CloudPets তথ্য ফাঁস

যাচাই করে নিশ্চিত হওয়া প্রধান তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, পরিবারের সদস্যদের নাম এবং পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটি bcrypt হ্যাশ আকারে ছিল বলে জানানো হয়েছে। এর অর্থ এই নয় যে প্রতিটি পাসওয়ার্ড সরাসরি পড়া যায় এমন আকারে সংরক্ষিত ছিল। তা সত্ত্বেও দুর্বল পাসওয়ার্ড বা একাধিক জায়গায় একই পাসওয়ার্ড ব্যবহার ঝুঁকি তৈরি করে। সূত্রগুলো আরও জানায়, সিস্টেমজুড়ে শিশুদের প্রোফাইলের সঙ্গে যুক্ত ছবি ও ভয়েস রেকর্ডিংয়ের রেফারেন্স উন্মুক্ত হয়ে গিয়েছিল। এই অতিরিক্ত প্রেক্ষাপট CloudPets-এর ঘটনাটিকে সাধারণ অ্যাকাউন্টের তালিকা ফাঁসের চেয়ে বেশি সংবেদনশীল করে তোলে।

শিশুদের নাম, পারিবারিক সম্পর্ক এবং ভয়েস মেসেজের বিষয়বস্তু একসঙ্গে পাওয়া গেলে ঝুঁকি শুধু ফিশিং বা অ্যাকাউন্ট দখলের মধ্যে সীমাবদ্ধ থাকে না। সোশ্যাল ইঞ্জিনিয়ারিংয়ের মাধ্যমে বিশ্বাস অর্জন করতে পরিবারের সদস্যদের নাম ব্যবহার করা যেতে পারে। অন্যদিকে, ভয়েস রেকর্ডিং ও প্রোফাইল ছবির রেফারেন্সকে শিশুদের ব্যক্তিগত জীবনের সঙ্গে সরাসরি সম্পর্কিত তথ্য হিসেবে বিবেচনা করা উচিত। তাই পরিবারগুলোকে উদ্দেশ করে পাঠানো ভুয়া সাপোর্ট বার্তা, খেলনা আপডেটের বিজ্ঞপ্তি, অ্যাকাউন্ট পুনরুদ্ধারের অনুরোধ কিংবা শিশুর প্রোফাইলের সূত্র ধরে প্রভাবিত করার উদ্দেশ্যে যোগাযোগের চেষ্টার ঝুঁকি এই ঘটনায় অনেক বেশি।

এই রেকর্ডে দেখানো 5,83,503 অ্যাকাউন্টের সংখ্যা ইমেইল ঠিকানা দিয়ে অনুসন্ধান করা যায় এমন রেকর্ডের পরিসর বোঝায়। ঘটনাটিতে উন্মুক্ত থাকা সিস্টেমের মোট পরিসর আরও বড় এবং এর সঙ্গে 8,21,000-এর বেশি অ্যাকাউন্ট রেকর্ড যুক্ত। এই দুটি সংখ্যাকে এক করে দেখা উচিত নয়। কোনো ব্যবহারকারীর তথ্যের মিল পাওয়ার অর্থ হলো, সংশ্লিষ্ট ইমেইল ঠিকানাটি অনুসন্ধানযোগ্য CloudPets অ্যাকাউন্টের তথ্যে রয়েছে। সিস্টেমজুড়ে থাকা অতিরিক্ত ফাইল রেফারেন্সগুলোও আলাদাভাবে মূল্যায়ন করা উচিত।

যাচাই করে নিশ্চিত হওয়া তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, পরিবারের সদস্যদের নাম, পাসওয়ার্ড হ্যাশ এবং সিস্টেমজুড়ে শিশুর প্রোফাইলের সঙ্গে যুক্ত দৃশ্যমান উপাদান ও অডিও মেসেজের রেফারেন্স। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্রের নম্বর, বাসা বা অন্য স্থানের ঠিকানা বা স্বাস্থ্যসংক্রান্ত তথ্যকে যাচাই করে নিশ্চিত হওয়া তথ্যের ধরন হিসেবে ধরা হয় না। কোম্পানি অডিও রেকর্ডিং সরাসরি চুরি হওয়ার কথা অস্বীকার করলেও স্বাধীন বিশ্লেষণে দেখা গেছে, সিস্টেমের কাঠামোর মাধ্যমে রেকর্ড ফাইলগুলোতে প্রবেশের পথ প্রকাশ করা সম্ভব ছিল এবং তথ্যকে ঘিরে মুক্তিপণ দাবি করা হয়েছিল।

সবচেয়ে বেশি ঝুঁকিতে আছেন যেসব অভিভাবক CloudPets অ্যাকাউন্ট তৈরি করেছেন, যেসব পরিবার শিশুর প্রোফাইল যোগ করেছেন এবং যাঁরা অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেছেন। ইমেইল ঠিকানা ও পরিবারের সদস্যের নাম একসঙ্গে ব্যবহার করে আক্রমণকারীরা আরও বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে। যেমন, খেলনা আপডেট, ভয়েস মেসেজ ফিরিয়ে আনা, শিশুর প্রোফাইল যাচাই বা অভিভাবকের অ্যাকাউন্টের নিরাপত্তা সতর্কতা বলে মনে হয় এমন বার্তা ব্যবহারকারীকে কোনো লিংক খুলতে বা পাসওয়ার্ড জানিয়ে দিতে প্ররোচিত করতে পারে।

শিশুদের নাম ও ভয়েস মেসেজের প্রেক্ষাপটের কারণে ঝুঁকিটি পুরো পরিবারকে ঘিরে। অভিভাবকের অ্যাকাউন্ট নিরাপদ বলে মনে হলেও শিশুর নাম বা পারিবারিক সম্পর্কের তথ্যের অপব্যবহার হতে পারে। যাঁরা দুর্বল পাসওয়ার্ড ব্যবহার করেন বা ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা কিংবা গেমিং অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের অ্যাকাউন্ট দখল হওয়ার ঝুঁকি বেশি। এ ছাড়া, পুরোনো কোনো খেলনার অ্যাকাউন্টের কথা ভুলে গেলেও সে সময় ব্যবহার করা ইমেইল ও পাসওয়ার্ডের সমন্বয় অন্য পরিষেবায় এখনো কার্যকর থাকতে পারে।

এই রেকর্ডে মিল পাওয়া ব্যবহারকারীর উচিত CloudPets-এ ব্যবহার করা পাসওয়ার্ড বদলানো এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ডও পরিবর্তন করা। ইমেইল অ্যাকাউন্ট সুরক্ষিত করাকে অগ্রাধিকার দিতে হবে, বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে এবং সাম্প্রতিক সেশনগুলো পর্যালোচনা করতে হবে। অন্য অ্যাকাউন্টে পুরোনো পাসওয়ার্ড সামান্য বদলে ব্যবহার করা হলে সেই পাসওয়ার্ডের সব রূপই পুরোপুরি বাদ দেওয়া উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড তৈরি করা এবং পুরোনো পাসওয়ার্ডের হিসাব রাখা, দুটিই সহজ হয়।

শিশুর নাম, খেলনার অ্যাকাউন্ট, ভয়েস মেসেজ বা প্রোফাইল ছবিকে কেন্দ্র করে আসা অপ্রত্যাশিত বার্তার বিষয়ে পরিবারগুলোর সতর্ক থাকা উচিত। CloudPets অ্যাকাউন্ট পুনরুদ্ধার, ভয়েস রেকর্ডিং ডাউনলোড, শিশুর প্রোফাইল মুছে ফেলা, খেলনার সংযোগ নবায়ন বা নিরাপত্তা যাচাই করার দাবি করে পাঠানো লিংক সরাসরি খোলা উচিত নয়। কোনো ব্যবস্থা নেওয়ার প্রয়োজন হলে পরিষেবাটির পরিচিত ডোমেইন নাম নিজে লিখে প্রবেশ করা উচিত, অথবা বিশ্বস্ত কোনো মাধ্যমে যাচাই করা উচিত। কেউ শিশুর নাম, ছবি, ভয়েস রেকর্ডিং বা অ্যাকাউন্টের বিবরণ চাইলে তাঁকে তথ্য দেওয়া উচিত নয়।

CloudPets-এর ঘটনা দেখায়, ইন্টারনেট-সংযুক্ত খেলনায় সংগ্রহ করা তথ্য পরিবারের গোপনীয়তার জন্য কতটা সংবেদনশীল হতে পারে। ইন্টারনেট-সংযুক্ত খেলনা, শিশুদের অ্যাপ ও স্মার্ট ডিভাইসের অ্যাকাউন্টে পরিবারগুলোর যত কম সম্ভব তথ্য দেওয়া উচিত। শিশুর আসল নাম, জন্মতারিখ, ছবি, ভয়েস রেকর্ডিং ও পারিবারিক সম্পর্কের তথ্য কেবল প্রয়োজন থাকলে এবং নিরাপত্তা নিয়ন্ত্রণগুলো সম্পর্কে ধারণা থাকলেই ব্যবহার করা উচিত। অব্যবহৃত খেলনা ও শিশুদের অ্যাপের অ্যাকাউন্ট বন্ধ করা উচিত, অথবা সেগুলোর প্রোফাইলে থাকা তথ্য কমিয়ে আনা উচিত।

দীর্ঘমেয়াদে শিশুদের জন্য তৈরি ডিভাইস কেনার সিদ্ধান্তে অভিভাবকদের তথ্য সংরক্ষণ, সংযোগের অনুমতি, অ্যাকাউন্টের নিরাপত্তা এবং প্রস্তুতকারকের সহায়তার মতো বিষয়গুলো বিবেচনায় রাখা উচিত। ডিভাইসে মাইক্রোফোন, ক্যামেরা, Bluetooth বা ইন্টারনেট সংযোগ ব্যবহার করা হলে সংগৃহীত তথ্য কোথায় সংরক্ষিত হয় এবং কীভাবে তা মুছে ফেলা যায়, তা যাচাই করা উচিত। শিশুর তথ্য একবার উন্মুক্ত হয়ে গেলে তা পাসওয়ার্ডের মতো সহজে বদলানো যায় না। তাই সুরক্ষার পদ্ধতি শুধু ঘটনার পর ব্যবস্থা নেওয়ার মধ্যে সীমাবদ্ধ রাখা উচিত নয়; এর মধ্যে ডিভাইস বেছে নেওয়া ও তথ্যের পরিমাণ ন্যূনতম রাখার কৌশলও থাকা উচিত।

এই রেকর্ডে মিল পাওয়ার অর্থ হলো, সংশ্লিষ্ট ইমেইল ঠিকানাটি CloudPets-এর তথ্য ফাঁসের ঘটনায় অনুসন্ধানযোগ্য অ্যাকাউন্টগুলোর মধ্যে রয়েছে। মিল পাওয়া গেলে ইমেইল, পরিবারের সদস্যদের নাম ও পাসওয়ার্ডের নিরাপত্তার জন্য ব্যবস্থা নেওয়া প্রয়োজন। সিস্টেমজুড়ে থাকা অতিরিক্ত ফাইল রেফারেন্সের পরিসর আলাদাভাবে মূল্যায়ন করা উচিত। ঘটনাটি শিশু ও পরিবারের তথ্যের সঙ্গে সম্পর্কিত হওয়ায় ঝুঁকি মূল্যায়নে শুধু অ্যাকাউন্টের মালিক নয়, পরিবারের শিশুদের গোপনীয়তাও বিবেচনায় রাখা উচিত।

ব্যবহারকারীর প্রথমে প্রতিটি অ্যাকাউন্টের পাসওয়ার্ড আলাদা করা, ইমেইল অ্যাকাউন্টের সুরক্ষা জোরদার করা এবং পুরোনো খেলনা বা শিশুদের অ্যাপের অ্যাকাউন্ট বন্ধ করার কথা বিবেচনা করা উচিত। শিশুর নাম, ভয়েস রেকর্ডিং, খেলনার অ্যাকাউন্ট বা প্রোফাইল ছবিকে কেন্দ্র করে আসা বার্তা আলাদা কোনো মাধ্যমে যাচাই না করে আমলে নেওয়া উচিত নয়। ঘটনা অনেক আগের হলেও পারিবারিক সম্পর্ক ও শিশুর প্রোফাইলের তথ্য দীর্ঘমেয়াদে সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি তৈরি করতে পারে। তাই কোনো রেকর্ডে মিল পাওয়া গেলে নিরাপত্তা ও গোপনীয়তা রক্ষার ব্যবস্থা নেওয়াকে উচ্চ অগ্রাধিকার দিতে হবে।