Cykelsiderne: তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাইয়ের মূল্যায়নে 2018 সালের আগস্টের প্রেক্ষাপটে cykelsiderne.net ডোমেইন নামটি যাচাই করা হয়েছে। 12,442টি রেকর্ড, ইমেইল ঠিকানা এবং সরল পাঠ্য বা প্লেইনটেক্সট আকারে থাকা পাসওয়ার্ডের ক্ষেত্রের পক্ষে সমর্থন পাওয়া গেছে। পুরোনো ফোরাম, ই-কমার্স, ক্রীড়া আয়োজন, গেমিং কমিউনিটি, প্রযুক্তিপণ্য সরবরাহ ও মানচিত্রভিত্তিক সাইটের নিবন্ধনের ক্ষেত্রে এই পদ্ধতি বিশেষভাবে গুরুত্বপূর্ণ। কারণ কাছাকাছি নামের সাইট, বন্ধ ডোমেইন বা অন্য ঠিকানায় পাঠিয়ে দেওয়া ডোমেইন দেখে একই ঘটনা বলে মনে হতে পারে। Cykelsiderne-এর রেকর্ড তৈরির সময় নাম, ডোমেইন নাম, রেকর্ডের সংখ্যা, ঘটনার সময় ও তথ্যের শ্রেণি একসঙ্গে মূল্যায়ন করা হয়েছে।

পাসওয়ার্ড সংরক্ষণের ধরন প্লেইনটেক্সট ছিল বলে সমর্থন পাওয়া গেছে। তাই একই পাসওয়ার্ড আবার ব্যবহার করা হলে অ্যাকাউন্ট দখলের ঝুঁকি সরাসরি ও বেশি। শখ ও খেলাধুলার খবরের সাইটে ব্যবহৃত পাসওয়ার্ড অন্য ফোরাম, সামাজিক যোগাযোগমাধ্যম ও ইমেইল অ্যাকাউন্টেও ব্যবহৃত হয়ে থাকতে পারে। তাই এই রেকর্ডে শুধু ঘটনার নাম তালিকাভুক্ত করা হয়নি; কোন পাসওয়ার্ড বদলাতে হবে, কোন অ্যাকাউন্ট পরীক্ষা করতে হবে এবং কোন সন্দেহজনক বার্তার দিকে খেয়াল রাখতে হবে, তা বুঝতে ব্যবহারকারীকে সাহায্য করার জন্য বিস্তারিত লেখা হয়েছে।

এই ঘটনায় দেখানো তথ্যের শ্রেণি ইমেইল ঠিকানা ও পাসওয়ার্ডের মধ্যেই সীমিত। রেসিং লাইসেন্স, পেমেন্ট, ফোন, ডাক ঠিকানা বা ব্যক্তিগত বার্তার ক্ষেত্র যোগ করা হয়নি, কারণ সেগুলো যাচাই করা যায়নি। এই সীমা ইচ্ছাকৃতভাবে রাখা হয়েছে: তথ্য ফাঁসের রেকর্ডে অতিরিক্ত বিস্তৃত পরিধি দেখালে ব্যবহারকারী ভুল করে কোনো অ্যাকাউন্টকে ঝুঁকিপূর্ণ ভাবতে পারেন, অথবা সত্যিই ঝুঁকিতে থাকা পাসওয়ার্ডের বিষয়টি এড়িয়ে যেতে পারেন।

বর্তমান পরীক্ষায় cykelsiderne.net ডোমেইনকে নির্ভরযোগ্যভাবে চালু থাকা সক্রিয় সেবা হিসেবে যাচাই করা যায়নি, অথবা সেটি তার আগের ব্র্যান্ডের প্রেক্ষাপট থেকে বিচ্ছিন্ন বলে মনে হয়েছে। তাই রেকর্ডে সেবাটিকে বন্ধ বা প্রবেশ করা যায় না এমন সেবা হিসেবে রাখা হয়েছে। ওয়েবসাইটের বর্তমান অবস্থা ঘটনার সময়কার নিরাপত্তাগত প্রভাব দূর করে না। পুরোনো ডোমেইনটি এখন অন্য কোনো পৃষ্ঠায় পাঠিয়ে দিলেও, পার্ক করা অবস্থায় দেখা গেলেও বা সেবাটি বদলে গেলেও, একই পাসওয়ার্ড আবার ব্যবহারের কারণে ফাঁস হওয়া লগইন তথ্য বহু বছর পরও স্বয়ংক্রিয়ভাবে বারবার লগইনের চেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীর প্রথমে দেখা উচিত, Cykelsiderne-এর সঙ্গে যুক্ত ইমেইল ঠিকানাটি অন্য সেবাতেও ব্যবহার করা হচ্ছে কি না। একই ইমেইল ও পাসওয়ার্ডের জোড়া অন্য সাইটেও ব্যবহার করা হলে ঝুঁকি শুধু একটি অ্যাকাউন্টে সীমাবদ্ধ থাকে না। বিশেষ করে ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেম, ফোরাম, চাকরির আবেদন ও প্রতিষ্ঠানের পোর্টালের অ্যাকাউন্টে একই পাসওয়ার্ড থাকলে একটির পর একটি অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে।

সাইক্লিং কমিউনিটি, ক্রীড়া ফোরাম ও সংবাদ সাইটের পাসওয়ার্ড প্রধান ইমেইল অ্যাকাউন্টের পাসওয়ার্ড থেকে আলাদা রাখা দরকার। পাসওয়ার্ড বদলানোর সময় সামান্য পরিবর্তন করলেই যথেষ্ট নয়। যেমন, পুরোনো পাসওয়ার্ডের শেষে বছর, বিস্ময়বোধক চিহ্ন বা সাইটের নাম যোগ করলে স্বয়ংক্রিয় আক্রমণের সরঞ্জাম দিয়ে সেগুলো সহজেই চেষ্টা করা যায়। সবচেয়ে ভালো পদ্ধতি হলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা, যেখানে সম্ভব একাধিক স্বতন্ত্র উপাদান ব্যবহার করে পরিচয় যাচাই চালু করা এবং অ্যাকাউন্ট পুনরুদ্ধারের জন্য রাখা পুরোনো ইমেইল ঠিকানাগুলো পর্যালোচনা করা।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে এই রেকর্ড দেখায় যে ক্রীড়া কমিউনিটির সাইটগুলোতে পুরোনো ব্যবহারকারীর রেকর্ড কত দিন রাখা হচ্ছে, পাসওয়ার্ড কীভাবে সংরক্ষিত হচ্ছে এবং ব্যাকআপে কারা প্রবেশ করতে পারেন, তা নিয়মিত নিরীক্ষা করা দরকার। তথ্য ফাঁসের প্রভাব শুধু ব্যবহারকারীদের তথ্যের টেবিল ফাঁস হওয়ার মধ্যেই শেষ হয় না। একই পাসওয়ার্ড কোনো VPN, প্রশাসনিক প্যানেল, গ্রাহক পোর্টাল, CMS, ক্লাউড স্টোরেজ বা ইমেইল অ্যাকাউন্টে ব্যবহার করা হলে ঘটনাটি আক্রমণকারীর এক সিস্টেম থেকে অন্য সিস্টেমে অগ্রসর হওয়া এবং অননুমোদিত প্রবেশের ঝুঁকিতে রূপ নিতে পারে।

Cykelsiderne-এর ঝুঁকি মূল্যায়নের সময় পাসওয়ার্ড সংরক্ষণের ধরনও বিবেচনা করা হয়েছে: প্লেইনটেক্সট পাসওয়ার্ড। প্লেইনটেক্সট পাসওয়ার্ড বাস্তবে সবচেয়ে বেশি ঝুঁকি তৈরি করে, কারণ সেগুলো সরাসরি ব্যবহার করা যায়। MD5, salted MD5, পুরোনো ফোরাম সফটওয়্যারের হ্যাশ বা সল্টের তথ্য থাকা টেবিল প্লেইনটেক্সট না হলেও আধুনিক হার্ডওয়্যার দিয়ে পরীক্ষা করা যায়।

এই রেকর্ডে ঘটনাটি Cykelsiderne-এর তথ্য ফাঁস, ডেনমার্কের সাইক্লিং সাইটের তথ্য ফাঁস, ক্রীড়া সংবাদ সাইটের পাসওয়ার্ডের নিরাপত্তা এবং প্লেইনটেক্সট পাসওয়ার্ডের ঝুঁকির মতো বিভিন্ন নামে অন্তর্ভুক্ত করা হয়েছে। স্পষ্টতার জন্য লেখাটি সম্পাদনা করা হয়েছে। উদ্দেশ্য হলো, Cykelsiderne-এর তথ্য ফাঁসের ঘটনায় ক্ষতিগ্রস্ত যে কেউ যেন পরিষ্কারভাবে বুঝতে পারেন কী ঘটেছে, কোন ধরনের তথ্য যাচাই করা হয়েছে, কোন ক্ষেত্রগুলো বাদ দেওয়া হয়েছে এবং তাঁর কী নিরাপত্তামূলক পদক্ষেপ নেওয়া দরকার ছিল।

ভুল মিল কমাতে কাছাকাছি নামগুলো আলাদা রাখা হয়েছে। cykelsiderne.net-এর সঙ্গে সম্পর্কহীন সাধারণ সংগ্রহ, অন্য ব্র্যান্ডের কাছাকাছি নামের ডেটাবেস বা কেবল এক লাইনের দাবিতে সীমিত থাকা রেকর্ড এই ঘটনার সঙ্গে একত্র করা হয়নি। এই পার্থক্য বজায় রাখলে একই তথ্য ফাঁসের ঘটনা বারবার তালিকাভুক্ত হয় না এবং ব্যবহারকারী তালিকায় প্রকৃতপক্ষে প্রাসঙ্গিক ডোমেইন নামটিই দেখতে পান।

ঘটনাটি যে অতীতের, সেটিও গুরুত্বপূর্ণ। 2018 সালের আগস্টের নিরাপত্তা কাঠামো, পাসওয়ার্ড সংরক্ষণের মান এবং ফোরাম বা ওয়েব অ্যাপ্লিকেশন রক্ষণাবেক্ষণের চর্চা আজকের প্রত্যাশা থেকে আলাদা হতে পারে। কিন্তু তাতে পুরোনো রেকর্ডের প্রভাব কমে না। পুরোনো তথ্য ফাঁস থেকে পাওয়া ইমেইল ও পাসওয়ার্ডের জোড়া নতুন সেবায় চেষ্টা করে এখনও অ্যাকাউন্ট দখলের প্রচেষ্টায় ব্যবহার করা যেতে পারে।

Cykelsiderne-এর রেকর্ডে ব্যবহারকারীকে দেখানো সংখ্যা 12,442 রাখা হয়েছে। নিবন্ধনের সংখ্যা যে ব্যবহারকারীর সঠিক সংখ্যার সমান হবে, এমন নয়। কিছু ডেটাসেটে একই সারির একাধিক কপি, পরীক্ষামূলক অ্যাকাউন্ট বা অসম্পূর্ণ ক্ষেত্র থাকতে পারে। তা সত্ত্বেও, নিশ্চিত করা মোট সংখ্যাটি ঘটনার ব্যাপকতা এবং ব্যবহারকারীদের বিবেচনায় রাখা উচিত এমন নিরাপত্তার অগ্রাধিকার বোঝানোর জন্য যথেষ্ট নির্দেশক।

এই রেকর্ড নিরাপত্তা সচেতনতার উদ্দেশ্যে তৈরি করা হয়েছে। ফাঁস হওয়া তথ্য খোঁজা, ডাউনলোড করা বা শেয়ার করতে ব্যবহারকারীদের উৎসাহ দেওয়া হচ্ছে না। করণীয় হলো সংশ্লিষ্ট অ্যাকাউন্টগুলোর নিরাপত্তা বাড়ানো, একাধিক অ্যাকাউন্টে একই পাসওয়ার্ডের ব্যবহার বন্ধ করা, সন্দেহজনক সেশন বন্ধ করা, অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা এবং সম্ভব হলে পাসওয়ার্ড ম্যানেজার দিয়ে সব অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড রাখা।

Cykelsiderne-এর ঘটনায় তথ্যের ধরন সীমিত মনে হলেও, শুধু ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডই আক্রমণকারীর জন্য যথেষ্ট হতে পারে। ইমেইল ঠিকানা দিয়ে কারও পরিচয় শনাক্ত করা, পাসওয়ার্ড রিসেটের চেষ্টা, ভুয়া বিজ্ঞপ্তি, প্রচারমূলক ইমেইল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশলভিত্তিক প্রতারণা করা যেতে পারে। পাসওয়ার্ডটি আবার ব্যবহার করা হলে তা দিয়ে সরাসরি লগইনের চেষ্টা করা যায়।

অ্যাকাউন্টধারীদের জন্য ব্যবহারিক যাচাইতালিকা হলো: সংশ্লিষ্ট সেবায় ব্যবহৃত পুরোনো পাসওয়ার্ডটি মনে করুন, একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলান, প্রধান ইমেইল অ্যাকাউন্টে লগইনের ইতিহাস পরীক্ষা করুন, দুই ধাপে যাচাই চালু করুন এবং কোনো সেবায় পুরোনো পাসওয়ার্ডটি পুনরায় ব্যবহার করবেন না। প্রতিষ্ঠানের জন্য যাচাইতালিকা হলো ব্যবহারকারীদের তথ্যের পুরোনো টেবিলগুলোতে প্রবেশাধিকার বন্ধ করা, পাসওয়ার্ড হ্যাশের নীতিমালা নিরীক্ষা করা এবং ফাঁস হওয়া লগইন তথ্য দিয়ে একের পর এক লগইনের চেষ্টার বিরুদ্ধে সতর্কসংকেত তৈরির ব্যবস্থা করা।

এই লেখা তৈরির সময় ঘটনার বাইরের ব্র্যান্ড, সাধারণ সংগ্রহ এবং প্রমাণিত নয় এমন তথ্যের ক্ষেত্র ইচ্ছাকৃতভাবে বিবরণে অন্তর্ভুক্ত করা হয়নি। Cykelsiderne-এর রেকর্ডের উদ্দেশ্য হলো এই নির্দিষ্ট তথ্য ফাঁসের ঘটনাটি স্পষ্ট করা, cykelsiderne.net-এর সঙ্গে যুক্ত ব্যবহারকারীদের কী পরীক্ষা করা উচিত তা দেখানো এবং তথ্য ফাঁসের পৃষ্ঠায় অপ্রয়োজনীয় উৎসের উল্লেখের বদলে যাচাই করা ডোমেইনগুলোকে গুরুত্ব দেওয়া।

Cykelsiderne-এর ক্ষেত্রে দ্বিতীয় স্তরের ঝুঁকি হলো ফাঁস হওয়া লগইন তথ্যের সঙ্গে অন্য ডেটাসেটের তথ্য মিলে যাওয়া। একই ইমেইল ঠিকানা আগে ফোরাম, কেনাকাটা, চাকরির আবেদন, গেম বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে আক্রমণকারী শুধু পাসওয়ার্ড নয়, ব্যক্তির আগ্রহ ও অ্যাকাউন্ট ব্যবহারের অভ্যাসও অনুমান করতে পারেন।

cykelsiderne.net ডোমেইনের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানোর পর ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও মুছে ফেলা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করা হলে একই পাসওয়ার্ড থাকা সব রেকর্ড খুঁজে প্রতিটির জন্য আলাদা পাসওয়ার্ড দিতে হবে। বিশেষ করে প্লেইনটেক্সট বা দুর্বল হ্যাশের ক্ষেত্রে আক্রমণকারীকে পাসওয়ার্ড অনুমান না করেই সেটি সরাসরি চেষ্টা করার সুযোগ থাকতে পারে।

নিরাপত্তা দলের জন্য এই রেকর্ড দেখায় যে ফাঁস হওয়া লগইন তথ্য অনুসরণ করার কাজে ডোমেইনভিত্তিক মিল খোঁজা দরকার। শুধু প্রতিষ্ঠানের নাম দিয়ে খুঁজলেই যথেষ্ট নাও হতে পারে। পুরোনো ডোমেইন নাম, www-এর ব্যবহার, বর্তমানে যে ডোমেইনে পাঠানো হচ্ছে তার নাম এবং ব্যবহারকারীদের ইমেইল ঠিকানার শেষাংশ একসঙ্গে পরীক্ষা করা উচিত। এভাবে প্রকৃত ঝুঁকি শনাক্ত হয় এবং কাছাকাছি নামের কিন্তু সম্পর্কহীন রেকর্ড ভুল করে একত্র করা হয় না।

এই রেকর্ডে তথ্যের শ্রেণি বোঝাতে ইচ্ছাকৃতভাবে সহজ ভাষা ব্যবহার করা হয়েছে: ইমেইল ঠিকানা, পাসওয়ার্ড। প্রযুক্তিগত খুঁটিনাটিতে আটকে না গিয়ে কী তথ্য উন্মুক্ত হয়েছে, তা ব্যবহারকারীদের বোঝা দরকার। তবে পাসওয়ার্ড সংরক্ষণের পদ্ধতিও উল্লেখ করা হয়েছে, কারণ সেটিই ঘটনার বাস্তব প্রভাব নির্ধারণ করেছে। প্লেইনটেক্সট পাসওয়ার্ডের উল্লেখ বোঝায় যে ঘটনাটি শুধু একটি ইমেইল তালিকা ফাঁসের বিষয় নয়; এটি অ্যাকাউন্টের নিরাপত্তার দৃষ্টিকোণ থেকে মূল্যায়ন করা উচিত।

এই ঘটনা সম্পর্কে তথ্য খুঁজছেন যাঁরা, তাঁদের জন্য মূল কথা হলো: একটি তথ্য ফাঁসের রেকর্ড অ্যাকাউন্টের নিরাপত্তার পুরো ইতিহাস আবার পর্যালোচনা করার সুযোগ। পুরোনো সেবায় ব্যবহৃত পাসওয়ার্ড প্রায়ই ভুলে যাওয়া হয়, কিন্তু ফাঁস হওয়া ডেটাসেট হারিয়ে যায় না। তাই পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড রাখা এবং প্রধান ইমেইল অ্যাকাউন্ট সুরক্ষিত করা অগ্রাধিকার পাওয়া উচিত।

রেকর্ডের কাঠামো পরিচ্ছন্ন রাখা হয়েছে: ওয়েবসাইটের ঘরে শুধু ডোমেইন নাম ব্যবহার করা হয়েছে, লোগোর ছবিটি রেকর্ডের সঙ্গে মিলিয়ে নেওয়া হয়েছে, বিবরণ ঘটনার পরিধির মধ্যে রাখা হয়েছে এবং একক রেকর্ডের কাঠামোর মাধ্যমে একই ঘটনা একাধিকবার নিবন্ধিত হওয়ার ঝুঁকি কমানো হয়েছে। সর্বজনীন নিবন্ধন পৃষ্ঠায় ভুলভাবে লিংক দেখানো এড়াতে এবং একই ঘটনা ভিন্ন URL-এর অধীনে বারবার দেখানো ঠেকাতে এই বিন্যাস গুরুত্বপূর্ণ।

সব মিলিয়ে, Cykelsiderne-এর তথ্য ফাঁস হলো 2018 সালের আগস্টে 12,442টি রেকর্ড, ইমেইল ঠিকানা, পাসওয়ার্ড এবং প্লেইনটেক্সট পাসওয়ার্ডের সঙ্গে সম্পর্কিত অ্যাকাউন্টের নিরাপত্তার একটি ঘটনা, যা যথাযথ প্রেক্ষাপটে বিবেচনা করা দরকার। ঘটনাটির অস্তিত্বকে অতিরঞ্জিত না করে, যাচাই করা হয়নি এমন দাবি না যোগ করে এবং একই ঘটনার একাধিক রেকর্ড তৈরি না করে ব্যবহারকারী যেন দ্রুত পদক্ষেপ নিতে পারেন, সে জন্য এই পৃষ্ঠা প্রস্তুত করা হয়েছে।