अधिकांश खाता अधिग्रहण (takeovers) चतुर नहीं होते हैं। एक पासवर्ड एक साइट से लीक होता है या किसी नकली पेज में टाइप हो जाता है, और कोई व्यक्ति (या कोई बॉट) इसे हर दूसरी जगह आज़माता है। किसी खाते को सुरक्षित करने का मुख्य अर्थ उस पहले कदम को विफल बनाना है, और यह सुनिश्चित करना है कि यदि पहला कदम विफल न हो तो दूसरा कदम हमलावर को रोक दे।
तीन आदतें अधिकांश जोखिमों को कवर करती हैं: हर खाते के लिए एक अलग पासवर्ड, एक दूसरी जांच (या पासवर्ड के स्थान पर एक पासकी), और आपके ईमेल खाते की अतिरिक्त देखभाल, क्योंकि ईमेल बाकी सब कुछ रीसेट कर सकता है। एक शाम की योजना बनाएं। नीचे दी गई कार्रवाई सूची के पहले दो कदम सबसे अधिक मायने रखते हैं।
यह पृष्ठ व्यक्तिगत खातों को कवर करता है। यह किसी कंपनी के सिस्टम की सुरक्षा को कवर नहीं करता है, और यह राज्य-स्तरीय प्रतिद्वंद्वी (state-level adversary) का सामना करने वाले व्यक्ति के लिए योजना नहीं है, जिसे एक अलग दृष्टिकोण की आवश्यकता होती है (देखें थ्रेट मॉडलिंग (threat modeling))।
व्यवहार में खाता सुरक्षा का क्या अर्थ है
एक काल्पनिक लेकिन सामान्य मामला लें। 2019 में आप अपने ईमेल पते और उसी पासवर्ड से एक छोटे हॉबी फ़ोरम से जुड़ते हैं जिसका उपयोग आप अपने ईमेल के लिए करते हैं। 2024 में फ़ोरम में डेटा ब्रीच होता है और इसकी उपयोगकर्ता सूची बेच दी जाती है। सॉफ़्टवेयर फिर लोकप्रिय साइटों पर स्वचालित रूप से प्रत्येक लीक हुए ईमेल और पासवर्ड जोड़े को आज़माता है। किसी ने आपको नहीं चुना। एक स्क्रिप्ट ने चुना।
इसे क्रेडेंशियल स्टफिंग (credential stuffing) कहा जाता है, और माइक्रोसॉफ्ट की सुरक्षा टीम पासवर्ड के पुन: उपयोग को उस चीज़ के रूप में नामित करती है जो इसे काम करने योग्य बनाती है (Microsoft, 2019)। यदि स्क्रिप्ट आपके ईमेल में प्रवेश कर जाती है, तो वह बाकी तक पहुँचने के लिए “forgot password” का उपयोग कर सकती है। यूके का नेशनल साइबर सिक्योरिटी सेंटर (NCSC) ठीक इसी बात को सूचीबद्ध करता है: आपके ईमेल के अंदर एक अपराधी आपके अन्य खाते के पासवर्ड रीसेट कर सकता है, निजी जानकारी पढ़ सकता है और आपका रूप धारण कर सकता है (NCSC)।
इसलिए किसी खाते को सुरक्षित करने के तीन काम हैं। पासवर्ड को किसी भी ऐसे व्यक्ति के लिए बेकार बना दें जिसने इसे कहीं और पाया हो। एक दूसरी जांच जोड़ें जिसे लीक हुआ पासवर्ड पूरा न कर सके। और यह सुनिश्चित करें कि रिकवरी मार्ग (आपका ईमेल, आपका फ़ोन नंबर, आपके बैकअप कोड) आपके विरुद्ध न इस्तेमाल किया जा सके।
खाते कैसे कब्ज़े में लिए जाते हैं
आम लोगों का सामना जिन चीज़ों से होता है, उनमें चार रास्ते सबसे मुख्य हैं।
- पुन: उपयोग किए गए पासवर्ड (Reused passwords)। ऊपर दिया गया मामला। इसमें किसी कौशल की आवश्यकता नहीं होती है और यह अपने आप चलता है।
- फ़िशिंग (Phishing)। एक संदेश आपको एक नकली लॉगिन पेज पर भेजता है जो आपका पासवर्ड और, यदि आप इसे टाइप करते हैं, तो आपका वन-टाइम कोड भी एकत्र कर लेता है। NIST के दिशा-निर्देश बताते हैं कि कीस्ट्रोक लॉगिंग, फ़िशिंग और सोशल इंजीनियरिंग छोटे पासवर्ड की तरह ही लंबे और जटिल पासवर्ड के खिलाफ भी काम करते हैं (NIST SP 800-63B-4, appendix A)। वेरिज़ॉन की 2026 की ब्रीच रिपोर्ट कहती है कि लोग ईमेल फ़िशिंग की तुलना में मोबाइल ल्यूर (टेक्स्ट, कॉल) के शिकार अधिक होते हैं (Verizon, 2026)।
- फ़ोन नंबर अधिग्रहण (Phone number takeover)। सिम स्वैप (SIM swap) में, एक धोखेबाज़ आपके मोबाइल वाहक (carrier) को बताता है कि आपका फ़ोन खो गया था और आपका नंबर उनके द्वारा रखे गए सिम कार्ड पर स्थानांतरित करने के लिए कहता है (FTC, 2019)। आपके टेक्स्ट और कॉल, जिनमें लॉगिन कोड भी शामिल हैं, अब उनके पास जाते हैं। गूगल चेतावनी देता है कि टेक्स्ट या कॉल द्वारा भेजे गए कोड फ़ोन-नंबर-आधारित हमलों के प्रति संवेदनशील हो सकते हैं (Google Account Help)। हमें सिम स्वैप की दुनिया भर में कोई विश्वसनीय संख्या नहीं मिल सकी, इसलिए हम आपको यह नहीं बता सकते कि इसकी कितनी संभावना है। इसके लिए आपके वाहक के किसी व्यक्ति को बेवकूफ बनाने या रिश्वत देने की आवश्यकता होती है, जो इसे अपने आप चलने वाले पासवर्ड पुन: उपयोग हमलों की तुलना में दुर्लभ बनाता है, लेकिन यह एक वास्तविक रास्ता है।
- रिकवरी पथ (The recovery path)। यदि कोई हमलावर एक कमजोर ईमेल खाते के माध्यम से, या अनुमान लगाने योग्य उत्तरों वाले सुरक्षा प्रश्नों के माध्यम से आपका पासवर्ड रीसेट कर सकता है, तो मजबूत पासवर्ड कभी मायने ही नहीं रखता था। NCSC यह भी नोट करता है कि अपराधी कभी-कभी हैक किए गए ईमेल खाते में एक फ़ॉरवर्डिंग नियम स्थापित करते हैं ताकि वे आपके मेल की प्रतियां प्राप्त करें और अन्य पासवर्ड रीसेट कर सकें (NCSC)।
संदर्भ का एक हिस्सा। वेरिज़ॉन की 2026 की रिपोर्ट में इतिहास में पहली बार पाया गया कि सॉफ़्टवेयर कमियों का शोषण करना (उल्लंघनों का 31%) संगठनों में प्रवेश करने के शीर्ष तरीके के रूप में चोरी किए गए क्रेडेंशियल से आगे निकल गया। यह कंपनी के उल्लंघनों की गिनती करता है, व्यक्तिगत खातों की नहीं, इसलिए यह आपको आपकी अपनी संभावना नहीं बताता है। यह अभी भी एक उचित अनुस्मारक है कि बिना पैच किए गए उपकरण भी अंदर आने का एक तरीका हैं।
प्रत्येक सुरक्षा कैसे काम करती है
लंबे, अद्वितीय पासवर्ड और एक पासवर्ड मैनेजर
NIST के वर्तमान दिशा-निर्देश लंबाई को पासवर्ड की मजबूती का मुख्य चालक मानते हैं। वे ध्यान देते हैं कि संरचना नियम (एक बड़ा अक्षर, एक अंक, एक प्रतीक शामिल होना चाहिए) लोगों को Password1! जैसे अनुमानित विकल्पों की ओर धकेलते हैं। एक ऐसे पासवर्ड के लिए जो एकमात्र लॉगिन कारक है, NIST सेवाओं से कम से कम 15 वर्णों की आवश्यकता रखने, कम से कम 64 को स्वीकार करने, ब्रीच किए गए पासवर्ड की सूचियों के खिलाफ नए पासवर्ड की जांच करने और पासवर्ड मैनेजर तथा पेस्टिंग की अनुमति देने के लिए कहता है (NIST SP 800-63B-4)।
एक पासवर्ड मैनेजर प्रत्येक साइट के लिए एक अलग पासवर्ड उत्पन्न करता है और स्टोर करता है, इसलिए एक लीक केवल एक ही लीक रहता है। NCSC दो प्रकारों का वर्णन करता है: आपके ब्राउज़र या फ़ोन में निर्मित मैनेजर, और एक थर्ड-पार्टी ऐप। इसकी सलाह यह है कि यदि सुविधा सबसे अधिक मायने रखती है तो निर्मित मैनेजर का उपयोग करें, और यदि आप अतिरिक्त सुविधाएं चाहते हैं, कई प्रकार के उपकरणों का उपयोग करते हैं, या किसी एक विक्रेता से बंधे नहीं रहना चाहते हैं तो एक प्रतिष्ठित थर्ड-पार्टी मैनेजर का उपयोग करें (NCSC, 2025)। इसका नुकसान संकेंद्रण (concentration) है: अब आप एक मास्टर पासवर्ड और एक खाते पर निर्भर हैं। NCSC जोड़ता है कि कोई व्यक्ति जो आपके अनलॉक किए गए लैपटॉप तक पहुंचता है, वह आपके सहेजे गए पासवर्ड तक पहुंच सकता है, इसलिए अपने उपकरणों को लॉक करें और एक दूसरे कदम के साथ मैनेजर खाते की रक्षा करें।
एक दूसरी जांच (A second check)
एक दूसरे कदम का मतलब है कि अकेले चोरी हुआ पासवर्ड काफी नहीं है। वे क्या रोकते हैं, इसके आधार पर प्रकारों में काफी अंतर होता है (अक्टूबर 2026 तक):
| दूसरा कदम | पुन: उपयोग किए गए पासवर्ड हमलों को रोकता है | नकली लॉगिन पृष्ठों को रोकता है | सिम स्वैप को रोकता है |
|---|---|---|---|
| पासकी या हार्डवेयर सुरक्षा कुंजी | हाँ | हाँ | हाँ |
| ऑथेंटिकेटर ऐप कोड | हाँ | नहीं, नकली पेज में टाइप किए गए कोड को रिले किया जा सकता है | हाँ |
| आपके फ़ोन पर स्वीकृति प्रॉम्प्ट | हाँ | नहीं, आप हमलावर द्वारा शुरू किए गए अनुरोध को स्वीकृत कर सकते हैं | हाँ |
| टेक्स्ट या वॉयस कॉल द्वारा कोड | हाँ | नहीं | नहीं |
“नहीं” प्रविष्टियाँ NIST से आती हैं, जो कहती हैं कि वे विधियाँ जहाँ आप किसी मान को टाइप या स्वीकृत करते हैं फ़िशिंग-प्रतिरोधी नहीं हैं क्योंकि मान वास्तविक साइट से जुड़ा नहीं है। NIST फ़ोन नेटवर्क पर भेजे गए कोड को एक “प्रतिबंधित” विधि के रूप में भी मानता है, जिसका अर्थ है कि सेवाओं को एक विकल्प देना चाहिए। सिम स्वैप कॉलम यह हमारी व्याख्या है कि प्रत्येक विधि कैसे काम करती है: एक ऑथेंटिकेटर ऐप या प्रॉम्प्ट आपके फ़ोन नंबर पर निर्भर नहीं करता है, और गूगल कहता है कि इसके प्रॉम्प्ट सिम स्वैप से बचाने में मदद करते हैं। एक मजबूत दूसरा कदम तब भी विफल हो जाता है जब सेवा किसी को टेक्स्ट मैसेज के साथ इसे बायपास करने देती है, इसलिए जांचें कि आपके रिकवरी विकल्प क्या अनुमति देते हैं।
अमेरिकी साइबर एजेंसी CISA, FIDO/WebAuthn मानक (पासकीज़ और सुरक्षा कुंजियों के पीछे की तकनीक) को बहु-कारक प्रमाणीकरण का सबसे मजबूत रूप कहती है (CISA, 2022)।
पासकीज़ (Passkeys)
एक पासकी पासवर्ड को बदल देती है। आपका डिवाइस प्रत्येक साइट के लिए क्रिप्टोग्राफ़िक कुंजियों का एक जोड़ा बनाता है: साइट पब्लिक कुंजी रखती है, आपका डिवाइस प्राइवेट कुंजी रखता है, और आप उसी तरह साइन-इन को स्वीकृत करते हैं जैसे आप अपना फ़ोन अनलॉक करते हैं (फ़िंगरप्रिंट, चेहरा या पिन)। प्राइवेट कुंजी कभी भी आपके डिवाइस को ऐसे रूप में नहीं छोड़ती जिसे कोई पढ़ सके, और यह केवल वास्तविक साइट के पते का जवाब देती है, इसलिए एक नकली पेज को कुछ नहीं मिलता है। साइट के डेटा ब्रीच से ऐसा कुछ भी लीक नहीं होता है जिसे आप दोबारा इस्तेमाल कर सकें (FIDO Alliance, 2026; NCSC, 2025)।
पासकीज़ को एक प्रदाता (Apple, Google, Microsoft या पासवर्ड मैनेजर) के माध्यम से आपके सभी उपकरणों के बीच सिंक किया जा सकता है या वे किसी एक डिवाइस (जैसे हार्डवेयर सुरक्षा कुंजी) पर रह सकती हैं। FIDO एलायंस, जो पासकीज़ को बढ़ावा देता है, कहता है कि सिंकिंग एंड-टू-एंड एन्क्रिप्टेड है, और यह भी कि हार्डवेयर पर डिवाइस-बाउंड कुंजियाँ उच्चतम आश्वासन देती हैं। व्यावहारिक पेंच यह है कि एक सिंक की गई पासकी केवल उतनी ही सुरक्षित होती है जितना कि वह खाता जो इसे सिंक करता है। उस खाते को अपने ईमेल की तरह सुरक्षित रखें।
अप्रैल 2026 तक, NCSC पासकीज़ की सिफारिश लोगों की पहली पसंद के रूप में करता है जहाँ भी कोई सेवा उन्हें प्रदान करती है, यह रिपोर्ट करने के बाद कि वे सबसे मजबूत पासवर्ड और एक दूसरे कदम जितने सुरक्षित हैं। जहाँ कोई सेवा उनका समर्थन नहीं करती है, वह एक पासवर्ड मैनेजर और टू-स्टेप वेरिफिकेशन की सलाह देता है (NCSC, 2026)। NCSC ने कार्यान्वयन की समस्याओं के कारण एक साल पहले इस सलाह को रोक रखा था, इसलिए उपकरणों या प्लेटफार्मों के बीच जाते समय शुरुआती कठिनाइयों की अपेक्षा करें।
रिकवरी पथ (Recovery paths)
यदि आप अपना फ़ोन खो देते हैं तो बैकअप कोड सामान्य सुरक्षा जाल हैं। उदाहरण के लिए, गूगल आपको एक सेट प्रिंट या डाउनलोड करने और इसे कहीं सुरक्षित रखने देता है (Google Account Help)। NIST सेवाओं से कहता है कि वे पासवर्ड के लिए ज्ञान-आधारित प्रश्नों (“पहला पालतू जानवर का नाम”) का उपयोग न करें, क्योंकि उत्तरों का अनुमान लगाया जा सकता है या वे ढूंढे जा सकते हैं, इसलिए यदि कोई सेवा उन्हें आप पर थोपती है, तो उत्तरों को अतिरिक्त पासवर्ड के रूप में मानें और सच्चाई से उत्तर न दें। NCSC आपके रिकवरी विकल्पों का बैकअप लेने की भी सिफारिश करता है, उदाहरण के लिए रिकवरी कुंजियों या विश्वसनीय संपर्कों के साथ।
यह किससे सुरक्षा करता है, और किससे नहीं
एक साथ किए जाने पर, ये कदम आम लोगों पर होने वाले सबसे आम हमले को रोकते हैं: लीक हुए पासवर्ड के स्वचालित प्रयास। माइक्रोसॉफ्ट ने 2019 में रिपोर्ट दी थी कि बहु-कारक प्रमाणीकरण उसकी क्लाउड सेवाओं पर खाता समझौते के 99.9% से अधिक हमलों को रोकता है। इसे एक विक्रेता द्वारा अपने स्वयं के ट्रैफ़िक को मापने के रूप में पढ़ें। यह एक दिन में 300 मिलियन से अधिक कपटपूर्ण साइन-इन की गिनती करता है, जो कि अधिकांश बॉट हैं, इसलिए यह आंकड़ा आपको लक्षित करने वाले किसी व्यक्ति की तुलना में स्वचालित हमलों के बारे में अधिक बताता है।
वे इन्हें नहीं रोकते:
- एक वास्तविक समय का फ़िशिंग पृष्ठ जो आपका कोड एकत्र करता है और उसका तुरंत उपयोग करता है, जब तक कि आप किसी पासकी या सुरक्षा कुंजी का उपयोग न करें।
- आपके फ़ोन या कंप्यूटर पर मैलवेयर, जो आपके द्वारा टाइप की गई सामग्री या सहेजी गई सामग्री को पढ़ सकता है।
- आपके अनलॉक किए गए डिवाइस वाला कोई व्यक्ति, या आपके मैनेजर का मास्टर पासवर्ड रखने वाला कोई व्यक्ति।
- कोई वाहक या सहायता एजेंट जो हमलावर के लिए चीज़ों को रीसेट करने के लिए धोखा खा जाता है।
- ऐसे घोटाले जहाँ आप स्वेच्छा से पैसे या कोड सौंपते हैं, जैसे कोई कॉलर जो आपके बैंक या प्रदाता होने का दावा करता है। गूगल बताता है कि वह आपको कोड सत्यापित करने के लिए कॉल नहीं करेगा।
आपके द्वारा उपयोग की जाने वाली किसी सेवा में डेटा ब्रीच अभी भी आपके नाम, ईमेल और अन्य डेटा को उजागर कर सकता है। अद्वितीय पासवर्ड उस एक सेवा तक नुकसान को सीमित करते हैं।
आम मिथक
“मुझे हर कुछ महीनों में अपने पासवर्ड बदलने चाहिए।” NIST कहता है कि सेवाओं को आवधिक परिवर्तनों के लिए मजबूर नहीं करना चाहिए, और केवल तभी मजबूर करना चाहिए जब समझौते का साक्ष्य हो। बार-बार मजबूर किए गए परिवर्तन ज्यादातर अनुमानित भिन्नताएँ पैदा करते हैं।
“प्रतीकों और बड़े अक्षरों वाले पासवर्ड अधिक मजबूत होते हैं।” लंबाई अधिक मायने रखती है। NIST के दिशा-निर्देश कहते हैं कि संरचना के नियम लोगों को ऐसे पैटर्न की ओर ले जाते हैं जिनका हमलावर पहले से ही अनुमान लगाते हैं। कई यादृच्छिक शब्दों का एक पासफ़्रेज़, कम से कम 15 वर्णों का, Tr0ub4dor&3 को हरा देता है।
“टेक्स्ट-मैसेज कोड बेकार हैं।” वे बेकार नहीं हैं। वे अधिकांश स्वचालित हमलों को रोकते हैं, और किसी बेहतर चीज़ का इंतज़ार करते हुए उन्हें बंद करने से आपकी स्थिति और खराब हो जाती है। जब कोई मजबूत विकल्प मौजूद हो तो अपग्रेड करें; जो आपके पास है उसे न छोड़ें।
“हर पासवर्ड को एक जगह रखना जोखिम भरा है।” यह जोखिम का संकेंद्रण है, लेकिन अधिकांश लोगों के लिए विकल्प पुन: उपयोग है, जो कि बदतर है। NCSC का दृष्टिकोण यह है कि पासवर्ड मैनेजर मेमोरी, स्टिकी नोट्स या पुन: उपयोग किए गए पासवर्ड से बहुत अधिक सुरक्षित हैं, बशर्ते आप एक प्रतिष्ठित मैनेजर चुनें और इसे ठीक से सुरक्षित रखें।
क्या करें, क्रम से
- पहले अपने ईमेल खाते को सुरक्षित करें (लगभग 15 मिनट)। इसे एक लंबा पासवर्ड दें जिसका उपयोग कोई अन्य खाता नहीं करता है, और एक दूसरा कदम जोड़ें। यदि आपने कभी उस पासवर्ड का पुन: उपयोग किया है, तो उसे आज ही बदलें। ईमेल आपके अन्य सभी रीसेट की कुंजी है।
- अपने महत्वपूर्ण पासवर्ड को पासवर्ड मैनेजर में स्थानांतरित करें (लगभग एक घंटा)। ईमेल, बैंकिंग और भुगतान, आपके फ़ोन वाहक, आपके Apple, Google या Microsoft खाते और सोशल मीडिया से शुरुआत करें। मैनेजर को उन्हें बनाने दें, और मास्टर पासवर्ड को कई यादृच्छिक शब्दों का पासफ़्रेज़ बनाएं, कम से कम 15 वर्णों का। आपके फ़ोन या ब्राउज़र में निर्मित मैनेजर एक अच्छी शुरुआत है।
- प्रत्येक सेवा द्वारा प्रदान की जाने वाली सबसे मजबूत किस्म का उपयोग करके दूसरा कदम चालू करें। पासकी या सुरक्षा कुंजी, फिर एक ऑथेंटिकेटर ऐप या स्वीकृति प्रॉम्प्ट, फिर टेक्स्ट कोड को प्राथमिकता दें। एक गूगल खाते पर, अक्टूबर 2026 तक, अपने खाते के
Security & sign-inपृष्ठ पर जाएं और2-Step Verificationचुनें। कोड प्राप्त करने वाले फ़ोन के अलावा किसी अन्य स्थान पर बैकअप कोड सहेजें। - जहाँ सेवाएं उन्हें प्रदान करती हैं वहाँ पासकीज़ बनाएं। एक दूसरे डिवाइस या सुरक्षा कुंजी को फ़ॉलबैक के रूप में रखें, और उस खाते की रक्षा करें जो उन्हें सिंक करता है।
- अपने फ़ोन नंबर की रक्षा करें। अपने वाहक खाते में एक पिन या पासकोड जोड़ें, जैसा कि FTC सलाह देता है। जहाँ आप चुन सकते हैं, टेक्स्ट कोड के बजाय पासकी, ऐप या प्रॉम्प्ट का उपयोग करें। आपसे संपर्क करने वाले किसी व्यक्ति को कभी भी लॉगिन कोड पढ़कर न सुनाएं।
- जांचें, फिर इसे अद्यतन रखें। Have I Been Pwned पर अपने ईमेल पते खोजें, जो 2013 से सुरक्षा शोधकर्ता ट्रॉय हंट द्वारा चलाई जा रही एक मुफ्त ब्रीच-लुकअप सेवा है। दिखाई देने वाले किसी भी पासवर्ड को बदलें, और किसी भी अन्य खाते को बदलें जिसने इसे साझा किया था। अपने उपकरणों के लिए स्वचालित अपडेट चालू करें, और वर्ष में एक बार अपने रिकवरी ईमेल और फ़ोन नंबर की पुन: जांच करें।
यदि आपको लगता है कि कोई खाता पहले ही कब्ज़े में ले लिया गया है
NCSC की सलाह, क्रम से:
- प्रदाता की खाता पुनर्प्राप्ति प्रक्रिया का उपयोग करें।
- यदि यह एक ईमेल खाता है, तो इसके फ़िल्टर और फ़ॉरवर्डिंग नियमों की जांच किसी भी ऐसी चीज़ के लिए करें जिसे आपने नहीं जोड़ा है।
- पासवर्ड बदलें, और इसे साझा करने वाले किसी भी अन्य खाते पर बदलें।
- सभी उपकरणों और ऐप्स पर खाते से लॉग आउट करें।
- एक दूसरा कदम स्थापित करें।
- अपने ऐप्स और उपकरणों को अद्यतन करें, अपने संपर्कों को हाल के संदेशों पर अविश्वास करने के लिए कहें, और बैंक विवरणों की जांच करें।
यदि पैसा स्थानांतरित हुआ है, तो अपने कार्ड पर मौजूद नंबर या उसकी आधिकारिक वेबसाइट का उपयोग करके अपने बैंक को कॉल करें। यह पृष्ठ सामान्य जानकारी है, वित्तीय या कानूनी सलाह नहीं। अपने राष्ट्रीय सेवा को धोखाधड़ी की रिपोर्ट करें (NCSC यूके के पाठकों को रिपोर्ट फ्रॉड की ओर इशारा करता है; अमेरिका में, FTC पीड़ितों को IdentityTheft.gov की ओर इशारा करता है)।
स्रोत (Sources)
- Authenticator and Verifier Requirements and Strength of Passwords (appendix A), NIST SP 800-63B-4, NIST, 2025: authenticators, passwords
- Use a strong and separate password for your email, NCSC, 2018 (reviewed 2021): link
- Hacked accounts, NCSC, एक्सेस किया गया अक्टूबर 2026: link
- NCSC: Leave passwords in the past - passkeys are the future, NCSC, 2026: link
- Trusting the tech: using password managers and passkeys to help you stay secure online, NCSC, 2025: link
- Turn on 2-Step Verification, Google Account Help, Google, एक्सेस किया गया अक्टूबर 2026: link
- Passkeys, FIDO Alliance, 2026: link
- One simple action you can take to prevent 99.9 percent of attacks on your accounts, Microsoft Security Blog, Microsoft, 2019: link
- Implementing Phishing-Resistant MFA, CISA, 2022: link
- SIM swap scams: how to protect yourself, FTC, 2019: link
- 2026 Data Breach Investigations Report, Verizon, 2026: link
- Who, What & Why, Have I Been Pwned, एक्सेस किया गया अक्टूबर 2026: link