Choco.ci: তথ্য উন্মুক্ত হওয়ার অভিযোগ

Choco.ci-এর রেকর্ড তৈরি করার আগে বিদ্যমান রেকর্ডগুলোর সঙ্গে শিরোনাম, ডোমেইনের নাম, অনুরূপ ব্র্যান্ডের নাম, ঘটনার তারিখ ও নিবন্ধনের সংখ্যা মিলিয়ে দেখা হয়েছিল। একই ঘটনার কোনো রেকর্ড না থাকায় এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। একই ধরনের নাম থাকলেও ভিন্ন ডোমেইন বা ভিন্ন ঘটনা নিয়ে তৈরি রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা ও যাচাই করা যায় এমন তথ্যের সংখ্যার মধ্যে পার্থক্য দেখা যেতে পারে। কাঁচা ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুন করে সাজানো ডেটাসেটের পার্থক্যের কারণে এমন হতে পারে। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার বদলে তথ্যের ধরনগুলোর সঙ্গে ধারাবাহিকভাবে সমর্থন পাওয়া 37,686 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে।

Choco.ci-কে আইভরি কোস্টভিত্তিক সংবাদ ও অনলাইন গণমাধ্যমের একটি প্ল্যাটফর্ম হিসেবে মূল্যায়ন করা হয়েছে। সংবাদ সাইটের অ্যাকাউন্টগুলো কম ঝুঁকির মনে হলেও, প্লেইন টেক্সট পাসওয়ার্ড পাওয়া গেলে একই ইমেইল দিয়ে খোলা অন্য অ্যাকাউন্টগুলোর জন্য গুরুতর ঝুঁকি তৈরি হয়।

এই ঘটনায় ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড থাকার পক্ষে সমর্থন পাওয়া গেছে। প্লেইন টেক্সট পাসওয়ার্ডের ক্ষেত্রে দ্রুত ব্যবস্থা নেওয়া প্রয়োজন, কারণ এগুলো দিয়ে আক্রমণকারী পাসওয়ার্ড ক্র্যাক না করেই অন্য সেবায় একই ইমেইল-পাসওয়ার্ডের সমন্বয় ব্যবহার করে চেষ্টা করতে পারে।

Choco.ci-এর ঘটনায় প্লেইন টেক্সট পাসওয়ার্ডের তথ্য পাওয়া যাওয়ায় ঝুঁকি সাধারণ ইমেইল ফাঁসের তুলনায় বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের বারবার পরীক্ষা করে দেখার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয় লগইন প্রচেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পূর্ণ নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে যুক্ত হলে তা আক্রমণের শক্তিশালী উপকরণ হয়ে ওঠে। ব্যবহারকারী কাজ, কেনাকাটা, ফোরাম, গেমিং, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব রয়ে গেছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই Choco.ci-এর মতো পুরোনো তথ্য ফাঁসের ঘটনাও বহু বছর পরে পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং ও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের প্রচেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো অতীতে Choco.ci বা choco.educarriere.ci-তে কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টে একই ধরনের পাসওয়ার্ড ব্যবহার করে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়; পুনর্ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টগুলোতে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ডগুলো সরিয়ে বদলে নেওয়া উচিত।

বিশেষ করে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট ও অ্যাডমিন প্যানেলে দুই-ধাপের প্রমাণীকরণকে অগ্রাধিকার দেওয়া হয়। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আক্রমণের বিরুদ্ধে বেশি টেকসই সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ্লিকেশন, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি Choco.ci অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেটের প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, শিল্পখাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লিখে প্রবেশ করা উচিত, যাচাই না করে সংযুক্ত ফাইল খোলা উচিত নয় এবং জরুরি ব্যবস্থা নেওয়ার চাপ তৈরি করে এমন বার্তার ব্যাপারে সতর্ক থাকা উচিত।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ঝুঁকিও মূল্যায়ন করা উচিত। কোনো কর্মী ব্যক্তিগত বলে মনে হয় এমন অ্যাকাউন্টে কাজের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের সিস্টেমে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা পরীক্ষা, বহু-ফ্যাক্টর প্রমাণীকরণ ও পাসওয়ার্ড পুনর্ব্যবহার শনাক্ত করার নিয়ন্ত্রণব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য প্রধান শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ সীমিত রাখা। প্লেইন টেক্সট বা সহজে ক্র্যাক করা যায় এমন হ্যাশের ধরন ব্যবহারকারীর নিরাপত্তা সরাসরি দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশের ধরন ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, এক্সপোর্ট ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা ব্যাপক অনুমতিসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তা ঘটনার প্রতিক্রিয়া পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

সংশ্লিষ্ট সারিতে উল্লিখিত প্রায় 40 হাজার এবং সরাসরি প্রমাণসমর্থিত 37,686টি রেকর্ডের মধ্যে অমিল পাওয়া গেছে; এই পৃষ্ঠায় সরাসরি প্রমাণসমর্থিত সংখ্যাটি ব্যবহার করা হয়েছে।

ফরাসি ভাষা ও স্থানীয় সংবাদের প্রেক্ষাপট ভুয়া সংবাদ সাবস্ক্রিপশন, অ্যাকাউন্ট যাচাই বা স্থানীয় প্রচারের বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। ব্যবহারকারীদের লিংক ব্যবহার না করে সাইটের অফিশিয়াল ওয়েব ঠিকানা নিজে লিখে প্রবেশ করা উচিত।

সাবডোমেইনের বিন্যাস অক্ষুণ্ণ রাখা হয়েছে; ওয়েবসাইট ফিল্ডে `choco.educarriere.ci` রাখা হয়েছে, যাতে প্রোটোকল বা দ্বিগুণ https তৈরি না হয়।

নাম, ফোন ও ঠিকানার ক্ষেত্র এই রেকর্ডে যোগ করা হয়নি, কারণ এসব তথ্য থাকার পক্ষে সমর্থন নেই। প্লেইন টেক্সট পাসওয়ার্ড ও ইমেইলের ক্ষেত্রই ঝুঁকির প্রধান উৎস।

Choco.ci-এর লোগোর ছবিটি রেকর্ডের সঙ্গে মেলানো হয়েছে এবং রেকর্ডের পৃষ্ঠাটি এমনভাবে সেট করা হয়েছে, যাতে বাইরের কোনো উৎসের ওপর নির্ভর না করে লোগো দেখানো যায়।

এই রেকর্ডে যাচাই করা হয়নি এমন তথ্যের ধরনগুলো সচেতনভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থা অর্জনে বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর উদ্দেশ্য ভয় দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তা ব্যবস্থা পরিষ্কারভাবে ব্যাখ্যা করা।

Choco.ci-এর তথ্য ফাঁস, choco.educarriere.ci-এর ডেটা ফাঁস, Choco.ci-এর পাসওয়ার্ড ফাঁস ও Choco.ci-এর ব্যবহারকারীর তথ্যের মতো বিভিন্ন নামে সহজবোধ্য এবং ব্যবহারিক তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি তৈরি করা হয়েছে। লেখায় যাচাইকৃত ডোমেইন ও বাস্তবে নেওয়া যায় এমন নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখার পর ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়, সেগুলো আক্রমণকারীদের প্রথম লক্ষ্য। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদি ঝুঁকি কমে।

পাসওয়ার্ডের পুনরাবৃত্তি কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন বাড়তি অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট একটি সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই সেটি নিরাপদ হয় না; আক্রমণকারীদের সরঞ্জাম দ্রুত এসব ধরন পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকাটি স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-ধাপের প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যায় এমন ইমেইল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ সীমিত রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইল তথ্য সংগ্রহ করা উচিত নয়, যৌক্তিক সংরক্ষণনীতি অনুযায়ী নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল ক্ষেত্রগুলোতে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য এক্সপোর্টের কার্যক্রমে অতিরিক্ত নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্টের নিরাপত্তা ও পরিচ্ছন্নতা বজায় রাখার কাজগুলো সম্পন্ন করতে হবে। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, বিভিন্ন তথ্যশ্রেণি অ্যাকাউন্ট দখলে কতটা সহায়তা করতে পারে এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠার ঝুঁকির মাত্রা অতি গুরুতর হিসেবে নির্ধারণ করা হয়েছে। অতি গুরুতর মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; বরং ব্যবহারকারীর দ্রুত ব্যবস্থা নেওয়া প্রয়োজন বলে নির্দেশ করে।

সারসংক্ষেপে, Choco.ci-এর এই রেকর্ডটি জুলাই 2018-এর একটি একক তথ্য ফাঁসের ঘটনা নিয়ে, যা 37,686টি অ্যাকাউন্টকে প্রভাবিত করেছে এবং এতে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের ক্ষেত্র রয়েছে। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই-ধাপের প্রমাণীকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।

Choco.ci-এর রেকর্ডে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে ছড়িয়ে থাকা অস্পষ্ট তালিকার অংশগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারীর সামনে থাকা রেকর্ডটি যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমাবদ্ধ।

তথ্যের শ্রেণিগুলো সীমিত ও স্পষ্ট রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণসমর্থিত নয় এমন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড ছাড়া অন্য দাবিগুলোকে প্রমাণিত তথ্যের ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

choco.educarriere.ci ডোমেইনের সঙ্গে সম্পর্কিত পুরোনো সদস্যপদ ভুলে যাওয়া হয়ে থাকতে পারে। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড বদলানো সম্ভব না হলে আরও বাস্তবসম্মত অগ্রাধিকার হলো একই পাসওয়ার্ড ব্যবহার করা অন্য সেবাগুলো খুঁজে সেগুলো সুরক্ষিত করা।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য তথ্য ফাঁসের সঙ্গে যুক্ত হলে আক্রমণকারীদের জন্য কোনো ব্যক্তির আগ্রহ, দেশ, কর্মখাত বা অতীতের সদস্যপদের অভ্যাস অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁসের ঘটনা ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দিক থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কাজের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ড পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা পরিমাপের জন্য সতর্কসংকেত দেয়।

আপনি যদি এই রেকর্ডে নিজের ইমেইল দেখেন, তাহলে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোর জন্য অন্তত আলাদা পাসওয়ার্ড নির্ধারণ করা, প্রোফাইলের তথ্য সীমিত রাখা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।