Cit0day: তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাই করা তথ্যের ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। বিভিন্ন প্ল্যাটফর্মে কোনো ব্যক্তিকে খুঁজে বের করতে এবং অন্য অ্যাকাউন্টগুলোর সঙ্গে একই পরিচয়ের যোগসূত্র খুঁজতে আক্রমণকারীরা প্রধান শনাক্তকারী হিসেবে ইমেইল ঠিকানা ব্যবহার করে। অন্যদিকে, পাসওয়ার্ডের তথ্য সরাসরি ঝুঁকি বাড়ায়। দুর্বল অ্যালগরিদম, সল্ট ছাড়া সংরক্ষণ বা সহজে অনুমানযোগ্য পাসওয়ার্ড বেছে নেওয়ার কারণে হ্যাশ আকারে সংরক্ষিত পাসওয়ার্ডও সময়ের সঙ্গে ক্র্যাক করা সম্ভব হতে পারে। প্লেইন টেক্সট পাসওয়ার্ড আক্রমণকারীরা সরাসরি ব্যবহার করতে পারে। এ কারণে একই পাসওয়ার্ড পুনর্ব্যবহারের সুযোগ নিয়ে অ্যাকাউন্ট দখলের চেষ্টা চালানোর জন্য Cit0day একটি খুবই সুবিধাজনক তথ্যের উৎস।

এই তথ্য ফাঁসের বিপদ শুধু একটি সেবার পুরোনো অ্যাকাউন্টে সীমাবদ্ধ নয়। কোনো ব্যবহারকারী ফোরাম, গেম, কেনাকাটার সাইট, সামাজিক যোগাযোগমাধ্যম, ইমেইল বা কাজের অ্যাকাউন্টে একই ইমেইল ও পাসওয়ার্ডের সমন্বয় ব্যবহার করে থাকলে, ঝুঁকি এক অ্যাকাউন্ট থেকে অন্য অ্যাকাউন্টে ছড়িয়ে বাড়তে থাকে। আক্রমণকারীরা বিভিন্ন সেবায় একই সমন্বয় দিয়ে প্রবেশের চেষ্টা করতে পারে, সফলভাবে লগইন করার পর অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো বদলে দিতে পারে, অথবা সংযুক্ত অ্যাকাউন্টগুলোকে লক্ষ্যবস্তু করতে পারে। এ ছাড়া শুধু ইমেইল ঠিকানাও ফিশিং বার্তা পাঠাতে ব্যবহার করা যেতে পারে। পাসওয়ার্ডের তথ্য থাকায় ব্যবহারকারীদের শুধু সংশ্লিষ্ট পুরোনো অ্যাকাউন্ট নয়, একই পাসওয়ার্ড ব্যবহারের ইতিহাস রয়েছে এমন সব অ্যাকাউন্ট পর্যালোচনা করা প্রয়োজন।

যাচাই করা পরিসরের সঙ্গে 22,68,83,414টি স্বতন্ত্র ইমেইল ঠিকানা যুক্ত। জানানো হয়েছে যে ডেটাসেটটিতে 23,000টিরও বেশি ফাইল ও সাইটের এন্ট্রি রয়েছে। কিছু ফাইলে ইমেইল ও পাসওয়ার্ডের হ্যাশ, কিছুতে ক্র্যাক করা পাসওয়ার্ড এবং কিছুতে প্লেইন টেক্সট পাসওয়ার্ডসহ জোড়া তথ্য রয়েছে। এই ঘটনার ক্ষেত্রে তথ্যের ধরন ইমেইল ঠিকানা ও পাসওয়ার্ডের মধ্যেই সীমিত। পূর্ণ নাম, ফোন নম্বর, বসবাসের ঠিকানা, পেমেন্টের তথ্য, জন্মতারিখ বা সরকারি পরিচয়পত্রের মতো অতিরিক্ত তথ্য এই প্রেক্ষাপটে যাচাই করা হয়নি। তাই বিবরণে শুধু যাচাই করা তথ্যের ধরনগুলোই অন্তর্ভুক্ত করা হয়েছে।

এই এন্ট্রিটিকে অযাচাইকৃত শ্রেণিতেই রাখা উচিত। এন্ট্রিটিকে অযাচাইকৃত রাখার কারণ এই নয় যে ডেটাসেটটি সম্পূর্ণ ভুয়া; বরং এর কোনো একক সুস্পষ্ট উৎস নেই, কোনো একক প্রাতিষ্ঠানিক বিজ্ঞপ্তি নেই, অথবা প্রতিটি উপফাইলের চূড়ান্ত যাচাই নেই। পর্যালোচনায় দেখা যায়, আর্কাইভে প্রকৃত অ্যাকাউন্টের তথ্য থাকার অনেক নির্ভরযোগ্য ইঙ্গিত রয়েছে; তবু প্রতিটি সাইট ও প্রতিটি ফাইলকে একই মাত্রায় নির্ভরযোগ্য ধরা ঠিক হবে না। ব্যবহারকারীর নিরাপত্তার জন্য এই পার্থক্য গুরুত্বপূর্ণ। ফলাফল ইতিবাচক হলে ঝুঁকিকে গুরুত্ব দিতে হবে, তবে প্রতিটি ব্যবহারকারীর ক্ষেত্রে ঠিক কোন সাইট থেকে তথ্য ফাঁস হয়েছে, তা নিশ্চিতভাবে বলা উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা একাধিক সেবায় একই পাসওয়ার্ড ব্যবহার করেন। Cit0day-এর মতো সংগ্রহ আক্রমণকারীদের বিপুলসংখ্যক ইমেইল ও পাসওয়ার্ডের জোড়া দিয়ে প্রবেশের চেষ্টা করার সুযোগ দেয়। এ ধরনের আর্কাইভে প্রায়ই পুরোনো ফোরাম অ্যাকাউন্ট, ছোট ই-কমার্স সাইট, গেমিং কমিউনিটি, শখভিত্তিক প্ল্যাটফর্ম এবং ওয়েবসাইটের অব্যবহৃত সদস্য অ্যাকাউন্টের তথ্য পাওয়া যায়। কোনো ব্যবহারকারী পুরোনো অ্যাকাউন্টে দুর্বল পাসওয়ার্ড ব্যবহার করে থাকলে এবং আরও গুরুত্বপূর্ণ কোনো সেবার জন্যও একই পাসওয়ার্ড বেছে নিলে, আপাতদৃষ্টিতে কম গুরুত্বপূর্ণ একটি সদস্য অ্যাকাউন্টও গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর জন্য ঝুঁকি তৈরি করতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন সেই ব্যক্তিরা, যাঁরা এখনও তাঁদের পুরোনো ইমেইল ঠিকানা সক্রিয়ভাবে ব্যবহার করেন বা একই ইমেইল ঠিকানা দিয়ে অনেক অ্যাকাউন্ট খুলেছেন। বছরের পর বছর ইমেইল ঠিকানা একই থাকলে, বিভিন্ন তথ্য ফাঁসের ঘটনায় পাওয়া তথ্য একটি ব্যবহারকারী প্রোফাইলের সঙ্গে যুক্ত করা সম্ভব হতে পারে। যাঁরা ব্যক্তিগত ফোরাম বা ছোট ওয়েবসাইটে প্রাতিষ্ঠানিক ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের ঝুঁকি আরও বেশি; আক্রমণকারীরা ব্যক্তিগত তথ্যের ভিত্তিতে কাজের অ্যাকাউন্টের জন্য লক্ষ্যভিত্তিক বার্তা তৈরি করতে পারে। পুরোনো অ্যাকাউন্টের কথা ভুলে গেছেন এমন ব্যবহারকারীরাও ঝুঁকিমুক্ত নন, কারণ এসব অ্যাকাউন্টে থেকে যাওয়া পাসওয়ার্ডের ইতিহাস নতুন আক্রমণে ব্যবহার করা যেতে পারে।

প্রথম পদক্ষেপ হলো Cit0day-এর ফলাফলে দেখা যাওয়া ইমেইল ঠিকানার সঙ্গে আগে ব্যবহৃত পাসওয়ার্ডগুলো মূল্যায়ন করা। কোনো সক্রিয় অ্যাকাউন্টে এখনও একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হলে, অবিলম্বে একটি স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড সেট করা উচিত। ইমেইল অ্যাকাউন্ট, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, ক্লাউড স্টোরেজ, কাজের সিস্টেম এবং পাসওয়ার্ড রিসেটের লিংক ব্যবহার করা যায় এমন প্রধান অ্যাকাউন্টগুলোকে অগ্রাধিকার দিতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড তৈরি করা সহজ হয়। যেসব গুরুত্বপূর্ণ অ্যাকাউন্টে বহু-উপাদানভিত্তিক পরিচয় যাচাইয়ের সুবিধা আছে, সেগুলোতে তা চালু করা উচিত।

দ্বিতীয় পদক্ষেপ হলো ইমেইল অ্যাকাউন্টের নিরাপত্তা সেটিংস পরীক্ষা করা। অপরিচিত সেশন, ফরওয়ার্ডিং নিয়ম, স্বয়ংক্রিয় ফিল্টার, পুনরুদ্ধারের ইমেইল ঠিকানা এবং সংযুক্ত ডিভাইসগুলো যাচাই করা উচিত। আক্রমণকারীরা কোনো অ্যাকাউন্টে প্রবেশ করতে পারলে দীর্ঘমেয়াদে প্রবেশাধিকার বজায় রাখতে এমন ফরওয়ার্ডিং নিয়ম যোগ করতে পারে, যা ব্যবহারকারীর নজরে পড়ে না। পুরোনো ও অব্যবহৃত অ্যাকাউন্টগুলো বন্ধ করা উচিত, অথবা অন্তত সেগুলোর পাসওয়ার্ড স্বতন্ত্র করা উচিত। ব্যবহারকারীর পক্ষে ঠিক কোন সাইট থেকে তথ্য ফাঁস হয়েছে তা জানা সম্ভব নাও হতে পারে। তাই সুরক্ষার ব্যবস্থা একটি অ্যাকাউন্টে সীমাবদ্ধ না রেখে, অতীতে একই ইমেইল ও পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট পর্যালোচনা করে প্রয়োজনীয় সংশোধন করা উচিত।

Cit0day-এর মতো সংগ্রহ একই পাসওয়ার্ড পুনর্ব্যবহারের দীর্ঘমেয়াদি প্রভাব স্পষ্ট করে। কোনো ব্যবহারকারী বহু বছর আগে কম গুরুত্বপূর্ণ মনে করা একটি সাইটে একই পাসওয়ার্ড ব্যবহার করে থাকলে, সেই তথ্য পরে অনেক বেশি গুরুত্বপূর্ণ অ্যাকাউন্টে প্রবেশের চেষ্টায় ব্যবহার করা যেতে পারে। দীর্ঘমেয়াদি সুরক্ষার ভিত্তি হলো স্বতন্ত্র পাসওয়ার্ড, পাসওয়ার্ড ম্যানেজার এবং বহু-উপাদানভিত্তিক পরিচয় যাচাই। প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করলে, একটি সাইটের তথ্য ফাঁসের প্রভাব অন্য অ্যাকাউন্টগুলোতে ছড়ায় না। ইমেইল অ্যাকাউন্টও সুরক্ষিত রাখা উচিত, কারণ অন্য অ্যাকাউন্ট পুনরুদ্ধারের কেন্দ্র সাধারণত ইমেইল ইনবক্স।

ব্যবহারকারীদের নিয়মিত বিরতিতে তাঁদের পুরোনো অ্যাকাউন্টের তালিকা পর্যালোচনা করা উচিত। অব্যবহৃত সদস্য অ্যাকাউন্ট বন্ধ করা, প্রয়োজনীয় অ্যাকাউন্টগুলোর পাসওয়ার্ড হালনাগাদ করা এবং একাধিক প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহারের কারণে অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র খুঁজে পাওয়ার ঝুঁকি কমানো উচিত। অন্যদিকে, প্রতিষ্ঠানগুলো সচেতনতামূলক কার্যক্রম চালাতে পারে, যাতে কর্মীরা ব্যক্তিগত ওয়েবসাইটের সদস্য অ্যাকাউন্টে প্রাতিষ্ঠানিক ইমেইল ঠিকানা ব্যবহার সীমিত রাখেন। পাসওয়ার্ডের নিরাপত্তা শুধু শক্তিশালী পাসওয়ার্ড বেছে নেওয়ার বিষয় নয়; একই পাসওয়ার্ড কখনও পুনরায় ব্যবহার না করা এবং পুরোনো অ্যাকাউন্টগুলো নিয়ন্ত্রণে রাখাও সমান গুরুত্বপূর্ণ।

LeakData-তে Cit0day যাচাই করলে লগইন তথ্যের এই বড় সংগ্রহে আপনার ইমেইল ঠিকানা আছে কি না, তা বুঝতে সুবিধা হয়। ফলাফল ইতিবাচক হলে, প্রথমে একই ইমেইল ঠিকানা দিয়ে ব্যবহার করা আপনার সব গুরুত্বপূর্ণ অ্যাকাউন্টের তালিকা করুন। এরপর একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলো আলাদা করে চিহ্নিত করুন এবং প্রতিটির জন্য স্বতন্ত্র পাসওয়ার্ড সেট করুন। আপনার ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করুন, লগইনের ইতিহাস পর্যালোচনা করুন এবং অপরিচিত ডিভাইসগুলো সরিয়ে দিন। গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর পুনরুদ্ধারের ইমেইল ও ফোনের তথ্য আপনার নিজের কি না, তা নিশ্চিত করুন।

এই তথ্য ফাঁসের একক উৎস সাইটটি নিশ্চিতভাবে জানা অধিকাংশ ব্যবহারকারীর পক্ষে সম্ভব নাও হতে পারে। তাই সবচেয়ে উপযুক্ত পদক্ষেপ হলো আপনার ব্যবহৃত পাসওয়ার্ডের পুরো ইতিহাস বিবেচনায় নিয়ে সুরক্ষার ব্যবস্থা করা। পাসওয়ার্ড ম্যানেজার ব্যবহার, পুরোনো ও দুর্বল পাসওয়ার্ড শনাক্ত করা, একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোতে আলাদা পাসওয়ার্ড দেওয়া এবং অব্যবহৃত সদস্য অ্যাকাউন্ট বন্ধ করা দীর্ঘস্থায়ী সুরক্ষা দেয়। Cit0day-এর ফলাফলকে কেবল পুরোনো ঘটনা হিসেবে দেখবেন না; বহু বছর পরও ইমেইল ও পাসওয়ার্ডের জোড়া স্বয়ংক্রিয়ভাবে অ্যাকাউন্টে প্রবেশের চেষ্টায় ব্যবহার করা যেতে পারে। আপনার অ্যাকাউন্টগুলোতে স্বতন্ত্র পাসওয়ার্ড ও বহু-উপাদানভিত্তিক পরিচয় যাচাই থাকলে, এ ধরনের সংগ্রহের প্রভাব উল্লেখযোগ্যভাবে কমে যায়।