BuyMixtapes: তথ্য উন্মুক্ত হওয়ার অভিযোগ

BuyMixtapes-এর রেকর্ড তৈরি করার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ব্র্যান্ডের নাম, ডোমেইন নাম, ঘটনার তারিখ, রেকর্ডসংখ্যা এবং কাছাকাছি বানানের বিভিন্ন রূপ যাচাই করা হয়েছিল। একই ঘটনার কোনো রেকর্ড পাওয়া যায়নি বলে এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। দেখতে কাছাকাছি হলেও ভিন্ন ডোমেইন, ভিন্ন সময়কালের ঘটনা বা পর্যাপ্ত সমর্থন না থাকা রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

লক্ষ্য তালিকাগুলোতে থাকা আনুমানিক রেকর্ডসংখ্যা এবং যাচাই করা যায় এমন তথ্যের সংখ্যার মধ্যে পার্থক্য দেখা যেতে পারে। এর কারণ হতে পারে কাঁচা ডেটার সারি, স্বতন্ত্র ইমেইল ঠিকানা, ডুপ্লিকেট অ্যাকাউন্ট, পরিশোধিত রেকর্ড, ফোরাম প্রোফাইল, পুরোনো এক্সপোর্ট ফাইল বা নতুনভাবে সাজানো ডেটাসেটের পার্থক্য। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার পরিবর্তে তথ্যের ধরনসহ ধারাবাহিকভাবে সমর্থন পাওয়া 28,035 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে।

BuyMixtapes সংগীত, মিক্সটেপ প্রকাশ ও ডাউনলোড প্ল্যাটফর্মের আওতায় পড়ে বলে ঘটনাটিকে শুধু পাসওয়ার্ডের একটি প্রযুক্তিগত সমস্যা হিসেবে দেখা উচিত নয়। ব্যবহারকারীর এই প্ল্যাটফর্মে পুরোনো সদস্যতার কথা মনে না থাকলেও অন্য সেবায় একই ইমেইল ও পাসওয়ার্ড ব্যবহারের অভ্যাস থেকে যেতে পারে।

এই ঘটনায় প্রমাণসমর্থিত তথ্যক্ষেত্র শুধু ইমেইল ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ডের মধ্যে সীমাবদ্ধ ছিল। সংগীত প্ল্যাটফর্মের ক্ষেত্রে শিল্পী, সংগীতের ধারা, কমিউনিটি ও সাবস্ক্রিপশনের প্রতি ব্যবহারকারীদের আগ্রহের ভিত্তিতে ভুয়া প্রচারণা, ডাউনলোড লিংক বা কপিরাইট নোটিশের মতো বার্তা দিয়ে তাঁদের লক্ষ্যবস্তু করা হতে পারে।

এই ঘটনায় প্লেইনটেক্সট পাসওয়ার্ডের তথ্যের সমর্থন পাওয়া গেছে বলে ঝুঁকি সাধারণ একটি ইমেইল তালিকার চেয়ে বেশি। পাসওয়ার্ডের তথ্য থাকলে আক্রমণকারীদের পক্ষে সংগীত, সামাজিক যোগাযোগমাধ্যম, ইমেইল ও কেনাকাটার সেবায় একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সহজ হয়।

শুধু একটি ইমেইল ঠিকানা সীমিত ব্যক্তিগত তথ্য বলে মনে হতে পারে। কিন্তু এর সঙ্গে ব্যবহারকারীর নাম, পূর্ণ নাম, নিবন্ধনের তারিখ, সাইটে প্রবেশের তারিখ, দেশ, আগ্রহ বা পাসওয়ার্ডের তথ্য যুক্ত হলে তা আক্রমণের একটি শক্তিশালী মাধ্যম হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেমিং, স্বাস্থ্য, অর্থ, সামাজিক যোগাযোগমাধ্যম বা বিনোদনের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি অতীতের হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। উল্লেখযোগ্যসংখ্যক ব্যবহারকারী সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই BuyMixtapes-এর মতো পুরোনো তথ্য ফাঁসের ঘটনা বহু বছর পরও পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং এবং নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় কাজে লাগানো হতে পারে।

ব্যবহারকারীদের প্রথম করণীয় হলো অতীতে BuyMixtapes বা www.buymixtapes.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টেও একই ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়; বারবার ব্যবহার করা সব পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টে স্বতন্ত্র ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টগুলোতে ছড়ানো ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড সরিয়ে ফেলা উচিত।

ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট, গেমিং অ্যাকাউন্ট, কেনাকাটার অ্যাকাউন্ট ও অ্যাডমিন প্যানেলের জন্য দুই উপাদানভিত্তিক পরিচয় যাচাই বিশেষভাবে অগ্রাধিকার পাওয়া উচিত। SMS-ভিত্তিক যাচাইয়ের তুলনায় অ্যাপভিত্তিক পরিচয় যাচাই বা হার্ডওয়্যার সিকিউরিটি কী আক্রমণের বিরুদ্ধে আরও শক্ত সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ্লিকেশন, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি BuyMixtapes অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, শিল্পখাতের তথ্য, দেশ, শখ, কেনাকাটার ইতিহাস, কমিউনিটির সদস্যতা বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের উচিত আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা টাইপ করা, যাচাই ছাড়া সংযুক্ত ফাইল না খোলা এবং জরুরিভাবে পদক্ষেপ নেওয়ার চাপ তৈরি করে এমন বার্তা সম্পর্কে সতর্ক থাকা।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী ব্যক্তিগত বলে মনে হয় এমন অ্যাকাউন্টে কাজের ইমেইল ব্যবহার করে থাকলে কোম্পানির সিস্টেমে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, একাধিক উপাদানভিত্তিক পরিচয় যাচাই এবং পাসওয়ার্ড পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য প্রধান শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ এবং তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা। প্লেইনটেক্সট বা সহজে ভাঙা যায় এমন হ্যাশ ফরম্যাট সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ ফরম্যাট ধাপে ধাপে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষার পরিবেশ, এক্সপোর্ট ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল, প্লাগইন ও অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং নজরের বাইরে থাকা সহায়ক সিস্টেম বা ব্যাপক ক্ষমতাসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তাজনিত ঘটনা মোকাবিলার পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগেই নির্ধারণ করা উচিত।

সরাসরি পাওয়া বিবরণে আনুমানিক 31 হাজার কাঁচা রেকর্ড এবং 28,035 স্বতন্ত্র ইমেইল অ্যাকাউন্ট দেখা যায় বলে ব্যবহারকারীর সংখ্যা হিসেবে 28,035 নেওয়া হয়েছে।

বর্তমান সরাসরি যাচাইয়ে নিরাপত্তা যাচাইকরণের কারণে প্রবেশ সীমিত ছিল। ডোমেইনটি ব্যবহার হচ্ছে বলে মনে হওয়ায় রেকর্ডটিকে অবসরপ্রাপ্ত হিসেবে চিহ্নিত করা হয়নি।

এই রেকর্ডকে সংবেদনশীল শ্রেণিভুক্ত হিসেবে চিহ্নিত করা হয়নি; তবে প্লেইনটেক্সট পাসওয়ার্ড থাকার কারণে অ্যাকাউন্ট দখলের ঝুঁকি বেশি।

সংগীতবিষয়ক কনটেন্টের পুরোনো অ্যাকাউন্টগুলোকে সাধারণত কম ঝুঁকির মনে করা হলেও অন্য প্ল্যাটফর্মে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে এ ধরনের ছোট অ্যাকাউন্ট আক্রমণকারীদের জন্য কার্যকর সূচনাবিন্দু হতে পারে।

BuyMixtapes-এর লোগোর ছবিটি রেকর্ডের সঙ্গে মিলিয়ে নেওয়া হয়েছে এবং ওয়েবসাইটের ঠিকানা শুধু ডোমেইন নাম হিসেবে রাখা হয়েছে। পৃষ্ঠা তৈরি করার সময় লিংক যেন ভুলভাবে দেখানো না হয়, তা নিশ্চিত করতে বিষয়টি বিশেষভাবে যাচাই করা হয়েছে।

এই রেকর্ডে যাচাই না করা তথ্যের ধরনগুলো সচেতনভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত তথ্যক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর উদ্দেশ্য ভীতিকর চিত্র তুলে ধরা নয়, বরং সঠিক পরিধি ও প্রযোজ্য নিরাপত্তাব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

BuyMixtapes-এর তথ্য ফাঁস, www.buymixtapes.com-এর তথ্য ফাঁস, BuyMixtapes-এর পাসওয়ার্ড ফাঁস এবং BuyMixtapes-এর ব্যবহারকারীর তথ্যের মতো বিভিন্ন নামে সহজবোধ্য ও ব্যবহারিক তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি তৈরি করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয় এবং বাস্তবে নেওয়া যায় এমন নিরাপত্তামূলক পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখার পর ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলোই বিশেষভাবে আক্রমণকারীদের প্রথম লক্ষ্য। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ড পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন বাড়তি অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে একটি ছোট সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না; আক্রমণকারীদের সরঞ্জাম এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যাওয়া ইমেইল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, গণমাধ্যম, গেমিং, ডেটিং বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্য তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইল তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতির মাধ্যমে নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যক্ষেত্রে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য এক্সপোর্টের কার্যক্রম অতিরিক্তভাবে পর্যবেক্ষণ করা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্ট সুরক্ষার নিয়মিত করণীয়গুলো সম্পন্ন করা দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যতা মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে তথ্যের শ্রেণিগুলো কতটা কাজে লাগতে পারে এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, তা বিবেচনা করে এই পৃষ্ঠার ঝুঁকির মাত্রা অতি গুরুতর হিসেবে নির্ধারণ করা হয়েছে। অতি গুরুতর মাত্রা মানে অপব্যবহার নিশ্চিতভাবে ঘটেছে এমন নয়; বরং এটি বোঝায় যে ব্যবহারকারীর দ্রুত পদক্ষেপ নেওয়া দরকার।

সব মিলিয়ে, BuyMixtapes-এর এই রেকর্ডটি 2018 সালের আগস্টে ঘটা একটি স্বতন্ত্র তথ্য ফাঁসের রেকর্ড, যা 28,035 অ্যাকাউন্টকে প্রভাবিত করেছিল এবং যাতে ইমেইল ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ডের তথ্যক্ষেত্র ছিল। ব্যবহারকারীদের স্বতন্ত্র পাসওয়ার্ড ব্যবহার, দুই উপাদানভিত্তিক পরিচয় যাচাই চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।

BuyMixtapes-এর রেকর্ডে সংখ্যাগত মান, শিরোনাম, ডোমেইন ও তথ্যের শ্রেণি একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে ছড়িয়ে থাকা তালিকার অস্পষ্ট আইটেমগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারী যে রেকর্ডটি দেখছেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমাবদ্ধ।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ অসমর্থিত তথ্যক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন বাধাগ্রস্ত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ড ছাড়া অন্য দাবিগুলোকে প্রমাণিত তথ্যক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

www.buymixtapes.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যতার কথা ভুলে যাওয়া হয়ে থাকতে পারে। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড বদলানো সম্ভব না হলে একই পাসওয়ার্ড ব্যবহৃত হচ্ছে এমন অন্য সেবাগুলো খুঁজে সেগুলো সুরক্ষিত করাই আরও বাস্তবসম্মত অগ্রাধিকার।

ব্যবহারকারীর নাম, ইমেইল বা প্রোফাইলের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে মিলিয়ে নিলে আক্রমণকারীদের পক্ষে কোনো ব্যক্তির আগ্রহ, দেশ, কর্মখাত বা অতীতের সদস্যতার অভ্যাস অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁসের ঘটনা ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানগুলোর নিয়মিত সচেতনতামূলক প্রশিক্ষণে কর্মীদের ব্যক্তিগত সদস্যতার জন্য কাজের ইমেইল ব্যবহারের বিষয়টি তুলে ধরা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ড পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা পরিমাপের জন্য সতর্কসংকেত দেয়।

এই রেকর্ডে নিজের ইমেইল দেখতে পেলে ব্যবহারকারীর উচিত প্রথমে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো সুরক্ষিত করার কাজ শুরু করা: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করার সুযোগ থাকলে অপ্রয়োজনীয় পুরোনো সদস্যতা বন্ধ করাও একটি ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত স্বতন্ত্র পাসওয়ার্ড ব্যবহার, প্রোফাইলের তথ্য ন্যূনতম রাখা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।