Cutout.Pro: তথ্য ফাঁস

যেসব ধরনের তথ্য ফাঁস হওয়ার বিষয়টি নিশ্চিত হয়েছে, সেগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, নাম ও পাসওয়ার্ড। পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য টেক্সট হিসেবে সংরক্ষিত ছিল না; সেগুলো সল্টযুক্ত MD5 হ্যাশ হিসেবে রাখা হয়েছিল। সল্ট ব্যবহারের ফলে একই পাসওয়ার্ড থেকেও ভিন্ন হ্যাশ তৈরি হয় এবং আগে থেকে গণনা করে তৈরি রেইনবো টেবিলের বিরুদ্ধে সুরক্ষা পাওয়া যায়। তবে আধুনিক পাসওয়ার্ড সংরক্ষণের জন্য MD5 একটি দ্রুত ও দুর্বল অ্যালগরিদম। তাই ছোট, বহুল ব্যবহৃত বা অভিধানের শব্দভিত্তিক পাসওয়ার্ডগুলো অফলাইনে অনুমান করে বের করার ঝুঁকিতে থাকে। ইমেইল ঠিকানার সঙ্গে নাম মিলিয়ে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং করা সম্ভব হতে পারে। অন্যদিকে, IP ঠিকানা থেকে নেটওয়ার্ক বা অঞ্চল সম্পর্কে আনুমানিক ধারণা পাওয়া যেতে পারে। ফোন নম্বর, বাসা বা অফিসের ঠিকানা, পেমেন্ট কার্ড এবং ব্যবহারকারীদের প্রক্রিয়াকরণ করা ছবি বা ভিডিও ফাইল নিশ্চিতভাবে ফাঁস হওয়া তথ্যের ধরনগুলোর মধ্যে নেই। এই পাতায় দেওয়া 1,99,72,829 সংখ্যাটিই যাচাইকৃত অ্যাকাউন্টের প্রামাণ্য সংখ্যা; গোল করে বলা “2 কোটি” সংখ্যার সঙ্গে এটি যোগ করা যাবে না।

তথ্য ফাঁসের প্রামাণ্য তারিখ হলো 26 ফেব্রুয়ারি 2024। একটি সাইবার অপরাধবিষয়ক ফোরামে প্রায় 2 কোটি ব্যবহারকারীর রেকর্ড প্রকাশ করা হয়েছে, এমন প্রথম প্রকাশ্য সতর্কতা আসে 27 ফেব্রুয়ারি। 29 ফেব্রুয়ারি ও 4 মার্চের স্বতন্ত্র প্রতিবেদনগুলোর মাধ্যমে ঘটনাটি আরও বেশি মানুষের নজরে আসে। যাচাইকৃত রেকর্ডটি তথ্য ফাঁসের তালিকায় যুক্ত করা হয় 28 ফেব্রুয়ারি। রেকর্ডগুলোকে সরাসরি Cutout.Pro অ্যাকাউন্টের তথ্য হিসেবে শনাক্ত করা হয় এবং নির্ধারিত চারটি তথ্যক্ষেত্রের ভিত্তিতে যাচাই করা হয়। সল্টযুক্ত MD5 হ্যাশ সরাসরি পড়ে পাসওয়ার্ড জানা যায় না, তবে MD5-এর গণনার গতি একজন আক্রমণকারীকে বিপুলসংখ্যক সম্ভাব্য পাসওয়ার্ড পরীক্ষা করার সুযোগ দেয়। নির্ভরযোগ্য সূত্রগুলো থেকে প্রথম অনুপ্রবেশের পথ, ব্যবহৃত দুর্বলতা বা অনুপ্রবেশকারী কত দিন প্রবেশাধিকার ধরে রেখেছিলেন, এসব নিশ্চিত করা যায়নি। তাই এখানে ওই বিষয়গুলো নিয়ে কোনো অনুমান করা হয়নি। এটি Cutout.Pro-এর অবকাঠামোর সঙ্গে সংশ্লিষ্ট একটি যাচাইকৃত ডেটাবেস ফাঁসের ঘটনা; সম্পর্কহীন ওয়েবসাইট থেকে পাসওয়ার্ড জড়ো করে তৈরি কোনো সংকলন বা তথ্যচুরির ম্যালওয়্যার থেকে পাওয়া তথ্য নয়।

যাঁরা ফেব্রুয়ারি 2024-এর মধ্যে Cutout.Pro অ্যাকাউন্ট তৈরি করেছিলেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। যাঁরা ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, ডিজাইন টুল বা অন্য কোনো AI সেবায় একই পাসওয়ার্ড ব্যবহার করেছেন, তাঁদের অ্যাকাউন্ট দখল হয়ে যাওয়ার ঝুঁকি বেশি। সল্টযুক্ত MD5 হ্যাশ আসল পাসওয়ার্ড নয়। তবে কোনো দুর্বল পাসওয়ার্ড অফলাইনে অনুমান করে বের করা গেলে, উদ্ধার করা সেই পাসওয়ার্ড দিয়ে অন্য সেবায় প্রবেশের চেষ্টা করা যেতে পারে। এই সেবার প্রোগ্রামভিত্তিক টুল ব্যবহারকারী ডিজাইন এজেন্সি, ই-কমার্স দল, আলোকচিত্রী ও ডেভেলপারদের লক্ষ্য করে ভুয়া চালান, ব্যবহারের সীমাসংক্রান্ত সতর্কতা, সাবস্ক্রিপশন নবায়ন বা ফাইল শেয়ার করার বার্তা পাঠানো হতে পারে, কারণ তাঁদের ব্যবসায়িক ইমেইল ঠিকানা থেকে প্রাসঙ্গিক তথ্য পাওয়া যায়। IP ঠিকানা থেকে সংযোগের আনুমানিক অঞ্চল বা প্রতিষ্ঠানের নেটওয়ার্ক সেবাদাতা সম্পর্কে ধারণা পাওয়া যেতে পারে, কিন্তু তা দিয়ে সুনির্দিষ্ট অবস্থান নিশ্চিত করা যায় না। এই রেকর্ডে প্রক্রিয়াকরণ করা ছবি ফাঁস হওয়ার বিষয়টি নিশ্চিত করা হয়নি। তাই এটিকে ব্যবহারকারীদের ব্যক্তিগত ছবি ফাঁস হওয়ার প্রমাণ হিসেবে দেখা উচিত নয়।

সবার আগে আপনার করণীয় হলো তথ্য ফাঁসের সময় Cutout.Pro-তে ব্যবহৃত পাসওয়ার্ডটি এখনো যেসব জায়গায় ব্যবহার করছেন, সেসব জায়গায় সেটি শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড দিয়ে বদলে ফেলা। প্রথমে সংশ্লিষ্ট ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন, কারণ পাসওয়ার্ড পুনরায় সেট করার লিংক ও নিরাপত্তাসংক্রান্ত বিজ্ঞপ্তি সেখানে আসতে পারে। ইমেইল, ক্লাউড স্টোরেজ, পেমেন্ট ও ডিজাইন অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন। যেখানে সুযোগ আছে, সেখানে অথেনটিকেটর অ্যাপ, পাসকি বা হার্ডওয়্যার সিকিউরিটি কি বেছে নিন। Cutout.Pro-এর সক্রিয় সেশন, সংযুক্ত অ্যাপ্লিকেশন ও প্রোগ্রামভিত্তিক অ্যাক্সেস কি পর্যালোচনা করুন; অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক কি বদলে নতুন কি ব্যবহার করুন। পাসওয়ার্ড বদলাতে বার্তার কোনো লিংকে ক্লিক না করে ব্রাউজারে cutout.pro লিখে শুরু করুন। “আপনার ফাইল প্রক্রিয়াকরণ করা হয়েছে”, “আপনার ক্রেডিটের মেয়াদ শেষ হয়েছে” বা “আপনার সাবস্ক্রিপশন স্থগিত করা হয়েছে”, এ ধরনের তাড়াহুড়ো তৈরি করার উদ্দেশ্যে পাঠানো বার্তায় প্রেরকের ডোমেইন যাচাই করুন।

প্রতিটি সেবার জন্য এলোমেলোভাবে তৈরি স্বতন্ত্র পাসওয়ার্ড ব্যবহার করলে একটি পাসওয়ার্ডের হ্যাশ ভেঙে পাসওয়ার্ড উদ্ধার করা হলেও অন্য অ্যাকাউন্টগুলো প্রভাবিত হয় না। বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে লগইনের তথ্য সংরক্ষণ করুন এবং সেটির প্রধান অ্যাকাউন্ট শক্তিশালী মাল্টি-ফ্যাক্টর অথেনটিকেশন দিয়ে সুরক্ষিত রাখুন। পাসওয়ার্ডের ওপর নির্ভরতা কমাতে যেখানে সুযোগ আছে, সেখানে পাসকি ব্যবহার করুন। দলীয় অ্যাকাউন্টের ক্ষেত্রে একই লগইন ভাগাভাগি না করে পৃথক ব্যবহারকারী ও ভূমিকা অনুযায়ী অনুমতি নির্ধারণ করুন এবং সাবেক কর্মীদের প্রবেশাধিকার দ্রুত সরিয়ে দিন। প্রোগ্রামভিত্তিক অ্যাক্সেস কি কখনো সোর্স কোড, উন্মুক্ত রিপোজিটরি বা সহায়তা চাওয়ার বার্তায় রাখবেন না; নিয়মিত কি বদলান এবং কেবল প্রয়োজনীয় অনুমতিগুলো দিন। ছবি প্রক্রিয়াকরণ সেবায় ক্লায়েন্টের ফাইল আপলোড করার আগে সেগুলো কতটা সংবেদনশীল তা মূল্যায়ন করুন, অপ্রয়োজনীয় পরিচয়পত্র বা মেটাডেটা সরিয়ে ফেলুন এবং তথ্য কত দিন সংরক্ষণ করা হবে, সে বিষয়ে চুক্তির শর্তগুলো পর্যালোচনা করুন। তথ্য ফাঁসের নিয়মিত বিজ্ঞপ্তি পেলে একই ইমেইল ঠিকানা অন্য কোনো ঘটনায় পাওয়া গেলে আপনি দ্রুত ব্যবস্থা নিতে পারবেন।

Cutout.Pro-এর রেকর্ডে আপনার তথ্য আছে কি না জানতে, 2024 সালের মধ্যে আপনি ব্যবহার করে থাকতে পারেন এমন প্রতিটি বর্তমান ও পুরোনো ইমেইল ঠিকানা বিশ্বস্ত কোনো তথ্য ফাঁস অনুসন্ধান সেবায় যাচাই করুন। মিল পাওয়ার অর্থ হলো, ঠিকানাটি এমন একটি যাচাইকৃত ডেটাসেটে রয়েছে, যেখানে নাম, IP ঠিকানা ও সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশও থাকতে পারে। এতে পাসওয়ার্ডটি সফলভাবে উদ্ধার করা হয়েছে বলে প্রমাণ হয় না, তবে সেই পাসওয়ার্ডকে আর নিরাপদ না ভাবার জন্য এটি যথেষ্ট সতর্কসংকেত। আগের কর্মস্থলের ইমেইল ঠিকানাও যাচাই করুন, কারণ বন্ধ হয়ে যাওয়া মেইলবক্সের তথ্য পুরোনো রেকর্ডে থেকে যেতে পারে, অথচ একই পাসওয়ার্ড অন্য কোথাও এখনো ব্যবহৃত হতে পারে। ব্যক্তিগত তথ্য অন্যদের কাছে ছড়িয়ে না দিয়ে ফলাফল নথিবদ্ধ করুন এবং ইমেইল, আর্থিক ও ক্লাউড অ্যাকাউন্ট দিয়ে শুরু করে পাসওয়ার্ড বদলানোর কাজকে অগ্রাধিকার দিন। অনুমতি ছাড়া অন্য কারও ইমেইল ঠিকানা অনুসন্ধান করবেন না; শুধু নিজের অ্যাকাউন্ট বা যে প্রাতিষ্ঠানিক সম্পদের ব্যবস্থাপনার অনুমতি আপনার আছে, সেগুলো সুরক্ষিত করতে এই তথ্য ব্যবহার করুন।