Epik: তথ্য ফাঁস

যাচাইকৃত ডেটাসেটে ইমেইল ঠিকানা, নাম, ফোন নম্বর, ঠিকানা, কেনাকাটার তথ্য এবং বিভিন্ন বিন্যাসে সংরক্ষিত পাসওয়ার্ড ছিল। “বিভিন্ন বিন্যাস” বলতে বোঝায় না যে সব পাসওয়ার্ডে একই সুরক্ষা ব্যবহার করা হয়েছিল বা সব পাসওয়ার্ডই সরাসরি পাঠযোগ্য অবস্থায় ছিল; সব রেকর্ডে একই অ্যালগরিদম ব্যবহারের বিষয়টি যাচাই করা হয়নি। আর্কাইভটি শুধু Epik-এর গ্রাহকদের তথ্যের মধ্যে সীমাবদ্ধ ছিল না। Epik-এর সিস্টেমে WHOIS রেকর্ড সংরক্ষিত থাকায় এমন ডোমেইন মালিকদের যোগাযোগের তথ্যও এতে ছিল, যাঁরা কোম্পানিটির সঙ্গে কখনো সরাসরি লেনদেন করেননি। ডোমেইনের গোপনীয়তা রক্ষায় ব্যবহৃত আড়াল করা ইমেইল ঠিকানার বিভিন্ন রূপও এই গণনায় অন্তর্ভুক্ত হতে পারে। তাই এই ঘটনায় কোনো ঠিকানা পাওয়া গেলেই প্রমাণ হয় না যে তার মালিক Epik-এর গ্রাহক ছিলেন। ইমেইল ঠিকানা, নাম, ফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা এবং কেনাকাটার প্রেক্ষাপট একত্র করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, সহায়তা দেওয়ার নামে ভুয়া ফোনকল এবং অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়ার অপব্যবহার করা সম্ভব হতে পারে।

ঘটনার স্বীকৃত তারিখ 13 সেপ্টেম্বর 2021। অননুমোদিত প্রবেশের মাধ্যমে ডোমেইন রেজিস্ট্রার ও ওয়েব হোস্টিং সেবাদাতা Epik-এর একটি বিস্তৃত আর্কাইভ বের করে নেওয়া হয়; জনসমক্ষে প্রকাশিত প্যাকেজটির আকার প্রায় 180 GB ছিল বলে জানানো হয়েছিল। পরে কোম্পানিটি তাদের সিস্টেমে অননুমোদিত অনুপ্রবেশের বিষয়টি নিশ্চিত করে। আর্কাইভের আকার আর ক্ষতিগ্রস্ত মানুষের সংখ্যা এক ধরনের পরিমাপ নয়: এই গণনার ভিত্তি হলো 1,50,03,961টি স্বতন্ত্র ইমেইল ঠিকানা। গ্রাহকদের অ্যাকাউন্টের তথ্যের পাশাপাশি সংরক্ষিত WHOIS রেকর্ড থাকায় ঘটনার পরিধি শুধু সক্রিয় গ্রাহকদের মধ্যে সীমাবদ্ধ রাখা যায় না। কিছু WHOIS রেকর্ডে আগের মালিকানার তথ্য থাকতে পারে। তাই কোনো ইমেইল ঠিকানা মিলে গেলেই তা থেকে বর্তমান ডোমেইন মালিকানা সম্পর্কে সরাসরি সিদ্ধান্ত নেওয়া যায় না। প্রথমে কোন পথে প্রবেশ করা হয়েছিল, অনুপ্রবেশকারীরা ঠিক কতক্ষণ সিস্টেমে ছিল এবং প্রতিটি পাসওয়ার্ডের জন্য কোন সুরক্ষা বিন্যাস ব্যবহার করা হয়েছিল, এসব তথ্য সব অ্যাকাউন্টের ক্ষেত্রে নিশ্চিতভাবে নথিভুক্ত হয়নি। তাই এসব বিষয়ে অনুমান করা উচিত নয়।

সবচেয়ে সরাসরি তথ্য ফাঁসের শিকার গোষ্ঠীর মধ্যে রয়েছেন গ্রাহক, সাবেক গ্রাহক, ডোমেইন প্রশাসক এবং হোস্টিং ব্যবহারকারীরা, যাঁদের সেপ্টেম্বর 2021-এ বা তার আগে Epik অ্যাকাউন্ট ছিল। দ্বিতীয় গোষ্ঠীতে রয়েছেন ডোমেইন মালিক এবং প্রতিষ্ঠানের যোগাযোগের জন্য তালিকাভুক্ত ব্যক্তিরা, যাঁদের সঙ্গে Epik-এর কোনো চুক্তিভিত্তিক সম্পর্ক না থাকলেও সংরক্ষিত WHOIS রেকর্ডে তাঁদের তথ্য ছিল। গোপনীয়তা রক্ষাকারী বা প্রক্সি নিবন্ধন সেবা ব্যবহারকারীদের তথ্যও আড়াল করা ঠিকানা, ফরওয়ার্ডিং ঠিকানা বা পুরোনো রেকর্ডের মাধ্যমে উপস্থিত থাকতে পারে। ব্যবসায়িক ডোমেইন পরিচালনার দায়িত্বে থাকা কর্মীদের জন্য ঝুঁকি ব্যক্তিগত অ্যাকাউন্টের বাইরেও বিস্তৃত: অপরাধীরা নাম, ফোন নম্বর, ঠিকানা এবং কেনাকাটার প্রেক্ষাপট একত্র করে বিশ্বাসযোগ্য মনে হয় এমন ডোমেইন হস্তান্তর, DNS পরিবর্তন বা ভুয়া বিলের অনুরোধ তৈরি করতে পারে। তাই এই ঘটনায় কারও তথ্য পাওয়া গেলেই প্রমাণ হয় না যে তিনি বর্তমানে Epik ব্যবহার করেন; তবে এর ফলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে করা প্রতারণা আরও বিশ্বাসযোগ্য মনে হতে পারে।

আপনার Epik অ্যাকাউন্ট থাকলে সরাসরি অফিসিয়াল সাইটে গিয়ে পাসওয়ার্ড বদলান। এরপর অন্য যেসব অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেছেন, সেগুলোর পাসওয়ার্ডও বদলান। একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করলে পুরোনো তথ্য ফাঁসের ঘটনাকে কাজে লাগিয়ে বহু বছর পরেও ইমেইল, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম বা আর্থিক সেবায় স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা করা সম্ভব হতে পারে। প্রতিটি সেবার জন্য দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড তৈরি করুন, পাসওয়ার্ড ম্যানেজার ব্যবহার করুন এবং যেসব অ্যাকাউন্টে সুবিধাটি আছে, সেগুলোতে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন। ডোমেইন মালিকদের রেজিস্ট্রার লকের অবস্থা, হস্তান্তরের অনুমোদন, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য, নেমসার্ভার এবং DNS রেকর্ড পর্যালোচনা করা উচিত। অপ্রত্যাশিত রিসেট, ডোমেইন হস্তান্তর বা যোগাযোগের তথ্য পরিবর্তনের অনুমোদন দেওয়ার আগে নিজে সরাসরি অ্যাকাউন্টে লগইন করুন। ফাঁস হওয়া তথ্যের নথিভুক্ত ধরনগুলোর মধ্যে কেনাকাটার তথ্য রয়েছে, তবে পেমেন্ট কার্ডের তথ্য ফাঁসের বিষয়টি যাচাই করা হয়নি। তবুও অপ্রত্যাশিত চার্জ এবং নবায়নের ভুয়া বিল খতিয়ে দেখুন। স্থগিত হওয়ার বিষয়ে আসা বার্তার লিংকে ক্লিক করবেন না এবং কখনো একবার ব্যবহারযোগ্য কোড কাউকে জানাবেন না।

দীর্ঘস্থায়ী সুরক্ষার জন্য শুধু একবার পাসওয়ার্ড বদলানো যথেষ্ট নয়; অ্যাকাউন্ট ও ডোমেইনের তালিকা রাখতে হবে। ব্যক্তিগত ও প্রাতিষ্ঠানিক সব অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড ব্যবহারের নিয়ম চালু করুন, অ্যাপ বা হার্ডওয়্যার কী-ভিত্তিক বহু-উপাদানভিত্তিক প্রমাণীকরণকে অগ্রাধিকার দিন এবং অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যমগুলো নির্দিষ্ট সময়সূচি অনুযায়ী পর্যালোচনা করুন। গুরুত্বপূর্ণ ডোমেইনের ক্ষেত্রে সুবিধা থাকলে রেজিস্ট্রি লক, পরিবর্তনের অনুমোদন বা একাধিক প্রশাসকভিত্তিক কাজের প্রক্রিয়া ব্যবহার করুন। DNS, নেমসার্ভার, ডোমেইন নিবন্ধনধারীর যোগাযোগের তথ্য এবং নবায়নে পরিবর্তনের সতর্কবার্তা ডোমেইন দখলের চেষ্টা শুরুতেই শনাক্ত করতে সাহায্য করতে পারে। WHOIS গোপনীয়তা সেবা তথ্যের প্রকাশ্য দৃশ্যমানতা কমাতে পারে, কিন্তু অতীতে সংগ্রহ করা রেকর্ড ফিরিয়ে আনতে পারে না। তাই পুরোনো ঠিকানা ও ফোন নম্বর প্রতারকের কাজে লাগতে পারে বলে ধরে নিন। প্রতিষ্ঠানগুলোর উচিত ডোমেইন প্রশাসনের জন্য দায়িত্বভিত্তিক মেইলবক্স ব্যবহার করা, কাজের প্রয়োজন অনুযায়ী প্রবেশাধিকার সীমিত রাখা এবং কর্মীরা চলে গেলে দ্রুত তাঁদের প্রবেশাধিকার সরিয়ে নেওয়া। তথ্য ফাঁসের ঘটনা নিয়মিত পর্যবেক্ষণ এবং পরিবর্তনের লগ পর্যালোচনা করলে একটিমাত্র সুরক্ষাব্যবস্থার ওপর নির্ভরতা কমে।

LeakData-এর মাধ্যমে আপনার ইমেইল ঠিকানা Epik-এর ঘটনার সঙ্গে যুক্ত কি না যাচাই করার সময় ফলাফলটি প্রেক্ষাপট বিবেচনা করে বুঝুন। মিল পাওয়ার অর্থ হলো ঠিকানাটি যাচাইকৃত ডেটাসেটে রয়েছে; এটি দেখায় না যে ওই ব্যক্তি Epik-এর কোনো সেবা কিনেছেন, এখনো গ্রাহক আছেন বা বর্তমানে সংশ্লিষ্ট কোনো ডোমেইনের মালিক। মিল পেলে ওই ঠিকানা দিয়ে তৈরি Epik, রেজিস্ট্রার, হোস্টিং এবং প্রশাসনিক অ্যাকাউন্টগুলোর তালিকা করুন। এরপর পাসওয়ার্ডগুলো স্বতন্ত্র কি না, বহু-উপাদানভিত্তিক প্রমাণীকরণ, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য এবং ডোমেইন লক পর্যালোচনা করুন। মিল না পাওয়া সম্পূর্ণ নিশ্চয়তা নয়, কারণ ডেটাসেট অসম্পূর্ণ হতে পারে, অন্য কোনো ঠিকানা ব্যবহার করা হয়ে থাকতে পারে অথবা আরও তথ্য সামনে আসতে পারে। অ্যাকাউন্টের কার্যকলাপের সতর্কবার্তা চালু রাখুন এবং নিয়মিত পর্যবেক্ষণ করুন। এই ঘটনা নিয়ে আসা বার্তার ক্ষেত্রে প্রদর্শিত নাম বিশ্বাস না করে প্রেরকের ডোমেইন এবং লিংকের গন্তব্য পরীক্ষা করুন। সন্দেহজনক অনুরোধ যাচাই করতে নিজে আলাদাভাবে অফিসিয়াল সহায়তা চ্যানেল খুলে যোগাযোগ করুন।