Disqus তথ্য ফাঁস

ডেটাবেসের ফাঁস হওয়া স্ন্যাপশটে ইমেইল ঠিকানা, Disqus-এর ব্যবহারকারীর নাম, নিবন্ধনের তারিখ ও সর্বশেষ লগইনের তারিখ সরাসরি পাঠযোগ্য টেক্সট আকারে ছিল। নিশ্চিতভাবে প্রভাবিত হয়েছে স্বতন্ত্র ইমেইল ঠিকানার সঙ্গে যুক্ত 1,75,51,044টি অ্যাকাউন্ট। প্রায় এক-তৃতীয়াংশ অ্যাকাউন্টে সরাসরি পাঠযোগ্য পাসওয়ার্ডের বদলে সল্টযুক্ত SHA-1 পাসওয়ার্ড হ্যাশ ছিল; তাই “পাসওয়ার্ড” তথ্যের শ্রেণিটি ওই হ্যাশ মানগুলোকে বোঝায়, সরাসরি পড়া যায় এমন লগইন তথ্যকে নয়। যাঁরা সামাজিক মাধ্যমের প্রমাণীকরণ সেবাদাতার মাধ্যমে সাইন ইন করতেন, তাঁদের ক্ষেত্রে Disqus পাসওয়ার্ডের বদলে ওই বাহ্যিক অ্যাকাউন্টগুলোর রেফারেন্স ছিল। SHA-1 ও সল্ট ব্যবহার করলে পাসওয়ার্ড সরাসরি প্রকাশ পায় না, তবে ছোট বা বহুল ব্যবহৃত পাসওয়ার্ডকে অফলাইনে অনুমান করে বের করার চেষ্টা থেকে এগুলো পুরোপুরি সুরক্ষা দিতে পারে না। ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও অ্যাকাউন্ট ব্যবহারের তারিখ একত্র করলে লক্ষ্যভিত্তিক ফিশিং, স্প্যাম, পুরোনো অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র শনাক্ত করা এবং অন্যান্য স্বতন্ত্র সেবায় ক্রেডেনশিয়াল স্টাফিং হামলা চালানো সহজ হতে পারে। এই ঘটনার আওতায় পেমেন্ট বা কার্ডের তথ্য ফাঁস হওয়ার বিষয়টি যাচাই করে নিশ্চিত করা হয়নি।

ফাঁস হওয়া স্ন্যাপশটটি 2012 সালের ব্যবহারকারী ডেটাবেস থেকে নেওয়া হয়েছিল। এতে 2007 সাল থেকে শুরু হওয়া তথ্য ছিল, তবে 2012 সালের জুলাইয়ের পরের কোনো তথ্য ছিল না। তাই এই রেকর্ডে ঘটনার মাস নির্দেশ করতে 1 জুলাই 2012 তারিখটি ব্যবহার করা হয়েছে; নির্ভরযোগ্য প্রকাশ্য প্রমাণ থেকে তথ্যগুলোতে প্রবেশের সুনির্দিষ্ট দিন বা প্রবেশের প্রযুক্তিগত পদ্ধতি জানা যায় না। কয়েক বছর পর, 5 অক্টোবর 2017-এ একজন স্বাধীন গবেষক ডেটাসেটটির খবর দিলে Disqus ঘটনাটি জানতে পারে। কোম্পানি সেদিনই তথ্যগুলো সংগ্রহ করে যাচাই শুরু করে; 6 অক্টোবর যেসব অ্যাকাউন্টের হ্যাশ ওই তথ্যের মধ্যে ছিল, সেগুলোর পাসওয়ার্ড রিসেট করে, প্রভাবিত ব্যবহারকারীদের সঙ্গে যোগাযোগ করে এবং প্রকাশ্যে বিজ্ঞপ্তি দেয়। Disqus জানিয়েছিল যে 2012 সালের শেষে তারা SHA-1 থেকে আরও শক্তিশালী bcrypt পাসওয়ার্ড হ্যাশিং অ্যালগরিদমে চলে গিয়েছিল। ঘটনাটি প্রকাশ্যে জানানোর সময় এই তথ্য ফাঁসের সঙ্গে সম্পর্কিত অননুমোদিত লগইনের কোনো প্রমাণ পাওয়া যায়নি। তবে অফলাইনে হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করার সম্ভাবনার কারণে একই পাসওয়ার্ড পুনরায় ব্যবহারের ঝুঁকি থেকে সুরক্ষা নেওয়া জরুরি ছিল।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা 2012 সালে বা তার আগে ইমেইল ঠিকানা ও পাসওয়ার্ড দিয়ে সরাসরি নিবন্ধন করেছিলেন এবং অন্য কোথাও একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেছিলেন। মোট অ্যাকাউন্টের প্রায় এক-তৃতীয়াংশে থাকা সল্টযুক্ত SHA-1 হ্যাশ বিশেষভাবে ঝুঁকিপূর্ণ, যদি পাসওয়ার্ডগুলো ছোট বা প্রচলিত শব্দভিত্তিক হয়ে থাকে। কোনো পাসওয়ার্ড উদ্ধার করা গেলে আক্রমণকারীরা সেটি ইমেইল, সামাজিক মাধ্যম, ফোরাম বা কেনাকাটার অ্যাকাউন্টে ব্যবহার করার চেষ্টা করতে পারে। বাহ্যিক সামাজিক-মাধ্যম সাইন-ইন সেবায় ব্যবহৃত পাসওয়ার্ড এই স্ন্যাপশটে ছিল না, যদিও ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও অ্যাকাউন্টের রেফারেন্স ফাঁস হয়ে থাকতে পারে। নিবন্ধন ও সর্বশেষ লগইনের তারিখ দেখে আক্রমণকারী সক্রিয় অ্যাকাউন্টকে পরিত্যক্ত অ্যাকাউন্ট থেকে আলাদা করতে এবং কোনো বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। যাঁরা পরে পাসওয়ার্ড বদলেছেন এবং প্রতিটি সেবায় আলাদা লগইন তথ্য ব্যবহার করেছেন, তাঁদের অ্যাকাউন্ট বেহাত হওয়ার ঝুঁকি কম। তবে পুরোনো ইমেইল ঠিকানা লক্ষ্য করে পাঠানো ফিশিং বার্তা এখনও কার্যকর হতে পারে।

2012 সালে Disqus-এ আপনার ব্যবহৃত পাসওয়ার্ডটি যদি এখনও অন্য কোনো সেবায় ব্যবহার হয়ে থাকে, তবে যেখানেই সেটি পুনরায় ব্যবহার করেছেন, সেখানেই একটি দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড দিয়ে বদলে দিন। Disqus 2017 সালে প্রভাবিত অ্যাকাউন্টগুলোর পাসওয়ার্ড রিসেট করেছিল, কিন্তু তাতে অন্য স্বতন্ত্র সাইটে ব্যবহৃত একই পাসওয়ার্ড বদলানো সম্ভব ছিল না। আপনার প্রধান ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, সামাজিক মাধ্যম এবং পেমেন্টের মাধ্যম সংরক্ষিত আছে এমন সেবাগুলোকে অগ্রাধিকার দিন। ইমেইল ও অন্যান্য গুরুত্বপূর্ণ অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করুন। এরপর সক্রিয় সেশন, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা ও পরিচিত ডিভাইসগুলো পর্যালোচনা করুন। কোনো বার্তায় Disqus-এর পুরোনো মন্তব্য, ব্যবহারকারীর নাম বা নিবন্ধনের তারিখ উল্লেখ আছে বলেই সেটিকে বিশ্বাস করবেন না। পাসওয়ার্ড রিসেট, অ্যাকাউন্ট যাচাই বা মন্তব্য মুছে দেওয়ার দাবি করা বার্তার লিংকে যাওয়ার বদলে নিজে সেবাটির অফিসিয়াল ঠিকানায় যান। কোনো বার্তা বা ফোনকলের মাধ্যমে কখনো একবার ব্যবহারযোগ্য প্রমাণীকরণ কোড, বর্তমান পাসওয়ার্ড বা পাসওয়ার্ড ম্যানেজারের মাস্টার পাসওয়ার্ড জানাবেন না।

প্রতিটি সেবার জন্য এলোমেলো ও স্বতন্ত্র পাসওয়ার্ড তৈরি করে এমন পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একটি পুরোনো হ্যাশ থেকে পাসওয়ার্ড উদ্ধার হলেও সেই ঝুঁকি অন্য অ্যাকাউন্টে ছড়ায় না। গুরুত্বপূর্ণ সেবাগুলোতে সব সময় মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু রাখুন এবং রিকভারি কোড নিরাপদে অফলাইনে সংরক্ষণ করুন। অব্যবহৃত মন্তব্য করার সেবা, ফোরাম ও সামাজিক মাধ্যমের অ্যাকাউন্ট বন্ধ করুন অথবা সেগুলোর প্রোফাইলে রাখা তথ্য যতটা সম্ভব কমিয়ে দিন, কারণ ভুলে যাওয়া অ্যাকাউন্টগুলো বিভিন্ন পরিচয়ের মধ্যে যোগসূত্র খুঁজে পেতে সাহায্য করতে পারে। 2012 সালের তথ্য ফাঁসের ঘটনাকে শুধু পুরোনো বলে ক্ষতিহীন মনে করবেন না; আজও একই পাসওয়ার্ড ব্যবহার করা হলে বা ইমেইল ঠিকানা ও অ্যাকাউন্টের পুরোনো যোগসূত্র বজায় থাকলে ফাঁস হওয়া তথ্যের মূল্য থেকে যায়। অপ্রত্যাশিত সাইন-ইন ও পাসওয়ার্ড রিসেটের সতর্কবার্তায় নজর রাখুন, নিয়মিত ইমেইল ফরওয়ার্ডিংয়ের নিয়ম পর্যালোচনা করুন এবং নিরাপত্তা প্রশ্নের এমন উত্তর পুনরায় ব্যবহার করবেন না, যা সহজে খোঁজ করে জানা যায়। ধরে নিন যে পুরোনো ব্যবহারকারীর নামের সঙ্গে প্রকাশ্য প্রোফাইলের যোগসূত্র বের করা সম্ভব, এবং সেই পুরোনো তথ্যের ভিত্তিতে তৈরি বার্তা বাড়তি সতর্কতার সঙ্গে যাচাই করুন।

Disqus-এ ব্যবহার করা আপনার বর্তমান ও পুরোনো প্রতিটি ইমেইল ঠিকানা যাচাই করতে এই পৃষ্ঠার নিরাপদ অনুসন্ধান ঘরটি ব্যবহার করুন। মিল পাওয়ার অর্থ হলো, ঠিকানাটি যাচাই করা ডেটাবেস স্ন্যাপশটের 1,75,51,044টি স্বতন্ত্র ইমেইল ঠিকানার একটি; এতে প্রমাণ হয় না যে পাসওয়ার্ড উদ্ধার করা হয়েছে বা অ্যাকাউন্ট বেহাত হয়েছে। মিল পেলে 2012 সালের সেই পাসওয়ার্ড আর কোথায় ব্যবহার করেছিলেন তা শনাক্ত করুন এবং যেখানে এখনও সেটি ব্যবহৃত হচ্ছে, সবখানে বদলে দিন। কোনো মিল না পাওয়াও সম্পূর্ণ নিশ্চয়তা দেয় না, কারণ ভিন্নভাবে লেখা কোনো ঠিকানা, এই ডেটাসেটের বাইরের কোনো রেকর্ড বা অন্য কোনো তথ্য ফাঁসের ঘটনা থাকতে পারে। তথ্য ফাঁসের অনুসন্ধানে কখনো পাসওয়ার্ড, সামাজিক মাধ্যম দিয়ে সাইন ইন করার লগইন তথ্য বা প্রমাণীকরণ কোড লিখবেন না। পুরোনো ঠিকানাগুলো নিয়মিত আবার যাচাই করলে নতুন প্রকাশিত তথ্য ফাঁসের রেকর্ড আগেই শনাক্ত হতে পারে এবং চুরি হওয়া তথ্যের অপব্যবহার হওয়ার আগে অ্যাকাউন্টের সুরক্ষা জোরদার করার সময় পাওয়া যায়।