Collection #1: তথ্য উন্মুক্ত হওয়ার অভিযোগ

Collection #1-এ যাচাই করা প্রধান দুই ধরনের তথ্য হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। ইমেইল ঠিকানা থেকে বোঝা যায়, আক্রমণকারী কোন পরিচয় ব্যবহার করে চেষ্টা শুরু করবে। আর একই বা কাছাকাছি পাসওয়ার্ড অন্য সেবায় ব্যবহার করা হয়ে থাকলে পাসওয়ার্ডটি সরাসরি অ্যাকাউন্ট দখলের ঝুঁকি বাড়ায়। সংগ্রহটিতে পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, স্বাস্থ্যতথ্য, ব্যক্তিগত বার্তা বা বাসস্থান ও অন্যান্য বাস্তব ঠিকানার তথ্য রয়েছে কি না, তা যাচাই করা হয়নি। অযথা আতঙ্ক না ছড়িয়ে ব্যবহারকারীর কাছে প্রকৃত ঝুঁকি তুলে ধরতে এই সীমাবদ্ধতা জানানো জরুরি।

পাসওয়ার্ড সাধারণ পাঠ্য হিসেবে বা ব্যবহারযোগ্য কোনো পাসওয়ার্ড বিন্যাসে ছড়িয়ে পড়লে আক্রমণকারীর জন্য প্রযুক্তিগত বাধা কমে যায়। এমনকি পুরোনো ও আর ব্যবহার করা হয় না এমন পাসওয়ার্ডও ঝুঁকিপূর্ণ, কারণ অনেকেই সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ড ব্যবহার করতে থাকেন। ইমেইল ও পাসওয়ার্ডের জোড়া স্বয়ংক্রিয় লগইন চেষ্টা, অ্যাকাউন্ট তৈরির যাচাই, পাসওয়ার্ড রিসেটের প্রক্রিয়া এবং লক্ষ্যভিত্তিক ফিশিং বার্তায় ব্যবহার করা যেতে পারে। যাঁরা বছরের পর বছর একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি বিশেষভাবে বেশি।

ঘটনার তারিখ 2019 সালের 7 জানুয়ারি হিসেবে ধরা হয়। 2019 সালের 16 জানুয়ারি রেকর্ডটি নির্ভরযোগ্য তথ্য ফাঁস যাচাইয়ের তালিকায় যুক্ত করা হয় এবং একই দিনে অল্প সময় পর এর মেটাডেটা পরিবর্তন করা হয়। প্রভাবিত অ্যাকাউন্টের সংখ্যা 77,29,04,991টি স্বতন্ত্র ইমেইল ঠিকানা হিসেবেই রাখা উচিত। একই সমন্বয়ের পুনরাবৃত্তি, ত্রুটিপূর্ণ সারি এবং ভিন্ন ফাইল বিন্যাসের কারণে অপরিশোধিত তথ্যের বেশি সারিসংখ্যাকে ব্যবহারকারীর সংখ্যা হিসেবে ধরা উচিত নয়।

Collection #1 অযাচাইকৃত শ্রেণিতে রয়েছে। এই শ্রেণিবিন্যাসের অর্থ এই নয় যে তথ্যসমষ্টিতে প্রকৃত ব্যবহারকারীর তথ্য নেই। এর অর্থ হলো, সব উৎস আলাদাভাবে নিশ্চিত করে যাচাই করা যায় না বলে এর নির্ভরযোগ্যতার মূল্যায়ন সীমিত রাখা হয়েছে। রেকর্ডটিকে কোনো একক ডোমেইনের সঙ্গে যুক্ত করা উচিত নয়, আবার কোনো নির্দিষ্ট প্রতিষ্ঠানের সিস্টেমে বর্তমানে ঘটে যাওয়া অনুপ্রবেশ হিসেবেও উপস্থাপন করা উচিত নয়। ব্যবহারকারীকে মূলত জানানো দরকার, পাসওয়ার্ডের সমন্বয় থাকা একটি বড় ক্রেডেনশিয়াল স্টাফিং সংগ্রহে তাঁর ইমেইল ঠিকানা আছে কি না।

যাঁরা একাধিক সেবায় একই ইমেইল ও পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। পুরোনো গেম অ্যাকাউন্ট, ফোরামের সদস্যপদ, কেনাকাটার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট এবং কাজের বাইরের সেবায় ব্যবহৃত পাসওয়ার্ড পরে গুরুত্বপূর্ণ অ্যাকাউন্টেও পুনরায় ব্যবহার করা হয়ে থাকতে পারে। ব্যবহারকারীর পুরোনো পাসওয়ার্ড মনে না থাকলেও আক্রমণকারীরা একই ধরন অনুসরণ করা বিভিন্ন রূপ চেষ্টা করতে পারে।

প্রাতিষ্ঠানিক ব্যবহারকারীরাও প্রভাবিত হতে পারেন। যেসব কর্মী কর্মস্থলের ইমেইল দিয়ে ব্যক্তিগত সাইটে নিবন্ধন করেন, তাঁরা কর্মস্থলের সিস্টেমে পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করলে প্রাতিষ্ঠানিক অ্যাকাউন্টকে ঝুঁকিতে ফেলতে পারেন। প্রশাসন, অর্থ, মানবসম্পদ ও সহায়তা দলে কাজ করা ব্যক্তিদের ইমেইল ঠিকানা বিশেষভাবে মূল্যবান। কারণ, সফল লগইন চেষ্টার পাশাপাশি আক্রমণকারীরা ভুয়া চালান, ফাইল শেয়ারিং, কথিত নিরাপত্তা সতর্কতা এবং অভ্যন্তরীণ যোগাযোগের অনুকরণ ব্যবহার করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টাও চালাতে পারে।

যাঁর ইমেইল ঠিকানার সঙ্গে মিল পাওয়া গেছে, তাঁর প্রথমে নিজের ইমেইল অ্যাকাউন্ট এবং একই ধরনের পাসওয়ার্ড ব্যবহার করে থাকতে পারেন এমন সব গুরুত্বপূর্ণ অ্যাকাউন্ট পরীক্ষা করা উচিত। কোনো সেবায় একই বা কাছাকাছি পাসওয়ার্ড রাখা উচিত নয়; প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে এই কাজটি আরও নির্ভরযোগ্যভাবে করা যায়। ইমেইল অ্যাকাউন্ট অন্য অ্যাকাউন্টগুলো পুনরুদ্ধারের কেন্দ্র হিসেবে কাজ করে, তাই এখানে অগ্রাধিকার দিয়ে দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত।

পুরোনো সেশন, অপরিচিত ডিভাইস, অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা এবং নিরাপত্তা সতর্কতা পর্যালোচনা করা উচিত। সংগ্রহে থাকা পাসওয়ার্ডটি কোন সেবা থেকে এসেছে, তা ব্যবহারকারী সব সময় জানতে নাও পারেন। তাই শুধু একটি সাইটের পাসওয়ার্ড বদলানো যথেষ্ট নয়। ব্যাংকিং, ইমেইল, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা এবং কর্মস্থলের অ্যাকাউন্টের মতো গুরুত্বপূর্ণ ক্ষেত্রে আলাদা পাসওয়ার্ড ও প্রমাণীকরণের শক্তিশালী দ্বিতীয় উপাদান ব্যবহার করা উচিত।

ক্রেডেনশিয়াল স্টাফিং সংগ্রহগুলো বছরের পর বছর নতুনভাবে সাজানো হয়, ভিন্ন নামে আবার ছড়িয়ে পড়ে এবং নতুন তালিকার সঙ্গে যুক্ত হয়। তাই দীর্ঘমেয়াদি সুরক্ষার জন্য একবার পাসওয়ার্ড বদলানো যথেষ্ট নয়। ব্যবহারকারীদের পুরোনো পাসওয়ার্ডের ধরন পুরোপুরি বাদ দেওয়া, প্রতিটি সেবায় আলাদা পাসওয়ার্ড ব্যবহার করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে অ্যাপভিত্তিক যাচাইকরণ বা সিকিউরিটি কি বেছে নেওয়া উচিত।

প্রতিষ্ঠানগুলোর উচিত তথ্য ফাঁসের তালিকায় কর্মীদের পাসওয়ার্ড পাওয়াকে ঝুঁকির একটি পৃথক সংকেত হিসেবে বিবেচনা করা। পাসওয়ার্ড পুনরায় ব্যবহার ঠেকানোর নীতি, বাধ্যতামূলক একাধিক উপাদানভিত্তিক প্রমাণীকরণ, সন্দেহজনক লগইন চেষ্টার সতর্কতা এবং ঝুঁকিপূর্ণ ভৌগোলিক অবস্থান থেকে আসা সেশন যাচাই এ ধরনের সংগ্রহের প্রভাব কমায়। ইমেইল ঠিকানা ও পাসওয়ার্ডের জোড়া কীভাবে অপব্যবহার করা হয়, তা কর্মীদের জানানো উচিত। পাশাপাশি নিশ্চিত করা উচিত, ব্যক্তিগত অ্যাকাউন্ট ব্যবহারের পুরোনো অভ্যাস যেন কর্মস্থলের অ্যাকাউন্টে চলে না আসে।

অনুসন্ধানের ফলে মিল পাওয়া গেলে এর অর্থ হলো, ইমেইল ঠিকানাটি Collection #1 ডেটাবেসে রয়েছে। এই ফলের অর্থ এই নয় যে সব পাসওয়ার্ড বর্তমানে ব্যবহৃত হচ্ছে বা সেই মুহূর্তে কোনো নির্দিষ্ট প্রতিষ্ঠানের অ্যাকাউন্টের নিয়ন্ত্রণ হাতছাড়া হয়েছে। তবে পাসওয়ার্ড পুনরায় ব্যবহার করা হয়েছে কি না, তা পুঙ্খানুপুঙ্খভাবে যাচাই করা জরুরি। একই ইমেইল ঠিকানা দিয়ে ব্যবহৃত সব গুরুত্বপূর্ণ অ্যাকাউন্টে আলাদা পাসওয়ার্ড রয়েছে কি না এবং দুই-ধাপের যাচাইকরণ চালু আছে কি না, ব্যবহারকারীর তা পরীক্ষা করা উচিত।

ফলে মিল না পাওয়া গেলে বোঝা যায়, এই সংগ্রহে কোনো মিল পাওয়া যায়নি। তবে একই ঠিকানা অন্য তথ্য ফাঁসের ঘটনা বা পরবর্তী ক্রেডেনশিয়াল স্টাফিং তালিকায় থাকতে পারে। নিয়মিত পর্যবেক্ষণ, আলাদা পাসওয়ার্ড ব্যবহার, ইমেইল অ্যাকাউন্টের শক্তিশালী নিরাপত্তা এবং সন্দেহজনক বার্তার বিষয়ে সতর্ক থাকার অভ্যাস বজায় রাখা উচিত। Collection #1-এর মতো বড় সংগ্রহগুলোকে এই স্থায়ী সতর্কবার্তা হিসেবে দেখা উচিত যে পুরোনো পাসওয়ার্ড কখনোই পুনরায় ব্যবহার করা উচিত নয়।