Club Penguin Rewritten (জানুয়ারি 2018)

যাচাইকৃত তথ্যের ধরন হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটি bcrypt হ্যাশ আকারে ছিল বলে জানানো হয়েছে; এর অর্থ এই নয় যে পাসওয়ার্ড সরাসরি পড়া যায় এমন আকারে পাওয়া যাচ্ছে। তবুও আক্রমণকারীরা দুর্বল, ছোট বা একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করতে পারে। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে আক্রমণকারীরা গেমের অ্যাকাউন্টের সঙ্গে অন্য প্ল্যাটফর্মের পরিচয় মিলিয়ে দেখার চেষ্টা করতে পারে।

IP ঠিকানা থেকে আনুমানিক অবস্থান, ইন্টারনেট সেবাদাতা ও সেশনের প্রেক্ষাপট সম্পর্কে ধারণা পাওয়া যেতে পারে। শিশু ও কমবয়সী খেলোয়াড়দের ক্ষেত্রে এই তথ্য আরও সতর্কতার সঙ্গে ব্যবস্থাপনা করা উচিত। ভুয়া মডারেটরের বার্তা, বিনামূল্যে আইটেম দেওয়ার প্রতিশ্রুতি, অ্যাকাউন্ট যাচাইয়ের লিংক বা শাস্তি তুলে দেওয়ার অজুহাত ব্যবহার করে সামাজিক প্রকৌশলভিত্তিক প্রতারণার চেষ্টায় ব্যবহারকারীর নাম, ইমেইল ও IP তথ্য কাজে লাগানো হতে পারে। তাই ঘটনাটি শুধু প্রযুক্তিগত ব্যবস্থা হিসেবে পাসওয়ার্ড বদলানোর জন্য নয়, গেমের ভেতরে নিরাপত্তা সম্পর্কে সচেতন থাকার জন্যও গুরুত্বপূর্ণ।

এই রেকর্ডে 16,88,176টি আক্রান্ত অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে এবং ঘটনার তারিখ 21 জানুয়ারি 2018 হিসেবে নথিভুক্ত করা হয়েছে। যাচাইকৃত তথ্যের ক্ষেত্রগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং bcrypt পাসওয়ার্ড হ্যাশ। প্ল্যাটফর্মের দায়িত্বপ্রাপ্ত ব্যক্তিরা ঘটনাটি সম্পর্কে অবগত ছিলেন এবং আক্রান্ত ব্যবহারকারীদের সঙ্গে যোগাযোগ করেছিলেন বলে জানানো হয়েছে। রেকর্ডটি Club Penguin-এর একটি স্বাধীনভাবে তৈরি সংস্করণের সেবার সঙ্গে সম্পর্কিত; এটিকে Disney-এর মূল Club Penguin সেবার নিজস্ব তথ্য হিসেবে ধরে নেওয়া উচিত নয়।

এই রেকর্ডে পেমেন্ট কার্ড, বাসা বা অন্য স্থানের ঠিকানা, ফোন নম্বর, জন্মতারিখ, ব্যক্তিগত বার্তার বিষয়বস্তু বা প্রকৃত নামকে যাচাইকৃত তথ্য হিসেবে চিহ্নিত করা হয়নি। এ ছাড়া, 2019 সালের জুলাইয়ে ঘটে যাওয়া পৃথক Club Penguin Rewritten ঘটনাটি এই রেকর্ডের অন্তর্ভুক্ত নয়। দুটি ঘটনা একই ব্র্যান্ডের নামে থাকলেও ভিন্ন তারিখ ও ভিন্ন পরিসরের ভিত্তিতে সেগুলো মূল্যায়ন করা উচিত। একই ঘটনার রেকর্ড একাধিকবার আছে, এমন ধারণা এড়াতে এবং মিলটি কোন ঘটনার সঙ্গে সম্পর্কিত তা ব্যবহারকারীকে সঠিকভাবে বুঝতে সাহায্য করতে এই পার্থক্যটি গুরুত্বপূর্ণ।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা Club Penguin Rewritten অ্যাকাউন্টের পাসওয়ার্ড অন্য গেম, ইমেইল, সামাজিক যোগাযোগমাধ্যম বা ফোরামের অ্যাকাউন্টেও ব্যবহার করেছেন। গেমের অ্যাকাউন্ট প্রায়ই শিশু বা কিশোরেরা পরিচালনা করে বলে সহজ পাসওয়ার্ড বেছে নেওয়া বা একাধিক জায়গায় একই পাসওয়ার্ড ব্যবহার করার সম্ভাবনা থাকে। অভিভাবকের ইমেইল ঠিকানা দিয়ে খোলা অ্যাকাউন্টের ক্ষেত্রে ঝুঁকি পরিবারের অ্যাকাউন্টেও ছড়াতে পারে, কারণ পাসওয়ার্ড পুনর্নির্ধারণ ও নিরাপত্তার বিজ্ঞপ্তি ইমেইলের মাধ্যমে পরিচালিত হয়।

ব্যবহারকারীর নাম পরিচিত হলে আক্রমণকারীর পক্ষে গেমের ভেতরে সেই পরিচয় ধারণ করা বা অ্যাকাউন্ট পুনরুদ্ধারসংক্রান্ত প্রতারণা করা সহজ হতে পারে। IP ঠিকানা থেকে সুনির্দিষ্ট ঠিকানা জানা যায় না; তবে আনুমানিক অঞ্চল ও সেবাদাতার তথ্য লক্ষ্যভিত্তিক বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে সাহায্য করতে পারে। বিনামূল্যে আইটেম, বিরল অ্যাকাউন্ট, মডারেটরের বিশেষ অধিকার বা নিষেধাজ্ঞা তুলে দেওয়ার মতো প্রতিশ্রুতিতে শিশু খেলোয়াড়েরা বেশি ঝুঁকিতে পড়তে পারে। তাই অভিভাবক ও অ্যাকাউন্টধারীদের একসঙ্গে ব্যবস্থা নেওয়া প্রয়োজন।

এই রেকর্ডে নিজের তথ্যের সঙ্গে মিল দেখতে পেলে ব্যবহারকারীর উচিত Club Penguin Rewritten অ্যাকাউন্টের পাসওয়ার্ড এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো। অগ্রাধিকার দিয়ে ইমেইল অ্যাকাউন্ট সুরক্ষিত করা, মাল্টি-ফ্যাক্টর অথেন্টিকেশন (একাধিক উপাদানভিত্তিক পরিচয় যাচাইকরণ) চালু করা এবং সন্দেহজনক সেশন পরীক্ষা করা উচিত। অ্যাকাউন্টটি কোনো শিশু ব্যবহার করে থাকলে অভিভাবকেরও ইমেইল, গেম ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড পুনর্ব্যবহার করা হয়েছে কি না তা পর্যালোচনা করা উচিত।

গেমের ভেতরে বা ইমেইলে আসা অ্যাকাউন্ট যাচাইয়ের বার্তা, বিনামূল্যে সদস্যপদের প্রস্তাব, পুরস্কার হিসেবে আইটেম দেওয়া, শাস্তি তুলে দেওয়া, মডারেটর হওয়ার আবেদন বা নিরাপত্তা সতর্কতার বার্তাকে যাচাই ছাড়া বিশ্বাসযোগ্য ধরে নেওয়া উচিত নয়। কোনো লিংক খোলার আগে ডোমেইন নাম পরীক্ষা করা উচিত এবং সম্ভব হলে পরিচিত ঠিকানায় সরাসরি গিয়ে প্রয়োজনীয় কাজ করা উচিত। আপনার ব্যবহারকারীর নাম ও আগের গেমসংক্রান্ত তথ্য জানেন এমন কোনো ব্যক্তিকে বিশ্বাসযোগ্য ধরে নেওয়া যাবে না। কোনো অবস্থাতেই যাচাইকরণ কোড, নতুন পাসওয়ার্ড, ইমেইলে প্রবেশের সুযোগ বা অ্যাকাউন্ট পুনরুদ্ধারের তথ্য তৃতীয় পক্ষের সঙ্গে ভাগ করা উচিত নয়।

Club Penguin Rewritten-এর ঘটনাটি দেখায় যে শিশু ও কমবয়সী ব্যবহারকারীদের উপস্থিতি রয়েছে এমন গেমিং কমিউনিটিতে অ্যাকাউন্টের নিরাপত্তায় বিশেষ মনোযোগ প্রয়োজন। অভিভাবকদের নিশ্চিত করা উচিত যে শিশুরা গেমের প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করছে এবং গুরুত্বপূর্ণ অ্যাকাউন্টগুলো অভিভাবকদের নিয়ন্ত্রণে থাকা সুরক্ষিত ইমেইল ঠিকানা দিয়ে পরিচালিত হচ্ছে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে বিভিন্ন গেম ও সামাজিক প্ল্যাটফর্মের জন্য আলাদা পাসওয়ার্ড তৈরি করা সহজ হয়। পুরোনো গেমের অ্যাকাউন্ট ব্যবহার না করলে সেগুলো বন্ধ করা বা সেখানে থাকা ব্যক্তিগত তথ্য যতটা সম্ভব কমিয়ে আনা উচিত।

দীর্ঘমেয়াদি কৌশল কেবল প্রযুক্তিগত ব্যবস্থার মধ্যে সীমাবদ্ধ নয়। গেমের ভেতরে প্রতারণা, ভুয়া মডারেটরের বার্তা, বিনামূল্যে আইটেম দেওয়ার প্রতিশ্রুতি এবং অন্যের সঙ্গে অ্যাকাউন্ট ভাগ করার ঝুঁকি সম্পর্কে শিশুদের স্পষ্টভাবে জানানো উচিত। একই ব্যবহারকারীর নাম অন্য প্ল্যাটফর্মেও ব্যবহার করা হলে আক্রমণকারীরা প্রোফাইলগুলো মিলিয়ে নিতে পারে, এ বিষয়টি মনে রাখা উচিত। IP ঠিকানা ও ইমেইল তথ্য রয়েছে এমন পুরোনো তথ্য ফাঁসের ঘটনা ভবিষ্যতের লক্ষ্যভিত্তিক বার্তাকে আরও বাস্তব বলে মনে করাতে পারে; তাই সন্দেহজনক যোগাযোগ আলাদা একটি মাধ্যমে যাচাই করা উচিত।

এই রেকর্ডে মিল পাওয়া গেলে তা নির্দেশ করে যে সংশ্লিষ্ট ইমেইল ঠিকানাটি 2018 সালের জানুয়ারিতে Club Penguin Rewritten-এর তথ্য ফাঁসের ঘটনায় দেখা যাওয়া অ্যাকাউন্টগুলোর মধ্যে রয়েছে। এমন মিলের অর্থ 2019 সালের জুলাইয়ের পৃথক ঘটনার সঙ্গে মিল পাওয়ার অর্থের সমান নয় এবং এটিকে Disney-এর মূল Club Penguin সেবার তথ্য হিসেবে বিবেচনা করা উচিত নয়। এই রেকর্ডের যাচাইকৃত পরিসর ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং bcrypt পাসওয়ার্ড হ্যাশের মধ্যে সীমাবদ্ধ।

ব্যবহারকারী বা অভিভাবকের প্রথমে একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার বন্ধ করা, ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা এবং গেমের অ্যাকাউন্টে একই ব্যবহারকারীর নাম দিয়ে আসা ভুয়া বার্তার বিষয়ে সতর্ক থাকা উচিত। পুরোনো গেমের পাসওয়ার্ড অন্য প্ল্যাটফর্মে ব্যবহার করা হলে তা অবিলম্বে বদলানো উচিত। অ্যাকাউন্টটি কোনো শিশুর হলে অভিভাবকের উচিত অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পরীক্ষা করা, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং অন্যের সঙ্গে অ্যাকাউন্ট ভাগ করা ও ভুয়া পুরস্কারের বার্তা সম্পর্কে শিশুকে সংক্ষিপ্ত কিন্তু স্পষ্ট নিরাপত্তার নিয়ম বুঝিয়ে বলা।