EazySubs তথ্য উন্মুক্ত হওয়ার অভিযোগ

EazySubs-এর রেকর্ড তৈরি করার আগে বিদ্যমান রেকর্ডগুলোর সঙ্গে শিরোনাম, ডোমেইন নাম, কাছাকাছি ব্র্যান্ডের নাম, ঘটনার তারিখ ও রেকর্ডের সংখ্যার মিল পরীক্ষা করা হয়েছে। একই ঘটনার কোনো রেকর্ড পাওয়া যায়নি বলে এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। নাম কাছাকাছি হলেও ভিন্ন ডোমেইন বা ভিন্ন ঘটনার রেকর্ডগুলো এই সিদ্ধান্তের আওতা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে দেখানো রেকর্ডের সংখ্যা ও যাচাইযোগ্য বিস্তারিত তথ্যের পরিমাণে পার্থক্য থাকতে পারে। অপরিশোধিত তথ্যের সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে প্যাকেজ করা ডেটাসেটের পার্থক্যের কারণে এমনটি হতে পারে। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার বদলে 34,380 সংখ্যাটিকে ভিত্তি ধরা হয়েছে, কারণ তথ্যের ধরনগুলোর সঙ্গে এই সংখ্যাটিরও ধারাবাহিক সমর্থন পাওয়া যায়।

EazySubs একটি পুরোনো প্ল্যাটফর্ম, যেটিকে সামাজিক যোগাযোগমাধ্যমে প্রচার ও সাবস্ক্রিপশন বাড়ানোর প্রেক্ষাপটে মূল্যায়ন করা হয়। এ ধরনের সেবায় ব্যবহৃত ব্যবহারকারীর নাম ভিডিও প্ল্যাটফর্ম ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের সঙ্গে যুক্ত করা সম্ভব হওয়ায় বিভিন্ন প্রোফাইলের মধ্যে মিল খুঁজে বের করার ঝুঁকি তৈরি হয়।

এই ঘটনায় ইমেইল, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ ফাঁস হয়েছে। সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের পরিসর বাড়ানোর বিষয়টি কাজে লাগিয়ে ভুয়া অনুসারী, চ্যানেল যাচাইকরণ বা অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত বার্তার মাধ্যমে সামাজিক প্রকৌশলের পথ তৈরি হতে পারে।

EazySubs-এর ঘটনায় সাধারণ ইমেইল ফাঁসের চেয়ে ঝুঁকি বেশি, কারণ ফোরাম সফটওয়্যারের হ্যাশ করা পাসওয়ার্ডের তথ্য পাওয়া গেছে। পাসওয়ার্ডের তথ্য থাকলে আক্রমণকারীদের বারবার অনুমান করে চেষ্টা করার সময় কম লাগে, একই পাসওয়ার্ড ব্যবহৃত অন্য সেবাগুলোতে স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা করা সহজ হয় এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা যায়।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পূর্ণ নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে যুক্ত হলে সেটি আক্রমণের শক্তিশালী মাধ্যম হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেমিং, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরনই আবার ব্যবহার করেন। তাই EazySubs-এর মতো পুরোনো তথ্য ফাঁসের ঘটনাও বহু বছর পরে পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং ও লক্ষ্যভিত্তিক ফিশিংয়ের চেষ্টায় কাজে লাগানো হতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো, অতীতে EazySubs বা eazysubs.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টেও একই ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়; পুনর্ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটির জন্য আলাদা ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা বারবার ব্যবহৃত পাসওয়ার্ড সরিয়ে ফেলা উচিত।

বিশেষ করে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট ও অ্যাডমিন প্যানেলের জন্য দ্বিস্তরীয় প্রমাণীকরণকে অগ্রাধিকার দেওয়া হয়। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আরও শক্তিশালী সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি EazySubs অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, শিল্পখাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের উচিত আসা লিংকে সরাসরি ক্লিক না করে নিজেরা ঠিকানা লিখে প্রবেশ করা, যাচাই ছাড়া সংযুক্ত ফাইল না খোলা এবং জরুরি পদক্ষেপ নেওয়ার চাপ তৈরি করে এমন বার্তার ব্যাপারে সতর্ক থাকা।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ঝুঁকিও মূল্যায়ন করা উচিত। কোনো কর্মী ব্যক্তিগত বলে মনে হয় এমন অ্যাকাউন্টে কর্মস্থলের ইমেইল ব্যবহার করে থাকলে, প্রতিষ্ঠানের সিস্টেমে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা পরীক্ষা, বহুস্তরীয় প্রমাণীকরণ এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্তকারী নিয়ন্ত্রণ গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য মূল শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ ন্যূনতম রাখা। সরল পাঠ্য বা দ্রুত ভেঙে ফেলা যায় এমন হ্যাশ বিন্যাস সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ বিন্যাস ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষার পরিবেশ, তথ্য রপ্তানির ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় প্রবেশাধিকার নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা ব্যাপক প্রবেশাধিকার থাকা অ্যাকাউন্ট থেকে ঘটে।

ঘটনায় সাড়া দেওয়ার পরিকল্পনা নেই এমন প্রতিষ্ঠানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট করা, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

সংশ্লিষ্ট সারিতে YouTube ব্যবহারকারীর নাম ও IP ঠিকানা দেখা গেলেও অতিরিক্ত তথ্যক্ষেত্রগুলোকে তথ্যের শ্রেণি হিসেবে তালিকাভুক্ত করা হয়নি, কারণ সরাসরি বিস্তারিত তালিকায় প্রমাণসমর্থিত ক্ষেত্রগুলো শুধু ইমেইল, ব্যবহারকারীর নাম ও পাসওয়ার্ডে সীমাবদ্ধ।

EazySubs-এর ডোমেইনটিকে অবসরপ্রাপ্ত হিসেবে চিহ্নিত করা হয়েছে, কারণ বর্তমান নিয়ন্ত্রণের অধীনে এটি পার্ক করা আছে বলে মনে হয়। পুরোনো সেবাটি বন্ধ হয়ে গেলেও সেখানে ব্যবহৃত পাসওয়ার্ড অন্য সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের জন্য ঝুঁকি তৈরি করতে পারে।

সামাজিক যোগাযোগমাধ্যমে প্রচারের বিভিন্ন সরঞ্জামে একই ব্যবহারকারীর নাম বারবার ব্যবহার করা হলে একজন ব্যক্তির প্রোফাইলগুলোর মধ্যে আরও সহজে মিল খুঁজে বের করা যায়। ব্যবহারকারীদের পুরোনো ডাকনাম ও প্রকাশ্যে দৃশ্যমান প্রোফাইল লিংকগুলো পরীক্ষা করা উচিত।

ঘটনাটি 2011 সালের নভেম্বরের এবং খুব পুরোনো মনে হলেও একই ধরনের পাসওয়ার্ড ব্যবহার অব্যাহত থাকলে ঝুঁকি এখনো রয়েছে। পাসওয়ার্ড ম্যানেজার থেকে পুরোনো পাসওয়ার্ড সরিয়ে ফেলতে হবে।

EazySubs-এর জন্য একটি সাধারণ স্থানীয় SVG লোগো ব্যবহার করা হয়েছে, কারণ এর চিত্রটি সাধারণ ধরনের; নিবন্ধন পৃষ্ঠাটিও এমনভাবে সাজানো হয়েছে, যাতে কোনো ত্রুটিপূর্ণ বা বিভ্রান্তিকর লোগো দেখা না যায়।

এই রেকর্ডে অযাচাইকৃত তথ্যের ধরনগুলো সচেতনভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর উদ্দেশ্য ভীতিকর মনে হওয়া নয়, বরং সঠিক পরিধি ও প্রযোজ্য নিরাপত্তা ব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

EazySubs তথ্য ফাঁস, eazysubs.com তথ্য ফাঁস, EazySubs পাসওয়ার্ড ফাঁস ও EazySubs ব্যবহারকারীর তথ্য, এ ধরনের বিভিন্ন নামে সহজবোধ্য ও ব্যবহারিক তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি প্রস্তুত করা হয়েছে। লেখাটিতে যাচাইকৃত দিকগুলো ও ব্যবহারিক নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখলে ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলো আক্রমণকারীদের প্রথম লক্ষ্য। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ডের পুনরাবৃত্তি কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমানযোগ্য বাড়তি অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট একটি সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না; আক্রমণকারীদের সরঞ্জাম এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দ্বিস্তরীয় প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অচেনা সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যায় এমন ইমেইল ঠিকানার দিক থেকে নিরাপত্তা দলগুলোর এই রেকর্ড মূল্যায়ন করা উচিত। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যতালিকাকে আরও সমৃদ্ধ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইলের তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতির আওতায় নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যক্ষেত্রে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য রপ্তানির কার্যক্রমে বাড়তি নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্টগুলো সুরক্ষিত ও সুশৃঙ্খল রাখার কাজ সম্পন্ন করতে হবে। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, তথ্যের শ্রেণিগুলো ব্যবহার করে অ্যাকাউন্ট দখলের সম্ভাবনা এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠায় ঝুঁকির মাত্রা অতি গুরুতর হিসেবে নির্ধারণ করা হয়েছে। অতি গুরুতর মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; এটি বোঝায় যে ব্যবহারকারীকে দ্রুত ব্যবস্থা নিতে হবে।

সারসংক্ষেপে, EazySubs-এর এই রেকর্ডটি 2011 সালের নভেম্বরের একক তথ্য ফাঁসের ঘটনা নিয়ে। এতে 34,380টি অ্যাকাউন্ট প্রভাবিত হয়েছে এবং ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশের মতো তথ্যক্ষেত্র রয়েছে। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই ধাপে যাচাইকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা নজরে রাখার পরামর্শ দেওয়া হচ্ছে।

EazySubs-এর রেকর্ডে সংখ্যা, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচলিত তালিকার অস্পষ্ট বিষয়গুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারী যে রেকর্ড দেখেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমাবদ্ধ।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণসমর্থনহীন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ ছাড়া অন্য দাবিগুলোকে যাচাইকৃত তথ্যক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

eazysubs.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদগুলো হয়তো ব্যবহারকারীরা ভুলে গেছেন। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড পরিবর্তন করা সম্ভব না হলে একই পাসওয়ার্ড ব্যবহার করা অন্য সেবাগুলো খুঁজে বের করে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়াই বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে যুক্ত হলে একজন ব্যক্তির আগ্রহ, দেশ, কর্মখাত বা অতীতের সদস্যপদ গ্রহণের ধরন অনুমান করা আক্রমণকারীদের জন্য সহজ হয়। তাই একক কোনো তথ্য ফাঁস ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কর্মস্থলের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা পরিমাপের জন্য সতর্কসংকেত দেয়।

এই রেকর্ডে নিজের ইমেইল দেখতে পেলে ব্যবহারকারীর উচিত সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করা: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগ অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত আলাদা পাসওয়ার্ড দিতে হবে, প্রোফাইলের তথ্য ন্যূনতম রাখতে হবে এবং লগইনের বিজ্ঞপ্তি চালু করতে হবে।