Chegg তথ্য ফাঁস

Chegg-এর তথ্য ফাঁসের ঘটনায় যেসব প্রধান ধরনের তথ্য থাকার বিষয়টি নিশ্চিত হয়েছে, সেগুলো হলো ইমেইল ঠিকানা, নাম, ব্যবহারকারীর নাম, পাসওয়ার্ড, ফোন নম্বর ও ঠিকানা। শুধু একটি ইমেইল ঠিকানাই ফিশিং ও অ্যাকাউন্টে প্রবেশ করা যায় কি না তা পরীক্ষা করার আক্রমণে মূল্যবান সূত্র হিসেবে কাজ করে। এর সঙ্গে ব্যবহারকারীর নাম ও ব্যক্তির নাম যুক্ত হলে ব্যক্তিকে লক্ষ্য করে আক্রমণ সাজানো আরও সহজ হয়। যেসব অ্যাকাউন্টে ঠিকানা বা ফোন নম্বর রয়েছে, সেগুলোর ক্ষেত্রে আক্রমণকারীরা আরও বিশ্বাসযোগ্য বিজ্ঞপ্তি, পণ্য পৌঁছে দেওয়ার অজুহাতে ভুয়া বার্তা বা সহায়তাকেন্দ্রের পরিচয় দিয়ে ফোনকলের ব্যবস্থা করতে পারে।

সবচেয়ে গুরুত্বপূর্ণ উপাদান হলো পাসওয়ার্ড হ্যাশ। দুর্বল ও সাল্টবিহীন MD5 ব্যবহারের কারণে ছোট, অভিধানের শব্দভিত্তিক বা বারবার ব্যবহার করা পাসওয়ার্ডের হ্যাশ ভেঙে পাসওয়ার্ড বের করার সম্ভাবনা বিশেষভাবে বেশি। কোনো শিক্ষার্থী বা প্রাক্তন শিক্ষার্থী যদি নিজের ইমেইল অ্যাকাউন্ট, শিক্ষাপ্রতিষ্ঠানের পোর্টাল, ফাইল সংরক্ষণের সেবা বা অর্থ পরিশোধের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে ঝুঁকি শুধু Chegg অ্যাকাউন্টে সীমাবদ্ধ থাকে না। তাই Chegg-এর তথ্য ফাঁসকে শুধু পুরোনো একটি শিক্ষা-সংক্রান্ত অ্যাকাউন্টের ঘটনা হিসেবে নয়, বরং পরিচয়ের নিরাপত্তার জন্য বিস্তৃত ঝুঁকি হিসেবে দেখা উচিত, যা একই পাসওয়ার্ডের পুনর্ব্যবহার ও অ্যাকাউন্ট পুনরুদ্ধারের প্রশ্নগুলোর নিরাপত্তাকেও প্রভাবিত করতে পারে।

ঘটনাটি 2018 সালের এপ্রিলের শেষ দিকে ঘটেছিল বলে নিশ্চিত করা হয়েছে। Chegg-এর প্রতিবেদনে প্রভাবিত ব্যবহারকারীর সংখ্যা প্রায় 4 কোটি বর্তমান ও সাবেক ব্যবহারকারী বলা হয়েছে; যাচাইকৃত অনুসন্ধানযোগ্য তথ্যসমষ্টিতে 3,97,21,127টি অ্যাকাউন্ট রয়েছে। প্রতিবেদনে অন্তর্ভুক্তির মানদণ্ডের পার্থক্য, সদৃশ সারি বাদ দেওয়া, যাচাইযোগ্য অ্যাকাউন্টের পরিসর এবং ফাঁস হওয়া তথ্যসমষ্টির যে অংশ পরে যাচাই করা হয়েছে, এসব কারণে সংখ্যায় এই পার্থক্য হতে পারে। এই পৃষ্ঠায় দেখানো সংখ্যাটি ব্যবহারকারীদের অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত অনুসন্ধানে মিলে যাওয়া যাচাইকৃত রেকর্ডের সংখ্যা বোঝায়।

তথ্যের ক্ষেত্রগুলোর প্রধান স্বীকৃত পরিসরের মধ্যে রয়েছে নাম, ইমেইল, ব্যবহারকারীর নাম, পাসওয়ার্ড হ্যাশ, ঠিকানা ও ফোন নম্বর। অতিরিক্ত আনুষ্ঠানিক পর্যালোচনায় বৃত্তির আবেদন প্রক্রিয়ার সময় নির্দিষ্ট কিছু ব্যবহারকারী গোষ্ঠীর ক্ষেত্রে জন্মতারিখ, মা-বাবার আয়ের পরিসর, ধর্মীয় সম্প্রদায়, জাতিগত বংশপরিচয়, যৌন অভিমুখিতা ও প্রতিবন্ধিতার মতো সংবেদনশীল তথ্যের কথাও উল্লেখ করা হয়েছে। তবে এই পৃষ্ঠায় তালিকাভুক্ত প্রধান তথ্যের ধরনগুলো যাচাইকৃত অ্যাকাউন্টের তথ্যসমষ্টিতে নিয়মিত পর্যবেক্ষণ করা ক্ষেত্রগুলোর মধ্যেই সীমাবদ্ধ। এর ফলে ব্যবহারকারীকে অতিরিক্ত বা নিশ্চিত না হওয়া তথ্যের ক্ষেত্র দেখানো হয় না।

Chegg অ্যাকাউন্ট রয়েছে এমন শিক্ষার্থী, প্রাক্তন শিক্ষার্থী, শিক্ষক, পড়াশোনায় সহায়তা নেওয়া ব্যবহারকারী এবং শিক্ষাপ্রতিষ্ঠান বা কর্মস্থলের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন এমন ব্যক্তিরা প্রধান ঝুঁকিপূর্ণ গোষ্ঠীর অন্তর্ভুক্ত। পাঠ্যবই ভাড়া, পড়াশোনায় সহায়তা, লেখালেখি ও তথ্যসূত্র উল্লেখের সেবায় Chegg ব্যবহৃত হয়। তাই এর তথ্য ফাঁস ভুয়া বার্তা তৈরির উপযোগী তথ্যের জোগান দেয়, বিশেষ করে শিক্ষাবর্ষের বিভিন্ন সময়ে, বৃত্তির আবেদন, অ্যাকাউন্ট নবায়ন ও শিক্ষার্থীদের জন্য ছাড়ের সময়ে।

যাঁরা একই পাসওয়ার্ড বারবার ব্যবহার করেন, তাঁরাও উচ্চ ঝুঁকিতে রয়েছেন। সাল্টবিহীন MD5 হ্যাশ ভেঙে পাসওয়ার্ড বের করা গেলে আক্রমণকারীরা বিভিন্ন সাইটে একই ইমেইল ও পাসওয়ার্ডের সমন্বয় দিয়ে প্রবেশের চেষ্টা করতে পারে। যাঁদের ফোন নম্বর বা ঠিকানার তথ্য রয়েছে, তাঁদের কাছে প্রতারণামূলক বার্তা আরও বাস্তবসম্মত মনে হতে পারে। যাঁরা পরিবারের ইমেইল ঠিকানা, শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্ট বা কর্মস্থলের অ্যাকাউন্ট ব্যবহার করে Chegg-এ নিবন্ধন করেছিলেন, তাঁদের ক্ষেত্রে প্রভাব আরও বিস্তৃত হতে পারে; কারণ শিক্ষা-সংক্রান্ত অ্যাকাউন্টের সূত্র ধরে অন্যান্য ব্যক্তিগত অ্যাকাউন্ট, ক্লাউডে রাখা ফাইল বা প্রাতিষ্ঠানিক সেবায় প্রবেশের চেষ্টা করা সম্ভব।

যেসব অ্যাকাউন্টে Chegg-এ ব্যবহৃত পাসওয়ার্ড বা তার অনুরূপ পাসওয়ার্ড ব্যবহার করা হয়, সেগুলোর পাসওয়ার্ড অবিলম্বে বদলাতে হবে। প্রতিটি সেবার জন্য পাসওয়ার্ড ম্যানেজার দিয়ে একটি আলাদা পাসওয়ার্ড তৈরি করতে হবে, যা আগে অন্য কোনো অ্যাকাউন্টে ব্যবহার করা হয়নি। প্রথমে ইমেইল অ্যাকাউন্ট, শিক্ষাপ্রতিষ্ঠানের পোর্টাল, ফাইল সংরক্ষণের সেবা, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট ও অর্থ পরিশোধের অ্যাকাউন্ট পরীক্ষা করা উচিত। কারণ আক্রমণকারীরা সাধারণত প্রথমে ইমেইল অ্যাকাউন্ট এবং এরপর অন্যান্য অ্যাকাউন্টের পুনরুদ্ধার প্রক্রিয়াকে লক্ষ্য করে।

বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে এবং অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা ও ফোন নম্বর পর্যালোচনা করতে হবে। Chegg, পড়াশোনায় সহায়তা, বৃত্তির সুযোগ, বিলের অর্থ ফেরত বা অ্যাকাউন্ট যাচাই-সংক্রান্ত বার্তার লিংকে ক্লিক করার আগে ডোমেইনের নাম পরীক্ষা করা উচিত। যেসব ব্যবহারকারীর ঠিকানা ও ফোনের তথ্য ফাঁস হয়েছে, তাঁদের পণ্য পরিবহন, শিক্ষার্থীদের জন্য ছাড়, আর্থিক সহায়তা বা সহায়তাকেন্দ্রের পক্ষ থেকে এসেছে বলে দাবি করা কল ও বার্তার বিষয়ে বাড়তি সতর্ক থাকতে হবে। সন্দেহজনক সেশন, পাসওয়ার্ড রিসেটের ইমেইল ও অপরিচিত ডিভাইসের বিজ্ঞপ্তি দ্রুত বন্ধ করতে হবে এবং অ্যাকাউন্টের নিরাপত্তা পৃষ্ঠা থেকে সক্রিয় সেশনগুলো শেষ করতে হবে।

Chegg-এর তথ্য ফাঁসের ঘটনা দেখায় যে পুরোনো শিক্ষা-সংক্রান্ত অ্যাকাউন্টও বহু বছর পরে অ্যাকাউন্ট দখলের চেষ্টায় ব্যবহার করা হতে পারে। ব্যবহারকারীদের নিয়মিত পাসওয়ার্ড পরীক্ষা, পাসওয়ার্ড ম্যানেজার ব্যবহার, বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু রাখা এবং বিকল্প ইমেইল ঠিকানা বা অ্যালিয়াস ব্যবহারের মতো অভ্যাস গড়ে তোলা উচিত। শিক্ষা, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম ও আর্থিক অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করলে একটি তথ্য ফাঁসের প্রভাব অন্য অ্যাকাউন্টগুলোতে ছড়িয়ে পড়ার সম্ভাবনা কমে।

প্রতিষ্ঠান ও শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্টে এমন পাসওয়ার্ড নীতি গুরুত্বপূর্ণ, যা শিক্ষার্থীদের সেবায় ব্যবহৃত একই পাসওয়ার্ড ব্যবহারে বাধা দেয়। পাশাপাশি পাসওয়ার্ড ফাঁস হয়েছে কি না তা পরীক্ষা করা এবং ঝুঁকিপূর্ণ সেশনের সতর্কতাও গুরুত্বপূর্ণ। নিরাপত্তা দলের উচিত Chegg-এর সঙ্গে যুক্ত ইমেইল ঠিকানাগুলোতে একই পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি পর্যালোচনা করা। উচ্চ ঝুঁকিতে থাকা ব্যবহারকারীদের কাছে তারা অতিরিক্ত যাচাই চাইতে পারে। ব্যবহারকারীদের জন্য পুরোনো অ্যাকাউন্ট মুছে ফেলা, প্রোফাইলে অপ্রয়োজনীয় তথ্য কমানো এবং নিরাপত্তা বিজ্ঞপ্তি চালু রাখা দীর্ঘমেয়াদি সুরক্ষা দেয়।

অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত অনুসন্ধানে Chegg-এর ফলাফল দেখা গেলে তার অর্থ হলো, সংশ্লিষ্ট ইমেইল ঠিকানাটি 2018 সালের Chegg তথ্য ফাঁসের সঙ্গে যুক্ত যাচাইকৃত অ্যাকাউন্টের তথ্যসমষ্টিতে রয়েছে। এই ফলাফলের অর্থ এই নয় যে আপনার বর্তমান Chegg অ্যাকাউন্ট এখনো অন্যের নিয়ন্ত্রণে রয়েছে। তবে অতীতে ব্যবহৃত পাসওয়ার্ড, ইমেইল ঠিকানা ও প্রোফাইলের তথ্য অন্য অ্যাকাউন্টে প্রবেশের চেষ্টায় ব্যবহার করা হতে পারে। তাই যেখানেই একই পাসওয়ার্ড ব্যবহার করা হয়েছে, সেখানে পাসওয়ার্ড বদলানো ও বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করাই প্রথম করণীয় হওয়া উচিত।

Chegg অ্যাকাউন্ট আর ব্যবহার না করলেও ইমেইলের নিরাপত্তা, পুনরুদ্ধারের সেটিংস ও পাসওয়ার্ডের ইতিহাস পরীক্ষা করা উচিত। একই ধরনের পাসওয়ার্ড ব্যবহারের কারণে শিক্ষা-সংক্রান্ত অ্যাকাউন্ট, কর্মস্থলের অ্যাকাউন্ট বা ব্যক্তিগত ইমেইল প্রভাবিত হয়ে থাকলে ঝুঁকি বেশি। যাঁদের ঠিকানা বা ফোন নম্বর ফাঁস হওয়া তথ্যে থাকতে পারে, তাঁদের ব্যক্তিগত তথ্য উল্লেখ করা ভুয়া সহায়তা বার্তার বিষয়ে আরও সতর্ক থাকতে হবে। Chegg-এর ফলাফলকে পুরোনো বিজ্ঞপ্তি মনে করে উপেক্ষা না করে, একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা, সেশনের ইতিহাস পর্যালোচনা করা এবং অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যমগুলোর নিরাপত্তা জোরদার করাই সবচেয়ে যথাযথ পদক্ষেপ।