Bukalapak: তথ্য ফাঁস

যাচাইকৃত ডেটাসেটে ইমেইল ঠিকানা, ব্যবহারকারীর নাম, IP ঠিকানা, নাম এবং bcrypt ও সল্টযুক্ত SHA-512 দিয়ে সুরক্ষিত পাসওয়ার্ড হ্যাশ ছিল। সরাসরি পাঠযোগ্য পাসওয়ার্ড ছড়িয়ে দেওয়া হয়েছে, এমন কোনো প্রমাণ নেই। তবে শক্তিশালী হ্যাশিং দুর্বল পাসওয়ার্ড বা একাধিক সেবায় একই পাসওয়ার্ড ব্যবহারের ঝুঁকি দূর করে না। ফোরামের তালিকাগুলোতে ঠিকানা, জন্মতারিখ বা ফোন নম্বরের মতো তথ্য থাকার দাবিও করা হয়েছিল। তবে মূল নথিতে স্বীকৃত তথ্যের শ্রেণিগুলোতে এসব তথ্যের উপস্থিতি যথেষ্ট নিশ্চিত করা যায়নি বলে এগুলো অন্তর্ভুক্ত করা হয়নি। 1,33,69,666 সংখ্যাটি স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা বোঝায়; এটি মোট সারির সংখ্যা, Bukalapak-এর সব ব্যবহারকারীর সংখ্যা বা প্রতিটি তথ্যের ধরন অনুযায়ী ক্ষতিগ্রস্ত মানুষের সংখ্যা নয়।

এই নথি 23 অক্টোবর 2017 তারিখ পর্যন্ত Bukalapak-এর ব্যাকআপ তথ্যের সঙ্গে সম্পর্কিত। ঘটনাটি 2019 সালের মার্চে আবিষ্কৃত হয় এবং 2019 সালের এপ্রিলে তথ্য ফাঁসের প্রকাশ্য তালিকাগুলোতে যুক্ত করা হয়। প্রথমবার কীভাবে প্রবেশ করা হয়েছিল, কোন দুর্বলতা কাজে লাগানো হয়েছিল এবং ঠিক কোন সিস্টেম থেকে ব্যাকআপটি সরিয়ে নেওয়া হয়েছিল, এসব নিশ্চিত করা হয়নি। তাই আক্রমণের কোনো বিস্তারিত পথকে প্রতিষ্ঠিত তথ্য হিসেবে উল্লেখ করা হয়নি। 2020 সালের মে মাসে Bukalapak-এর প্রায় 13 মিলিয়ন রেকর্ড আবার সামনে এলে সেটিকে নতুন ঘটনা হিসেবে ব্যাখ্যা করা হয়। প্রতিষ্ঠানটি জানায়, তাদের তদন্তে দেখা গেছে যে প্রচারিত প্রতিবেদনগুলো আগের বছরের প্রচেষ্টার সঙ্গে সম্পর্কিত এবং নতুন করে কোনো তথ্য ফাঁস হয়নি। একই সময়ের কাছাকাছি প্রকাশিত প্রতিবেদনগুলোতে উল্লেখ করা আলাদা 91 মিলিয়ন রেকর্ডের ডেটাসেটটি ইন্দোনেশিয়ার অন্য একটি ই-কমার্স প্ল্যাটফর্মের ছিল। সেটি Bukalapak-এর মোট সংখ্যার সঙ্গে যোগ করা যাবে না।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁদের 2017 সালের শেষভাগের আগে Bukalapak অ্যাকাউন্ট ছিল এবং যাঁরা অন্য সেবাতেও একই পাসওয়ার্ড ব্যবহার করেছেন। বহু বছর আগে অ্যাকাউন্ট বন্ধ করে দেওয়া বা ব্যবহার ছেড়ে দেওয়া ব্যক্তিও এখনো ঝুঁকিতে থাকতে পারেন, কারণ ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ অপরিবর্তিত অবস্থায় ছড়াতে থাকতে পারে। ছোট, সহজে অনুমানযোগ্য বা অভিধানের শব্দভিত্তিক পাসওয়ার্ড bcrypt বা সল্টযুক্ত SHA-512 দিয়ে সুরক্ষিত থাকলেও অফলাইনে অনুমান করে বের করার চেষ্টার বিরুদ্ধে তুলনামূলকভাবে দুর্বল। ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হলে ঝুঁকি বাড়ে, কারণ ইমেইলে প্রবেশাধিকার পেলে অনেক সেবার পাসওয়ার্ড পুনরায় নির্ধারণের লিংক পাওয়া যেতে পারে। নাম ও IP ঠিকানা থাকা রেকর্ড অবস্থান বা আগের কেনাকাটার প্রসঙ্গ তুলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং চালানোর জন্য বেশি কাজে লাগে। মিল পাওয়ার অর্থ এই নয় যে পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট বা পরিচয়পত্রের তথ্য ফাঁস হয়েছে; যাচাইকৃত তথ্যের শ্রেণিগুলোর মধ্যে এসব নেই।

2017 সালে Bukalapak-এ ব্যবহার করা পাসওয়ার্ডটি আপনার মনে থাকলে, এখনো একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট শনাক্ত করুন। ইমেইল, ব্যাংকিং, কেনাকাটা ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলো দিয়ে শুরু করে প্রতিটি সেবার জন্য দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড তৈরি করুন। একটি বিশ্বস্ত পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা সহজ হয়। Bukalapak ও ইমেইল অ্যাকাউন্টে দুই ধাপে যাচাইকরণ চালু করুন, তারপর সক্রিয় সেশন ও সংযুক্ত ডিভাইসগুলো পর্যালোচনা করুন। ইমেইল অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, ফোন নম্বর ও ফরওয়ার্ডিং নিয়মে আপনার অজানা কোনো পরিবর্তন হয়েছে কি না দেখুন। Bukalapak-এর অর্ডার, অর্থ ফেরত, বিক্রেতার পাওনা বা তথ্য ফাঁসের ক্ষতিপূরণের অজুহাতে পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড বা অর্থ চাওয়া কোনো বার্তার জবাব দেবেন না। দেওয়া লিংকে না গিয়ে অ্যাপ্লিকেশন খুলুন বা নিজে আনুষ্ঠানিক ওয়েব ঠিকানা লিখুন। সাইন-ইনের ব্যর্থ চেষ্টার সতর্কতা, অপ্রত্যাশিত পাসওয়ার্ড পুনরায় নির্ধারণের বার্তা বা নতুন ডিভাইসের বিজ্ঞপ্তি এলে সঙ্গে সঙ্গে সংশ্লিষ্ট পাসওয়ার্ড বদলান এবং অন্য সেশনগুলো বন্ধ করুন। সন্দেহজনক যোগাযোগের তারিখ ও প্রেরকের বিবরণ সংরক্ষণ করুন এবং সেবাদাতাকে জানান।

ব্যাকআপ থেকে নেওয়া পুরোনো লগইন তথ্য বছরের পর বছর ছড়াতে পারে। তাই ঘটনাটি নিয়ে আলোচনা কমে গেলেও সুরক্ষার ব্যবস্থা বন্ধ করা উচিত নয়। পাসওয়ার্ড ম্যানেজারের নিরাপত্তা প্রতিবেদন ব্যবহার করে নিয়মিত বিরতিতে পুনর্ব্যবহৃত, দুর্বল বা আগে ফাঁস হওয়া পাসওয়ার্ডগুলো বদলান। ইমেইল অ্যাকাউন্টকে আপনার ডিজিটাল পরিচয়ের কেন্দ্র হিসেবে বিবেচনা করুন এবং শক্তিশালী পাসওয়ার্ড, দুই ধাপে যাচাইকরণ ও হালনাগাদ পুনরুদ্ধারের ব্যবস্থা দিয়ে সেটিকে সুরক্ষিত রাখুন। অনেক প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে মনে রাখবেন, আক্রমণকারীরা ওই অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র খুঁজে পেতে পারে। কেনাকাটা-সংক্রান্ত কোনো বার্তায় নাম বা অর্ডারের বিবরণ সঠিক থাকলেই সেটি বিশ্বাসযোগ্য হয়ে যায় না; অ্যাপ্লিকেশনে অর্ডারের ইতিহাসের সঙ্গে মিলিয়ে স্বাধীনভাবে যাচাই করুন। অব্যবহৃত অ্যাকাউন্ট বন্ধ করার আগে সংরক্ষিত পেমেন্ট পদ্ধতি, সংযুক্ত অ্যাপ্লিকেশন ও প্রোফাইলের অপ্রয়োজনীয় তথ্য সরিয়ে ফেলুন। ব্যাকআপ সংরক্ষণ ও প্রবেশাধিকারের নীতিতেও মূল কার্যকর সিস্টেমগুলোর মতো একই সুরক্ষা প্রয়োজন। Bukalapak নিয়ে আরেকটি দাবি সামনে এলে তার তারিখ, স্বতন্ত্র অ্যাকাউন্টের মোট সংখ্যা ও ফাঁস হওয়া তথ্যের ধরন তুলনা করে দেখুন, সেটি নতুন ঘটনা নাকি পুরোনো তথ্য আবার ছড়িয়ে পড়ছে।

2017 সালের কাছাকাছি সময়ে Bukalapak-এ ব্যবহার করা ইমেইল ঠিকানা দিয়ে LeakData.io-তে খুঁজে দেখুন, এই নথির সঙ্গে সেটির মিল আছে কি না। মিল পাওয়া বোঝায় যে ঠিকানাটি যাচাইকৃত ডেটাসেটে রয়েছে; এর অর্থ এই নয় যে একই রেকর্ডে ব্যবহারকারীর নাম, IP ঠিকানা, নাম ও পাসওয়ার্ড হ্যাশ, সব তথ্যই সম্পূর্ণ ছিল। কোনো ফলাফল না পাওয়া প্রমাণ করে না যে অন্য ঠিকানা দিয়ে তৈরি কোনো অ্যাকাউন্ট সেখানে নেই। তাই কর্মক্ষেত্রের ও ব্যক্তিগত পুরোনো ঠিকানাগুলো আলাদাভাবে যাচাই করুন। অনুসন্ধানের ফলাফলের জবাবে কখনো পাসওয়ার্ড, পাসওয়ার্ড হ্যাশ, একবার ব্যবহারযোগ্য কোড, পেমেন্টের তথ্য বা পরিচয়পত্র দেবেন না। মিল পাওয়া গেলে পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা, ইমেইল অ্যাকাউন্ট সুরক্ষিত করা এবং দুই ধাপে যাচাইকরণ চালু করাকে অগ্রাধিকার দিন। 2020 সালের Bukalapak-এর তথ্য বিক্রির তালিকাগুলোকে আলাদা 13 মিলিয়ন অ্যাকাউন্টের ঘটনা ধরে মোট সংখ্যার সঙ্গে যোগ করবেন না। একইভাবে, অন্য প্ল্যাটফর্মের 91 মিলিয়ন রেকর্ডের সংখ্যাটিও এই নথির সঙ্গে যুক্ত করবেন না। ঘটনা ও গণনার পরিসর আলাদা রাখলে ঝুঁকি বাড়িয়ে দেখানো বা ভুল প্রতিষ্ঠানের ওপর দায় চাপানো এড়ানো যায়।