DataCamp তথ্য ফাঁস

DataCamp-এর এই নথিতে যাচাইকৃত তথ্যের ধরন হলো ইমেইল ঠিকানা, ভৌগোলিক অবস্থানের তথ্য, IP ঠিকানা, নাম এবং পাসওয়ার্ড হ্যাশ। ইমেইল ঠিকানা ও নাম একসঙ্গে থাকলে প্ল্যাটফর্মে ব্যবহারকারীর পরিচয় আরও স্পষ্ট হয়। ভৌগোলিক অবস্থান ও IP ঠিকানার ঘরগুলো থেকে ব্যবহারকারী কোন প্রেক্ষাপটে অ্যাকাউন্ট ব্যবহার করেছেন বা আগে কোন অঞ্চল থেকে সংযোগ করেছেন, সে সম্পর্কে অতিরিক্ত ধারণা পাওয়া যেতে পারে। DataCamp-এর মতো শিক্ষামূলক প্ল্যাটফর্মে এসব তথ্যের সঙ্গে কোনো ব্যক্তির ডেটা সায়েন্স, প্রোগ্রামিং, অ্যানালিটিক্স বা পেশাগত উন্নয়নের আগ্রহের যোগসূত্র তৈরি হতে পারে। এই প্রেক্ষাপট কাজে লাগিয়ে নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে পাঠানো ফিশিং বার্তায় শিক্ষামূলক অ্যাকাউন্ট, সনদ, কোর্সে প্রবেশাধিকার বা কর্মজীবনের সুযোগের মতো বিষয় ব্যবহার করা হতে পারে।

পাসওয়ার্ডের ঘরটিকে bcrypt হ্যাশ হিসেবে বিবেচনা করতে হবে। Bcrypt একটি ধীরগতির হ্যাশিং পদ্ধতি, যা আধুনিক পাসওয়ার্ড সংরক্ষণ পদ্ধতিগুলোর মধ্যে তুলনামূলকভাবে শক্তিশালী বলে বিবেচিত। তাই হাতিয়ে নেওয়া মানগুলোকে সরাসরি পড়া যায় এমন পাসওয়ার্ড বলা উচিত নয়। তা সত্ত্বেও ঝুঁকি পুরোপুরি দূর হয় না। দুর্বল, ছোট বা বহুল ব্যবহৃত পাসওয়ার্ড অফলাইনে অনুমানভিত্তিক আক্রমণে বেশি ঝুঁকিপূর্ণ হতে পারে। ব্যবহারকারী যদি ইমেইল, কাজের অ্যাকাউন্ট, কোড রিপোজিটরি, ক্লাউড সেবা বা অন্য শিক্ষামূলক প্ল্যাটফর্মে একই পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে আক্রমণকারীরা হ্যাশ থেকে উদ্ধার করা বা অনুমান করা পাসওয়ার্ডটি অন্য জায়গাতেও ব্যবহার করে দেখার চেষ্টা করতে পারে।

এই নথিতে ব্যবহৃত 7,60,561 সংখ্যাটি যাচাইকৃত অ্যাকাউন্ট রেকর্ডের পরিসর বোঝায়। এই সংখ্যাকে সব ক্ষেত্রে স্বতন্ত্র ব্যক্তির সংখ্যা হিসেবে ধরে নেওয়া উচিত নয়; এতে পুরোনো অ্যাকাউন্ট, একই রেকর্ডের একাধিক কপি বা একজন ব্যক্তির একাধিক অ্যাকাউন্ট থাকতে পারে। নিবন্ধনের তারিখ 30 জানুয়ারি 2017 হিসেবে রাখা হলেও ঘটনাটি পরে শনাক্ত করা হয় এবং ব্যবহারকারীকে সে সম্পর্কে জানানো হয়। এই পার্থক্যটি গুরুত্বপূর্ণ: ব্যবহারকারীর উচিত 2017 সালে নিজের DataCamp অ্যাকাউন্টে কোন তথ্য ব্যবহার করেছিলেন এবং 2018-2019 সময়কালে অন্য অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেছিলেন কি না, দুটিই বিবেচনা করা। শুধু ঘোষণার দিন বা শুধু নিবন্ধনের তারিখ দিয়ে সময়ের ব্যাখ্যা দিলে তা অসম্পূর্ণ হবে।

তথ্যের ঘরগুলোর ক্ষেত্রে সীমাটি স্পষ্ট: ইমেইল ঠিকানা, ভৌগোলিক অবস্থানের তথ্য, IP ঠিকানা, নাম এবং bcrypt পাসওয়ার্ড হ্যাশ যাচাইকৃত। যাচাই করা হয়নি এমন অতিরিক্ত যোগাযোগের তথ্য, আর্থিক তথ্য, সরকারি পরিচয়পত্রের তথ্য বা কোর্সের বিষয়বস্তু এই নথির তালিকায় যোগ করা উচিত নয়। পরে ডেটাসেটটি বিক্রি হওয়া বা বিভিন্ন তথ্য ফাঁসের তালিকায় এর উপস্থিতি, শুধু এগুলোই তথ্যের ঘরের তালিকা বাড়ানোর জন্য যথেষ্ট নয়। ব্যবহারকারীকে দেখানো বিবরণে যাচাইকৃত তথ্যের ভিত্তিতে অ্যাকাউন্টের নিরাপত্তা এবং তাঁকে লক্ষ্য করে বার্তা পাঠানোর ঝুঁকি ব্যাখ্যা করা উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যক্তিরা, যাঁরা DataCamp-এ অ্যাকাউন্ট খুলেছেন এবং অন্য সেবাতেও একই পাসওয়ার্ড ব্যবহার করেছেন। DataCamp-এর ব্যবহারকারীদের মধ্যে শিক্ষার্থী, ডেটা বিশ্লেষক, ডেভেলপার, শিক্ষক ও গবেষক, প্রতিষ্ঠানের প্রশিক্ষণার্থী এবং পেশা পরিবর্তন করছেন এমন পেশাজীবীরা থাকতে পারেন। এসব গোষ্ঠীর ক্ষেত্রে একটি ইমেইল ঠিকানার সঙ্গে একটি শেখার প্ল্যাটফর্মের যোগসূত্র কর্মজীবন বা শিক্ষাবিষয়ক সামাজিক প্রকৌশলমূলক প্রতারণার বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। ভুয়া সনদের বিজ্ঞপ্তি, অ্যাকাউন্ট যাচাইয়ের অনুরোধ, কোর্সের সাবস্ক্রিপশন নবায়নের সতর্কবার্তা বা চাকরির সুযোগের লিংকের মতো বার্তার বিষয়ে সতর্ক থাকা উচিত।

যেসব কর্মী প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে DataCamp অ্যাকাউন্ট খুলেছেন, তাঁদের ঝুঁকি আলাদাভাবে মূল্যায়ন করা উচিত। প্রশিক্ষণ প্ল্যাটফর্মে কোনো কর্মীর অ্যাকাউন্টে নিরাপত্তা লঙ্ঘন ঘটলেই সরাসরি বোঝায় না যে প্রতিষ্ঠানের সিস্টেমেও অননুমোদিত প্রবেশ ঘটেছে। তবে কাজের সিস্টেমে একই পাসওয়ার্ড ব্যবহার করা হলে ঝুঁকি বাড়ে। IP ও ভৌগোলিক অবস্থানের তথ্য থেকে প্রতিষ্ঠানের নেটওয়ার্ক, দূর থেকে কাজ করার ব্যবস্থা বা অঞ্চলভিত্তিক ব্যবহার সম্পর্কে অনুমান করাও সহজ হতে পারে। তাই প্রতিষ্ঠানগুলোর মনে রাখা উচিত যে প্রশিক্ষণ প্ল্যাটফর্মের অ্যাকাউন্টেও পাসওয়ার্ড পুনর্ব্যবহারসংক্রান্ত নীতিমালা ও মাল্টি-ফ্যাক্টর অথেন্টিকেশন প্রযোজ্য হওয়া উচিত।

DataCamp-এর এই নথির সঙ্গে যাঁদের তথ্য মিলে যায়, তাঁদের প্রথম করণীয় হলো DataCamp অ্যাকাউন্টে যে পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, সেটি বদলানো এবং একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ডও বদলানো। ইমেইল অ্যাকাউন্ট, কাজের অ্যাকাউন্ট, কোড রিপোজিটরি, ক্লাউড সেবা, শেখার প্ল্যাটফর্ম ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট আগে পরীক্ষা করা উচিত। নতুন পাসওয়ার্ডগুলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা হওয়া উচিত এবং সম্ভব হলে পাসওয়ার্ড ম্যানেজার দিয়ে তৈরি করা উচিত। DataCamp অ্যাকাউন্টটি এখনো ব্যবহার করা হলে পাসওয়ার্ড বদলাতে হবে, সংযুক্ত সেশনগুলো পরীক্ষা করতে হবে এবং সুবিধাটি থাকলে মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করতে হবে।

দ্বিতীয় করণীয় হলো শিক্ষা ও কর্মজীবনসংক্রান্ত ফিশিং বার্তার বিষয়ে সতর্ক থাকা। কোর্সের সনদ, সাবস্ক্রিপশন নবায়ন, অর্থ পরিশোধে সমস্যা, অ্যাকাউন্ট স্থগিত করা বা চাকরির সুযোগ নিয়ে পাঠানো লিংকে ব্যবহারকারীদের সরাসরি ক্লিক করা উচিত নয়। লগইন করতে হলে ব্রাউজারে সেবাটির পরিচিত ঠিকানা নিজে লিখতে হবে অথবা বিশ্বস্ত বুকমার্ক থেকে খুলতে হবে। শিক্ষামূলক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড কাজের অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে প্রতিষ্ঠানের ব্যবহারকারীদের নিরাপত্তা দলকে জানানো উচিত। সন্দেহজনক লগইন বা পাসওয়ার্ড রিসেটের বিজ্ঞপ্তি দেখা গেলে সংশ্লিষ্ট অ্যাকাউন্টের সেশনগুলো বন্ধ করতে হবে এবং অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পরীক্ষা করতে হবে।

DataCamp-এর ঘটনাটি দেখায় যে শিক্ষা ও পেশাগত উন্নয়নের প্ল্যাটফর্মগুলোও অ্যাকাউন্ট-সংক্রান্ত নিরাপত্তার গুরুত্বপূর্ণ ক্ষেত্র। ব্যবহারকারীদের শুধু ব্যাংকিং বা ইমেইল অ্যাকাউন্ট নয়, শিক্ষামূলক প্ল্যাটফর্ম, কোর্স, ফোরাম ও ডেভেলপার প্ল্যাটফর্মেও আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। কোথায় একই পাসওয়ার্ড বারবার ব্যবহার করা হয়েছে, তা সহজে বুঝতে সাহায্য করে পাসওয়ার্ড ম্যানেজার। গুরুত্বপূর্ণ অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেন্টিকেশন, সেশনের ইতিহাস পরীক্ষা এবং পুনরুদ্ধারের তথ্য হালনাগাদ রাখা দীর্ঘমেয়াদি সুরক্ষা দেয়। অব্যবহৃত শিক্ষামূলক অ্যাকাউন্ট বন্ধ করা উচিত, অথবা অন্তত পুরোনো পাসওয়ার্ড ও প্রোফাইলের তথ্য হালনাগাদ করা উচিত।

প্ল্যাটফর্ম পরিচালনাকারীদের জন্য শিক্ষাটি হলো, পাসওয়ার্ড হ্যাশ নিরাপদে সংরক্ষণ করা জরুরি হলেও শুধু সেটিই যথেষ্ট নয়। Bcrypt ব্যবহার ঝুঁকি কমায়; তবে তথ্য ফাঁস হলে ইমেইল, নাম, IP ও অবস্থানের মতো অন্যান্য তথ্যও ব্যবহারকারীদের লক্ষ্য করে আক্রমণের কাজে লাগতে পারে। প্রবেশাধিকার নিয়ন্ত্রণ, নেটওয়ার্কের ওপর বিধিনিষেধ, সন্দেহজনক কুয়েরি পর্যবেক্ষণ, পাসওয়ার্ড রিসেটের প্রক্রিয়া এবং ব্যবহারকারীকে জানানোর ব্যবস্থা, এসব একসঙ্গে বিবেচনা করা উচিত। পাশাপাশি যতটা প্রয়োজন, ততটাই তথ্য সংগ্রহ ও সংরক্ষণের নীতি প্রয়োগ করা উচিত; প্রয়োজন না থাকলে পুরোনো IP ও অবস্থানের রেকর্ড দীর্ঘ সময় ধরে সংরক্ষণ করা উচিত নয়।

এই পাতার যাচাইয়ের ফল DataCamp-এর নথির সঙ্গে মিলে গেলে প্রথমে ভেবে দেখুন, কোন ইমেইল ঠিকানা দিয়ে আপনি DataCamp অ্যাকাউন্ট খুলেছিলেন এবং তখন কোন পাসওয়ার্ড ব্যবহার করেছিলেন। অন্য অ্যাকাউন্টে একই পাসওয়ার্ড থেকে গেলে প্রতিটি অ্যাকাউন্টে সেটি বদলাতে হবে। ইমেইল অ্যাকাউন্ট, কাজের অ্যাকাউন্ট, কোড রিপোজিটরি ও ক্লাউড সেবার লগইনের ইতিহাস পরীক্ষা করতে হবে, অপরিচিত ডিভাইসের সংযোগ বিচ্ছিন্ন করতে হবে এবং মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করতে হবে। শিক্ষা ও কর্মজীবন নিয়ে অপ্রত্যাশিত বার্তাও খতিয়ে দেখতে হবে এবং সেগুলোর লিংক সরাসরি ব্যবহার করা উচিত নয়।

DataCamp-এর তথ্য ফাঁসের ঘটনাটি অতীতের হলেও পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি এখনো থেকে যেতে পারে। Bcrypt হ্যাশিং আক্রমণকারীর কাজ কঠিন করে তোলে, কিন্তু দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ড এখনো ঝুঁকি তৈরি করে। ব্যবহারকারীদের এই নথিকে শুধু অতীতে কোনো প্ল্যাটফর্মের দেওয়া বিজ্ঞপ্তি হিসেবে না দেখে, শিক্ষামূলক ও কাজের অ্যাকাউন্টে পাসওয়ার্ড ব্যবহারের নিরাপদ অভ্যাস জোরদার করার একটি সুনির্দিষ্ট সতর্কবার্তা হিসেবে নেওয়া উচিত। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহারের অভ্যাস, মাল্টি-ফ্যাক্টর অথেন্টিকেশন এবং শিক্ষা বা কর্মজীবনসংক্রান্ত সন্দেহজনক বার্তার বিষয়ে সতর্কতা এই নথির সঙ্গে সম্পর্কিত ঝুঁকি কমায়।