Coinmama: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটিকে সরাসরি পাঠযোগ্য পাসওয়ার্ড হিসেবে নয়, বরং MD5 WordPress হ্যাশ ফরম্যাটে সংরক্ষিত পাসওয়ার্ডের তথ্য হিসেবে বিবেচনা করা উচিত। আধুনিক পাসওয়ার্ড সুরক্ষার জন্য MD5-ভিত্তিক হ্যাশ দুর্বল বলে বিবেচিত হয়; ছোট, সহজে অনুমানযোগ্য বা পুনর্ব্যবহৃত পাসওয়ার্ড আক্রমণকারীরা উদ্ধার করতে পারে। একই ইমেইল ও পাসওয়ার্ড কোনো ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, ওয়ালেট, ইমেইল ইনবক্স, ব্যাংক, পেমেন্ট সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে এখনও কার্যকর থাকলে, পুরোনো তথ্য ফাঁসের ঘটনা আজকের আর্থিক নিরাপত্তাকেও প্রভাবিত করতে পারে।

ব্যবহারকারীর নাম ও ইমেইল ঠিকানা থেকে ক্রিপ্টোকারেন্সি ব্যবহারকারীদের লক্ষ্য করে ভুয়া বিনিয়োগ, অ্যাকাউন্ট যাচাই, ওয়ালেট পুনরুদ্ধার বা সহায়তার বার্তা তৈরির জন্য যথেষ্ট প্রাসঙ্গিক তথ্য পাওয়া যায়। Coinmama অ্যাকাউন্টের সঙ্গে অর্থ জমা দেওয়া বা ক্রিপ্টো কেনার সম্পর্ক থাকতে পারে বলে আক্রমণকারীরা ধরে নিতে পারে যে লক্ষ্যবস্তু ব্যক্তির ডিজিটাল সম্পদ রয়েছে। Coinmama-এর তথ্যের মধ্যে ফোন নম্বর, বাসস্থান বা অন্য কোনো ভৌত ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, ওয়ালেট ঠিকানা, লেনদেনের ইতিহাস বা ব্যালেন্সের তথ্য যাচাইকৃত তথ্যের ধরনের অন্তর্ভুক্ত নয়। অন্য অ্যাকাউন্টে ঝুঁকি ছড়িয়ে পড়ার মূল্যায়ন কেবল প্রমাণিত তথ্যক্ষেত্রের মধ্যেই সীমিত রাখা উচিত।

Coinmama-এর এই ঘটনার ক্ষেত্রে LeakData-তে পরিসর 4,78,824টি স্বতন্ত্র ইমেইল অ্যাকাউন্ট হিসেবেই রাখা উচিত। ঘটনার তারিখ হিসেবে 2017 সালের 3 আগস্ট এবং যাচাইকৃত তালিকায় অন্তর্ভুক্তির তারিখ হিসেবে 2019 সালের 30 আগস্ট নথিভুক্ত রাখা উচিত। 2019 সালের ফেব্রুয়ারির ঘোষণাগুলোতে প্রায় 4,50,000টি ইমেইল ও হ্যাশ করা পাসওয়ার্ডের এন্ট্রির কথা উল্লেখ থাকলেও, নিশ্চিত হওয়া মূল অ্যাকাউন্টের সংখ্যা 4,78,824 হিসেবেই রাখা হয়েছে। একই এন্ট্রি একাধিকবার থাকা, যাচাইপ্রক্রিয়া এবং স্বতন্ত্র ইমেইল অ্যাকাউন্ট গণনার কারণে এই পার্থক্য হতে পারে; ব্যবহারকারীকে দেখানো সংখ্যাটি স্বতন্ত্র অ্যাকাউন্টের পরিসরের সঙ্গে সামঞ্জস্যপূর্ণ হওয়া উচিত।

এই পরিসর শুধু Coinmama অ্যাকাউন্টের তথ্যে সীমাবদ্ধ। তথ্য বিক্রির আরও বিস্তৃত একটি ঢেউয়ে অন্য ব্র্যান্ডের উপস্থিতি এই রেকর্ডে ভিন্ন প্ল্যাটফর্মের তথ্যের ধরন যোগ করার যুক্তি হতে পারে না। এই ঘটনার প্রমাণিত তথ্যক্ষেত্রের মধ্যে পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, পরিচয়পত্র, ঠিকানা, ফোন নম্বর, ক্রিপ্টো ওয়ালেটের প্রাইভেট কী, লেনদেনের তালিকা বা ব্যালেন্সের তথ্য অন্তর্ভুক্ত করা উচিত নয়। এই সীমা ক্রিপ্টোকারেন্সির প্রসঙ্গের কারণে অপ্রয়োজনীয় আতঙ্ক তৈরি হওয়া ঠেকায় এবং পাসওয়ার্ড পুনর্ব্যবহার, অ্যাকাউন্ট দখল ও লক্ষ্যভিত্তিক ফিশিংয়ের মতো প্রকৃত ঝুঁকির দিকে ব্যবহারকারীর মনোযোগ নির্দেশ করে।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা Coinmama অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। ক্রিপ্টোকারেন্সি অ্যাকাউন্ট ব্যবহারকারীরা সাধারণত তাঁদের ইমেইল অ্যাকাউন্ট, এক্সচেঞ্জ অ্যাকাউন্ট, ওয়ালেট অ্যাপ, পেমেন্টের মাধ্যম ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পরিচয় ব্যবহার করেন। ইমেইল ও ব্যবহারকারীর নাম একসঙ্গে থাকলে আক্রমণকারীরা অ্যাকাউন্টের একটি তালিকা তৈরি করার সুযোগ পায়। পাসওয়ার্ড হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করা গেলে, সেটি বিভিন্ন সেবায় ব্যবহার করে প্রবেশের চেষ্টা করা যেতে পারে এবং ব্যবহারকারীর ডিজিটাল সম্পদ-সংশ্লিষ্ট বিভিন্ন অ্যাকাউন্ট ও সেবাকে লক্ষ্য করা যেতে পারে।

ক্রিপ্টোকারেন্সি বিনিয়োগকারী, পুরোনো অ্যাকাউন্ট আর ব্যবহার করেন না এমন ব্যক্তি এবং একই ইমেইল ঠিকানা দিয়ে একাধিক এক্সচেঞ্জে অ্যাকাউন্ট খোলেন এমন ব্যবহারকারীদের বিশেষভাবে সতর্ক থাকা উচিত। এ ক্ষেত্রে ওয়ালেটের প্রাইভেট কী বা ব্যালেন্সের তথ্য যাচাইকৃত না হলেও, আক্রমণকারীরা ওই ব্যক্তিকে ক্রিপ্টো ব্যবহারকারী হিসেবে চিহ্নিত করতে পারে। এই প্রেক্ষাপটে ভুয়া গ্রাহক সহায়তা, জরুরি অ্যাকাউন্ট যাচাই, অর্থ উত্তোলনের সতর্কতা, কর-সংক্রান্ত বিজ্ঞপ্তি বা ওয়ালেট পুনরুদ্ধারের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। পুরোনো অ্যাকাউন্ট বন্ধ হয়ে গেলেও তথ্যের মিল পাওয়া গেলে নিরাপত্তামূলক ব্যবস্থা নেওয়া প্রয়োজন।

Coinmama ডেটাবেসে কোনো ব্যবহারকারীর ইমেইল ঠিকানা থাকলে, প্রথমেই নিশ্চিত হওয়া উচিত যে তাঁর Coinmama অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে আর কার্যকর নেই। একই বা কাছাকাছি ধরনের পাসওয়ার্ড ইমেইল, ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, ওয়ালেট, পেমেন্ট, ব্যাংক, সামাজিক যোগাযোগমাধ্যম বা কাজের অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে, প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও অনুমান করা কঠিন এমন পাসওয়ার্ড নির্ধারণ করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি কমে। সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন বজায় রাখাকে নিরাপদ মনে করা উচিত নয়।

ইমেইল অ্যাকাউন্ট এবং ক্রিপ্টোকারেন্সির সঙ্গে সংশ্লিষ্ট সব অ্যাকাউন্টে দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। সম্ভব হলে অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা কীকে অগ্রাধিকার দেওয়া উচিত। অপ্রত্যাশিত অর্থ উত্তোলনের বিজ্ঞপ্তি, ওয়ালেট পুনরুদ্ধারের অনুরোধ, বিনিয়োগের সুযোগ, অ্যাকাউন্ট যাচাইয়ের বার্তা বা সহায়তার ফোনকল পেলে কোনো লিংকে ক্লিক না করে অফিশিয়াল অ্যাপ বা ওয়েবসাইটের মাধ্যমে সেগুলো যাচাই করা উচিত। সন্দেহজনক কোনো সেশন দেখা গেলে সেশনগুলো বন্ধ করা, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানাগুলো পর্যালোচনা করা এবং পুনর্ব্যবহৃত পাসওয়ার্ডগুলো সম্পূর্ণ বদলে ফেলা উচিত।

Coinmama-এর তথ্য ফাঁস দেখায় যে ক্রিপ্টোকারেন্সি অ্যাকাউন্টে ব্যবহৃত পরিচয়-সংক্রান্ত তথ্য বহু বছর পরও উচ্চ ঝুঁকি বহন করতে পারে। ব্যবহারকারীদের ক্রিপ্টোকারেন্সি, ইমেইল, ব্যাংক, পেমেন্ট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড পুনর্ব্যবহার এড়ানো উচিত। পুরোনো এক্সচেঞ্জ অ্যাকাউন্টগুলো নিয়মিত পর্যালোচনা করা উচিত, আর অব্যবহৃত অ্যাকাউন্টগুলো বন্ধ করা অথবা স্বতন্ত্র পাসওয়ার্ড ও শক্তিশালী বহু-উপাদানভিত্তিক প্রমাণীকরণ দিয়ে আলাদাভাবে সুরক্ষিত রাখা উচিত। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম দীর্ঘ সময় অপরিবর্তিত থাকে বলে পুরোনো ফাঁস হওয়া তথ্য নতুন ফিশিং প্রচেষ্টায় আবার ব্যবহার করা যেতে পারে।

সেবা প্রদানকারীদের জন্য প্রধান শিক্ষা হলো আধুনিক ও বেশি গণনাগত ব্যয়সাপেক্ষ পাসওয়ার্ড সংরক্ষণ পদ্ধতি দিয়ে পাসওয়ার্ড হ্যাশ সুরক্ষিত রাখা, বিলম্ব না করে ব্যবহারকারীদের জানানো এবং কোন তথ্যক্ষেত্রগুলো প্রভাবিত হয়নি তা স্পষ্টভাবে উল্লেখ করা। ক্রিপ্টোকারেন্সির প্রেক্ষাপটে পেমেন্ট, পরিচয় ও ওয়ালেটের তথ্যের মতো ক্ষেত্রগুলো অত্যন্ত সংবেদনশীল, তাই যাচাই না হওয়া তথ্যক্ষেত্র ঘটনার পরিসরে অন্তর্ভুক্ত করা উচিত নয়। Coinmama-এর ঝুঁকি-সংক্রান্ত যোগাযোগ ইমেইল, ব্যবহারকারীর নাম ও MD5 WordPress পাসওয়ার্ড হ্যাশের সূত্রে অ্যাকাউন্টের নিরাপত্তার ওপরই কেন্দ্রীভূত থাকা উচিত।

Coinmama-এর তথ্য ফাঁসের রেকর্ড যাচাইয়ের ফলাফলে দেখা যায়, দেওয়া ইমেইল ঠিকানাটি এই যাচাইকৃত ডেটাসেটে রয়েছে কি না। মিল পাওয়া গেলে ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশকে ঝুঁকিতে আছে বলে বিবেচনা করা উচিত। মিল না পাওয়া গেলে তা শুধু বোঝায় যে এই নির্দিষ্ট ডেটাসেটে কোনো মিল পাওয়া যায়নি; এতে প্রমাণ হয় না যে ওই ব্যক্তি অন্য ক্রিপ্টোকারেন্সি প্ল্যাটফর্মে যুক্ত নন বা অন্য কোনো তথ্য ফাঁসের ঘটনায় তাঁর তথ্য নেই। ঘটনার তারিখের সঙ্গে যাচাইকৃত তালিকায় অন্তর্ভুক্তির তারিখ যেন গুলিয়ে না যায়, সে জন্য তারিখগুলো নির্ভুল রাখা গুরুত্বপূর্ণ।

সঠিক করণীয় হলো পুরোনো পাসওয়ার্ড পুরোপুরি বাদ দেওয়া, পুনর্ব্যবহৃত সব পাসওয়ার্ড বদলানো, শক্তিশালী বহু-উপাদানভিত্তিক প্রমাণীকরণ দিয়ে ইমেইল অ্যাকাউন্ট সুরক্ষিত করা এবং ক্রিপ্টোকারেন্সি-সংক্রান্ত ভুয়া সহায়তা বা বিনিয়োগের বার্তা সম্পর্কে সতর্ক থাকা। একই ইমেইল ও ব্যবহারকারীর নাম দিয়ে খোলা এক্সচেঞ্জ, ওয়ালেট, পেমেন্ট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোও ব্যবহারকারীর যাচাই করা উচিত। এসব পদক্ষেপ 2017 সালের তথ্য ফাঁস থেকে আজ আর্থিক সেবার অ্যাকাউন্ট দখল বা লক্ষ্যভিত্তিক ফিশিংয়ের শিকার হওয়ার ঝুঁকি কমায়।