Carding Mafia (মার্চ 2021)

Carding Mafia-এর মার্চ 2021-এর রেকর্ডে ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশের উপস্থিতি যাচাই করা হয়েছে। ইমেইল ঠিকানা ব্যবহার করে সরাসরি ব্যবহারকারীর সঙ্গে যোগাযোগ করা যায়। বিভিন্ন ফোরাম বা মেসেজিং প্ল্যাটফর্মে একই ছদ্মনাম ব্যবহার করা হলে, ব্যবহারকারীর নামের মাধ্যমে ভিন্ন প্রোফাইলগুলোর যোগসূত্র খুঁজে পাওয়া যেতে পারে। IP ঠিকানা থেকেও আগের সেশনের অবস্থান ও সংযোগ ব্যবহারের অভ্যাস সম্পর্কে প্রযুক্তিগত ইঙ্গিত পাওয়া যেতে পারে।

পাসওয়ার্ড সাল্টযুক্ত MD5 হ্যাশ হিসেবে পাওয়া যাওয়ার অর্থ এই নয় যে সরাসরি পাঠযোগ্য পাসওয়ার্ড ফাঁস হয়েছে। তবে দুর্বল বা একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকেই যায়। কোনো ব্যবহারকারী তাঁর ইমেইল অ্যাকাউন্ট, অন্য ফোরাম, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট বা কর্মক্ষেত্রের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকলে, আক্রমণকারীরা সেই অ্যাকাউন্টগুলোতে পাসওয়ার্ডটি দিয়ে প্রবেশের চেষ্টা করতে পারে। এই ঘটনায় ফোরামের সদস্য হওয়ার তথ্যটিও সংবেদনশীল হিসেবে বিবেচনা করা উচিত।

এই রেকর্ডের যাচাইকৃত পরিসরে রয়েছে 2,97,744টি অ্যাকাউন্ট এবং চার ধরনের তথ্য: ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। এই চারটি ক্ষেত্রের বাইরে প্রোফাইল, যোগাযোগ, কনটেন্ট বা আর্থিক বিষয়সংক্রান্ত অতিরিক্ত কোনো তথ্য এই রেকর্ডের যাচাইকৃত তথ্যক্ষেত্রের অন্তর্ভুক্ত নয়। রেকর্ডটি শুধু মার্চ 2021-এর ঘটনার যাচাইকৃত তথ্যক্ষেত্রের মধ্যেই সীমিত রাখা উচিত।

একই ফোরামের জন্য ডিসেম্বর 2021-এ তথ্য ফাঁসের একটি পৃথক রেকর্ড রয়েছে, তাই ঘটনা দুটিকে একই ঘটনা হিসেবে গণ্য করা উচিত নয়। উভয় রেকর্ড একই ডোমেইনের হলেও তারিখ, অ্যাকাউন্টের সংখ্যা এবং ঘটনার যাচাইকৃত প্রেক্ষাপট আলাদা। ব্যবহারকারীকে দেখানো সংখ্যা ও তথ্যক্ষেত্রগুলো এই রেকর্ডের যাচাইকৃত পরিসর অনুযায়ী অপরিবর্তিত রাখতে হবে। অন্য কোনো ফোরাম বা কাছাকাছি নামের প্ল্যাটফর্মে অতিরিক্ত তথ্য ফাঁস হয়েছে বলে অনুমান করা উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে আছেন যাঁরা Carding Mafia ফোরামে ব্যবহৃত ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। ফোরামটির প্রকৃতির কারণে কোনো ইমেইল ঠিকানার সঙ্গে ব্যক্তিগত বা প্রাতিষ্ঠানিক পরিচয়ের যোগসূত্র থাকা বেশি ঝুঁকি তৈরি করতে পারে। যাঁরা বিভিন্ন অনলাইন কমিউনিটিতে একই ব্যবহারকারীর নাম ব্যবহার করেন, তাঁদের প্রোফাইল মিলিয়ে শনাক্ত করা এবং লক্ষ্য করে বার্তা পাঠানো সহজ হয়ে যেতে পারে।

এ ধরনের সংবেদনশীল ফোরামের রেকর্ডে ঝুঁকি শুধু পাসওয়ার্ড পরিবর্তনের প্রয়োজনের মধ্যেই সীমিত নয়। IP ঠিকানা ও ব্যবহারকারীর নাম একজন ব্যবহারকারীর অনলাইন আচরণের সঙ্গে অন্য অ্যাকাউন্টগুলোর যোগসূত্র খুঁজে পেতে সহায়তা করতে পারে। নিবন্ধনের সময় প্রাতিষ্ঠানিক ইমেইল ঠিকানা ব্যবহার করা হয়ে থাকলে, ঘটনাটি পেশাগত নিরাপত্তার দৃষ্টিকোণ থেকেও পর্যালোচনা করা উচিত। ব্যক্তিগত ইমেইল ব্যবহার করা হলেও, ফোরামের সদস্য হওয়ার তথ্য প্রকাশ পাওয়াকে সুনাম ও গোপনীয়তার দিক থেকে সংবেদনশীল হিসেবে বিবেচনা করতে হবে।

যেসব ব্যবহারকারী এই রেকর্ডে নিজের তথ্যের সঙ্গে মিল খুঁজে পান, তাঁদের প্রথমে নির্ধারণ করা উচিত যে Carding Mafia ফোরামে কোন পাসওয়ার্ড ব্যবহার করেছিলেন এবং অন্য অ্যাকাউন্টেও একই ধরনের পাসওয়ার্ড ব্যবহার করা হয়েছে কি না। একই বা কাছাকাছি পাসওয়ার্ড অন্য কোথাও এখনো ব্যবহৃত হলে তা অবিলম্বে পরিবর্তন করা উচিত। ইমেইল অ্যাকাউন্ট, ফোরাম, সামাজিক যোগাযোগমাধ্যম, চ্যাট প্ল্যাটফর্ম, ডেভেলপার অ্যাকাউন্ট ও কর্মক্ষেত্রের অ্যাকাউন্টকে অগ্রাধিকার দিতে হবে। প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড ব্যবহার করা উচিত।

ফোরামের সদস্যপদ, অ্যাকাউন্টের নিরাপত্তা বা তথ্য বিক্রির প্রসঙ্গ তুলে পাঠানো হুমকি ও ফিশিং বার্তা সম্পর্কে ব্যবহারকারীদের সতর্ক থাকতে হবে। প্রাপ্ত বার্তার লিংক দিয়ে লগইন না করে সরাসরি সংশ্লিষ্ট সেবায় যেতে হবে, অপ্রত্যাশিত ফাইল খোলা যাবে না এবং গুরুত্বপূর্ণ অ্যাকাউন্টে দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে। অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করতে হবে এবং পুরোনো পাসওয়ার্ডের সামান্য পরিবর্তিত রূপ ব্যবহার বন্ধ করতে হবে।

Carding Mafia-এর মার্চ 2021-এর ঘটনাটি দেখায় যে সংবেদনশীল বিষয়ের ফোরামে ব্যবহৃত পরিচয়সংক্রান্ত তথ্য অন্যত্র ব্যবহৃত পরিচয় থেকে আলাদা রাখা উচিত। উচ্চ ঝুঁকির ফোরামে প্রধান ইমেইল ঠিকানা, প্রাতিষ্ঠানিক ইমেইল ঠিকানা এবং অন্যত্র ব্যবহৃত ব্যবহারকারীর নাম ব্যবহার করা এড়িয়ে চলতে হবে। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ও পৃথক পরিচয়সংক্রান্ত তথ্য থাকা উচিত, এবং শক্তিশালী দুই-উপাদানভিত্তিক প্রমাণীকরণকে অগ্রাধিকার দেওয়া উচিত। যেসব ফোরাম অ্যাকাউন্ট আর ব্যবহার করা হয় না, সেগুলো বন্ধ করে দেওয়া উচিত।

প্রতিষ্ঠানের নিরাপত্তা দলের জন্য এ ধরনের রেকর্ড থেকে কর্মীদের ইমেইল ঠিকানা উচ্চ ঝুঁকির কমিউনিটিতে রয়েছে কি না, তা সতর্কভাবে ও আইন মেনে যাচাই করার প্রয়োজন দেখা দিতে পারে। ব্যবহারকারীদের ক্ষেত্রে পাসওয়ার্ড ম্যানেজার ব্যবহার, ফাঁস হওয়া পাসওয়ার্ড যাচাই, ভিন্ন ক্ষেত্রে আলাদা ছদ্মনাম ব্যবহার এবং পুরোনো অ্যাকাউন্ট বন্ধ করা দীর্ঘমেয়াদি ঝুঁকি কমায়। সংবেদনশীল ফোরামের সদস্যপদসংক্রান্ত ঘটনায় গোপনীয়তার ওপর প্রভাবকে অ্যাকাউন্টের প্রযুক্তিগত ঝুঁকি থেকে আলাদা করে বিবেচনা করা উচিত।

এই রেকর্ডে ইমেইল ঠিকানার সঙ্গে মিল পাওয়া গেলে তা নির্দেশ করে যে ব্যবহারকারী Carding Mafia-এর মার্চ 2021-এর ডেটাসেটে অন্তর্ভুক্ত আছেন। ব্যবহারকারীর প্রথমে নির্ধারণ করা উচিত তিনি কোন ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহার করেছিলেন, ওই নামের সঙ্গে অন্য অ্যাকাউন্টের যোগসূত্র খুঁজে পাওয়া সম্ভব কি না এবং একই পাসওয়ার্ড আর কোথায় ব্যবহার করা হয়ে থাকতে পারে। ডিসেম্বর 2021-এর রেকর্ডের সঙ্গে বিভ্রান্তি এড়াতে ঘটনার তারিখও বিবেচনায় নিতে হবে।

মিল পাওয়া এই চার ধরনের তথ্যের বাইরে অতিরিক্ত ব্যক্তিগত বা আর্থিক তথ্য ফাঁস হওয়ার প্রমাণ নয়। তবে ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও সাল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ একসঙ্গে থাকা নিরাপত্তার জন্য যথেষ্ট সতর্কসংকেত। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করা, বিশ্বস্ত মাধ্যম দিয়ে প্রাপ্ত বার্তা যাচাই করা এবং সংবেদনশীল বিষয়ের সঙ্গে সংশ্লিষ্ট অ্যাকাউন্টের সংখ্যা কমানো, এসব পদক্ষেপ এই তথ্য ফাঁসের ফলে অ্যাকাউন্ট দখল ও পরিচয় মিলিয়ে শনাক্ত করার ঝুঁকি কমায়।