Canva: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ভৌগোলিক অবস্থানসংক্রান্ত তথ্য, ব্যক্তির নাম, পাসওয়ার্ড ও ব্যবহারকারীর নাম। যেসব অ্যাকাউন্টে সোশ্যাল লগইন ব্যবহার করা হয় না, সেগুলোর পাসওয়ার্ড bcrypt হ্যাশ মানের সঙ্গে যুক্ত। পাসওয়ার্ড সংরক্ষণের পুরোনো ও দ্রুততর পদ্ধতিগুলোর তুলনায় bcrypt-কে আক্রমণ প্রতিরোধে বেশি সক্ষম বলে বিবেচনা করা হলেও, দুর্বল পাসওয়ার্ড বা অন্য সেবাতেও একই পাসওয়ার্ড ব্যবহারের ক্ষেত্রে ঝুঁকি থেকে যায়। ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও ব্যক্তির নাম একসঙ্গে থাকলে আক্রমণকারীরা বিভিন্ন প্ল্যাটফর্মে ব্যবহারকারীর অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র খুঁজে পেতে পারে। অবস্থানসংক্রান্ত তথ্য ভুয়া সহায়তা বার্তা, অঞ্চলভিত্তিক প্রচারাভিযানের নামে প্রতারণা বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টাতেও ব্যবহার করা হতে পারে। তাই ঘটনাটিকে শুধু একটি ডিজাইন অ্যাকাউন্টের সমস্যা হিসেবে দেখা উচিত নয়; অন্য অ্যাকাউন্টেও একই ইমেইল বা পাসওয়ার্ড থাকলে আরও বিস্তৃতভাবে অ্যাকাউন্ট দখলের ঝুঁকি তৈরি হয়।

Canva-র ঘটনায় যাচাইকৃত অ্যাকাউন্টের সংখ্যা 13,72,72,116। তথ্য ফাঁসের মূল তারিখ হিসেবে 24 মে 2019, যাচাইকৃত অন্তর্ভুক্তির তারিখ হিসেবে 9 আগস্ট 2019 এবং উৎসের সর্বশেষ হালনাগাদের তারিখ হিসেবেও 9 আগস্ট 2019 ধরা উচিত। তথ্যক্ষেত্রগুলো ইমেইল ঠিকানা, ভৌগোলিক অবস্থানসংক্রান্ত তথ্য, ব্যক্তির নাম, পাসওয়ার্ড ও ব্যবহারকারীর নামের মধ্যে সীমিত। অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত এই নির্দিষ্ট রেকর্ডে যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে ডিজাইন ফাইল, পেমেন্ট কার্ডের তথ্য, দলের ব্যক্তিগত কনটেন্ট, সরকারি পরিচয়পত্র বা করপোরেট চুক্তির তথ্য নেই। আলাদাভাবে ক্র্যাক করা কিছু Bcrypt পাসওয়ার্ড হ্যাশ পরে শেয়ার হওয়া একটি অতিরিক্ত ঝুঁকির কারণ; তবে ব্যবহারকারীকে দেখানো মূল তথ্যক্ষেত্রটি এখনও পাসওয়ার্ড হিসেবেই গণ্য করা উচিত। এই সীমাগুলো ব্যবহারকারীকে ঝুঁকি সম্পর্কে বাস্তবসম্মত ও স্পষ্ট ধারণা দেয়।

যাঁরা তাঁদের Canva অ্যাকাউন্টের ইমেইল ঠিকানা এবং একই ধরনের পাসওয়ার্ড অন্য সেবায় ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। ডিজাইনার, সামাজিক যোগাযোগমাধ্যম ব্যবস্থাপক, শিক্ষক, শিক্ষার্থী, বিপণন দল এবং ব্র্যান্ড অ্যাকাউন্ট পরিচালনাকারী কর্মীরা অগ্রাধিকারপ্রাপ্ত গোষ্ঠীগুলোর মধ্যে রয়েছেন। কর্মস্থলের ইমেইল দিয়ে Canva অ্যাকাউন্ট খোলা হয়ে থাকলে, আক্রমণকারীরা সেই ঠিকানার সঙ্গে প্রতিষ্ঠানের নাম, ব্যবহারকারীর নাম ও অবস্থানসংক্রান্ত তথ্য মিলিয়ে আরও বিশ্বাসযোগ্য বার্তা পাঠাতে পারে। পোর্টফোলিও সাইট, সামাজিক যোগাযোগমাধ্যম বা কাজের সরঞ্জামেও একই ব্যবহারকারীর নাম থাকলে অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র খুঁজে পাওয়ার ঝুঁকি বাড়ে। পুরোনো Canva অ্যাকাউন্টগুলোও গুরুত্বপূর্ণ, কারণ আগে ব্যবহার করা পাসওয়ার্ড অন্য সেবায় এখনও কার্যকর থাকতে পারে। দলীয় অ্যাকাউন্টে প্রবেশাধিকার থাকা ব্যবহারকারীরা একই পাসওয়ার্ড বারবার ব্যবহার করলে শুধু ব্যক্তিগত অ্যাকাউন্ট নয়, ব্র্যান্ডের যৌথভাবে ব্যবহৃত সম্পদও ঝুঁকিতে পড়তে পারে।

ক্ষতিগ্রস্ত ব্যবহারকারীর প্রথমে Canva অ্যাকাউন্টের পাসওয়ার্ড বদলে একটি স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড ব্যবহার করা উচিত। অন্য সেবায় একই বা একই ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, পাসওয়ার্ড পরিবর্তনের ক্ষেত্রে ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, ক্লাউড স্টোরেজ, একসঙ্গে কাজ করার সরঞ্জাম, বিজ্ঞাপন অ্যাকাউন্ট এবং পেমেন্টের সঙ্গে সংযুক্ত সেবাগুলোকে অগ্রাধিকার দেওয়া উচিত। পাসওয়ার্ড ম্যানেজারের সাহায্যে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড বেছে নিতে হবে এবং সম্ভব হলে অ্যাকাউন্টগুলোতে একাধিক ধাপে যাচাই চালু করতে হবে। Canva থেকে এসেছে বলে মনে হয় বা ডিজাইন দলের বিজ্ঞপ্তি বলে মনে হয়, এমন বার্তার লিংকে ক্লিক করার আগে ঠিকানা যাচাই করা উচিত। ভুয়া টেমপ্লেট শেয়ার, ব্র্যান্ড ফাইলের আমন্ত্রণ, চালান, দলে যোগ দেওয়ার আমন্ত্রণ বা অ্যাকাউন্ট স্থগিত করার বিষয়সংবলিত ইমেইল সতর্কভাবে পরীক্ষা করা উচিত। করপোরেট দলগুলোর ক্ষেত্রে প্রশাসক অ্যাকাউন্টের সেশন, সংযুক্ত অ্যাপ্লিকেশন ও দলের সদস্যপদও পরীক্ষা করা উচিত।

দীর্ঘমেয়াদে ডিজাইন ও কনটেন্ট তৈরির প্ল্যাটফর্মগুলোকে প্রধান ইমেইল ও আর্থিক অ্যাকাউন্টের মতোই যত্নসহকারে সুরক্ষিত রাখতে হবে। প্রতিটি সেবায় স্বতন্ত্র পাসওয়ার্ড ব্যবহার করলে একটি তথ্য ফাঁসের ঘটনা থেকে হওয়া ক্ষতি সীমিত থাকে। দলীয় অ্যাকাউন্টে ভূমিকা অনুযায়ী প্রবেশাধিকার দেওয়াকে প্রাধান্য দিতে হবে, প্রতিষ্ঠান ছেড়ে যাওয়া কর্মীদের অনুমতি প্রত্যাহার করতে হবে এবং সবার মধ্যে একই পাসওয়ার্ড ভাগ করে ব্যবহার করার অনুমতি দেওয়া উচিত নয়। করপোরেট ব্র্যান্ডগুলোর ক্ষেত্রে ডিজাইন ফাইল, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট ও বিজ্ঞাপনের ড্যাশবোর্ডকে একই নিরাপত্তা ব্যবস্থার অংশ হিসেবে দেখা উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো Canva অ্যাকাউন্ট এবং একই ইমেইল ঠিকানা দিয়ে খোলা অন্যান্য সৃজনশীল কাজের সরঞ্জামের অ্যাকাউন্ট পর্যালোচনা করা উচিত। পাসওয়ার্ড ম্যানেজার, একাধিক ধাপে যাচাই, সেশন পর্যবেক্ষণ এবং দলে প্রবেশাধিকারের ওপর নজর রাখা স্থায়ী নিরাপত্তা অভ্যাসে পরিণত হওয়া উচিত।

LeakData-তে Canva-র ফলাফল দেখা গেলে বোঝা যায় যে ইমেইল ঠিকানাটি 2019 সালের Canva অ্যাকাউন্টের তথ্যসমষ্টিতে রয়েছে। এই ফলাফল ব্যবহারকারীর ডিজাইন ফাইল বা পেমেন্টের তথ্যের নিরাপত্তা ভঙ্গ হয়েছে বলে প্রমাণ করে না; এটি যাচাইকৃত ঝুঁকির প্রোফাইল ও অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত তথ্যক্ষেত্রের মধ্যেই সীমিত। ব্যবহারকারীর প্রথমে Canva অ্যাকাউন্ট পরীক্ষা করা উচিত, এরপর একই সময়ে ব্যবহার করা পাসওয়ার্ড এবং একই ইমেইল ঠিকানা দিয়ে খোলা গুরুত্বপূর্ণ অ্যাকাউন্টগুলো পরীক্ষা করা উচিত। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ব্র্যান্ডের ড্যাশবোর্ড, ক্লাউড স্টোরেজ ও দলগতভাবে কাজ করার সরঞ্জামগুলো আগে পরীক্ষা করা উচিত। ঘটনার মূল সময়কাল মে 2019 এবং যাচাইকৃত অন্তর্ভুক্তির সময় আগস্ট 2019। এই সময়রেখার ফলে ‘অ্যাকাউন্টের নিরাপত্তা’ পর্দায় ঘটনাটিকে ভুল করে বর্তমানের ঘটনা হিসেবে শনাক্ত করা হয় না এবং ব্যবহারকারী সঠিক অগ্রাধিকারের ক্রম জানতে পারেন।