Dropbox তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড হ্যাশ। শুধু ইমেইল ঠিকানা দিয়ে কোনো অ্যাকাউন্টে প্রবেশ করা যায় না, তবে এটি ফিশিং বার্তা পাঠাতে, নির্দিষ্ট অ্যাকাউন্টের পাসওয়ার্ড অনুমান করে প্রবেশের চেষ্টা চালাতে এবং বিভিন্ন সেবায় থাকা অ্যাকাউন্টের মধ্যে মিল খুঁজতে ব্যবহার করা যেতে পারে। পাসওয়ার্ড হ্যাশ পাসওয়ার্ডের পাঠযোগ্য রূপ নয়; তবে দুর্বল পাসওয়ার্ড বেছে নেওয়া, পুরোনো হ্যাশিং পদ্ধতি বা অন্য সাইটে একই পাসওয়ার্ডের পুনর্ব্যবহার আক্রমণকারীদের সুবিধা দিতে পারে। Dropbox-এর ঘটনায় পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য অবস্থায় ছিল বলে যাচাই করা হয়নি; ঝুঁকির উৎস ছিল অফলাইন আক্রমণের তালিকায় সল্টযুক্ত হ্যাশ অন্তর্ভুক্ত থাকা।

সবচেয়ে বড় বিপদ তৈরি হয় একই পাসওয়ার্ড পুনর্ব্যবহার থেকে। কোনো ব্যবহারকারী Dropbox-এ ব্যবহৃত পুরোনো পাসওয়ার্ডটি তাঁর ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, কাজের সফটওয়্যার, কেনাকাটার অ্যাকাউন্ট, ক্লাউড স্টোরেজ সেবা বা গেমিং অ্যাকাউন্টেও ব্যবহার করে থাকলে, আক্রমণকারীরা বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ও পাসওয়ার্ডের সমন্বয় দিয়ে প্রবেশের চেষ্টা করতে পারে। ইমেইল ঠিকানা জানা থাকলে ভুয়া নিরাপত্তা সতর্কতা ও ফাইল শেয়ারিংয়ের ভুয়া বার্তা আরও বিশ্বাসযোগ্য করে তোলা যায়। এ ঘটনায় ফাইলের বিষয়বস্তু যাচাইকৃত তথ্যের ক্ষেত্রগুলোর মধ্যে নেই, তাই ফাইল ফাঁস হয়েছে বলে সিদ্ধান্তে পৌঁছানো উচিত নয়; তবে পাসওয়ার্ডটি অন্য কোথাও কার্যকর থাকলে, এর প্রভাব Dropbox-এর বাইরের অ্যাকাউন্টেও পড়তে পারে।

তথ্য ফাঁসের সময় হিসেবে 2012 সালের জুলাই নথিভুক্ত রয়েছে। তথ্যসমষ্টিটি আরও ব্যাপকভাবে প্রকাশ্যে আসে এবং পাসওয়ার্ড রিসেটের প্রক্রিয়া গুরুত্ব পায় 2016 সালের আগস্টে। যাচাইকৃত অ্যাকাউন্টের সংখ্যা 6,86,48,009 হিসেবে নথিভুক্ত রয়েছে। বিভিন্ন সংবাদ প্রতিবেদনে 68 মিলিয়ন বা 68.6 মিলিয়নের মতো আনুমানিক সংখ্যা দেখা যেতে পারে; ব্যবহারকারীর অনুসন্ধান প্রক্রিয়ায় ভিত্তি হিসেবে ব্যবহৃত সংখ্যা হলো 6,86,48,009। ঘটনাটির সঙ্গে একজন কর্মীর অ্যাকাউন্টে পুনর্ব্যবহৃত পাসওয়ার্ডের অপব্যবহার এবং ব্যবহারকারীদের লগইন তথ্যসম্বলিত ডেটায় প্রবেশের যোগসূত্র পাওয়া গেছে।

এই রেকর্ডে পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্রের নম্বর, ফোন নম্বর, পূর্ণ ঠিকানা, ফাইলের বিষয়বস্তু বা ব্যক্তিগত নথির ক্ষেত্র যাচাই করা হয়নি। যাচাইকৃত ক্ষেত্রগুলো হলো ইমেইল ঠিকানা এবং পাসওয়ার্ডের তথ্যের ক্রিপ্টোগ্রাফিক রূপ। কিছু পাসওয়ার্ড হ্যাশ bcrypt দিয়ে সুরক্ষিত, আর অন্যগুলো SHA-1 দিয়ে; তাই প্রতিটি অ্যাকাউন্টের নিরাপত্তা ভঙ্গের ঝুঁকি এক নয়। তা সত্ত্বেও, কোনো পুরোনো পাসওয়ার্ড বিভিন্ন অ্যাকাউন্টে রয়ে গেলে, এই ঘটনা বহু বছর পরও বর্তমানে ব্যবহৃত অ্যাকাউন্ট দখল ও ফিশিংয়ের ঝুঁকি তৈরি করতে পারে।

যাঁদের 2012 সালের আগে Dropbox অ্যাকাউন্ট ছিল এবং পরে সেই পাসওয়ার্ড অন্য কোথাও ব্যবহার করেছেন, তাঁরাই সবচেয়ে বেশি ঝুঁকিতে আছেন। পাসওয়ার্ড রিসেটের প্রক্রিয়া Dropbox অ্যাকাউন্টের ঝুঁকি কমালেও, একই পুরোনো পাসওয়ার্ড অন্য কোনো সেবায় রয়ে গেলে সমস্যা থেকে যায়। প্রতিষ্ঠানের ডোমেইনযুক্ত ইমেইল ঠিকানাগুলোও লক্ষ্যভিত্তিক বার্তার ঝুঁকিতে বেশি থাকতে পারে, কারণ ইমেইল ডোমেইন থেকে আক্রমণকারী প্রতিষ্ঠান, সম্ভাব্য বিভাগ বা ক্লাউডে ফাইল ব্যবহারের অভ্যাস সম্পর্কে অনুমান করার চেষ্টা করতে পারে।

পুরোনো অ্যাকাউন্টগুলোর দিকেও বিশেষ নজর দেওয়া প্রয়োজন। যেসব ইমেইল ঠিকানা আর ব্যবহার করা হয় না, ভুলে যাওয়া ব্যক্তিগত অ্যাকাউন্ট, টিম ফোল্ডারের সঙ্গে যুক্ত ব্যবহারকারী এবং দীর্ঘদিন সেশন পর্যালোচনা করা হয়নি এমন ডিভাইস, এসব ঝুঁকি মূল্যায়নের আওতায় রাখা উচিত। যাঁরা ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি বেশি; কারণ ইমেইল অ্যাকাউন্টের নিরাপত্তা ভঙ্গ হলে অন্য অ্যাকাউন্টগুলোর পাসওয়ার্ড পুনরুদ্ধারের প্রক্রিয়াও ঝুঁকিতে পড়তে পারে। Dropbox-এর তথ্য ফাঁসকে শুধু ক্লাউড স্টোরেজ অ্যাকাউন্টের সমস্যা হিসেবে নয়, পাসওয়ার্ড ব্যবহারের নিরাপদ অভ্যাস এবং পরস্পর সংযুক্ত অ্যাকাউন্টগুলোর নিরাপত্তার দৃষ্টিকোণ থেকেও বিবেচনা করা উচিত।

প্রথম পদক্ষেপ হলো নিশ্চিত করা যে 2012 সালে Dropbox-এর জন্য ব্যবহৃত পাসওয়ার্ডটি আর কোনো অ্যাকাউন্টে কার্যকর নেই। অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড রয়ে গেলে, প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করা উচিত। Dropbox অ্যাকাউন্টে দুই ধাপে যাচাইকরণ চালু করা এবং সংযুক্ত ডিভাইস, সক্রিয় সেশন ও তৃতীয় পক্ষের সংযোগ পর্যালোচনা করা উচিত। অপরিচিত ডিভাইস সরিয়ে দিতে হবে, পুরোনো শেয়ারিং লিংক পরীক্ষা করতে হবে এবং অপ্রয়োজনীয় লিংক নিষ্ক্রিয় করতে হবে।

ইমেইল অ্যাকাউন্টও সুরক্ষিত রাখা উচিত, কারণ অ্যাকাউন্ট পুনরুদ্ধারের বার্তা ও পাসওয়ার্ড রিসেটের লিংক প্রায়ই ইমেইলের মাধ্যমে আসে। Dropbox-এর নাম ব্যবহার করে পাঠানো স্টোরেজের সীমা, ফাইল শেয়ারিং, পাসওয়ার্ড সতর্কতা বা অ্যাকাউন্ট স্থগিত করার ভুয়া বার্তার বিষয়ে সতর্ক থাকতে হবে। লিংকে ক্লিক না করে ব্রাউজার থেকে সরাসরি সেবাটিতে প্রবেশ করা উচিত এবং সন্দেহজনক বার্তা না খুলেই মুছে ফেলা উচিত। কাজ বা শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্টে একই পুরোনো পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, নিরাপত্তা দলকে জানাতে হবে এবং সংশ্লিষ্ট অ্যাকাউন্টগুলোর লগইন ইতিহাস পরীক্ষা করতে হবে।

দীর্ঘমেয়াদি সুরক্ষার জন্য ক্লাউড স্টোরেজ অ্যাকাউন্টে আলাদা পাসওয়ার্ড, দুই ধাপে যাচাইকরণ ও নিয়মিত সেশন পরীক্ষা মৌলিক ব্যবস্থা হিসেবে বিবেচনা করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো Dropbox পাসওয়ার্ড অন্য অ্যাকাউন্টে রয়ে গেছে কি না বোঝা সহজ হয়। নিয়মিত বিরতিতে শেয়ারিং লিংক পর্যালোচনা করা, অপ্রয়োজনীয় লিংক বন্ধ করা এবং অ্যাকাউন্ট থেকে পুরোনো ডিভাইস সরিয়ে দেওয়া উচিত। ব্যক্তিগত ও কাজের ফাইল একই অ্যাকাউন্টে রাখা হলে, অনুমতিগুলো আরও কঠোরভাবে পর্যবেক্ষণ করতে হবে এবং টিম ফোল্ডারে অপ্রয়োজনীয় প্রবেশাধিকার রাখা উচিত নয়।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে ঘটনাটি দেখায়, কর্মীদের একই পাসওয়ার্ড পুনর্ব্যবহার গ্রাহকদের লগইন তথ্য পর্যন্ত বিস্তৃত বড় নিরাপত্তা সমস্যায় রূপ নিতে পারে। কর্মীদের অ্যাকাউন্টের জন্য শক্তিশালী পরিচয় যাচাই, আলাদা পাসওয়ার্ড, প্রবেশাধিকারের সীমা, অস্বাভাবিক লগইনের সতর্কতা এবং সংবেদনশীল তথ্যে প্রবেশের ওপর কঠোর নিয়ন্ত্রণ প্রয়োজন। শক্তিশালী পদ্ধতিতে পাসওয়ার্ড হ্যাশ সুরক্ষিত রাখলে ক্ষতি কমে; তবে শুধু এটিই যথেষ্ট নয়। ব্যবহারকারীদের দ্রুত জানানো, বাধ্যতামূলক পাসওয়ার্ড পরিবর্তন, দুর্বল পাসওয়ার্ড পরীক্ষা এবং পাসওয়ার্ড পুনর্ব্যবহার রোধের নীতি, সবই একই ধারাবাহিক প্রতিরক্ষাব্যবস্থার অংশ হওয়া উচিত।

আপনি যদি মিল পাওয়ার ফলাফল দেখেন, তাহলে Dropbox-এর তথ্য ফাঁসের সঙ্গে সম্পর্কিত 6,86,48,009টি অ্যাকাউন্টের মধ্যে আপনার ইমেইল ঠিকানা পাওয়া গিয়ে থাকতে পারে। এই ফলাফলের অর্থ এই নয় যে আপনার ফাইল, ব্যক্তিগত নথি বা পেমেন্টের তথ্য ফাঁস হয়েছে। যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা ও সল্টযুক্ত পাসওয়ার্ড হ্যাশ। প্রথমে সেই সময় Dropbox-এর জন্য আপনি যে পাসওয়ার্ড ব্যবহার করতেন, সেটি মনে করুন এবং একই বা কাছাকাছি পাসওয়ার্ড এখনো অন্য অ্যাকাউন্টে কার্যকর আছে কি না পরীক্ষা করুন।

আপনার Dropbox অ্যাকাউন্ট এখনো ব্যবহার করা হলে, সেটির জন্য আলাদা পাসওয়ার্ড নির্ধারণ করুন, দুই ধাপে যাচাইকরণ চালু করুন এবং সংযুক্ত ডিভাইস ও শেয়ারিং লিংক পর্যালোচনা করুন। আপনার পুরোনো Dropbox পাসওয়ার্ড অন্য সেবায় ব্যবহার করা হয়ে থাকলে, সেসব সেবার পাসওয়ার্ডও পরিবর্তন করুন। বিশেষ করে আপনার ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখুন, কারণ অন্য অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়া বেশির ভাগ ক্ষেত্রে সেখান থেকেই শুরু হয়। এই ঘটনায় সঠিক করণীয় হলো ফাইল ফাঁস হয়েছে ধরে নিয়ে আতঙ্কিত না হয়ে, ইমেইল ও পাসওয়ার্ডের সমন্বয় থেকে তৈরি হওয়া অ্যাকাউন্টের নিরাপত্তার দীর্ঘমেয়াদি ঝুঁকি পদ্ধতিগতভাবে কমানো।