Dueling Network তথ্য ফাঁস

Dueling Network-এর রেকর্ডে সবচেয়ে গুরুত্বপূর্ণ ঝুঁকির বিষয় হলো পাসওয়ার্ডের তথ্য। পাসওয়ার্ড MD5 হ্যাশ আকারে সংরক্ষিত থাকলেও, দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে হ্যাশ ভেঙে পাসওয়ার্ড উদ্ধার করা বাস্তবে সম্ভব হয়ে উঠতে পারে। ব্যবহারকারীর নাম ও ইমেইল ঠিকানার সঙ্গে পাওয়া পাসওয়ার্ড হ্যাশ আক্রমণকারীকে ক্রেডেনশিয়াল স্টাফিংয়ের চেষ্টার জন্য একটি শক্তিশালী ভিত্তি দেয়। বিশেষ করে গেম, ফোরাম, ইমেইল, সামাজিক যোগাযোগমাধ্যম বা পেমেন্ট-সংশ্লিষ্ট অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, পুরোনো একটি ফোরামের তথ্য ফাঁস অ্যাকাউন্টের নিরাপত্তার অনেক বড় সমস্যায় পরিণত হতে পারে।

শুধু IP ঠিকানা কারও পরিচয়ের চূড়ান্ত প্রমাণ নয়। তবে অ্যাকাউন্টের নাম ও ইমেইলের সঙ্গে মিলিয়ে দেখলে তা ব্যবহারকারীর সংযোগের অঞ্চল, সেবাদাতা সম্পর্কে ইঙ্গিত বা আগের সেশনগুলোর ধরন সম্পর্কে ধারণা দিতে পারে। ব্যবহারকারীর নামও গুরুত্বপূর্ণ, কারণ খেলোয়াড়েরা বিভিন্ন গেম, স্ট্রিম, ফোরাম বা সামাজিক প্ল্যাটফর্মে একই ডাকনাম ব্যবহার করতে পারেন। এই মিল নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে পাঠানো ফিশিং বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে এবং পুরোনো অ্যাকাউন্টের ইতিহাস কাজে লাগিয়ে নতুন অ্যাকাউন্টে সামাজিক প্রকৌশলভিত্তিক প্রতারণার চেষ্টা করার সুযোগ তৈরি করে।

এই রেকর্ডের যাচাইকৃত পরিসর হলো 64,86,626টি অ্যাকাউন্ট নিবন্ধন। এই সংখ্যাকে সরাসরি স্বতন্ত্র ব্যক্তির সংখ্যা হিসেবে ধরা উচিত নয়। একই ব্যক্তির একাধিক অ্যাকাউন্ট, নিষ্ক্রিয় অ্যাকাউন্ট বা একই রেকর্ডের একাধিক অনুলিপি থাকতে পারে, বিশেষ করে পুরোনো ফোরামগুলোতে। তাই যথাযথভাবে বলা যায়, কয়েক মিলিয়ন খেলোয়াড় ও ফোরাম ব্যবহারকারীর সঙ্গে সম্পর্কিত অ্যাকাউন্টের তথ্য উন্মুক্ত হয়েছে। ঘটনার তারিখ হিসেবে 29 মার্চ 2017 ধরতে হবে; পরবর্তী যাচাই বা সংরক্ষণের তারিখকে তথ্য ফাঁসের তারিখ হিসেবে উপস্থাপন করা উচিত নয়।

যাচাই করে নিশ্চিত হওয়া তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড হ্যাশ এবং ব্যবহারকারীর নাম। পূর্ণ নাম, ফোন নম্বর, বাসা বা কর্মস্থলের ঠিকানা, পেমেন্ট কার্ড, গেমের ভেতরে কেনাকাটার ইতিহাস বা ব্যক্তিগত বার্তার বিষয়বস্তুর মতো অতিরিক্ত ক্ষেত্র এই রেকর্ডের যাচাইকৃত তথ্যের ধরনগুলোর অন্তর্ভুক্ত নয়। বিবরণে এই সীমা স্পষ্টভাবে বজায় রাখতে হবে, কারণ পুরোনো গেম ও ফোরাম অ্যাকাউন্ট নিয়ে অতিরঞ্জিত বর্ণনা ব্যবহারকারীকে বিভ্রান্ত করতে পারে। সতর্ক মূল্যায়নে পরিচয়-সংক্রান্ত তথ্য এবং বিভিন্ন অ্যাকাউন্টের মধ্যে মিল খুঁজে পাওয়ার ঝুঁকির ওপর গুরুত্ব দেওয়া উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন যাঁরা তাঁদের Dueling Network অ্যাকাউন্টের পাসওয়ার্ড অন্য কোথাও আবার ব্যবহার করেছেন। পুরোনো গেম ফোরামের পাসওয়ার্ড অনেক সময় ইমেইল, সামাজিক যোগাযোগমাধ্যম, স্ট্রিমিং, কেনাকাটা বা অন্য গেমিং প্ল্যাটফর্মেও ব্যবহার করা হয়ে থাকতে পারে। এ ক্ষেত্রে আক্রমণকারী ফাঁস হওয়া ইমেইল ও ব্যবহারকারীর নামের সমন্বয় বিভিন্ন সেবায় পরীক্ষা করে অ্যাকাউন্টের নিয়ন্ত্রণ নেওয়ার চেষ্টা করতে পারে। পাসওয়ার্ড হ্যাশ ভাঙা না হলেও, ব্যবহারকারীর নাম ও ইমেইলের মিল নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে ফিশিং বার্তা তৈরির জন্য যথেষ্ট প্রেক্ষাপট দিতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো যাঁরা বহু বছর ধরে বিভিন্ন অনলাইন কমিউনিটিতে একই ব্যবহারকারীর নাম ব্যবহার করেছেন। গেমার ট্যাগ, ফোরামের ডাকনাম ও ইমেইল ঠিকানা একসঙ্গে পাওয়া গেলে একজন ব্যক্তির বিভিন্ন অনলাইন প্রোফাইলের মধ্যে যোগসূত্র স্থাপন করা যায়। এর সঙ্গে IP ঠিকানা যুক্ত হলে আক্রমণকারীরা ব্যবহারকারীর অবস্থান, সংযোগ ব্যবহারের অভ্যাস বা সেবাদাতা সম্পর্কে ধারণা করার চেষ্টা করতে পারে। প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধন করা ব্যবহারকারীদের ঝুঁকি বেশি, কারণ কর্মক্ষেত্রের অ্যাকাউন্টকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় পুরোনো গেম অ্যাকাউন্টটি আপাতদৃষ্টিতে বিশ্বাসযোগ্য প্রেক্ষাপট হিসেবে কাজে লাগতে পারে।

Dueling Network অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে, তা অবিলম্বে বদলাতে হবে। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, গেম স্টোর, পেমেন্টের সঙ্গে যুক্ত অ্যাকাউন্ট এবং একই ব্যবহারকারীর নাম দিয়ে তৈরি ফোরাম প্রোফাইলগুলোকে অগ্রাধিকার দিতে হবে। নতুন পাসওয়ার্ড প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও এলোমেলো হওয়া উচিত। পুরোনো পাসওয়ার্ডের শেষে শুধু একটি সংখ্যা বা প্রতীক যোগ করাকে যথেষ্ট মনে করা উচিত নয়। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়।

অ্যাকাউন্টে দুই ধাপে যাচাইয়ের সুবিধা থাকলে তা চালু করতে হবে। ইমেইল অ্যাকাউন্টের সুরক্ষায় বিশেষ গুরুত্ব দিতে হবে, কারণ অনেক সেবার পাসওয়ার্ড পুনর্নির্ধারণের লিংক ইমেইলে পাঠানো হয়। Dueling Network বা পুরোনো গেম অ্যাকাউন্টের কথা বলে আসা লগইন লিংক, পাসওয়ার্ড পুনর্নির্ধারণের সতর্কবার্তা এবং অ্যাকাউন্ট যাচাইয়ের বার্তা সম্পর্কে সতর্ক থাকতে হবে। একই ইমেইল ঠিকানা দিয়ে নিবন্ধিত পুরোনো ফোরাম অ্যাকাউন্টগুলোও পর্যালোচনা করতে হবে। অব্যবহৃত অ্যাকাউন্ট বন্ধ করে দেওয়া উচিত, অথবা সেগুলোর পাসওয়ার্ড বদলাতে হবে।

এই ঘটনা দেখায়, বন্ধ হয়ে যাওয়া বা অব্যবহৃত সেবার অ্যাকাউন্টও নিরাপত্তায় প্রভাব ফেলতে পারে। ব্যবহারকারীদের নিয়মিত পুরোনো নিবন্ধনগুলো পর্যালোচনা করা উচিত। যেসব ফোরাম ও গেম অ্যাকাউন্ট আর ব্যবহার করা হয় না, সেগুলো বন্ধ করা উচিত, অথবা অন্তত প্রতিটির জন্য আলাদা পাসওয়ার্ড ব্যবহার করে সেগুলোকে অন্য অ্যাকাউন্ট থেকে পৃথক রাখা উচিত। বছরের পর বছর অনেক কমিউনিটিতে একই ইমেইল ঠিকানা ব্যবহার করলে তথ্য ফাঁসের সময় বিভিন্ন প্রোফাইলের মধ্যে যোগসূত্র খুঁজে পাওয়া সহজ হয়। তাই ভিন্ন কাজের জন্য আলাদা ইমেইল অ্যালিয়াস ব্যবহার করলে দীর্ঘমেয়াদে ঝুঁকি কমে।

প্রাতিষ্ঠানিক পর্যায়ে ব্যক্তিগত ফোরাম ও গেমিং অ্যাকাউন্টে কর্মীদের কাজের ইমেইল ব্যবহার সীমিত করা উচিত। পুরোনো তথ্য ফাঁস থেকে পাওয়া ব্যবহারকারীর নাম, ইমেইল ও পাসওয়ার্ড হ্যাশের সমন্বয় প্রতিষ্ঠানের লগইন ব্যবস্থায় স্বয়ংক্রিয় আক্রমণের চেষ্টায় ব্যবহার করা যেতে পারে। নিরাপত্তা দলগুলোর উচিত এ ধরনের পুরোনো তথ্য ফাঁসকে শুধু ঐতিহাসিক রেকর্ড হিসেবে না দেখে, পাসওয়ার্ড পুনর্ব্যবহার ও কর্মীদের সচেতনতা মূল্যায়নের একটি ঝুঁকিসূচক হিসেবেও বিবেচনা করা। দুর্বল হ্যাশ অ্যালগরিদম দিয়ে সংরক্ষিত পাসওয়ার্ডের প্রভাব দীর্ঘদিন থাকতে পারে বলে পাসওয়ার্ড পুনর্নির্ধারণ ও একাধিক উপাদানভিত্তিক প্রমাণীকরণের নীতিমালা হালনাগাদ রাখতে হবে।

এই রেকর্ডে আপনার ইমেইল ঠিকানা থাকলে, প্রথমে Dueling Network ব্যবহার করার সময় আপনি যেসব পাসওয়ার্ড ব্যবহার করতেন, সেগুলো মনে করুন। একই পাসওয়ার্ড ব্যবহার করা হয়েছে এমন সব অ্যাকাউন্টের পাসওয়ার্ড বদলে দিন। পুরোনো সেবাটি বন্ধ হলেও একই লগইন তথ্য অন্য অ্যাকাউন্টে কাজ করতে পারে। আপনার ইমেইল অ্যাকাউন্টে অপরিচিত লগইন, ইমেইল ফরোয়ার্ড করার নিয়ম এবং পাসওয়ার্ড পুনর্নির্ধারণের বার্তা আছে কি না, দেখুন। গেমিং কমিউনিটি, স্ট্রিমিং প্ল্যাটফর্ম ও ফোরামে একই ব্যবহারকারীর নাম ব্যবহার করে থাকলে, সেসব অ্যাকাউন্টের লগইন ইতিহাস ও নিরাপত্তার সেটিংসও পর্যালোচনা করুন।

এই তথ্য ফাঁসের ক্ষেত্রে যথাযথ করণীয় হলো আতঙ্কিত না হয়ে একই লগইন তথ্যের পুনর্ব্যবহার বন্ধ করা। ফাঁস হওয়া তথ্য থেকে পেমেন্ট কার্ড বা বাসা বা কর্মস্থলের ঠিকানার মতো ক্ষেত্র নিশ্চিত করা যায় না। তবে ইমেইল, ব্যবহারকারীর নাম, IP ঠিকানা এবং দুর্বল পদ্ধতিতে হ্যাশ করা পাসওয়ার্ডের সমন্বয় অ্যাকাউন্টের নিরাপত্তার জন্য যথেষ্ট গুরুতর। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করুন, দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করুন, সন্দেহজনক বার্তায় ক্লিক করবেন না এবং নিয়মিত পুরোনো অ্যাকাউন্ট বন্ধ করুন। এসব পদক্ষেপ Dueling Network-সংশ্লিষ্ট হুমকি অন্য অ্যাকাউন্টে ছড়িয়ে পড়ার ঝুঁকি উল্লেখযোগ্যভাবে কমায়।