Telegram-এ প্রকাশিত কম্বোলিস্ট

Telegram-এ প্রকাশিত কম্বোলিস্ট-এ যাচাইকৃত তথ্যের ধরন হিসেবে ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড রয়েছে। এই তিনটি তথ্য একত্র হলে অ্যাকাউন্ট দখলের ঝুঁকি গুরুতর হয়ে ওঠে। ইমেইল ঠিকানা বা ব্যবহারকারীর নাম থেকে বোঝা যায়, আক্রমণকারী কোন পরিচয় ব্যবহার করে লগইনের চেষ্টা করবে; আর পাসওয়ার্ডটি অন্য সেবায় একই বা কাছাকাছি রূপে ব্যবহৃত হলে তা সরাসরি লগইনের চেষ্টার ভিত্তি হয়ে দাঁড়ায়। তাই এই ফলাফলকে সাধারণ স্প্যাম সতর্কতা হিসেবে নয়, বরং উচ্চ অগ্রাধিকারের পাসওয়ার্ড নিরাপত্তা সতর্কতা হিসেবে বিবেচনা করা উচিত।

এই ডেটাসেটে যাচাইকৃত তথ্যের ধরন হিসেবে নাম, ফোন নম্বর, বাসা বা প্রতিষ্ঠানের ঠিকানা, পেমেন্ট কার্ড কিংবা সরকারি পরিচয়পত্রের নম্বর অন্তর্ভুক্ত নেই। মূল ঝুঁকি পরিচয় যাচাইয়ের তথ্যে। কিছু সারিতে কোন ওয়েবসাইটে পাসওয়ার্ডটি দেওয়া হয়েছিল, সেই তথ্য থাকতে পারে। ফলে আক্রমণকারীরা কোন সেবায় লগইনের চেষ্টা করবে, তা আরও সহজে বুঝতে পারে। তবে ব্যবহারকারীর পর্দায় কোন পাসওয়ার্ডটি কোন সাইটের সঙ্গে মেলে, তা সব সময় দেখানো নাও হতে পারে। এই অনিশ্চয়তার কারণে একাধিক অ্যাকাউন্টে ব্যবহৃত সব পাসওয়ার্ডকে ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা প্রয়োজন।

কম্বোলিস্টের উৎসে প্রায়ই পুরোনো তথ্য ফাঁস, নতুনভাবে সাজানো তালিকা, অনুমান করা দুর্বল পাসওয়ার্ড অথবা তথ্য চুরি করা ম্যালওয়্যারের লগ থাকে। তাই একই ইমেইল ঠিকানার সঙ্গে অতীতে বিভিন্ন সেবায় ব্যবহৃত একাধিক পাসওয়ার্ড পাওয়া যেতে পারে। কোনো ব্যবহারকারী বর্তমানে শক্তিশালী পাসওয়ার্ড ব্যবহার করলেও, পুরোনো পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে কার্যকর থাকলে ঝুঁকি থেকে যায়। প্রতিষ্ঠানের ক্ষেত্রে, এ ধরনের তালিকায় কর্মীদের ইমেইল থাকলে নির্দিষ্ট অ্যাকাউন্টের লগইন তথ্য অনুমান করার আক্রমণ এবং ফিশিং বার্তার প্রবাহ বাড়তে পারে।

যাচাইকৃত পরিধি হলো: সংগ্রহের তারিখ 28 মে 2024, রেকর্ড যোগ করার তারিখ 3 জুন 2024, সর্বশেষ হালনাগাদের তারিখ 11 জুন 2024 এবং 36,14,68,099টি স্বতন্ত্র অ্যাকাউন্ট। তথ্যের ধরন হলো ইমেইল ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। এই ঘটনা থেকে Telegram সেবার সিস্টেমে নিরাপত্তা লঙ্ঘন হয়েছে বলে বোঝা যায় না। আরও যথাযথভাবে বললে, ক্ষতিকর কর্মকাণ্ডে ব্যবহৃত Telegram চ্যানেলগুলোতে শেয়ার করা লগইন তথ্যের তালিকা সংগ্রহ ও যাচাই করে একটি ডেটাসেট হিসেবে শ্রেণিবদ্ধ করা হয়েছে।

ব্যবহারকারীর নিরাপত্তার জন্য এই পার্থক্যটি গুরুত্বপূর্ণ। তথ্যের সঙ্গে মিল পাওয়ার অর্থ এই নয় যে ব্যবহারকারীর Telegram অ্যাকাউন্টের নিয়ন্ত্রণ অন্য কারও হাতে চলে গেছে। ব্যবহারকারীর ইমেইল ঠিকানা, ব্যবহারকারীর নাম বা পাসওয়ার্ড বিভিন্ন উৎসের তালিকায় থাকতে পারে এবং সেই তালিকাগুলো Telegram চ্যানেলে ছড়িয়ে থাকতে পারে। তাই শুধু একটি নির্দিষ্ট সামাজিক যোগাযোগ বা বার্তা আদান-প্রদানের অ্যাকাউন্টে মনোযোগ না দিয়ে, একই ইমেইল ও পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে এমন সব গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য ব্যবস্থা নেওয়া উচিত।

কাঁচা ডেটার মোট সারির সংখ্যাকে স্বতন্ত্র অ্যাকাউন্টের সংখ্যার সঙ্গে গুলিয়ে ফেলা উচিত নয়। প্রায় 200 কোটি সারির মধ্যে একই ইমেইল ঠিকানা ভিন্ন পাসওয়ার্ডসহ বা ভিন্ন উৎস থেকে একাধিকবার থাকতে পারে। ব্যবহারকারীকে দেখানো আক্রান্ত অ্যাকাউন্টের সংখ্যা স্বতন্ত্র ইমেইল ঠিকানার ভিত্তিতে যাচাইকৃত সংখ্যা। যাচাই করা হয়নি এমন কোনো তথ্যকে তথ্যের ধরনে যোগ করা উচিত নয়, ঘটনাটিকে কোনো একক ব্র্যান্ডের তথ্য ফাঁস হিসেবে উপস্থাপন করা উচিত নয় এবং এর পরিধি লগইন তথ্যের সংগ্রহের মধ্যেই সীমিত রাখা উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা একাধিক সেবায় একই পাসওয়ার্ড ব্যবহার করেন। কোনো পুরোনো ফোরাম, গেমের অ্যাকাউন্ট, কেনাকাটার সাইট বা পরীক্ষামূলক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড পরে ইমেইল, সামাজিক যোগাযোগমাধ্যম, আর্থিক সেবা বা কাজের অ্যাকাউন্টে আবার ব্যবহার করা হলে, এই ডেটাসেট আক্রমণকারীদের লগইনের চেষ্টা চালানোর জন্য প্রস্তুত একটি তালিকা দিতে পারে। পাসওয়ার্ড দীর্ঘ হলেও, প্রতিটি অ্যাকাউন্টের জন্য আলাদা না হলে ঝুঁকি থেকে যায়। তাই সব গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড বাধ্যতামূলক হওয়া উচিত।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই কর্মীরা, যাঁরা প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে ব্যক্তিগত সেবায় অ্যাকাউন্ট খোলেন। কোনো কর্মীর প্রাতিষ্ঠানিক ইমেইল ঠিকানা ও পাসওয়ার্ড কম্বোলিস্টে পাওয়া গেলে তা প্রতিষ্ঠানের সিস্টেমের নিরাপত্তা লঙ্ঘিত হয়েছে বলে প্রমাণ করে না; তবে আক্রমণকারীদের প্রতিষ্ঠানের ডোমেইনে লগইনের চেষ্টা করার সুযোগ দেয়। প্রশাসক এবং অর্থ, মানবসম্পদ, সহায়তা ও কারিগরি দলের অ্যাকাউন্টগুলো মূল্যায়নে অগ্রাধিকার দেওয়া উচিত। প্রতিষ্ঠানগুলোর উচিত ব্যর্থ লগইনের চেষ্টা, অস্বাভাবিক স্থান থেকে লগইন এবং নতুন ডিভাইসে শুরু হওয়া সেশন নিবিড়ভাবে পর্যবেক্ষণ করা।

তৃতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই ব্যবহারকারীরা, যাঁদের ডিভাইসে আগে তথ্য চুরি করা ম্যালওয়্যার চলেছে বলে আশঙ্কা রয়েছে। তথ্যের এমন কোনো উৎস থাকলে শুধু পাসওয়ার্ড বদলানো যথেষ্ট নাও হতে পারে। ব্রাউজারে সংরক্ষিত পাসওয়ার্ড, সেশন কুকি এবং ফর্মের রেকর্ডও ঝুঁকিতে থাকতে পারে। ব্যবহারকারীদের উচিত নির্ভরযোগ্য নিরাপত্তা সফটওয়্যার দিয়ে ডিভাইস স্ক্যান করা, অপরিচিত ব্রাউজার এক্সটেনশন সরিয়ে ফেলা, চালু সেশনগুলো বন্ধ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে নিরাপত্তা চাবি বা দুই উপাদানের মাধ্যমে শক্তিশালী পরিচয় যাচাই ব্যবহার করা।

যাঁদের তথ্যের সঙ্গে মিল পাওয়া যায়, তাঁদের প্রথমে ইমেইল অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। এরপর সব গুরুত্বপূর্ণ অ্যাকাউন্টের পাসওয়ার্ড বদলাতে হবে। একই বা কাছাকাছি পাসওয়ার্ড সম্পূর্ণ এড়িয়ে প্রতিটি সেবার জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড বেছে নেওয়া উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে এই প্রক্রিয়া নির্ভরযোগ্য হয়। পুরোনো পাসওয়ার্ডের শেষে একটি সংখ্যা যোগ করা বা কোনো অক্ষরে সামান্য পরিবর্তন আনা যথেষ্ট নয়; আক্রমণকারীরা সহজেই এসব পরিবর্তিত রূপ চেষ্টা করতে পারে।

দ্বিতীয় ধাপ হলো একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা। শুধু SMS কোডের তুলনায় অ্যাপভিত্তিক পরিচয় যাচাই বা হার্ডওয়্যার নিরাপত্তা চাবি বেশি সুরক্ষা দেয়। অ্যাকাউন্টের সেটিংসে চালু সেশন, অপরিচিত ডিভাইস, নতুন যোগ করা পুনরুদ্ধার ইমেইল ঠিকানা, ফরওয়ার্ডিংয়ের নিয়ম এবং সাম্প্রতিক লগইন কার্যক্রম পরীক্ষা করা উচিত। সন্দেহজনক সেশন বন্ধ করতে হবে, পুনরুদ্ধারের তথ্য হালনাগাদ করতে হবে এবং নিরাপত্তা বিজ্ঞপ্তি চালু রাখতে হবে।

তৃতীয় ধাপ হলো ডিভাইসের নিরাপত্তা পরীক্ষা করা। তথ্য চুরি করা ম্যালওয়্যার থাকার সম্ভাবনার কারণে ব্যবহারকারীদের উচিত কম্পিউটার ও ফোন হালনাগাদ করা, অপরিচিত অ্যাপ্লিকেশন সরিয়ে ফেলা, ব্রাউজার এক্সটেনশনগুলো পর্যালোচনা করা এবং বিশ্বস্ত নিরাপত্তা সফটওয়্যার দিয়ে স্ক্যান চালানো। একই ডিভাইসে কাজের অ্যাকাউন্ট, আর্থিক সেবার অ্যাকাউন্ট বা প্রধান ইমেইল অ্যাকাউন্ট ব্যবহার করা হয়ে থাকলে, সেসব অ্যাকাউন্টেও সেশন মুছে ফেলা ও প্রবেশাধিকার নিয়ন্ত্রণের ব্যবস্থা নেওয়া উচিত।

দীর্ঘমেয়াদে সবচেয়ে কার্যকর প্রতিরক্ষা হলো প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার এবং দুই উপাদানের মাধ্যমে শক্তিশালী পরিচয় যাচাই। প্রতিটি সেবায় আলাদা পাসওয়ার্ড ব্যবহার করা হলে, কম্বোলিস্টে পাওয়া লগইন তথ্য দিয়ে অন্য অ্যাকাউন্টে প্রবেশ করা যায় না। ব্যবহারকারীদের উচিত পাসওয়ার্ড ম্যানেজার দিয়ে এলোমেলো পাসওয়ার্ড তৈরি করা, পুরোনো অ্যাকাউন্ট বন্ধ করা, অব্যবহৃত সেবার সেশন শেষ করা এবং নিয়মিত তথ্য ফাঁসের পরীক্ষা করার অভ্যাস গড়ে তোলা।

প্রতিষ্ঠানের জন্য স্থায়ী কৌশল হলো বাইরের লগইন তথ্যের সংগ্রহে কর্মীদের ইমেইল পাওয়া যাচ্ছে কি না, তা পর্যবেক্ষণ করা এবং ঝুঁকির মাত্রা অনুযায়ী ফলাফলগুলোর অগ্রাধিকার নির্ধারণ করা। উচ্চ প্রবেশাধিকারসম্পন্ন অ্যাকাউন্টের ক্ষেত্রে নিরাপত্তা চাবি, একাধিক উপাদানের মাধ্যমে বাধ্যতামূলক পরিচয় যাচাই, ঝুঁকিভিত্তিক লগইন নিয়ন্ত্রণ এবং ফাঁস হওয়া পাসওয়ার্ড ব্যবহার রোধের নিয়ম একসঙ্গে প্রয়োগ করা উচিত। হেল্প ডেস্কের প্রক্রিয়ায় পাসওয়ার্ড রিসেটের অনুরোধ শক্তিশালী পরিচয় যাচাইয়ের মাধ্যমে নিশ্চিত করা উচিত।

এই ঘটনা আরও দেখায় যে ডিভাইসকে নিরাপদ ও পরিচ্ছন্ন রাখা পাসওয়ার্ডের নিরাপত্তার মতোই গুরুত্বপূর্ণ। ব্যবহারকারীদের উচিত অপারেটিং সিস্টেম ও ব্রাউজার হালনাগাদে দেরি না করা, পাইরেটেড সফটওয়্যার ও অপরিচিত প্লাগইন এড়ানো এবং প্রধান ইমেইল অ্যাকাউন্ট কেবল বিশ্বস্ত ডিভাইসে ব্যবহার করা। তথ্য চুরি করা ম্যালওয়্যার শুধু পাসওয়ার্ড নয়, সক্রিয় সেশনও লক্ষ্য করতে পারে। তাই নিয়মিত সেশন পরিষ্কার করা এবং নিরাপত্তা বিজ্ঞপ্তি পর্যবেক্ষণ করা দীর্ঘমেয়াদি প্রতিরক্ষার অংশ।

Telegram-এ প্রকাশিত কম্বোলিস্টের তথ্য ফাঁস-এ আপনার ইমেইল ঠিকানা পাওয়া গেলে, এটিকে কোনো নির্দিষ্ট সেবার সরাসরি নিরাপত্তা লঙ্ঘন হিসেবে দেখবেন না। আরও যথাযথভাবে বললে, আপনার ইমেইল ঠিকানা, ব্যবহারকারীর নাম বা পাসওয়ার্ড ক্ষতিকর কর্মকাণ্ডে ব্যবহৃত চ্যানেলগুলোর মাধ্যমে শেয়ার করা লগইন তথ্যের বড় একটি সংগ্রহে অন্তর্ভুক্ত হয়ে থাকতে পারে। প্রধান লক্ষ্য হলো একই পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহৃত হচ্ছে কি না তা খুঁজে বের করা এবং একাধিক অ্যাকাউন্টে একই পাসওয়ার্ডের ব্যবহার দ্রুত বন্ধ করা।

যাচাইয়ের ফলাফলে মিল পাওয়া গেলে ইমেইল অ্যাকাউন্ট, আর্থিক সেবার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, কাজের টুল এবং ক্লাউড সেবা অগ্রাধিকার দিয়ে পর্যালোচনা করা উচিত। সব গুরুত্বপূর্ণ অ্যাকাউন্টে আলাদা পাসওয়ার্ড, একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই, সেশন নিয়ন্ত্রণ এবং ডিভাইসের নিরাপত্তার ব্যবস্থা প্রয়োগ করা উচিত। প্রাতিষ্ঠানিক ইমেইল ঠিকানার ক্ষেত্রে ডোমেইনভিত্তিক পর্যবেক্ষণ ঝুঁকিপূর্ণ কর্মী অ্যাকাউন্টগুলোকে অগ্রাধিকার দেওয়া সহজ করে। নিয়মিত পরীক্ষা করলে নতুন করে অ্যাকাউন্টে লগইনের চেষ্টা চালানোর আক্রমণে পুরোনো কম্বোলিস্ট আবার ব্যবহারের ফলে তৈরি হওয়া ঝুঁকি আগেভাগে শনাক্ত করতে সুবিধা হয়।