो अब कंपनी में कुछ तय नहीं करता, और तीन अकाउंट 2017 के एक ही निजी ईमेल का इस्तेमाल करते हैं। यह स्प्रेडशीट अकेले ही कई सिक्योरिटी कंसल्टिंग से ज़्यादा कीमती है।
उसके बाद अच्छा हिस्सा आता है। अहम अकाउंट कंपनी के नाम पर। एक्सेस ईमेल कंपनी के पतों पर, साथ में एक बाहरी इमरजेंसी पता। प्रोफ़ाइल के हिसाब से एक्सेस, न कि "टीम के WhatsApp में शेयर किया पासवर्ड"। इनमें से कुछ भी महँगा नहीं है। यह बस इतना उबाऊ है कि कभी प्राथमिकता नहीं बनता।
अगर आपने यहाँ तक पढ़ा और वह बेचैनी रह गई कि "लगता है हम खुले में हैं", तो शायद आप हैं ही। यह वही चीज़ है जिसे मैं क्लाइंट के साथ कोड की एक भी लाइन छूने से पहले सुलझाना पसंद करता हूँ, क्योंकि ऐसी नींव पर सुंदर साइट चलाने का कोई फ़ायदा नहीं जिसे कोई भी बेध्यान सपोर्ट एजेंट गिरा सकता है।
आपके अहम अकाउंट कैसे व्यवस्थित हैं, इस पर दूसरी राय चाहिए? मुझसे बात कीजिए.
LinkedIn के लिए सारांश
मैंने गिनती छोड़ दी है कि कितनी कंपनियों को पता चला कि उनका डोमेन 2019 में नौकरी छोड़ चुके एक इंटर्न के निजी नाम पर रजिस्टर्ड था। Hacker News पर एक किस्सा आया था: एक शख्स ने डोमेन खो दिया क्योंकि किसी ने रजिस्ट्रार के सपोर्ट को कॉल किया, कहा कि वही मालिक है, और एजेंट ने मंज़ूरी दे दी। न कोई हैकिंग। न कोई पासवर्ड लीक। ऐसे हालात में 2FA नहीं बचाता। क्योंकि हमला सामने के दरवाज़े से नहीं आया, वह सपोर्ट काउंटर से आया। और डोमेन कोई तकनीकी बारीकी नहीं है। यह मास्टर चाबी है: जो आपका ईमेल कंट्रोल करता है, वह बैंक, CRM, Google Workspace, सबका "पासवर्ड भूल गए" कंट्रोल करता है। 10 मिनट का टेस्ट: क्या आप जानते हैं कि डोमेन कहाँ रजिस्टर्ड है, आज पैनल तक किसकी पहुँच है, और रिन्यूअल किसके कार्ड से चुकता होता है? अगर इनमें से दो पर अटक गए, तो आपको एक असली समस्या मिल गई। आज ठीक करना सस्ता है। बाद में बहुत महँगा। अगर आपको वह बेचैनी हुई कि "लगता है हम खुले में हैं", तो मुझसे बात कीजिए। यह वो बातचीत है जो मैं घटना होने से पहले करना पसंद करता हूँ। #डिजिटलसुरक्षा #आईटीप्रबंधन #छोटेव्यवसाय #टेक्नोलॉजी #व्यावसायिकनिरंतरता