Creative: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটি সল্টযুক্ত MD5 হ্যাশ আকারে ছিল বলে জানানো হয়েছে; এর অর্থ এই নয় যে পাসওয়ার্ড সরাসরি পড়া যায় এমন আকারে রয়েছে। তবে MD5 একটি দ্রুতগতির হ্যাশ পদ্ধতি এবং আধুনিক মানদণ্ডে এটিকে দুর্বল বলে বিবেচনা করা হয়। সল্ট ব্যবহারের ফলে একই পাসওয়ার্ড থেকে হুবহু একই আউটপুট তৈরি হওয়া কঠিন হয়, কিন্তু এতে দুর্বল বা আগে ব্যবহৃত পাসওয়ার্ড অনুমান করার সম্ভাবনা পুরোপুরি বন্ধ হয় না।

ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে আক্রমণকারীরা একই ব্যক্তির বিভিন্ন ফোরাম, কেনাকাটা, গেমিং, সামাজিক যোগাযোগমাধ্যম বা সহায়তা সেবার অ্যাকাউন্টের মধ্যে মিল খোঁজার চেষ্টা করতে পারে। IP ঠিকানা থেকে সুনির্দিষ্ট ভৌত ঠিকানা জানা যায় না; তবে এটি আনুমানিক অঞ্চল, ইন্টারনেট সেবাদাতা বা সেশনের প্রেক্ষাপট সম্পর্কে ধারণা দিতে পারে। Creative-এর মতো হার্ডওয়্যার ও অডিও পণ্যসংক্রান্ত ফোরামের ক্ষেত্রে এসব তথ্য ভুয়া সহায়তা প্রতিবেদন, ফার্মওয়্যার হালনাগাদ, ওয়ারেন্টির আবেদন, ড্রাইভার ডাউনলোডের লিংক বা অ্যাকাউন্ট যাচাইয়ের বার্তায় অপব্যবহার করা হতে পারে।

এই রেকর্ডে 4,83,015 ক্ষতিগ্রস্ত অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে এবং এর তারিখ 2018 সালের 1 মে। যাচাইকৃত প্রযুক্তিগত পরিসর Creative Technology ফোরামে ব্যবহৃত অ্যাকাউন্টের তথ্য নিয়ে গঠিত। এই তথ্যের মধ্যে রয়েছে ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ। নিশ্চিত করা হয়েছে যে ঘটনাটি পুরোনো vBulletin অবকাঠামোর সঙ্গে সম্পর্কিত এবং অবহিত হওয়ার পর ফোরামটি বন্ধ করে দেওয়া হয়েছিল। তাই রেকর্ডটি Creative-এর ফোরাম সেবার প্রেক্ষাপটে মূল্যায়ন করা উচিত।

এই রেকর্ডে পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ভৌত ঠিকানা, ফোন নম্বর, জন্মতারিখ, প্রকৃত নাম, অর্ডারের ইতিহাস, ওয়ারেন্টির নথি বা গ্রাহক সহায়তার কথোপকথন যাচাইকৃত তথ্যের ধরন হিসেবে অন্তর্ভুক্ত নয়। Creative ব্র্যান্ডের পণ্য ও ই-কমার্স কার্যক্রমকে ফোরাম অ্যাকাউন্টের সঙ্গে গুলিয়ে ফেলা উচিত নয়। ব্যবহারকারীর তথ্যের সঙ্গে মিল পাওয়া গেলে বোঝা যায় যে সংশ্লিষ্ট ইমেইল ঠিকানা ফোরামের ডেটাসেটে রয়েছে; শুধু এই মিল থেকে ব্যবহারকারীর Creative স্টোর অ্যাকাউন্ট, পেমেন্টের তথ্য বা পণ্য নিবন্ধনসংক্রান্ত আরও বিস্তৃত তথ্য ফাঁসের সিদ্ধান্তে পৌঁছানো যায় না।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা Creative ফোরামে ব্যবহৃত পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। একই ইমেইল ও পাসওয়ার্ডের সমন্বয় দিয়ে বিভিন্ন সেবায় প্রবেশের চেষ্টা করা হতে পারে। অন্য প্ল্যাটফর্মেও ব্যবহারকারীর নাম একই হলে আক্রমণকারীরা ফোরামের পরিচয়ের সঙ্গে সামাজিক যোগাযোগমাধ্যম, গেমিং, প্রযুক্তিবিষয়ক কমিউনিটি বা কেনাকাটার অ্যাকাউন্টের যোগসূত্র বের করতে পারে। হার্ডওয়্যার ও অডিও সরঞ্জামের ব্যবহারকারীরা লক্ষ্যভিত্তিক সহায়তা-সংক্রান্ত প্রতারণার ঝুঁকিতেও পড়তে পারেন।

যেসব ব্যবহারকারীর IP ঠিকানা এই তথ্যে রয়েছে, তাঁদের ক্ষেত্রে ঝুঁকিটি মূলত প্রেক্ষাপট তৈরি করা এবং লক্ষ্যভিত্তিক বার্তাকে আরও বিশ্বাসযোগ্য করে তোলার সঙ্গে সম্পর্কিত। পূর্ণ ঠিকানা জানা না গেলেও আনুমানিক অঞ্চল বা ইন্টারনেট সেবাদাতার তথ্য ভুয়া সহায়তা বার্তায় ব্যবহার করা যেতে পারে। যাঁরা কর্মস্থলের ইমেইল দিয়ে ফোরাম অ্যাকাউন্ট খুলেছেন, তাঁদের জন্য কর্পোরেট ফিশিংয়ের ঝুঁকিও রয়েছে। যেমন, ড্রাইভার হালনাগাদ, সাউন্ড কার্ডের সফটওয়্যার, ওয়ারেন্টি নিবন্ধন বা সহায়তার অনুরোধসংক্রান্ত বলে মনে হয় এমন বার্তা প্রতিষ্ঠানের ডিভাইস ব্যবহারকারীদের কাছে বিশ্বাসযোগ্য মনে হতে পারে।

এই রেকর্ডে নিজের তথ্যের সঙ্গে মিল পাওয়া ব্যবহারকারীর উচিত Creative ফোরামে ব্যবহৃত পাসওয়ার্ড এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা। নতুন পাসওয়ার্ডগুলো স্বতন্ত্র, দীর্ঘ ও অনুমান করা কঠিন হওয়া উচিত। ইমেইল অ্যাকাউন্টের সুরক্ষায় বিশেষ গুরুত্ব দিতে হবে, কারণ অন্য অ্যাকাউন্টের পাসওয়ার্ড পুনর্নির্ধারণের লিংক প্রায়ই ইমেইলের মাধ্যমেই পরিচালিত হয়। ইমেইল অ্যাকাউন্টে মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করা উচিত এবং সাম্প্রতিক সেশন ও ফরওয়ার্ডিং নিয়মগুলো পরীক্ষা করা উচিত।

Creative, ড্রাইভার, ফার্মওয়্যার, ওয়ারেন্টি, পণ্য নিবন্ধন বা প্রযুক্তিগত সহায়তার প্রসঙ্গে আসা অপ্রত্যাশিত বার্তাকে বিশ্বাসযোগ্য মনে করা উচিত নয়। কোনো লিংক খোলার আগে ডোমেইন নাম পরীক্ষা করা উচিত এবং কোনো পদক্ষেপ নেওয়ার প্রয়োজন হলে সরাসরি পরিচিত আনুষ্ঠানিক ঠিকানায় যাওয়া উচিত। কোনো বার্তার প্রেরক ব্যবহারকারীর নাম, আগের ফোরাম সদস্যপদ বা পণ্যের প্রতি আগ্রহের মতো তথ্য জানেন বলেই তাঁকে বিশ্বাসযোগ্য মনে করা উচিত নয়। পাসওয়ার্ড, যাচাইকরণ কোড, দূর থেকে ডিভাইসে প্রবেশের অনুমতি বা ইমেইল অ্যাকাউন্টের তথ্য তৃতীয় পক্ষের সঙ্গে শেয়ার করা উচিত নয়।

Creative-সংক্রান্ত এই ঘটনা দেখায় যে পুরোনো সহায়তা ফোরামে এমন তথ্য থাকতে পারে, যা বহু বছর পরও অ্যাকাউন্টের নিরাপত্তার জন্য গুরুত্বপূর্ণ। ব্যবহারকারীদের প্রযুক্তিবিষয়ক ফোরাম, নির্মাতার সহায়তা সাইট ও কমিউনিটি অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে শক্তিশালী পাসওয়ার্ড তৈরি করা এবং পুরোনো পাসওয়ার্ড কোথায় কোথায় ব্যবহার করা হয়েছে তা নজরে রাখা সহজ হয়। অব্যবহৃত ফোরাম অ্যাকাউন্ট বন্ধ করা উচিত অথবা প্রোফাইলের তথ্য যতটা সম্ভব কমিয়ে রাখা উচিত।

দীর্ঘমেয়াদে প্রতিটি প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার না করাও গুরুত্বপূর্ণ। অন্য ডেটাসেটের সঙ্গে মিলিয়ে ফোরামের ব্যবহারকারীর নাম, ইমেইল ঠিকানা ও IP তথ্য দিয়ে আরও পূর্ণাঙ্গ প্রোফাইল তৈরি করা যেতে পারে। ড্রাইভার ডাউনলোড, পণ্যের ফার্মওয়্যার হালনাগাদ ও ওয়ারেন্টির প্রক্রিয়ায় ব্যবহারকারীদের কেবল বিশ্বস্ত মাধ্যম ব্যবহার করা উচিত। পুরোনো ফোরামের তথ্য ফাঁস বর্তমান কোনো পণ্যের নিরাপত্তা সমস্যার ইঙ্গিত না দিলেও, পাসওয়ার্ড পুনর্ব্যবহার ও লক্ষ্যভিত্তিক ফিশিংয়ের ক্ষেত্রে এর প্রভাব থাকতে পারে।

এই রেকর্ডে মিল পাওয়ার অর্থ হলো, সংশ্লিষ্ট ইমেইল ঠিকানাটি 2018 সালের মে মাসে Creative ফোরামের তথ্য ফাঁসের ঘটনায় পাওয়া অ্যাকাউন্টগুলোর মধ্যে রয়েছে। মিল পাওয়ার অর্থ এই নয় যে ব্যবহারকারীর Creative স্টোর অ্যাকাউন্ট বা পেমেন্টের তথ্য ক্ষতিগ্রস্ত হয়েছে; যাচাইকৃত পরিসর ফোরাম অ্যাকাউন্টের তথ্যের মধ্যেই সীমিত। তবু ইমেইল, ব্যবহারকারীর নাম, IP ঠিকানা ও পাসওয়ার্ড হ্যাশ একসঙ্গে থাকায় ব্যবহারকারীর পদক্ষেপ নেওয়া প্রয়োজন।

ব্যবহারকারীর প্রথমে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা, দুই-ফ্যাক্টর প্রমাণীকরণ দিয়ে ইমেইল অ্যাকাউন্ট সুরক্ষিত করা এবং পুরোনো ফোরামের ব্যবহারকারীর নাম অন্য প্ল্যাটফর্মেও ব্যবহার করা হয়েছে কি না তা পর্যালোচনা করা উচিত। হার্ডওয়্যার সহায়তার বার্তা, ভুয়া ড্রাইভার ডাউনলোডের লিংক ও পণ্য হালনাগাদের বিজ্ঞপ্তি সতর্কভাবে যাচাই করা উচিত। ঘটনাটি পুরোনো হলেও, দুর্বল পাসওয়ার্ডের সঙ্গে সল্টযুক্ত MD5 হ্যাশ দীর্ঘমেয়াদে অ্যাকাউন্টের নিরাপত্তার ঝুঁকি তৈরি করতে পারে।