CrackingForum তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং পাসওয়ার্ড হ্যাশ। ইমেইল ঠিকানা ব্যবহার করে ব্যবহারকারীর অন্যান্য অনলাইন অ্যাকাউন্টের সঙ্গে মিল খোঁজা যেতে পারে। ব্যবহারকারীর নাম থেকে তাঁর অন্যান্য প্রোফাইল খুঁজে পাওয়া যেতে পারে, বিশেষ করে বিভিন্ন ফোরাম বা গেমিং কমিউনিটিতে একই নাম ব্যবহার করা হলে। IP ঠিকানা থেকে আনুমানিক অবস্থান, ইন্টারনেট সেবাদাতা এবং সেশনের প্রেক্ষাপট সম্পর্কে ধারণা পাওয়া যেতে পারে।

পাসওয়ার্ড হ্যাশগুলো সাল্টযুক্ত MD5 বিন্যাসে থাকা একটি গুরুত্বপূর্ণ প্রযুক্তিগত বিষয়। সাল্ট ব্যবহার করলে অভিন্ন পাসওয়ার্ড থেকে হুবহু একই হ্যাশ মান তৈরি হওয়া কঠিন হয়; তবে MD5 দ্রুত কাজ করে বলে আক্রমণকারীরা পাসওয়ার্ডের বড় বড় তালিকা দিয়ে চেষ্টা চালাতে পারে। তাই ব্যবহারকারীদের ‘হ্যাশ ছিল, কোনো সমস্যা নেই’, এমন ধারণার ওপর নির্ভর করা উচিত নয়। একই পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করা হয়ে থাকলে, এই নথির তথ্য অ্যাকাউন্ট দখল এবং স্বয়ংক্রিয়ভাবে লগইনের চেষ্টার ক্ষেত্রে গুরুতর ঝুঁকি তৈরি করে।

এই নথিতে 6,60,305টি ক্ষতিগ্রস্ত অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে এবং ঘটনার তারিখ 2016 সালের 1 জুলাই হিসেবে নথিভুক্ত করা হয়েছে। যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং সাল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ। নথিটি একটি vBulletin-ভিত্তিক ফোরামের ঘটনার সঙ্গে সম্পর্কিত। এখানে পাসওয়ার্ডের ক্ষেত্রটিকে হ্যাশ আকারে থাকা পাসওয়ার্ডের তথ্য হিসেবে বিবেচনা করতে হবে, সরাসরি পড়া যায় এমন পাসওয়ার্ড হিসেবে নয়।

এই নথিতে যাচাইকৃত তথ্য হিসেবে বিশেষ বার্তার বিষয়বস্তু, জন্মতারিখ, ফোন নম্বর, বাসা বা স্থাপনার ঠিকানা, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট বা সরকারি পরিচয়পত্রের নম্বর নেই। ফোরামের বিষয়বস্তুর কারণে শুধু ব্যবহারকারীর নাম ও ইমেইল ঠিকানাও সংবেদনশীল প্রেক্ষাপট বহন করতে পারে; তবে যাচাইকৃত প্রযুক্তিগত পরিসর এই চার ধরনের তথ্যের মধ্যেই সীমাবদ্ধ। অপ্রয়োজনীয় আতঙ্ক সৃষ্টি না করে ব্যবহারকারীর কাছে অ্যাকাউন্টের নিরাপত্তার প্রকৃত ঝুঁকি সঠিকভাবে তুলে ধরতে এই পার্থক্যটি গুরুত্বপূর্ণ।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা তাঁদের CrackingForum অ্যাকাউন্টের পাসওয়ার্ড অন্য ফোরাম, গেম, ইমেইল, সামাজিক যোগাযোগমাধ্যম বা কেনাকাটার অ্যাকাউন্টেও ব্যবহার করেন। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করা হয়ে থাকলে আক্রমণকারীরা প্রোফাইলগুলোর মধ্যে যোগসূত্র খোঁজার চেষ্টা করতে পারে। ইমেইল ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে ভুয়া ফোরাম বিজ্ঞপ্তি, অ্যাকাউন্ট যাচাই, পাসওয়ার্ড রিসেট বা ব্যক্তিগত আমন্ত্রণের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

IP ঠিকানা ফাঁস হলে ব্যবহারকারীর বাসা বা অবস্থানের সুনির্দিষ্ট ঠিকানা প্রকাশ পায় না; তবে আনুমানিক অঞ্চল ও ইন্টারনেট সেবাদাতার তথ্য যোগ করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো সামাজিক প্রকৌশলভিত্তিক প্রতারণার বার্তাকে আরও কার্যকর করা যেতে পারে। ফোরামের প্রেক্ষাপটের কারণে সদস্যপদ প্রকাশ পাওয়া কিছু ব্যবহারকারীর সুনাম বা পারস্পরিক আস্থার সম্পর্কের জন্যও ঝুঁকি তৈরি করতে পারে। কর্মস্থলের ইমেইল দিয়ে নিবন্ধন করা ব্যক্তিদের ক্ষেত্রে এই ঝুঁকি বেশি, কারণ ফোরামের সদস্যপদ এমন একটি প্রেক্ষাপট তৈরি করতে পারে, যা নিয়োগকর্তা বা করপোরেট পরিবেশে ভুলভাবে ব্যাখ্যা করা হতে পারে।

এই নথিতে যাঁর তথ্যের মিল পাওয়া যায়, তাঁর উচিত CrackingForum অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা। নতুন পাসওয়ার্ডগুলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ এবং অনুমান করা কঠিন হওয়া উচিত। অগ্রাধিকার দিয়ে ইমেইল অ্যাকাউন্ট সুরক্ষিত করতে হবে, বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে এবং সাম্প্রতিক সেশনগুলো পরীক্ষা করতে হবে। পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন করে অন্য অ্যাকাউন্টে ব্যবহার চালিয়ে যাওয়াও ঝুঁকিপূর্ণ।

ফোরাম বা নিরাপত্তাবিষয়ক কমিউনিটির প্রসঙ্গ নিয়ে আসা অপ্রত্যাশিত বার্তার দিকে সতর্ক নজর রাখা উচিত। অ্যাকাউন্ট পুনরুদ্ধার, আমন্ত্রণ, ব্যক্তিগত ডেটাবেসে প্রবেশাধিকার, শাস্তি প্রত্যাহার, ফাইল ডাউনলোড বা নিরাপত্তা যাচাইয়ের অজুহাতে পাঠানো লিংক খোলার আগে পরীক্ষা করা উচিত। বার্তা পাঠানো ব্যক্তি ব্যবহারকারীর নাম ও আগের ফোরাম-সংক্রান্ত প্রেক্ষাপট জানেন বলেই তাঁকে বিশ্বাসযোগ্য ধরে নেওয়া উচিত নয়। পাসওয়ার্ড, যাচাইকরণ কোড, ইমেইলে প্রবেশাধিকার বা অ্যাকাউন্ট পুনরুদ্ধারের তথ্য তৃতীয় পক্ষের সঙ্গে শেয়ার করা উচিত নয়।

CrackingForum-এর ঘটনা দেখায় যে পুরোনো ফোরাম অ্যাকাউন্ট বহু বছর পরও অ্যাকাউন্টের নিরাপত্তা ও সুনামের জন্য ঝুঁকি তৈরি করতে পারে। ফোরাম, গেম ও কমিউনিটির অ্যাকাউন্টে আলাদা ব্যবহারকারীর নাম এবং আলাদা পাসওয়ার্ড ব্যবহারের অভ্যাস গড়ে তোলা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো পাসওয়ার্ড কোথায় কোথায় ব্যবহার করা হয়েছে, তা নজরে রাখা সহজ হয়। অব্যবহৃত ফোরাম অ্যাকাউন্ট বন্ধ করে দেওয়া উচিত অথবা সেগুলোর ইমেইল ঠিকানা ও প্রোফাইলের তথ্য যতটা সম্ভব কমিয়ে রাখা উচিত।

দীর্ঘমেয়াদে ব্যবহারকারীদের সব প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার এড়িয়ে চলা উচিত। প্রযুক্তিবিষয়ক ফোরাম, গেমিং কমিউনিটি, সামাজিক যোগাযোগমাধ্যম এবং পেশাগত প্রোফাইলের মধ্যে সহজে যোগসূত্র খুঁজে পাওয়া গেলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং এবং সুনামহানির ঝুঁকি তৈরি হতে পারে। IP ঠিকানা থাকা পুরোনো ফাঁসের তথ্য অন্য ডেটাসেটের সঙ্গে মিলিয়ে কোনো ব্যক্তির প্রোফাইল সম্পর্কে আরও বিস্তৃত ধারণা তৈরিতেও সহায়তা করতে পারে। তাই পুরোনো ফোরামের তথ্য ফাঁসকে কম গুরুত্বপূর্ণ মনে করা উচিত নয়; পাসওয়ার্ড ও প্রোফাইল আলাদা রাখার কৌশল নিয়ে এই ঝুঁকি মোকাবিলা করা উচিত।

এই নথিতে তথ্যের মিল পাওয়া বোঝায় যে সংশ্লিষ্ট ইমেইল ঠিকানাটি CrackingForum-এর তথ্য ফাঁসের ঘটনায় দেখা যাওয়া অ্যাকাউন্টগুলোর মধ্যে রয়েছে। মিল পাওয়া মানেই ব্যবহারকারীর বর্তমান অ্যাকাউন্ট বাস্তবে অনধিকার প্রবেশের শিকার হয়েছে, এমন নয়; তবে এতে ইঙ্গিত পাওয়া যায় যে পুরোনো ইমেইল, ব্যবহারকারীর নাম, IP এবং পাসওয়ার্ড হ্যাশের সমন্বিত তথ্য ছড়িয়ে থাকতে পারে। পাসওয়ার্ড পুনরায় ব্যবহার করা হলে ঝুঁকিটি বর্তমান অ্যাকাউন্টেও চলে আসে।

ব্যবহারকারীর প্রথমে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা, ইমেইল অ্যাকাউন্টে অতিরিক্ত যাচাইকরণ চালু করা এবং সন্দেহজনক সেশন আছে কি না পরীক্ষা করা উচিত। অন্য প্ল্যাটফর্মেও একই ব্যবহারকারীর নাম ব্যবহার করা হলে ধরে নিতে হবে যে এই প্রোফাইলগুলোর মধ্যে যোগসূত্র খুঁজে পাওয়া সম্ভব। ফোরাম-সংক্রান্ত অপ্রত্যাশিত বার্তা আলাদা কোনো মাধ্যমে যাচাই করা উচিত এবং পুরোনো পাসওয়ার্ড ও তার কাছাকাছি সব রূপের ব্যবহার পুরোপুরি বাদ দেওয়া উচিত। ঘটনাটি পুরোনো হলেও সাল্টযুক্ত MD5 হ্যাশের সঙ্গে দুর্বল পাসওয়ার্ড ব্যবহারের সমন্বয় অ্যাকাউন্টের নিরাপত্তার জন্য দীর্ঘমেয়াদি ঝুঁকি তৈরি করতে পারে।