ClickASnap: তথ্য ফাঁস

ClickASnap-এর ঘটনায় অ্যাকাউন্টের নিরাপত্তার ক্ষেত্রে সবচেয়ে মৌলিক ঝুঁকির উৎস হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পরিচয় শনাক্ত করার দুটি সূত্র দেয়। আক্রমণকারীরা এগুলো ব্যবহার করে অ্যাকাউন্ট খুঁজে বের করতে, পাসওয়ার্ড রিসেটের চেষ্টা করতে এবং নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে ফিশিংয়ের চেষ্টা চালাতে পারে। পাসওয়ার্ডগুলো SHA-512 হ্যাশ আকারে থাকলেও কোনো ব্যবহারকারী ছোট, সহজে অনুমানযোগ্য বা অন্য কোথাও ব্যবহৃত পাসওয়ার্ড বেছে নিয়ে থাকলে সময়ের সঙ্গে সেই হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করা সম্ভব হতে পারে। তাই একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করা এই ঘটনার অন্যতম বড় বাস্তব ঝুঁকি।

সশুল্ক সাবস্ক্রিপশনের রেকর্ডের সঙ্গে যুক্ত নাম, বাসা বা প্রতিষ্ঠানের ঠিকানা ও পরিশোধিত অর্থের পরিমাণের মতো তথ্য ভিন্ন ধরনের ঝুঁকি তৈরি করে। এসব তথ্য থেকে বোঝা যেতে পারে, ব্যবহারকারী প্ল্যাটফর্মে কোন কনটেন্ট নির্মাতাকে অর্থ দেন বা কোন সাবস্ক্রিপশন নিয়েছেন। এসব তথ্য ব্যবহার করে পেমেন্ট, সাবস্ক্রিপশন নবায়ন, আয় নিশ্চিতকরণ, করের ফর্ম, ছবি বিক্রির অর্থ পরিশোধ কিংবা অ্যাকাউন্ট যাচাই নিয়ে ভুয়া বার্তা পাঠানো হতে পারে। সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের তথ্যের সাহায্যে ব্যবহারকারীর আলোকচিত্রী পরিচয়কে তাঁর অন্যান্য অনলাইন প্রোফাইলের সঙ্গেও মিলিয়ে দেখা সম্ভব হতে পারে। এতে গোপনীয়তার ঝুঁকি তৈরি হয়, বিশেষ করে যেসব কনটেন্ট নির্মাতা ছদ্মনামে কাজ করেন তাঁদের জন্য।

এই রেকর্ডে যাচাই করা ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা 32,62,980। ঘটনার তারিখ হিসেবে 24 সেপ্টেম্বর 2022 উল্লেখ করা হয়েছে। যাচাই করা ফিল্ডগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড হ্যাশ, নাম, বাসা বা প্রতিষ্ঠানের ঠিকানা, ক্রয়/সাবস্ক্রিপশনের রেকর্ড এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইল। বিশেষভাবে মনে রাখা উচিত, নাম, ঠিকানা ও পরিশোধিত অর্থের পরিমাণের তথ্য কেবল সশুল্ক সাবস্ক্রিপশনের রেকর্ডেই সীমিত থাকতে পারে। প্রত্যেক ব্যবহারকারীর ক্ষেত্রে এসব ফিল্ড রয়েছে বলে ধরে নেওয়া উচিত নয়। সাধারণ ব্যবহারকারীর অ্যাকাউন্ট ও সশুল্ক সাবস্ক্রিপশনের রেকর্ডকে একই পরিসরের বলে বিবেচনা করা উচিত নয়।

এই রেকর্ডে ছবি, ছবির মেটাডেটা, পেমেন্ট কার্ড নম্বর, ব্যাংকের তথ্য, সরকারি পরিচয়পত্র কিংবা প্ল্যাটফর্মে সরাসরি আয়ের ব্যালেন্স-সংক্রান্ত কোনো তথ্যের ধরন যাচাই করা হয়নি। কিছু বিস্তৃত বিবরণে অতিরিক্ত ফিল্ডের উল্লেখ থাকলেও এই রেকর্ডের তথ্যের ধরনের তালিকা কেবল প্রমাণ দিয়ে সমর্থন করা যায় এমন ফিল্ডের মধ্যেই সীমিত রাখা উচিত। ব্যবহারকারীকে ‘আর্থিক তথ্য ফাঁস হয়েছে’ এমন সাধারণ কথা বলার পরিবর্তে ‘সাবস্ক্রিপশন বা ক্রয়ের রেকর্ডে পরিশোধিত অর্থের পরিমাণ অন্তর্ভুক্ত ছিল’ বলা আরও নির্ভুল হবে।

যাঁরা তাঁদের ClickASnap অ্যাকাউন্টের পাসওয়ার্ড অন্য প্ল্যাটফর্মেও ব্যবহার করেন, তাঁরা সবচেয়ে বেশি ঝুঁকিতে রয়েছেন। ছবি নিয়ে গড়ে ওঠা কমিউনিটি, সামাজিক যোগাযোগমাধ্যম, ইমেইল এবং পেমেন্ট-সংক্রান্ত বিজ্ঞপ্তির সঙ্গে যুক্ত অ্যাকাউন্টগুলো আগে পরীক্ষা করা উচিত। যাঁরা একাধিক ছবি শেয়ার করার সাইট বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইলে একই ব্যবহারকারীর নাম ব্যবহার করেন, তাঁদের প্রোফাইলগুলো পরস্পরের সঙ্গে মিলিয়ে শনাক্ত করার ঝুঁকি বেশি। ব্যবহারকারীর নামের সঙ্গে সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের তথ্য পাওয়া গেলে আক্রমণকারী বিভিন্ন প্ল্যাটফর্মে একই ব্যক্তির কাছে পৌঁছাতে পারে।

যাঁরা সশুল্ক সাবস্ক্রিপশন বা কনটেন্ট নির্মাতা মডেল ব্যবহার করেন, তাঁরা পেমেন্ট, আয়, সাবস্ক্রিপশন নবায়ন ও কর-সংক্রান্ত ভুয়া বিজ্ঞপ্তির আড়ালে চালানো আক্রমণের ক্ষেত্রেও বেশি ঝুঁকিতে থাকেন। যাঁদের নিবন্ধনের তথ্যে বাসা বা প্রতিষ্ঠানের ঠিকানা রয়েছে, তাঁদের কাছে ঠিকানা যাচাই, পণ্য পাঠানো, চালান বা সাবস্ক্রিপশন-সংক্রান্ত বিজ্ঞপ্তির মতো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। পেশাদার বা আধা-পেশাদার আলোকচিত্রীদের জন্য গোপনীয়তার ঝুঁকিও গুরুত্বপূর্ণ। কারণ একই নিবন্ধনের তথ্যে আসল নাম, ঠিকানা ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইল থাকলে তাঁদের অনলাইন সৃজনশীল পরিচয়কে বাস্তব জীবনের তথ্যের সঙ্গে আরও সহজে যুক্ত করা সম্ভব হতে পারে।

ClickASnap অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড বদলানো উচিত। অন্য অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে সেগুলোর জন্যও আলাদা ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করা উচিত। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, ছবি শেয়ার করার সাইট, পেমেন্ট-সংক্রান্ত বিজ্ঞপ্তি এবং ক্লাউড স্টোরেজ সেবাকে অগ্রাধিকার দেওয়া উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করা সহজ হয়। SHA-512 হ্যাশিং ব্যবহার করা হয়েছে বলেই একই দুর্বল পাসওয়ার্ড বারবার ব্যবহার করা নিরাপদ হয়ে যায় না।

ব্যবহারকারীদের সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে সংযুক্ত অ্যাপ্লিকেশন ও সেশনগুলো পরীক্ষা করা উচিত। অপরিচিত সংযোগ সরিয়ে দেওয়া এবং মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা উচিত। ClickASnap, ছবি বিক্রি, সাবস্ক্রিপশন, আয়ের অর্থ পরিশোধ, কপিরাইট নোটিশ কিংবা অ্যাকাউন্ট যাচাই-সংক্রান্ত বার্তার লিংক সতর্কভাবে পরীক্ষা করা উচিত। পেমেন্ট কার্ড নম্বর এই রেকর্ডের যাচাই করা ফিল্ড না হলেও ব্যবহারকারীর কাছে কার্ডের তথ্য বা ব্যাংকের বিবরণ চাওয়া বার্তাগুলোকে অত্যন্ত ঝুঁকিপূর্ণ বলে বিবেচনা করা উচিত। কোনো লেনদেন করতে হলে পরিচিত ঠিকানা ব্যবহার করে সরাসরি প্ল্যাটফর্মে গিয়ে তা করা উচিত।

কনটেন্ট নির্মাতাদের প্ল্যাটফর্মে অ্যাকাউন্টের নিরাপত্তা শুধু পাসওয়ার্ড সুরক্ষার বিষয় নয়; আসল পরিচয়, অর্থ পরিশোধের প্রেক্ষাপট ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক একসঙ্গে বিবেচনা করা উচিত। দীর্ঘমেয়াদে ব্যবহারকারীদের ছবি শেয়ার, বিক্রি, সামাজিক যোগাযোগমাধ্যম ও ইমেইল অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। যাঁরা ছদ্মনামে কাজ করেন, তাঁদের আসল নাম ও ঠিকানা কেবল বাধ্যতামূলক ফিল্ডেই দেওয়া উচিত এবং সবার জন্য উন্মুক্ত প্রোফাইলে অপ্রয়োজনীয় ব্যক্তিগত তথ্য রাখা উচিত নয়। পুরোনো সাবস্ক্রিপশন ও পেমেন্টের রেকর্ড নিয়মিত পরীক্ষা করা উচিত।

প্ল্যাটফর্মগুলোর দিক থেকে দেখলে, সশুল্ক সাবস্ক্রিপশন ও কনটেন্ট নির্মাতাদের তথ্যের জন্য আলাদা সুরক্ষা স্তর প্রয়োজন। একই ঘটনায় ব্যবহারকারীর তথ্য, পরিশোধিত অর্থের পরিমাণ ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক প্রকাশ পেলে আক্রমণকারীরা আরও বিশ্বাসযোগ্য ছক তৈরি করতে পারে। তাই প্রবেশের অনুমতি, ডেটা রপ্তানির নিয়ন্ত্রণ, পাসওয়ার্ড সংরক্ষণের পদ্ধতি এবং ঘটনা সম্পর্কে জানানোর প্রক্রিয়া নিয়মিত পরীক্ষা করা উচিত। ব্যবহারকারীদেরও ছবি-সংক্রান্ত কমিউনিটির অ্যাকাউন্টগুলোকে কম ঝুঁকির শখের অ্যাকাউন্ট হিসেবে না দেখে ব্যক্তিগত ব্র্যান্ড ও আয়ের উৎসের সঙ্গে যুক্ত অ্যাকাউন্ট হিসেবে মূল্যায়ন করা উচিত।

এই রেকর্ডে মিল পাওয়া গেলে বোঝায় যে সংশ্লিষ্ট ইমেইল ঠিকানাটি ClickASnap-এর ডেটা ফাঁসের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর মধ্যে রয়েছে। মিল পাওয়ার অর্থ এই নয় যে ব্যবহারকারীর পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট বা ছবির ফাইল এই রেকর্ডের যাচাই করা পরিসরের মধ্যে রয়েছে। ঝুঁকিটি ইমেইল, ব্যবহারকারীর নাম, পাসওয়ার্ড হ্যাশ, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল এবং কিছু সশুল্ক সাবস্ক্রিপশনের রেকর্ডে থাকা নাম, ঠিকানা ও পরিশোধিত অর্থের পরিমাণের মতো ফিল্ডের সঙ্গে সম্পর্কিত। ব্যবহারকারীর প্রথমে একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার বন্ধ করা এবং ইমেইল অ্যাকাউন্ট সুরক্ষিত করা উচিত।

পরের ধাপে সামাজিক যোগাযোগমাধ্যমের প্রোফাইল ও কনটেন্ট নির্মাতার অ্যাকাউন্টে থাকা সংযোগগুলো পর্যালোচনা করা উচিত। অপরিচিত সেশন বন্ধ করা, সংযুক্ত অ্যাপ্লিকেশন সরিয়ে দেওয়া এবং মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা উচিত। আনুষ্ঠানিক চ্যানেলে যাচাই না করে সাবস্ক্রিপশন বা পেমেন্ট-সংক্রান্ত বার্তার নির্দেশ অনুযায়ী কোনো পদক্ষেপ নেওয়া উচিত নয়। যাঁদের বাসা বা প্রতিষ্ঠানের ঠিকানা সশুল্ক সাবস্ক্রিপশনের রেকর্ডে অন্তর্ভুক্ত হয়ে থাকতে পারে, তাঁদের ভুয়া চালান, ডেলিভারি বা অ্যাকাউন্ট যাচাইয়ের বার্তা সম্পর্কে সতর্ক থাকা উচিত।