8fit তথ্য ফাঁস

যাচাই করা তথ্যের ধরনগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, নাম, লিঙ্গ, ভৌগোলিক অবস্থান, IP ঠিকানা, bcrypt পাসওয়ার্ড হ্যাশ, মেয়াদোত্তীর্ণ প্রমাণীকরণ টোকেন এবং প্রোফাইল ছবি। প্রামাণ্য তালিকায় 1,50,25,407টি স্বতন্ত্র ইমেইল ঠিকানা গণনা করা হয়েছে। অন্যদিকে, কোম্পানির বিজ্ঞপ্তিতে বলা হয়েছিল যে প্রায় 2 কোটি ব্যবহারকারীর তথ্য প্রভাবিত হয়ে থাকতে পারে। এই সংখ্যাগুলো ভিন্ন পরিসরের হিসাব, তাই এগুলোকে মিলিয়ে একটি মোট সংখ্যা হিসেবে দেখানো উচিত নয়। পাসওয়ার্ডগুলো সাধারণ পাঠ্য হিসেবে নয়, bcrypt হ্যাশ হিসেবে সংরক্ষণ করা হয়েছিল। দুর্বল বা একাধিক সেবায় ব্যবহৃত পাসওয়ার্ড এখনো অফলাইনে অনুমান করে বের করার ঝুঁকিতে থাকতে পারে এবং এর ফলে অন্য সেবার অ্যাকাউন্টও ঝুঁকিতে পড়তে পারে। কোম্পানি জানিয়েছিল, কিছু Facebook প্রমাণীকরণ টোকেনের মেয়াদ শেষ হয়ে গিয়েছিল। তাই এসব টোকেনের উপস্থিতি মানেই কোনো সক্রিয় সেশনে প্রবেশ করা সম্ভব ছিল, এমন নয়। কোম্পানি আরও জানিয়েছিল যে পেমেন্টের তথ্য, সামাজিক নিরাপত্তা নম্বর এবং ব্যবহারকারী ও কোচদের মধ্যকার কথোপকথন সংগ্রহ করা হয়নি।

তথ্য ফাঁসের ঘটনাটি ঘটে 2018 সালের জুলাইয়ে। ওই মাসের পরে তৈরি অ্যাকাউন্টগুলো এতে প্রভাবিত হয়নি বলে জানানো হয়েছিল। 2019 সালের 8 ফেব্রুয়ারি 8fit একটি সম্ভাব্য ঘটনার কথা জানতে পারে। সেই মাসেই ডার্ক ওয়েবের একটি বাজারে তথ্যগুলো বিক্রির জন্য তোলা হয় এবং 2019 সালের 21 মার্চ সেগুলো যাচাইকৃত তালিকায় যুক্ত করা হয়। কোম্পানি জানিয়েছিল যে তারা তদন্ত শুরু করেছে, নিরাপত্তা প্রতিষ্ঠান ও আইনশৃঙ্খলা রক্ষাকারী সংস্থার সঙ্গে কাজ করেছে, ব্যবহারকারীদের সঙ্গে যোগাযোগ করেছে এবং নিজেদের সিস্টেমের সুরক্ষা জোরদার করেছে। প্রমাণ থেকে 8fit-এর ব্যবহারকারীদের তথ্য সরাসরি ফাঁস হওয়ার বিষয়টি নিশ্চিত হয়, তবে ঠিক কোন কারিগরি দুর্বলতার মাধ্যমে তথ্যগুলোতে প্রবেশ করা সম্ভব হয়েছিল, তা প্রকাশ্যে যাচাই করা হয়নি। তাই ঘটনাটিকে তৃতীয় পক্ষের সরবরাহকারীর তথ্য ফাঁস হিসেবে নয়, ডেটাবেস থেকে তথ্য ফাঁস হিসেবে শ্রেণিবদ্ধ করা হয়েছে। এর জন্য SQL ইনজেকশন, কোনো কর্মীর অ্যাকাউন্ট, ক্লাউড কনফিগারেশন বা অন্য কোনো প্রবেশপথ দায়ী ছিল বলে দাবি করা হচ্ছে না।

যাঁরা 2018 সালে ব্যবহৃত 8fit পাসওয়ার্ডটি ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা বা কর্মক্ষেত্রের অ্যাকাউন্টেও ব্যবহার করেছেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। Bcrypt একটি শক্তিশালী সুরক্ষাস্তর দেয়, তবে পর্যাপ্ত সময় ও কম্পিউটিং ক্ষমতা থাকলে ছোট, সহজে অনুমানযোগ্য বা প্রচলিত পাসওয়ার্ড এখনো অনুমান করে বের করা সম্ভব। নাম, লিঙ্গ, অবস্থান, IP ঠিকানা ও প্রোফাইল ছবি ব্যবহার করে আক্রমণকারী ফিটনেস সদস্যপদ, সাবস্ক্রিপশন, কোচের সহায়তা বা পাসওয়ার্ড রিসেট নিয়ে বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে। তথ্যের সঙ্গে মিল পাওয়া মানেই বর্তমানে অ্যাকাউন্ট দখল হয়েছে, পেমেন্টের তথ্য চুরি হয়েছে বা স্বাস্থ্যসংক্রান্ত নথি ফাঁস হয়েছে (এমন প্রমাণ নয়। মেয়াদোত্তীর্ণ টোকেন দিয়ে বর্তমান কোনো Facebook সেশনে সরাসরি প্রবেশ করা যায় না। তবু সংযুক্ত অ্যাকাউন্ট ও অ্যাপ্লিকেশনের অনুমতিগুলো পর্যালোচনা করা উপকারী। এমনকি নিষ্ক্রিয় 8fit অ্যাকাউন্টও গুরুত্বপূর্ণ হতে পারে, যদি একই ইমেইল ও পাসওয়ার্ডের ধরন অন্য কোথাও এখনো ব্যবহৃত হয়। যথাযথ ঝুঁকি মূল্যায়নের জন্য একই পাসওয়ার্ড একাধিক সেবায় ব্যবহার, সর্বশেষ পাসওয়ার্ড পরিবর্তনের সময়, সক্রিয় সেশন এবং ব্যক্তিগত তথ্য ব্যবহার করে সাজানো সন্দেহজনক বার্তা) সবগুলো একসঙ্গে বিবেচনা করতে হয়।

আপনি যদি আপনার 2018 সালের 8fit অ্যাকাউন্টের পাসওয়ার্ড বা সেটির কাছাকাছি কোনো রূপ অন্য কোথাও ব্যবহার করে থাকেন, তাহলে সংশ্লিষ্ট প্রতিটি সেবায় দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড তৈরি করুন। প্রথমে প্রধান ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবার অ্যাকাউন্ট এবং অ্যাকাউন্ট রিসেট করতে পারে এমন অন্যান্য পরিচয় সুরক্ষিত করুন। সক্রিয় সেশন ও পরিচিত ডিভাইসগুলো পর্যালোচনা করুন, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য যাচাই করুন এবং যেখানে সুযোগ আছে, সেখানে পাসকি বা বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন। একই পাসওয়ার্ডে একটি সংখ্যা বা প্রতীক যোগ করলেই সেটিকে সম্পূর্ণ আলাদা পাসওয়ার্ড বলে ধরে নেবেন না। 8fit, ফিটনেস পরিকল্পনা, সদস্যপদ নবায়ন, পেমেন্টের সমস্যা বা কোচের যোগাযোগের অজুহাতে পাঠানো বার্তার লিংকে ক্লিক করা এড়িয়ে চলুন; পরিচিত ওয়েবসাইট বা অ্যাপ্লিকেশন সরাসরি খুলুন। সংযুক্ত Facebook ও অন্যান্য সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে অ্যাপ্লিকেশনের অনুমতিগুলো পর্যালোচনা করুন এবং যেসব অ্যাপ্লিকেশন আর ব্যবহার করেন না, সেগুলোর প্রবেশাধিকার সরিয়ে দিন। অপ্রত্যাশিত পাসওয়ার্ড রিসেট, নতুন ডিভাইসের সতর্কতা বা ফরওয়ার্ডিং নিয়মের নোটিশ দেখলে সংশ্লিষ্ট সেবার আনুষ্ঠানিক অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়া শুরু করুন।

প্রতিটি সেবার জন্য আলাদা ও এলোমেলো পাসওয়ার্ড তৈরি করে এমন পাসওয়ার্ড ম্যানেজার ব্যবহার করলে, পুরোনো bcrypt হ্যাশ থেকে শেষ পর্যন্ত পাসওয়ার্ড অনুমান করে বের করা হলেও একটির সূত্র ধরে অন্য অ্যাকাউন্ট দখলের ঝুঁকি সীমিত থাকে। যেখানে সমর্থন আছে, সেখানে পাসকি ব্যবহার শুরু করুন এবং প্রধান ইমেইল অ্যাকাউন্টে ফিশিং-প্রতিরোধী প্রমাণীকরণ ব্যবহার করুন। পুনরুদ্ধার কোডগুলো অফলাইনে রাখুন এবং সংযুক্ত অ্যাপ্লিকেশন ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট দিয়ে লগইন করার অনুমতিগুলো নিয়মিত পর্যালোচনা করুন। মনে রাখবেন, প্রোফাইল ছবি, অবস্থান ও ফিটনেসে আগ্রহের তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। সংবেদনশীল অনুরোধ অন্য একটি স্বতন্ত্র যোগাযোগমাধ্যমে যাচাই করুন। কোনো কর্মীর ইমেইল ঠিকানার সঙ্গে ফাঁস হওয়া তথ্যের মিল পাওয়া গেলে, প্রতিষ্ঠানের উচিত পাসওয়ার্ড রিসেটের পাশাপাশি সেশন বাতিল করা, একই পাসওয়ার্ড একাধিক সেবায় ব্যবহার ঠেকানো এবং সন্দেহজনক সাইন-ইন পর্যবেক্ষণ করা। সেবাদাতাদের উচিত আধুনিক পাসওয়ার্ড হ্যাশিং প্যারামিটার, স্বতন্ত্র সল্ট, প্রবেশাধিকার বিভাজন, প্রয়োজনের অতিরিক্ত তথ্য সংগ্রহ ও সংরক্ষণ এড়ানো এবং নিরাপত্তা ঘটনা শনাক্তকরণ একসঙ্গে প্রয়োগ করা। অব্যবহৃত অ্যাকাউন্ট ও অপ্রয়োজনীয় প্রোফাইল তথ্য নিয়মিত সময়সূচি অনুযায়ী মুছে ফেলা উচিত।

আপনার ইমেইল ঠিকানাটি 8fit-এর রেকর্ডে আছে কি না জানতে নিরাপদ অনুসন্ধান ঘরে সেটি যাচাই করুন। মিল পাওয়া গেলে পাসওয়ার্ড পরিবর্তনকে অগ্রাধিকার দিন। কোনো ফলাফল পাওয়া মানেই bcrypt হ্যাশ থেকে নিশ্চিতভাবে পাসওয়ার্ড উদ্ধার করা হয়েছে, অ্যাকাউন্ট দখল করা হয়েছে বা পেমেন্ট ও স্বাস্থ্যসংক্রান্ত তথ্য ফাঁস হয়েছে, এমন নয়। ফলাফল শুধু জানায় যে ঠিকানাটি যাচাইকৃত তথ্যসমষ্টিতে রয়েছে। তখন আপনি কী ধরনের পাসওয়ার্ড ব্যবহার করতেন তা মনে করুন, একই বা কাছাকাছি পাসওয়ার্ড যেখানে এখনো সক্রিয় আছে সেখানে তা বদলান এবং প্রধান ইমেইল অ্যাকাউন্টের সাম্প্রতিক সেশনগুলো পর্যালোচনা করুন। অপ্রত্যাশিত ফিটনেস বা সাবস্ক্রিপশন-সংক্রান্ত বার্তা যাচাই করতে অ্যাপ্লিকেশন সরাসরি খুলুন। কোনো ফলাফল না পেলেও ঠিকানাটি অন্য কোনো ঘটনায় ফাঁস হয়নি, এমন নিশ্চয়তা পাওয়া যায় না। বহু বছর পরে পুরোনো তথ্য আবার ব্যবহার করা হলে নিয়মিত পর্যবেক্ষণ, স্বতন্ত্র পাসওয়ার্ড, শক্তিশালী প্রমাণীকরণ এবং সংযুক্ত অ্যাপ্লিকেশন পর্যালোচনা কার্যকর সুরক্ষা দেয়।