DLH.net তথ্য ফাঁস

DLH.net রেকর্ডে উল্লেখযোগ্য তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, জন্মতারিখ, নাম, ব্যবহারকারীর নাম, ওয়েবসাইটে কার্যকলাপ এবং পাসওয়ার্ড হ্যাশ। পাসওয়ার্ডের ক্ষেত্রটিতে সরাসরি পাঠযোগ্য পাসওয়ার্ড নয়, সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ ছিল বলে জানানো হয়েছে। এই পার্থক্য গুরুত্বপূর্ণ। হ্যাশ মান সরাসরি পড়া যায় এমন পাসওয়ার্ড নয়। তবে আধুনিক মানদণ্ডে MD5 দুর্বল বলে বিবেচিত হওয়ায়, বিশেষ করে বহুল ব্যবহৃত, ছোট বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড বেশি ঝুঁকিতে থাকে। আক্রমণকারীরা সম্ভাব্য পাসওয়ার্ডের শব্দতালিকা দিয়ে এই হ্যাশ মানগুলো পরীক্ষা করতে পারে এবং একই ইমেইলের সঙ্গে একই পাসওয়ার্ড ব্যবহার করা হয় এমন অন্য গেম, স্টোর বা ইমেইল অ্যাকাউন্টে প্রবেশের চেষ্টা করতে পারে।

জন্মতারিখ ও নামের তথ্যের সঙ্গে ব্যবহারকারীর নাম এবং সাইটে কার্যকলাপের তথ্য যুক্ত হলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশলের ঝুঁকি বাড়ে। গেমিং কমিউনিটিতে ব্যবহারকারীরা বিভিন্ন প্ল্যাটফর্মে একই ডাকনাম ব্যবহার করতে পারেন। ফলে DLH.net-এর ব্যবহারকারীর নামের সঙ্গে অন্য ফোরাম, স্টোর বা গেমিং নেটওয়ার্কের অ্যাকাউন্টের যোগসূত্র খুঁজে পাওয়া সম্ভব হতে পারে। ওয়েবসাইটে কার্যকলাপ থেকে কোনো ব্যক্তি কী ধরনের কনটেন্ট বা গেম কীতে আগ্রহী, সে সম্পর্কে ধারণা পাওয়া যেতে পারে। এসব তথ্য নিজে আর্থিক তথ্য না হলেও, বিশ্বাসযোগ্য মনে হয় এমন পাসওয়ার্ড রিসেটের বার্তা, ভুয়া অ্যাকাউন্ট যাচাইয়ের অনুরোধ বা গেম কী নিয়ে প্রতারণামূলক বার্তা তৈরি করতে যথেষ্ট হতে পারে।

যাচাইকৃত পরিসর DLH.net-এর সদস্যদের তথ্য এবং 31 জুলাই 2016 তারিখের রেকর্ডের মধ্যে সীমিত। এই রেকর্ডে ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা 32,64,710 হিসেবে রাখা হয়েছে। প্রকাশ্যে পাওয়া কিছু রেকর্ডে 3.3 মিলিয়ন গ্রাহক ID বলা হয়েছে; এটি গোল করে প্রকাশ করা সংখ্যা। অন্য একটি সেবায় দেখা 26,38,182টি সারি একই ঘটনার অনুসন্ধানযোগ্য একটি নির্দিষ্ট অংশ বা ভিন্নভাবে প্রক্রিয়াকরণের ফলাফল নির্দেশ করতে পারে। তাই সংখ্যাগুলো গুলিয়ে ফেলা উচিত নয়। এখানে তথ্য ফাঁস হওয়া অ্যাকাউন্টের যে সংখ্যা ব্যবহার করা হয়েছে, সেটিই স্বতন্ত্র অ্যাকাউন্ট ID গণনার মূল সংখ্যা। সারির সংখ্যা কম হওয়ার অর্থ এই নয় যে পুরো ঘটনার পরিসরও ছোট।

ঘটনার সীমাগুলোও একই সতর্কতার সঙ্গে বিবেচনা করা উচিত। যাচাইকৃত ব্যবহারকারী-তথ্যের ক্ষেত্রগুলো অ্যাকাউন্ট ও প্রোফাইলের তথ্যের সঙ্গে সম্পর্কিত। ক্রেডিট কার্ড নম্বর, পেমেন্ট অ্যাকাউন্ট, সরকারি পরিচয়পত্রের নম্বর বা ব্যক্তিগত বার্তার বিষয়বস্তু এই রেকর্ডের যাচাইকৃত তথ্যের শ্রেণিগুলোর মধ্যে নেই। ঘটনার প্রসঙ্গে গেম অ্যাক্টিভেশন কী উল্লেখ করা হলেও, এই পৃষ্ঠা ধরে নিচ্ছে না যে কীগুলো বৈধ, সবগুলো ব্যবহার অনুপযোগী হয়ে গেছে বা প্রতিটি ব্যবহারকারী অ্যাকাউন্টের সঙ্গে একটি করে কী সরাসরি মিলে যায়। কোম্পানির আগের অস্বীকৃতির কারণে হামলার প্রযুক্তিগত পদ্ধতি নিয়েও নিশ্চিত বা ব্যাপক দাবি করা হয়নি। ব্যবহারকারীর ওপর প্রভাব ফেলে এমন যাচাইকৃত তথ্যের ক্ষেত্রগুলোই এখানে ভিত্তি হিসেবে নেওয়া হয়েছে।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা 2016 সালের আগে DLH.net অ্যাকাউন্ট খুলেছিলেন, নিউজলেটার বা ফোরামের সদস্যপদ ব্যবহার করেছিলেন এবং গেম কী বিতরণের প্রচারাভিযানে অংশ নিয়েছিলেন। যাঁরা Steam, গেম ফোরাম, স্টোর বা সামাজিক প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করেন, তাঁদের বিভিন্ন অ্যাকাউন্টের মধ্যে যোগসূত্র আরও সহজে খুঁজে পাওয়া যেতে পারে। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে, আক্রমণকারী বিভিন্ন প্ল্যাটফর্মে একই ব্যক্তিকে খুঁজে বের করার চেষ্টা করতে পারে। জন্মতারিখের তথ্যও অ্যাকাউন্ট পুনরুদ্ধারের প্রশ্ন, বয়সভিত্তিক প্রোফাইল যাচাই বা বিশ্বাসযোগ্য মনে হয় এমন বার্তা তৈরিতে অপব্যবহার করা হতে পারে।

যাঁরা বিভিন্ন সাইটে একই পাসওয়ার্ড ব্যবহার করেন, তাঁরাও ঝুঁকিতে আছেন। পাসওয়ার্ড হ্যাশ আসল পাসওয়ার্ড না হলেও, MD5-এর দুর্বল গঠনের কারণে পুরোনো ও সহজ পাসওয়ার্ড তুলনামূলকভাবে সহজে অনুমান করা যেতে পারে। 2016 সালে ব্যবহৃত কোনো পাসওয়ার্ড বর্তমানে আর সক্রিয় নেই বলে মনে করা হলেও, বিভিন্ন অ্যাকাউন্টে এখনও একই ধরনের পাসওয়ার্ড ব্যবহৃত হতে পারে। পুরোনো ফোরাম অ্যাকাউন্ট, উপহার হিসেবে গেম কী বিতরণ এবং প্রচারাভিযানে নিবন্ধনের কথা ভুলে যাওয়ার কারণে গেমিং কমিউনিটির ব্যবহারকারীরা এমন পুরোনো তথ্য ফাঁসের প্রভাবকে ছোট করে দেখতে পারেন। যাঁরা পুরোনো গেমিং অ্যাকাউন্ট ও প্রধান ইমেইল অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেছিলেন, তাঁদের জন্য DLH.net-এর তথ্য ফাঁস বিশেষভাবে গুরুত্বপূর্ণ।

DLH.net-এ ব্যবহৃত পাসওয়ার্ড আর কোথাও সক্রিয় রাখা উচিত নয়। অন্য কোনো অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, সেসব অ্যাকাউন্টের প্রতিটিতে আলাদা ও শক্তিশালী পাসওয়ার্ড দিন। ইমেইল অ্যাকাউন্ট, গেম স্টোর, Steam-এর মতো প্ল্যাটফর্ম, পেমেন্টের সঙ্গে যুক্ত অ্যাকাউন্ট এবং একই ব্যবহারকারীর নাম ব্যবহার করা ফোরামগুলোকে অগ্রাধিকার দিন। যেসব গুরুত্বপূর্ণ অ্যাকাউন্টে দুই-উপাদানভিত্তিক প্রমাণীকরণ সমর্থিত, সেগুলোতে তা চালু করুন। তথ্য ফাঁসের ঘটনা পুরোনো হলেও, ফাঁস হওয়া ইমেইল ও ব্যবহারকারীর নামের জোড়া বহু বছর পরেও স্বয়ংক্রিয় লগইন চেষ্টা বা ফিশিং প্রচারাভিযানে আবার ব্যবহার করা হতে পারে।

পাসওয়ার্ড রিসেটের বার্তা, গেম কী উপহার, বিনামূল্যে গেম পাওয়ার প্রচারাভিযান, অ্যাকাউন্ট স্থগিত করার সতর্কবার্তা বা জন্মতারিখ যাচাইয়ের অনুরোধের মতো বার্তার বিষয়ে সতর্ক থাকুন। লিংকে ক্লিক না করে সংশ্লিষ্ট প্ল্যাটফর্মের ঠিকানা নিজে ব্রাউজারে লিখুন। ইমেইল অ্যাকাউন্টে অপ্রত্যাশিত ফরওয়ার্ডিং নিয়ম, অপরিচিত সেশন এবং সন্দেহজনক পুনরুদ্ধার বিকল্প আছে কি না, তা পরীক্ষা করুন। অন্য কোথাও একই ব্যবহারকারীর নাম দেখা যাওয়া নিজে থেকেই নিরাপত্তা লঙ্ঘনের প্রমাণ নয়। তবে ইমেইল, জন্মতারিখ ও আগে ব্যবহৃত পাসওয়ার্ডের তথ্যের সঙ্গে মিলিয়ে বিবেচনা করলে, এটি অ্যাকাউন্টের নিরাপত্তার জন্য একটি জোরালো সতর্কসংকেত।

DLH.net-এর তথ্য ফাঁস দেখায় যে নিরাপত্তা পরিকল্পনায় পুরোনো গেম ও ফোরাম অ্যাকাউন্টের কথা ভুলে যাওয়া উচিত নয়। এখন আর ব্যবহার করেন না এমন অ্যাকাউন্ট বন্ধ করুন, স্থায়ী ইমেইল ঠিকানা শুধু গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য ব্যবহার করুন এবং প্রচারাভিযান বা ফোরামের সদস্যপদের জন্য আলাদা ইমেইল ঠিকানা বেছে নিন। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড তৈরি করা সহজ হয় এবং পুরোনো পাসওয়ার্ডের ধরন চিনতে সাহায্য করে। জন্মতারিখের মতো অপরিবর্তনীয় তথ্য ফাঁস হলে, সেই তথ্যের ওপর ভিত্তি করে তৈরি নিরাপত্তা প্রশ্নকে আর নির্ভরযোগ্য বলে বিবেচনা করা উচিত নয়।

প্ল্যাটফর্ম পরিচালনাকারীদের জন্য শিক্ষা হলো, আধুনিক অ্যালগরিদম দিয়ে পাসওয়ার্ড হ্যাশ সুরক্ষিত রাখা এবং ব্যবহারকারীর কার্যকলাপের মতো সহায়ক তথ্যক্ষেত্রের পরিসর অপ্রয়োজনে না বাড়ানো। MD5-এর মতো পুরোনো পদ্ধতিকে, সল্ট যুক্ত থাকলেও, আধুনিক হামলার সক্ষমতার বিরুদ্ধে যথেষ্ট বলে বিবেচনা করা হয় না। গেমিং কমিউনিটি, ফোরাম ও প্রচারাভিযানের সাইটগুলোর অ্যাকাউন্টের তথ্যকে কম ঝুঁকির বলে দেখা উচিত নয়, কারণ একই ব্যবহারকারীর নাম ও ইমেইল অন্য প্ল্যাটফর্মের সঙ্গে যোগসূত্র তৈরি করতে পারে। নিয়মিত দুর্বলতা মূল্যায়ন, প্রবেশাধিকার সীমিত করা, পুরোনো সেশন মুছে ফেলা এবং অস্বাভাবিকভাবে তথ্য অ্যাক্সেসের ঘটনা দ্রুত শনাক্ত করা দীর্ঘমেয়াদি সুরক্ষা জোরদার করে।

এই রেকর্ডে আপনার তথ্যের সঙ্গে মিল পেলে, আপনার ইমেইল ঠিকানা DLH.net-এর তথ্য ফাঁসের সঙ্গে সম্পর্কিত অ্যাকাউন্টের তথ্যে অন্তর্ভুক্ত হয়ে থাকতে পারে। এর অর্থ এই নয় যে আপনার অ্যাকাউন্টের নিরাপত্তা বর্তমানে লঙ্ঘিত হয়েছে। তবে এটি নির্দেশ করে যে 2016 সালের সময়কালে ব্যবহৃত পাসওয়ার্ড, ব্যবহারকারীর নাম, জন্মতারিখ ও ওয়েবসাইটে কার্যকলাপের মতো তথ্যক্ষেত্র নিরাপত্তার ঝুঁকি তৈরি করেছে। প্রথম করণীয় হলো, DLH.net-এ পাসওয়ার্ড ব্যবহারের একই সময়কালে অন্য কোথায় কোন পাসওয়ার্ড ব্যবহার করেছিলেন, তা খুঁজে বের করে সবগুলো বদলে আলাদা পাসওয়ার্ড দেওয়া। বিশেষ করে প্রধান ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন, পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করুন এবং দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন।

ঘটনাটি পুরোনো বলে ঝুঁকি শেষ হয়ে গেছে ধরে নেওয়া উচিত নয়। পুরোনো ঘটনায় ফাঁস হওয়া তথ্য বহু বছর পরে অন্য তথ্যের সঙ্গে মিলিয়ে নতুন করে অ্যাকাউন্টে প্রবেশের চেষ্টা বা নির্দিষ্ট ব্যক্তির উপযোগী প্রতারণামূলক বার্তা তৈরিতে ব্যবহার করা হতে পারে। আপনার আগে ব্যবহৃত ব্যবহারকারীর নাম, গেমিং প্ল্যাটফর্মের অ্যাকাউন্ট এবং পুরোনো ফোরামের সদস্যপদ পর্যালোচনা করুন। এখনও একই ধরনের পাসওয়ার্ড ব্যবহার করলে তা বদলান। এই রেকর্ডের উদ্দেশ্য হলো, DLH.net-এর তথ্য ফাঁসকে অতিরঞ্জন ছাড়া উপস্থাপন করা, বিতর্কিত বিবরণ সীমিত রাখা এবং যাচাইকৃত তথ্যের ক্ষেত্রগুলো স্পষ্টভাবে দেখানোর মাধ্যমে ব্যবহারকারীদের অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত সিদ্ধান্তে সঠিক অগ্রাধিকার নির্ধারণে সাহায্য করা।