Ducks Unlimited: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, নাম, ফোন নম্বর, বাসা বা যোগাযোগের ঠিকানা এবং সল্টবিহীন MD5 পাসওয়ার্ড হ্যাশ। ইমেইল, নাম, ফোন ও ঠিকানা একসঙ্গে থাকলে ব্যবহারকারীর পরিচয় সম্পর্কে বেশ স্পষ্ট ধারণা পাওয়া যায়। এর সঙ্গে জন্মতারিখ যুক্ত হলে ভুয়া সদস্যপদ যাচাই, অনুদানসংক্রান্ত হালনাগাদ, ঠিকানা নিশ্চিতকরণ বা অ্যাকাউন্ট পুনরুদ্ধারের বার্তা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। বাসা বা যোগাযোগের ঠিকানা বিশেষভাবে গুরুত্বপূর্ণ, কারণ ঝুঁকি শুধু অনলাইন অ্যাকাউন্টের নিরাপত্তায় সীমাবদ্ধ নয়; এই তথ্য ডাকযোগে ও ফোনে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার পথও খুলে দিতে পারে।

পাসওয়ার্ড হ্যাশ প্লেইন টেক্সট পাসওয়ার্ড নয়, তবে সল্টবিহীন MD5 কাঠামোকে শক্তিশালী সুরক্ষা হিসেবে বিবেচনা করা হয় না। আক্রমণকারীরা তুলনামূলক সহজে দুর্বল পাসওয়ার্ড অনুমান করে একই ইমেইল ঠিকানার অন্য অ্যাকাউন্টে সেগুলো ব্যবহার করে দেখতে পারে। সদস্যপদ বা অনুদানের মাধ্যমে কোনো সংস্থার সঙ্গে যুক্ত ব্যবহারকারীরা অন্য সংগঠন, কেনাকাটার সাইট, ফোরাম বা ইমেইল অ্যাকাউন্টেও একই ইমেইল ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন। তাই Ducks Unlimited-এর তথ্য ফাঁসকে শুধু স্প্যামের ঝুঁকি হিসেবে নয়, অ্যাকাউন্ট দখল, অনুদানসংক্রান্ত প্রতারণা এবং ঠিকানার গোপনীয়তার দিক থেকেও মূল্যায়ন করা উচিত।

ঘটনার যাচাইকৃত তারিখ হিসেবে 29 জানুয়ারি 2021 নথিভুক্ত রয়েছে। 2021 সালের মাঝামাঝি অনলাইনে কেনাবেচা হওয়া একটি Ducks Unlimited ডেটাবেসের প্রেক্ষাপটে এই তথ্যসমষ্টির কথা জানানো হয়। 16 নভেম্বর 2021 এটিকে যাচাইকৃত তথ্য ফাঁসের রেকর্ডে যুক্ত করা হয়। এই রেকর্ডে 13,24,364টি স্বতন্ত্র ইমেইল ঠিকানা রয়েছে। কিছু বিবরণে প্রায় 13 লাখ ব্যবহারকারী বা সদস্যের কথা বলা হতে পারে; এই পৃষ্ঠাটি অনুসন্ধানে ব্যবহৃত স্বতন্ত্র ইমেইলের সুনির্দিষ্ট সংখ্যার ওপর ভিত্তি করে তৈরি।

এই ঘটনার পরিধি বুঝতে দুটি প্রধান তালিকা বিবেচনা করতে হবে: সদস্যদের তালিকা এবং ওয়েবসাইট ব্যবহারকারীদের তালিকা। এর অর্থ এই নয় যে যাঁদের তথ্য মিলে যায়, তাঁদের প্রত্যেকের জন্য একই ধরনের সব তথ্য রয়েছে। কিছু রেকর্ড সদস্যসংক্রান্ত তথ্যের অংশ হতে পারে, আবার অন্যগুলো ওয়েব অ্যাকাউন্টের তথ্যের অংশ হতে পারে। যাচাইকৃত তথ্যগুলো হলো জন্মতারিখ, ইমেইল, নাম, ফোন, বাসা বা যোগাযোগের ঠিকানা এবং পাসওয়ার্ড হ্যাশ। ক্রেডিট কার্ড, ব্যাংক অ্যাকাউন্ট, অনুদানের পরিমাণ, সরকারি পরিচয়পত্র বা সংবেদনশীল স্বাস্থ্যতথ্য এই রেকর্ডের যাচাইকৃত তথ্যের ধরন নয়।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন Ducks Unlimited-এর সদস্য, দাতা এবং ওয়েবসাইটে অ্যাকাউন্ট থাকা ব্যবহারকারীরা। সদস্যদের তালিকায় থাকা ব্যক্তিদের ক্ষেত্রে ঠিকানা, ফোন নম্বর ও জন্মতারিখের মতো তথ্য গোপনীয়তার জন্য আরও সরাসরি ঝুঁকি তৈরি করতে পারে। ওয়েবসাইটে অ্যাকাউন্ট থাকা ব্যবহারকারীদের ক্ষেত্রে একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহারের ঝুঁকি বেশি গুরুত্ব পায়। অন্য অ্যাকাউন্টেও একই ইমেইল ও পাসওয়ার্ড ব্যবহার করা হলে আক্রমণকারীরা বিভিন্ন সেবায় এই তথ্য দিয়ে প্রবেশের চেষ্টা করতে পারে। ভুয়া অনুদান নবায়ন বা সদস্যপদ যাচাইয়ের বার্তায় দাতা বা সদস্য হিসেবে সংস্থার সঙ্গে সম্পর্ককে বিশ্বাস অর্জনের উপায় হিসেবে ব্যবহার করা হতে পারে।

যাঁদের বাসা বা যোগাযোগের ঠিকানা এবং ফোন নম্বর ফাঁস হয়েছে, তাঁদের ডাকযোগে, ফোনে বা ইমেইলে লক্ষ্যবস্তু করা হতে পারে। কোনো আক্রমণকারী সংস্থার নাম ব্যবহার করে ভুয়া অনুদান সংগ্রহের প্রচার, সদস্যপদ হালনাগাদ, পুরস্কারের বিজ্ঞপ্তি বা অ্যাকাউন্ট যাচাইয়ের বার্তা তৈরি করতে পারে। বাড়তি বিশ্বাস অর্জনের জন্য এসব বার্তায় জন্মতারিখও ব্যবহার করা হতে পারে। রেকর্ডটি পুরোনো হলেও ঠিকানা ও জন্মতারিখের মতো তথ্য দীর্ঘ সময় অপরিবর্তিত থাকতে পারে। তাই ব্যবহারকারীদের শুধু পাসওয়ার্ড নয়, যোগাযোগের মাধ্যমগুলোরও সুরক্ষা নিশ্চিত করা উচিত।

Ducks Unlimited অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড এখনো অন্য কোনো অ্যাকাউন্টে চালু থাকলে তা অবিলম্বে পরিবর্তন করা উচিত। ইমেইল, অনুদান, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম বা ফোরামের অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড দিতে হবে। প্রধান ইমেইল অ্যাকাউন্টে দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। ইমেইল অ্যাকাউন্ট বেহাত হলে অন্য অ্যাকাউন্টের পাসওয়ার্ড পুনর্নির্ধারণের লিংকও ঝুঁকিতে পড়ে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো পাসওয়ার্ড কোথায় কোথায় আবার ব্যবহার করা হয়েছে, তা খুঁজে বের করা সহজ হয়।

ফোন, ডাক ও ইমেইলের মাধ্যমে আসা অনুদান, সদস্যপদ নবায়ন, ঠিকানা যাচাই বা অ্যাকাউন্ট হালনাগাদের অনুরোধ সতর্কতার সঙ্গে যাচাই করা উচিত। বার্তায় আপনার নাম, ঠিকানা বা জন্মতারিখ সঠিকভাবে উল্লেখ থাকলেও শুধু তা দিয়ে বার্তাটি নিরাপদ বলে প্রমাণিত হয় না। অর্থ পরিশোধ, কার্ড নম্বর, ব্যাংকের তথ্য, একবার ব্যবহারযোগ্য কোড বা পাসওয়ার্ড চাওয়া হলে অনুরোধে সাড়া দেওয়া বন্ধ করে সংস্থার পরিচিত ও অনুমোদিত যোগাযোগমাধ্যমে লেনদেনটি যাচাই করা উচিত। এই ঘটনায় অর্থপ্রাপকের পরিচয় যাচাই করা না হয়ে থাকলেও ফাঁস হওয়া যোগাযোগের তথ্য পরে প্রতারণার মাধ্যমে অর্থ পরিশোধসংক্রান্ত তথ্য আদায়ে ব্যবহার করা হতে পারে।

দীর্ঘমেয়াদে সদস্যপদ ও অনুদানের অ্যাকাউন্টে আলাদা, অনন্য পাসওয়ার্ড ব্যবহার করা উচিত। একাধিক অনুদান, প্রচারাভিযান ও সদস্যপদের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার ঝুঁকি বাড়ে। ব্যবহারকারীদের আর ব্যবহার করেন না এমন ওয়েব অ্যাকাউন্ট বন্ধ করা, যোগাযোগসংক্রান্ত পছন্দগুলো পর্যালোচনা করা এবং প্রোফাইলে অপ্রয়োজনীয় তথ্য যতটা সম্ভব কম রাখা উচিত। বাসা বা যোগাযোগের ঠিকানা ও ফোনের তথ্য রয়েছে এমন অ্যাকাউন্ট নিয়মিত পরীক্ষা করা উচিত। এমনকি পুরোনো ঠিকানাও সোশ্যাল ইঞ্জিনিয়ারিংয়ের সময় পরিচয় যাচাইয়ের জন্য অতীতের তথ্য হিসেবে ব্যবহার করা হতে পারে।

প্রতিষ্ঠানের দিক থেকে এই ঘটনা দেখায় যে সদস্যপদ ও অনুদানসংক্রান্ত তথ্যকে সংবেদনশীল ব্যক্তিগত তথ্য হিসেবে বিবেচনা করা উচিত। সল্টবিহীন MD5-এর মতো দুর্বল পদ্ধতিতে পাসওয়ার্ড হ্যাশ সংরক্ষণ করা উচিত নয়; আধুনিক, গণনাগতভাবে ব্যয়বহুল ও সল্টযুক্ত হ্যাশিং পদ্ধতি ব্যবহার করা উচিত। সদস্য ও ওয়েব ব্যবহারকারীদের তালিকা অপ্রয়োজনীয়ভাবে দীর্ঘদিন রাখা উচিত নয়, তথ্য ব্যবহারের অনুমতি ন্যূনতম পর্যায়ে রাখা উচিত, বিপুল পরিমাণ তথ্য রপ্তানির কার্যক্রম পর্যবেক্ষণ করা উচিত এবং তথ্য ফাঁসের পর দেওয়া বিজ্ঞপ্তি স্পষ্ট হওয়া উচিত। দাতাদের আস্থা শুধু অর্থ পরিশোধের তথ্য সুরক্ষিত রাখার ওপর নয়, ঠিকানা ও যোগাযোগের তথ্য সুরক্ষিত রাখার ওপরও নির্ভর করে।

এই রেকর্ডে আপনার তথ্যের সঙ্গে মিল পাওয়া গেলে, আপনার ইমেইল ঠিকানা Ducks Unlimited-এর তথ্য ফাঁসের সঙ্গে সম্পর্কিত 13,24,364টি স্বতন্ত্র ইমেইলের মধ্যে পাওয়া গিয়ে থাকতে পারে। মিল পাওয়ার অর্থ এই নয় যে আপনার পেমেন্ট কার্ড বা ব্যাংকের তথ্য ফাঁস হয়েছে। যাচাইকৃত তথ্যগুলো হলো জন্মতারিখ, ইমেইল, নাম, ফোন, বাসা বা যোগাযোগের ঠিকানা এবং সল্টবিহীন MD5 পাসওয়ার্ড হ্যাশ। প্রথম কাজ হলো এই অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ড আর কোথায় কোথায় ব্যবহার করেছেন, তা পরীক্ষা করা।

আপনার পুরোনো পাসওয়ার্ড অন্য অ্যাকাউন্টে ব্যবহার করা হলে তা পরিবর্তন করুন। ইমেইল অ্যাকাউন্টে দুই-ধাপের যাচাইকরণ চালু করুন এবং সদস্যপদ বা অনুদানসংক্রান্ত বার্তা সরাসরি সংস্থার অনুমোদিত যোগাযোগমাধ্যমে যাচাই করুন। ঠিকানা ও ফোনের তথ্য উল্লেখ করা বার্তায় তাড়াহুড়ো করে অর্থ পরিশোধ বা যাচাইকরণসংক্রান্ত তথ্য শেয়ার করবেন না। Ducks Unlimited-এর তথ্য ফাঁসের ক্ষেত্রে সঠিক দৃষ্টিভঙ্গি হলো একে শুধু সদস্যদের তালিকা ফাঁস হিসেবে না দেখে, দুর্বল পাসওয়ার্ড হ্যাশের সঙ্গে ঠিকানা ও ফোনের তথ্য মিলে অ্যাকাউন্টের নিরাপত্তা ও প্রতারণার দীর্ঘমেয়াদি ঝুঁকি তৈরি করতে পারে, এটি স্বীকার করা।