Cannabis.com তথ্য ফাঁস

যেসব ধরনের তথ্য ফাঁস হওয়ার বিষয়টি যাচাই করা হয়েছে, সেগুলোর মধ্যে রয়েছে জন্মতারিখ, ইমেইল ঠিকানা, ভৌগোলিক অবস্থানের তথ্য, পুরোনো পাসওয়ার্ড, ইনস্ট্যান্ট মেসেজিং ID, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা, ব্যবহারকারীর নাম এবং সাইটে কার্যকলাপ। এসব তথ্য আলাদাভাবেও ঝুঁকিপূর্ণ হতে পারে; একই অ্যাকাউন্টের তথ্যসমষ্টিতে এগুলো একসঙ্গে থাকলে আক্রমণকারীদের পক্ষে ব্যক্তিকে শনাক্ত করা, তাঁর সম্পর্কে প্রোফাইল তৈরি করা এবং তাঁকে লক্ষ্য করে ফিশিংয়ের কৌশল সাজানোর সম্ভাবনা বাড়ে।

ইমেইল ঠিকানা ও ব্যবহারকারীর নাম দিয়ে বিভিন্ন সাইটে থাকা একই ব্যক্তির অ্যাকাউন্ট মিলিয়ে দেখা যেতে পারে। ব্যবহারকারী অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড বেছে নিয়ে থাকতে পারেন, এই ধারণার ভিত্তিতে পাসওয়ার্ড ও পুরোনো পাসওয়ার্ডের ঘরে থাকা তথ্য দিয়ে সেখানে প্রবেশের চেষ্টা করা হতে পারে। IP ঠিকানা ও ভৌগোলিক অবস্থানের তথ্য থেকে অ্যাকাউন্টের মালিকের আনুমানিক এলাকা বা অতীতে সংযোগের ধরন বোঝা যেতে পারে। জন্মতারিখের মতো প্রোফাইলের তথ্য পরিচয় যাচাইয়ের প্রশ্নের উত্তর অনুমান করা সহজ করতে পারে।

ব্যক্তিগত বার্তা এই ঘটনার সবচেয়ে সংবেদনশীল অংশগুলোর একটি। ফোরামের কথোপকথনে ব্যক্তিগত পছন্দ, সামাজিক সম্পর্ক, ব্যবসায়িক যোগাযোগ, স্বাস্থ্যসংক্রান্ত ইঙ্গিত বা এমন চিন্তাভাবনা থাকতে পারে, যা ব্যবহারকারী প্রকাশ্যে জানাননি। আক্রমণকারীরা এসব লেখা ব্ল্যাকমেইল, সুনামহানি, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণা বা সামাজিক প্রকৌশলের কাজে ব্যবহার করতে পারে। সাইটে কার্যকলাপের তথ্য থেকেও কোন বিষয়গুলো পড়া হয়, ফোরামের কোন বিভাগগুলোতে সক্রিয়তা রয়েছে বা অ্যাকাউন্টটি কতটা সক্রিয়, সে সম্পর্কে অতিরিক্ত প্রেক্ষাপট পাওয়া যায়।

Cannabis.com-এর ঘটনাটির নিশ্চিত তারিখ হিসেবে 5 ফেব্রুয়ারি 2014 ধরতে হবে, আর এটি ডেটাবেসে যুক্ত করা হয় 1 জুন 2014। ক্ষতিগ্রস্ত স্বতন্ত্র অ্যাকাউন্টের সংখ্যা 2,27,746। তথ্যগুলো Cannabis.com-এর গাঁজাবিষয়ক vBulletin ফোরামের সঙ্গে সম্পর্কিত এবং ফাঁসের পর প্রকাশ্যে ছড়িয়ে পড়ে। কোনো আক্রমণকারী গোষ্ঠীকে স্পষ্টভাবে দায়ী করার বিষয়টি যাচাই করা হয়নি, তাই ঘটনার জন্য দায়ী ব্যক্তি বা গোষ্ঠীর পরিচয় নিশ্চিত বলে ধরা হয় না।

ঘটনার পরিসরের সীমাও গুরুত্বপূর্ণ। এই ঘটনা Cannabis.com ফোরামের অ্যাকাউন্ট এবং ফোরামের সঙ্গে যুক্ত ব্যবহারকারীর তথ্য নিয়ে; পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, পাসপোর্ট, সরকারি পরিচয়পত্রের নম্বর বা সরাসরি আর্থিক লেনদেনের ইতিহাস ফাঁস হওয়ার বিষয়টি যাচাই করা হয়নি। ফাঁস হওয়া তথ্যের ধরনগুলোর মধ্যে ব্যক্তিগত বার্তা ও সাইটে কার্যকলাপ থাকায় গোপনীয়তার দিক থেকে ঘটনাটি গুরুতর, তবে যাচাই করা হয়নি এমন তথ্য এর আওতায় ধরলে ব্যবহারকারীকে বিভ্রান্ত করা হবে। তাই ঝুঁকি মূল্যায়ন শুধু যাচাইকৃত তথ্যের ভিত্তিতেই করা উচিত।

ডেটাসেটে প্রায় দশ হাজার ব্যক্তিগত বার্তা থাকায় এর প্রভাব শুধু অ্যাকাউন্টের সংখ্যা দিয়ে মাপা যায় না। যাঁরা একই ইমেইল ঠিকানা দিয়ে অন্য ফোরাম বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে নিবন্ধন করেছেন, তাঁদের ক্ষেত্রে এক অ্যাকাউন্ট থেকে অন্য অ্যাকাউন্টে ঝুঁকি ছড়িয়ে পড়তে পারে। তবে এর অর্থ এই নয় যে Cannabis.com-এর প্রত্যেক দর্শনার্থী ক্ষতিগ্রস্ত হয়েছেন; ঝুঁকি শুধু সেই ব্যবহারকারীদের মধ্যে সীমাবদ্ধ, যাঁদের ফোরাম অ্যাকাউন্ট ছিল এবং যাঁদের তথ্য ফাঁস হয়েছে।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই ব্যক্তিরা, যাঁরা 2014 সালের আগে বা ওই সময়ের কাছাকাছি Cannabis.com ফোরামের সদস্য ছিলেন, অন্য সেবায় একই ইমেইল ঠিকানা ব্যবহার করেছেন এবং অন্য অ্যাকাউন্টেও ফোরামের পাসওয়ার্ড ব্যবহার করেছেন। বিশেষ করে, অন্য অ্যাকাউন্টে পুরোনো পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা বহু বছর পরেও অ্যাকাউন্ট দখলের প্রচেষ্টার পথ খুলে দিতে পারে। যাঁরা সামান্য পরিবর্তন করে একই পাসওয়ার্ড আবার ব্যবহার করেন, তাঁদেরও একই ধরনের ঝুঁকি রয়েছে।

যেসব ব্যবহারকারী ফোরামে নিজের আসল নাম, অবস্থান, জন্মতারিখ বা ইনস্ট্যান্ট মেসেজিং অ্যাকাউন্ট শেয়ার করেন, তাঁদের প্রকৃত পরিচয়ের সঙ্গে ফোরাম অ্যাকাউন্টের যোগসূত্র বের করার ঝুঁকি বেশি। কাজ, পরিবার, স্বাস্থ্য, আইনি পরিস্থিতি বা ব্যক্তিগত পছন্দের কারণে যাঁরা ফোরামের সদস্যপদ প্রকাশ করতে চান না, তাঁরা সুনাম ও গোপনীয়তা নিয়ে ঝুঁকিতে পড়তে পারেন। ব্যক্তিগত বার্তায় ফোন নম্বর, ঠিকানা, কর্মক্ষেত্রের সম্পর্ক, কেনাকাটার ইচ্ছা বা অন্য ব্যক্তিগত বিবরণ থাকলে ঝুঁকি ফোরাম অ্যাকাউন্টের বাইরেও বিস্তৃত হয়।

প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধন করা ব্যবহারকারীদের জন্য বাড়তি ঝুঁকি হলো ফোরামের কার্যকলাপের সঙ্গে তাঁদের কর্মক্ষেত্রের পরিচয় যুক্ত হয়ে যাওয়া। এই পরিস্থিতি আক্রমণকারীদের আরও বিশ্বাসযোগ্য ফিশিং বার্তা তৈরি করতে সাহায্য করতে পারে। বিভিন্ন প্ল্যাটফর্মে ব্যবহারকারীর নাম একই হলে ফোরামের তথ্য সামাজিক যোগাযোগমাধ্যম, মেসেজিং অ্যাকাউন্ট বা অন্য কমিউনিটির প্রোফাইলের সঙ্গে মিলিয়ে দেখা যেতে পারে।

Cannabis.com অ্যাকাউন্টের সঙ্গে যুক্ত ইমেইল ঠিকানাটি এখনও ব্যবহার করা হলে প্রথম করণীয় হলো একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো। প্রতিটি সেবার জন্য আলাদা, দীর্ঘ ও এলোমেলো পাসওয়ার্ড বেছে নেওয়া উচিত; যেসব অ্যাকাউন্টে সম্ভব, সেখানে দুই ফ্যাক্টরের প্রমাণীকরণ চালু করা উচিত। পুরোনো ফোরাম পাসওয়ার্ডটি এখন সক্রিয় বলে মনে না হলেও অতীতে অন্য অ্যাকাউন্টে সেটি ব্যবহার করা হয়ে থাকলে ঝুঁকি থেকে যায়।

ইমেইল অ্যাকাউন্টও সুরক্ষিত করা উচিত, কারণ ফাঁস হওয়া ফোরামের তথ্য প্রায়ই ইমেইল অ্যাকাউন্টকে লক্ষ্য করে ফিশিং প্রচেষ্টার সঙ্গে ব্যবহার করা হয়। Cannabis.com বা ফোরামের পুরোনো কার্যকলাপের উল্লেখ রয়েছে এমন বার্তার ক্ষেত্রে আপনার সতর্ক থাকা উচিত, সরাসরি লিংকে ক্লিক করা উচিত নয় এবং পাসওয়ার্ড পুনরায় সেট করার বিজ্ঞপ্তি মনোযোগ দিয়ে পর্যালোচনা করা উচিত। নিরাপত্তা সেটিংস থেকে অপ্রত্যাশিত লগইন সতর্কতা, নতুন ডিভাইসের বিজ্ঞপ্তি এবং সন্দেহজনক সেশন পরীক্ষা করা উচিত।

ব্যক্তিগত বার্তায় কোনো ব্যক্তিগত তথ্য শেয়ার করা হয়ে থাকলে শুধু পাসওয়ার্ড বদলালেই ঝুঁকি শেষ হয় না। বার্তায় উল্লেখ করা অন্য ব্যক্তি, অ্যাকাউন্ট বা যোগাযোগের মাধ্যমগুলো আপনার পর্যালোচনা করা উচিত; প্রকাশ হয়ে থাকতে পারে এমন ফোন নম্বর, ঠিকানা, ব্যবহারকারীর নাম বা সামাজিক যোগাযোগমাধ্যমের তথ্যের গোপনীয়তা সেটিংস আরও কঠোর করা উচিত। অন্য প্ল্যাটফর্মেও একই ব্যবহারকারীর নাম ব্যবহার করলে অনুসন্ধানের মাধ্যমে খুঁজে পাওয়া এবং প্রোফাইল দেখার সুযোগ সীমিত করা সহায়ক হতে পারে।

এ ধরনের পুরোনো ফোরামের ফাঁস হওয়া তথ্য অনলাইনে প্রকাশের বহু বছর পরেও ফিশিং ও অ্যাকাউন্ট দখলের প্রচেষ্টায় ব্যবহার করা যেতে পারে। তাই ব্যবহারকারীদের শুধু ঘটনার সময় থাকা অ্যাকাউন্ট নয়, পরবর্তী বছরগুলোতে একই ইমেইল ঠিকানা দিয়ে খোলা সব গুরুত্বপূর্ণ অ্যাকাউন্টও মূল্যায়ন করতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করা, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড তৈরি করা এবং সংরক্ষণাগার থেকে পুরোনো পাসওয়ার্ড সম্পূর্ণ সরিয়ে ফেলা দীর্ঘমেয়াদি সুরক্ষার মূল উপায়।

ব্যক্তিগত তথ্যের ক্ষেত্রে সবচেয়ে উপযুক্ত কৌশল হলো ফোরাম ও কমিউনিটি সাইটে যতটা সম্ভব কম তথ্য শেয়ার করা। জন্মতারিখ, অবস্থান, ইনস্ট্যান্ট মেসেজিং ID এবং আসল নামের মতো ঘর পূরণ করা বাধ্যতামূলক না হলে সেগুলো খালি রাখা বা কে দেখতে পারবেন তা সীমিত করা উচিত। ব্যবহারকারীর নাম বেছে নেওয়াও গুরুত্বপূর্ণ; অনেক সাইটে একই ব্যবহারকারীর নাম থাকলে বিভিন্ন ডেটাসেট একত্র করা সহজ হয়।

প্রতিষ্ঠানের ক্ষেত্রেও মনে রাখতে হবে যে পুরোনো ফোরামের তথ্য ফাঁসের কারণে কর্মীদের লক্ষ্যবস্তু করা হতে পারে। নিরাপত্তা দলের উচিত কর্মীদের ইমেইলের সঙ্গে যুক্ত পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার কমানো, বহু-ফ্যাক্টর প্রমাণীকরণে উৎসাহ দেওয়া এবং সংবেদনশীল কমিউনিটির সদস্যপদের তথ্য ব্যবহার করে চালানো ফিশিং সম্পর্কে সচেতনতামূলক প্রশিক্ষণ দেওয়া। পুরোনো ফাঁস হওয়া তথ্য নতুন আক্রমণে ব্যবহার করা যেতে পারে বলে নজরদারি ও পাসওয়ার্ড ব্যবস্থাপনায় নিরাপদ অভ্যাস বজায় রাখার কাজ অব্যাহত রাখা প্রয়োজন।

Cannabis.com-এর তথ্য ফাঁসে আপনি ক্ষতিগ্রস্ত হয়েছেন কি না জানতে চাইলে কোনো নির্ভরযোগ্য যাচাইয়ের স্ক্রিনে আপনার ইমেইল ঠিকানা পরীক্ষা করা উচিত। ফলাফলে ঠিকানাটি পাওয়া গেলে তার অর্থ এই নয় যে বর্তমানে আপনার একটি সক্রিয় Cannabis.com অ্যাকাউন্ট আছে; এটি বোঝায় যে ইমেইল ঠিকানাটি 2014 সালের ফোরামের তথ্যে ছিল। তা সত্ত্বেও, পুরোনো পাসওয়ার্ড ও ব্যবহারকারীর নাম অন্য সেবায় ব্যবহার করা হয়ে থাকলে জরুরি নিরাপত্তাব্যবস্থা নেওয়া প্রয়োজন।

ফলাফলে ইমেইল ঠিকানা পাওয়া না গেলে একই ব্যক্তি ভিন্ন ইমেইল ঠিকানা দিয়ে নিবন্ধন করে থাকতে পারেন, এই সম্ভাবনা উপেক্ষা করা উচিত নয়। পুরোনো ব্যক্তিগত ইমেইল, কর্মক্ষেত্রের ইমেইল এবং ছদ্মনামে খোলা অ্যাকাউন্টগুলো আলাদাভাবে পরীক্ষা করা উচিত। যাঁদের ইমেইল ঠিকানা ফলাফলে পাওয়া যায়, তাঁদের পাসওয়ার্ড বদলানোর পর অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা, নিরাপত্তা প্রশ্ন ও সংযুক্ত ডিভাইসও পর্যালোচনা করা উচিত।

Cannabis.com-এর তথ্য ফাঁস দেখায় যে সংবেদনশীল কমিউনিটিতে ব্যবহৃত অ্যাকাউন্টকে সাধারণ ফোরাম অ্যাকাউন্ট হিসেবে দেখা উচিত নয়। ইমেইল, পাসওয়ার্ড, IP ঠিকানা ও ব্যক্তিগত বার্তা একসঙ্গে থাকলে পরিচয়ের যোগসূত্র বের করা, সামাজিক চাপ, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং এবং অ্যাকাউন্ট দখলের ক্ষেত্রে দীর্ঘস্থায়ী ঝুঁকি তৈরি হয়। সবচেয়ে কার্যকর পদ্ধতি হলো ফাঁস হওয়া পাসওয়ার্ডের ব্যবহার সম্পূর্ণ বন্ধ করা, একই ইমেইলের সঙ্গে যুক্ত গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর নিরাপত্তা জোরদার করা এবং ব্যক্তিগত বার্তায় থাকা ব্যক্তিগত তথ্য এখনও ঝুঁকি তৈরি করছে কি না তা নতুন করে মূল্যায়ন করা।