EpicBot: তথ্য ফাঁস

EpicBot-এ নিবন্ধিত ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও IP ঠিকানা একসঙ্গে ব্যবহার করে বিভিন্ন গেমিং কমিউনিটির প্রোফাইলের মধ্যে মিল খুঁজে বের করা যেতে পারে। RuneScape বট ব্যবহারকারীরা গেম ফোরাম, বট প্যানেল, চ্যাট সার্ভার বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ব্যবহারকারীর নাম ব্যবহার করে থাকতে পারেন। এতে আক্রমণকারীর পক্ষে বিভিন্ন প্ল্যাটফর্মে একই ব্যক্তিকে শনাক্ত করা এবং তাঁকে লক্ষ্য করে বার্তা তৈরি করা সহজ হয়।

পাসওয়ার্ড হ্যাশ সবচেয়ে গুরুত্বপূর্ণ ঝুঁকির ক্ষেত্রগুলোর একটি। সল্টযুক্ত MD5 ও bcrypt একই মাত্রার নিরাপত্তা দেয় না; bcrypt-কে ধীরগতির এবং হ্যাশ ভাঙার প্রচেষ্টার বিরুদ্ধে বেশি প্রতিরোধী মনে করা হলেও সল্টযুক্ত MD5 তুলনামূলকভাবে সহজে আক্রমণের লক্ষ্য হতে পারে। তথ্যসমষ্টির প্রতিটি রেকর্ডে কোন হ্যাশিং পদ্ধতি ব্যবহার করা হয়েছে, তা ব্যবহারকারীর কাছে আলাদাভাবে দৃশ্যমান নাও হতে পারে। তাই নিরাপদ থাকতে নিশ্চিত করুন যে EpicBot অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে ব্যবহার করা হচ্ছে না। একই পাসওয়ার্ড ব্যবহার করা হলে গেমিং, ইমেইল, সামাজিক যোগাযোগমাধ্যম ও পেমেন্ট-সংযুক্ত অ্যাকাউন্টগুলো ঝুঁকিতে পড়তে পারে।

এই রেকর্ডের যাচাইকৃত মূল পরিসর হলো 8,16,662টি অ্যাকাউন্ট। ঘটনার তারিখ 1 সেপ্টেম্বর 2019 হিসেবে নথিভুক্ত আছে; পরে তথ্য ছড়িয়ে পড়া বা তথ্য ফাঁসের তালিকায় যুক্ত হওয়ার অর্থ এই নয় যে ঘটনাটি আরও সাম্প্রতিক কোনো তারিখে ঘটেছে। ব্যবহারকারীকে দেখানো তারিখটি এই ঘটনার সঙ্গে সংশ্লিষ্ট তথ্য ফাঁসের তারিখ। অ্যাকাউন্টের নিরাপত্তা স্ক্রিনে তালিকায় যুক্ত হওয়ার ভিন্ন ভিন্ন তারিখ দেখা গেলে এই পার্থক্য ভুল ব্যাখ্যা এড়াতে সাহায্য করে।

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল, IP ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। ফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা, পেমেন্ট কার্ড, আসল নাম ও পদবি, গেম অ্যাকাউন্টের ইনভেন্টরি, গেমের ভেতরের মুদ্রার ব্যালান্স বা ব্যক্তিগত বার্তার বিষয়বস্তু এই রেকর্ডের যাচাইকৃত তথ্যক্ষেত্রের অন্তর্ভুক্ত নয়। EpicBot একটি RuneScape বট সরবরাহকারী বলেই ব্যবহারকারীর গেম অ্যাকাউন্টের বিষয়বস্তু বা মূল গেম অ্যাকাউন্ট সরাসরি ফাঁস হয়েছে ধরে নেওয়া উচিত নয়। সঠিক বর্ণনায় বট সেবার অ্যাকাউন্ট ও লগইন তথ্যের ঝুঁকির ওপর জোর দেওয়া উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা EpicBot অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। গেমিং বট কমিউনিটিতে প্রযুক্তিগত কাজে সক্রিয় ব্যবহারকারীরা গেম ফোরাম, ডেভেলপার টুল, ক্রিপ্টো ওয়ালেট বা দূরবর্তী অ্যাক্সেস সেবায় একই ইমেইল ঠিকানা ব্যবহার করে থাকতে পারেন। এমন ক্ষেত্রে পুরোনো বট অ্যাকাউন্টের তথ্য ফাঁস অন্য অ্যাকাউন্টে সেই লগইন তথ্য ব্যবহার করে প্রবেশের চেষ্টার সুযোগ তৈরি করতে পারে।

যাঁরা বিভিন্ন গেমিং কমিউনিটিতে একই ব্যবহারকারীর নাম ব্যবহার করেন, তাঁদের প্রোফাইলগুলোর মধ্যে মিল খুঁজে বের করার ঝুঁকি থাকে। IP ঠিকানা থেকেও সংযোগের অঞ্চল বা সেবা প্রদানকারী সম্পর্কে সীমিত ধারণা পাওয়া যেতে পারে। বট সেবা ব্যবহারের কারণে তাঁদের লক্ষ্য করে ভুয়া নিষেধাজ্ঞার সতর্কতা, অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত বিজ্ঞপ্তি, গেমের ভেতরের সম্পদ উদ্ধারের বার্তা বা বটের লাইসেন্স নবায়নের লিংক পাঠানো হতে পারে। বাস্তব ঘটনার প্রেক্ষাপট ব্যবহার করলে এসব বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

EpicBot রেকর্ডে আপনার ইমেইল ঠিকানা থাকলে, এই অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করছেন কি না, তা অবিলম্বে যাচাই করুন। ইমেইল, গেম, ফোরাম, সামাজিক যোগাযোগমাধ্যম, ওয়ালেট বা পেমেন্ট অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করে থাকলে তা এখনই বদলে ফেলুন। নতুন পাসওয়ার্ড প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও এলোমেলো হওয়া উচিত; সেগুলো পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করা উচিত। পুরোনো পাসওয়ার্ডের শেষে একটি সংখ্যা যোগ করাই যথেষ্ট নয়।

গেম ও বটসংক্রান্ত নিরাপত্তা বার্তার বিষয়ে সতর্ক থাকুন। অ্যাকাউন্ট নিষিদ্ধ হওয়া, বটের লাইসেন্স, গেমের ভেতরের সম্পদ, বিনা মূল্যে সদস্যপদ বা জরুরি পাসওয়ার্ড যাচাইসংক্রান্ত বার্তা ভুয়া হতে পারে। লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার আনুষ্ঠানিক ঠিকানায় সরাসরি যান। যেসব অ্যাকাউন্টে দুই ধাপের প্রমাণীকরণ সমর্থিত, সেগুলোতে এই সুরক্ষা চালু করুন। আপনার ইমেইল অ্যাকাউন্টে অপরিচিত সেশন, ফরওয়ার্ডিং নিয়ম বা অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা আছে কি না, তা পরীক্ষা করুন।

EpicBot-এর ঘটনা দেখায়, গেম বট ও বিশেষায়িত কমিউনিটির অ্যাকাউন্টগুলোও মূল ইমেইল ও গেম অ্যাকাউন্টের মতোই সতর্কতার সঙ্গে পরিচালনা করা উচিত। বট, ফোরাম ও গেম কমিউনিটির অ্যাকাউন্টের জন্য ব্যবহারকারীদের আলাদা পাসওয়ার্ড ব্যবহার করা উচিত এবং সম্ভব হলে আলাদা ইমেইল অ্যালিয়াস বেছে নেওয়া উচিত। সব জায়গায় একই ব্যবহারকারীর নাম ব্যবহার করলে প্রোফাইলগুলোর মধ্যে মিল খুঁজে বের করার ঝুঁকি বাড়ে; ভিন্ন উদ্দেশ্যে ভিন্ন ব্যবহারকারীর নাম ব্যবহার করলে এই যোগসূত্র দুর্বল হয়।

প্ল্যাটফর্মের জন্য দীর্ঘমেয়াদি শিক্ষা হলো পাসওয়ার্ড সংরক্ষণের পদ্ধতি বর্তমান মানদণ্ড অনুযায়ী হালনাগাদ রাখা। সঠিকভাবে কনফিগার করা হলে Bcrypt একটি শক্তিশালী বিকল্প হতে পারে; সল্টযুক্ত MD5-কে আর যথেষ্ট নিরাপদ মনে করা উচিত নয়। পুরোনো অ্যাকাউন্টের তথ্য অপ্রয়োজনে রাখা উচিত নয়, ডেটাবেসে প্রবেশের কার্যক্রম নজরদারিতে রাখা উচিত এবং ফোরাম বা প্যানেলের সফটওয়্যার নিয়মিত হালনাগাদ করা উচিত। ব্যবহারকারীর ক্ষেত্রে, একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার বন্ধ করলে এ ধরনের পুরোনো রেকর্ডের প্রভাব অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়।

এই রেকর্ডে আপনার ইমেইল ঠিকানা থাকলে, আপনার পাসওয়ার্ড নিশ্চিতভাবেই প্লেইনটেক্সটে প্রকাশ করা হয়েছে বলে ধরে নেবেন না; তবে সল্টযুক্ত MD5 বা bcrypt হ্যাশের ঝুঁকির কারণে একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করা নিরাপদ নয়। ইমেইল, ব্যবহারকারীর নাম ও IP ঠিকানা একসঙ্গে ব্যবহার করে গেমিং কমিউনিটিতে আপনার প্রোফাইলগুলোর মধ্যে মিল খুঁজে বের করা এবং আপনাকে লক্ষ্য করে বার্তা পাঠানো যেতে পারে। তাই একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার করা এড়িয়ে চলুন, গুরুত্বপূর্ণ অ্যাকাউন্টে দুই ধাপের প্রমাণীকরণ চালু করুন এবং সন্দেহজনক লিংকে ক্লিক করবেন না।

বট সেবার অ্যাকাউন্টকে পুরোনো ও গুরুত্বহীন রেকর্ড হিসেবে না দেখাই সঠিক পদক্ষেপ। আপনার গেম অ্যাকাউন্ট, ইমেইল অ্যাকাউন্ট এবং একই ব্যবহারকারীর নাম দিয়ে খোলা ফোরাম অ্যাকাউন্টগুলো পরীক্ষা করুন। অব্যবহৃত অ্যাকাউন্ট বন্ধ করুন, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করুন এবং আনুষ্ঠানিক মাধ্যমে যাচাই না করে বট বা গেমসংক্রান্ত হুমকির বার্তায় সাড়া দেবেন না। EpicBot-এর তথ্য ফাঁসের ঘটনা দেখায়, বিশেষায়িত গেমিং টুলের অ্যাকাউন্টও লগইন তথ্য ও প্রোফাইলের গোপনীয়তার জন্য দীর্ঘমেয়াদি ঝুঁকি তৈরি করতে পারে।