CashCrate তথ্য ফাঁস
CashCrate-এর তথ্য ফাঁসের ঘটনাটি অনলাইন জরিপ ও পুরস্কারভিত্তিক এই প্ল্যাটফর্মের ব্যবহারকারীদের অ্যাকাউন্টের তথ্য প্রকাশ হয়ে যাওয়ার সঙ্গে সম্পর্কিত। ঘটনাটির সময় ধরা হয় 2016 সালের নভেম্বর। প্রকাশ্যে পাওয়া যাচাইয়ের তথ্য অনুযায়ী, ঘটনাটি 2017 সালে সংবাদে আসে, মোট ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা প্রায় 68 লাখ বলে জানানো হয় এবং যাচাইকৃত অ্যাকাউন্টের সংখ্যা হিসেবে 68,44,490 নথিভুক্ত করা হয়। CashCrate-এ জরিপে অংশ নিয়ে ও অফারের শর্ত পূরণ করে অর্থ পাওয়ার ব্যবস্থায় ব্যবহারকারীদের ব্যক্তিগত যোগাযোগের তথ্য প্ল্যাটফর্মের সঙ্গে শেয়ার করতে হয়। তাই এই তথ্য ফাঁস শুধু ইমেইল ও পাসওয়ার্ডের নিরাপত্তার দিক থেকেই নয়, বাড়ি বা বসবাসের ঠিকানার সম্ভাব্য অপব্যবহারের দিক থেকেও গুরুত্বপূর্ণ।
উন্মুক্ত হওয়া তথ্যের ধরন
4- ইমেইল ঠিকানা
- নাম
- পাসওয়ার্ড
- বাসা বা প্রতিষ্ঠানের ঠিকানা
এই তথ্য ফাঁস সম্পর্কে
যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো নাম, ইমেইল ঠিকানা, বাড়ি বা বসবাসের ঠিকানা এবং পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটি বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রকাশিত তথ্য অনুযায়ী, পুরোনো অ্যাকাউন্টের পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় সংরক্ষিত ছিল, আর নতুন অ্যাকাউন্টের পাসওয়ার্ড দুর্বল MD5 হ্যাশ হিসেবে রাখা হয়েছিল। সরাসরি পাঠযোগ্য পাসওয়ার্ড দিয়ে সরাসরি লগইন করার চেষ্টা করা যায়। আর ছোট ও সহজে অনুমানযোগ্য পাসওয়ার্ডের দুর্বল হ্যাশ দ্রুত ভেঙে মূল পাসওয়ার্ড বের করা যায়। তাই শুধু যোগাযোগের তথ্য ফাঁসের তুলনায় CashCrate-এ নিবন্ধিত অ্যাকাউন্টের নিয়ন্ত্রণ অন্যের হাতে চলে যাওয়ার ঝুঁকি বেশি। নিবন্ধনের তথ্য মূল্যায়নের সময় জন্মতারিখ, ফোন নম্বর, পেমেন্ট কার্ড বা ব্যাংকের তথ্যের মতো অযাচাইকৃত ক্ষেত্রগুলোকে এই ঘটনার অংশ হিসেবে উপস্থাপন করা উচিত নয়।
ফাঁস হওয়া তথ্যের ধরন ও ঝুঁকি
CashCrate-এর ঘটনায় যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, বাড়ি বা বসবাসের ঠিকানা এবং পাসওয়ার্ড। নামের সঙ্গে ইমেইল ঠিকানা প্রকাশ হয়ে গেলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। অন্যদিকে, বাড়ি বা বসবাসের ঠিকানার তথ্য অনলাইন অ্যাকাউন্টের নিরাপত্তার বাইরেও ঝুঁকি তৈরি করে। ব্যবহারকারীর অবস্থান ও পণ্য পৌঁছানোর পরিস্থিতি অনুযায়ী পণ্য পাঠানো, পুরস্কার, পুরস্কারের ড্র, কর বা অর্থ পরিশোধ নিয়ে ভুয়া বিজ্ঞপ্তি তৈরি করা যেতে পারে। বহু বছর পরও এ ধরনের তথ্য সোশ্যাল ইঞ্জিনিয়ারিংয়ের কাজে ব্যবহার করা সম্ভব, বিশেষ করে যাঁরা দীর্ঘদিন একই ঠিকানায় বসবাস করছেন, তাঁদের ক্ষেত্রে।
এই ঘটনার সবচেয়ে গুরুত্বপূর্ণ দিক হলো, কিছু পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় রয়েছে, আর অন্যগুলো দুর্বল MD5 হ্যাশের সঙ্গে যুক্ত। সরাসরি পাঠযোগ্য পাসওয়ার্ড থাকলে আক্রমণকারী কোনো ডিক্রিপশন প্রক্রিয়া ছাড়াই বিভিন্ন সেবায় লগইন করার চেষ্টা করতে পারে। MD5-এর মতো দ্রুত গণনা করা যায় এমন দুর্বল হ্যাশ পদ্ধতিও আধুনিক আক্রমণের সরঞ্জামের বিরুদ্ধে যথেষ্ট সুরক্ষা দেয় না। ব্যবহারকারী যদি নিজের ইমেইল অ্যাকাউন্ট, কেনাকাটার সাইট, সামাজিক যোগাযোগমাধ্যম, পেমেন্ট সেবা বা কর্মক্ষেত্রের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে CashCrate ছাড়া অন্য অ্যাকাউন্টগুলোও ঝুঁকিতে থাকতে পারে।
যাচাইকৃত পরিধি ও সীমা
এই রেকর্ডে যাচাইকৃত ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা 68,44,490। ঘটনাটির সময় 2016 সালের নভেম্বর বলে ধরা হয়, আর তথ্য ফাঁসের বিষয়টি প্রকাশ্যে আসে 2017 সালে। যাচাইকৃত তথ্যের শ্রেণিগুলো নাম, ইমেইল ঠিকানা, বাড়ি বা বসবাসের ঠিকানা এবং পাসওয়ার্ডের মধ্যে সীমিত। প্রকাশ্যে পাওয়া তথ্যে উল্লেখ করা হয়েছে যে কিছু অ্যাকাউন্টের পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় সংরক্ষিত ছিল, আর নতুন অ্যাকাউন্টগুলোর জন্য MD5 হ্যাশ ব্যবহার করা হয়েছিল। তাই পাসওয়ার্ডের নিরাপত্তা মূল্যায়নের সময় উভয় পরিস্থিতিই বিবেচনা করা উচিত।
এই রেকর্ডে ফোন নম্বর, জন্মতারিখ, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্রের নম্বর বা জরিপের উত্তরের মতো ক্ষেত্রগুলো তথ্যের শ্রেণিতে যুক্ত করা হয়নি, কারণ এগুলোর পক্ষে সমমানের যাচাইকৃত প্রমাণ নেই। বাড়ি বা বসবাসের ঠিকানার তথ্য যাচাই করা হয়েছে বলে ব্যবহারকারীর নিরাপত্তার ক্ষেত্রে এটিকে আলাদা ঝুঁকির শ্রেণি হিসেবে বিবেচনা করা উচিত। এ ছাড়া, ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা থেকে প্ল্যাটফর্মটির শুরু থেকে মোট কতজন ব্যবহারকারী ছিলেন, তা প্রমাণিত হয় না। প্রতিটি সারি যে আলাদা একজন ব্যক্তির তথ্য, সেটিও এই সংখ্যা প্রমাণ করে না। এখানে ব্যবহৃত সংখ্যাটি যাচাইকৃত অ্যাকাউন্টগুলোর পরিধি বোঝায়।
যেসব ব্যবহারকারী বেশি ঝুঁকিতে আছেন
সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা তাঁদের CashCrate অ্যাকাউন্টের পাসওয়ার্ড অন্য প্ল্যাটফর্মেও ব্যবহার করেন। ইমেইল অ্যাকাউন্টের পাসওয়ার্ডের সঙ্গে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা বিশেষভাবে বিপজ্জনক। কারণ ইমেইল অ্যাকাউন্টের নিয়ন্ত্রণ অন্যের হাতে চলে গেলে পাসওয়ার্ড রিসেটের লিংক ব্যবহার করে অন্য অ্যাকাউন্টেও প্রবেশ করা সম্ভব হতে পারে। কেনাকাটার সাইট, পেমেন্ট সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, আক্রমণকারী প্রথমেই সেসব জায়গায় চেষ্টা করবে। বাড়ি বা বসবাসের ঠিকানাও ফাঁস হয়ে থাকলে প্রতারণামূলক বার্তাগুলোকে আরও ব্যক্তিকেন্দ্রিক বলে মনে হতে পারে।
দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন সেই ব্যবহারকারীরা, যাঁরা পুরস্কার, জরিপ, প্রচারমূলক অফার ও পণ্য পাঠানো নিয়ে আসা বার্তায় স্বাভাবিকভাবেই দ্রুত সাড়া দিতে পারেন। CashCrate-এর মতো পুরস্কারভিত্তিক প্ল্যাটফর্মের ব্যবহারকারীরা অর্থ পরিশোধের বিজ্ঞপ্তি, পুরস্কারের ড্রয়ের ফলাফল, পণ্য পৌঁছানো বা অ্যাকাউন্ট যাচাইয়ের বার্তার সঙ্গে পরিচিত থাকতে পারেন। আক্রমণকারীরা ভুয়া লিংক, ক্ষতিকর ফাইল বা ব্যক্তিগত তথ্য চেয়ে ফর্ম পাঠিয়ে এই প্রত্যাশাকে কাজে লাগাতে পারে। একই নাম ও ঠিকানার তথ্য বিভিন্ন তথ্যসমষ্টির সঙ্গে মিলিয়ে নেওয়া হলে ব্যবহারকারীর অনলাইন ও অফলাইন পরিচয়ের আরও বিস্তারিত চিত্র তৈরি হতে পারে।
জরুরি করণীয়
CashCrate-এ ব্যবহৃত পাসওয়ার্ডকে নিরাপদ বলে ধরে নেওয়া উচিত নয়। আপনার প্রথমে শনাক্ত করা উচিত, কোন কোন অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেছেন। এরপর প্রতিটির জন্য আলাদা, দীর্ঘ ও অনুমান করা কঠিন এমন পাসওয়ার্ড তৈরি করুন। ইমেইল অ্যাকাউন্ট, পেমেন্ট সেবা, কেনাকাটার সাইট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোকে বিশেষ অগ্রাধিকার দেওয়া উচিত। একই পাসওয়ার্ডের পুনর্ব্যবহার এড়াতে পাসওয়ার্ড ম্যানেজার ব্যবহার করা উচিত। আগে ব্যবহৃত পাসওয়ার্ড সামান্য বদলে আবার ব্যবহার করা উচিত নয়। পুরোনো পাসওয়ার্ডের মূল কাঠামো থেকে তৈরি নতুন পাসওয়ার্ড দিয়েও আক্রমণকারীরা চেষ্টা করতে পারে।
ইমেইল অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন (একাধিক স্বতন্ত্র উপাদান দিয়ে পরিচয় যাচাই) চালু করা উচিত। পাশাপাশি সাম্প্রতিক সেশন, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা, ফোন নম্বর ও সংযুক্ত অ্যাপ্লিকেশন পরীক্ষা করা উচিত। বাড়ি বা বসবাসের ঠিকানার তথ্য ফাঁস হওয়ায় পণ্য পাঠানো, পুরস্কার, পুরস্কারের ড্র, জরিপের পারিশ্রমিক বা কর ফেরত নিয়ে আসা বার্তার বিষয়ে সতর্ক থাকা উচিত। কোনো প্ল্যাটফর্মেরই ইমেইলের মাধ্যমে ব্যবহারকারীর পাসওয়ার্ড চাওয়া উচিত নয়। অপ্রত্যাশিত লিংক সরাসরি খুলবেন না; সংশ্লিষ্ট সেবার ঠিকানা নিজে ব্রাউজারে লিখে প্রবেশ করুন। অর্থ পরিশোধ বা পণ্য পাঠানোর সন্দেহজনক বিজ্ঞপ্তি পেলে আনুষ্ঠানিক মাধ্যমে যাচাই না করে সে অনুযায়ী কোনো পদক্ষেপ নেওয়া উচিত নয়।
দীর্ঘমেয়াদি নিরাপত্তার কৌশল
CashCrate-এর ঘটনা দেখায় যে পুরস্কার ও জরিপভিত্তিক প্ল্যাটফর্মে রাখা তথ্যও অত্যন্ত মূল্যবান। দীর্ঘমেয়াদে ব্যবহারকারীদের প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা, আর ব্যবহার করেন না এমন অ্যাকাউন্ট বন্ধ করা এবং প্ল্যাটফর্মে প্রয়োজনের বেশি ব্যক্তিগত তথ্য না রাখা উচিত। বাড়ি বা বসবাসের ঠিকানার মতো তথ্য কেবল সত্যিই প্রয়োজন হলে শেয়ার করা উচিত। অ্যাকাউন্ট বন্ধ করা সম্ভব না হলে প্রোফাইল থেকে অপ্রয়োজনীয় তথ্য মুছে ফেলা এবং অ্যাকাউন্টটির জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। জরিপ ও পুরস্কারভিত্তিক সেবার জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করে আপনি আপনার মূল ইমেইল অ্যাকাউন্টকে আরও ভালোভাবে সুরক্ষিত রাখতে পারেন।
প্রাতিষ্ঠানিক নিরাপত্তার ক্ষেত্রেও ব্যক্তিগত অ্যাকাউন্টের পাসওয়ার্ড অন্যত্র পুনর্ব্যবহারের বিষয়টি গুরুত্বের সঙ্গে দেখা উচিত। কর্মীদের ব্যক্তিগত প্ল্যাটফর্মের পাসওয়ার্ড কর্মক্ষেত্রের অ্যাকাউন্টে ব্যবহার করা উচিত নয়। মাল্টি-ফ্যাক্টর অথেনটিকেশন, ঝুঁকিপূর্ণ লগইন শনাক্ত করা, ফাঁস হওয়া পাসওয়ার্ড পরীক্ষা করা এবং পাসওয়ার্ড ম্যানেজার ব্যবহারে সহায়ক নীতিমালার মাধ্যমে প্রতিষ্ঠানগুলো এই ঝুঁকি কমাতে পারে। ব্যবহারকারী সচেতনতা প্রশিক্ষণে বোঝানো উচিত যে শুধু বড় সামাজিক যোগাযোগমাধ্যমের তথ্য ফাঁসই নয়, আপাতদৃষ্টিতে ছোট পুরস্কার ও জরিপভিত্তিক প্ল্যাটফর্মও অ্যাকাউন্টের নিরাপত্তায় দুর্বলতার উৎস হতে পারে।
রেকর্ড যাচাই ও ব্যবহারকারীর করণীয়
এই রেকর্ডে কোনো ইমেইল ঠিকানার মিল পাওয়া গেলে বোঝায় যে সংশ্লিষ্ট ঠিকানাটি CashCrate-এর তথ্য ফাঁসের যাচাইকৃত অ্যাকাউন্টের তালিকায় রয়েছে। মিল পাওয়ার অর্থ এই নয় যে ব্যবহারকারীর সব অ্যাকাউন্ট বর্তমানে অন্যের নিয়ন্ত্রণে চলে গেছে। তবে ফাঁস হওয়া পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হয়ে থাকলে ঝুঁকি এখনও থাকতে পারে। প্রথম করণীয় হলো CashCrate-এ ব্যবহৃত পাসওয়ার্ডটি মনে করার চেষ্টা করা এবং যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে, সেগুলোর পাসওয়ার্ড বদলানো। পাসওয়ার্ড মনে করতে না পারলে 2016 সালে ব্যবহার করা পুরোনো পাসওয়ার্ডের ধরনগুলোকেও ঝুঁকিপূর্ণ বিবেচনা করা উচিত।
নাম, ইমেইল এবং বাড়ি বা বসবাসের ঠিকানার তথ্যসহ আসা বার্তাগুলো ব্যবহারকারীদের আরও সতর্কভাবে মূল্যায়ন করা উচিত। পণ্য পাঠানো, পুরস্কার বা অর্থ পরিশোধের বিজ্ঞপ্তি আসল মনে হলেও ভুয়া হতে পারে। পাসওয়ার্ড বদলানোর পর নিরাপত্তা সতর্কতাগুলোর দিকে নজর রাখা উচিত। অপ্রত্যাশিত লগইনের বিজ্ঞপ্তি পেলে সংশ্লিষ্ট অ্যাকাউন্টের সব সেশন বন্ধ করা উচিত। এই ঘটনার দীর্ঘস্থায়ী প্রভাব মূলত একই পাসওয়ার্ড পুনর্ব্যবহারের কারণে। তাই একবার পাসওয়ার্ড বদলানোই যথেষ্ট বলে মনে করা উচিত নয়; সব গুরুত্বপূর্ণ অ্যাকাউন্টে আলাদা পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর অথেনটিকেশনের মানদণ্ড অনুসরণ করা উচিত।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
