Eskimi: তথ্য ফাঁস

পুরোনো রেকর্ডে থাকা ইমেইল ঠিকানা, ব্যবহারকারীর নাম, জন্মতারিখ, লিঙ্গ ও ভৌগোলিক অবস্থান একসঙ্গে বিবেচনা করলে ব্যবহারকারীর প্রোফাইল সম্পর্কে তাৎপর্যপূর্ণ ধারণা পাওয়া যায়। বিজ্ঞাপনপ্রযুক্তি ও নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে বিজ্ঞাপন দেওয়ার প্রেক্ষাপটে এসব তথ্য ব্যবহার করে এমন বার্তা তৈরি করা সম্ভব, যা ব্যক্তিবিশেষের জন্য লেখা বলে মনে হয়। ভৌগোলিক অবস্থানের তথ্য মানেই প্রত্যেক ব্যবহারকারীর সুনির্দিষ্ট GPS স্থানাঙ্ক নয়; এটি অঞ্চল, শহর বা আরও সাধারণ অবস্থানসংক্রান্ত তথ্যও হতে পারে। তবু ইমেইল ও ব্যবহারকারীর নামের সঙ্গে এই তথ্য মিললে গোপনীয়তার ঝুঁকি বাড়ে।

পাসওয়ার্ডের তথ্য সবচেয়ে গুরুতর ঝুঁকিগুলোর একটি। সল্ট ছাড়া MD5 হ্যাশে একই পাসওয়ার্ড থেকে একই হ্যাশ মান তৈরি হয়, ফলে আক্রমণকারীদের জন্য প্রচলিত পাসওয়ার্ডের তালিকা দিয়ে দ্রুত পরীক্ষা চালানো সহজ হয়। হ্যাশ থাকা মানেই পাসওয়ার্ড সরাসরি পাঠযোগ্য আকারে প্রকাশ পেয়েছে, এমন নয়; তবে দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড উদ্ধার হওয়ার সম্ভাবনা বেশি। কোনো ব্যবহারকারী ইমেইল, সামাজিক যোগাযোগমাধ্যম, বিজ্ঞাপন পরিচালনার প্যানেল বা অন্য সেবায় একই পাসওয়ার্ড ব্যবহার করে থাকলে, এই তথ্য ফাঁসের সূত্র ধরে অ্যাকাউন্ট দখলের চেষ্টা হতে পারে।

এই রেকর্ডের যাচাই করা মূল পরিসর হলো 11,97,620টি স্বতন্ত্র ইমেইল ঠিকানা। পুরো ডেটাসেটে আনুমানিক 26 মিলিয়ন রেকর্ড রয়েছে বলে জানানো হয়েছে। এই দুটি সংখ্যাকে এক করে দেখা উচিত নয়; একজন ব্যক্তির একাধিক প্রোফাইল বা কার্যক্রমসংক্রান্ত রেকর্ড থাকতে পারে। ঘটনাটির তারিখ 25 সেপ্টেম্বর 2020 হিসেবে নথিভুক্ত আছে; 2022 সালে তথ্য ফাঁসের রেকর্ড অনুসন্ধান ব্যবস্থায় এটি যুক্ত হওয়ার অর্থ এই নয় যে তথ্য ফাঁসের ঘটনাটি 2022 সালে ঘটেছে।

যাচাই করা তথ্যের ধরনগুলো হলো জন্মতারিখ, ইমেইল, লিঙ্গ, ভৌগোলিক অবস্থান, পাসওয়ার্ড এবং ব্যবহারকারীর নাম। ফোন নম্বর, বসবাসের ঠিকানা, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, প্রকৃত নাম ও পদবি কিংবা বিজ্ঞাপন প্রচারের বাজেট এই রেকর্ডের যাচাই করা তথ্যের ধরনগুলোর মধ্যে নেই। প্রতিটি রেকর্ডের অবস্থানসংক্রান্ত তথ্যকেও সুনির্দিষ্ট বা সংবেদনশীল বলে বর্ণনা করা উচিত নয়। সঠিক বর্ণনায় প্রোফাইলের তথ্য এবং দুর্বল পদ্ধতিতে হ্যাশ করা পাসওয়ার্ডের ঝুঁকি একসঙ্গে ব্যাখ্যা করতে হবে, তবে যাচাই করা পরিসরের সীমা মেনে।

যেসব ব্যবহারকারী তাঁদের Eskimi অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন, তাঁরা সবচেয়ে বেশি ঝুঁকিতে আছেন। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, বিজ্ঞাপন পরিচালনার সরঞ্জাম বা ব্যবসায়িক অ্যাকাউন্টে একই ইমেইল ও পাসওয়ার্ডের সমন্বয় ব্যবহার করা হলে আক্রমণকারীরা স্বয়ংক্রিয়ভাবে লগইন করার চেষ্টা করতে পারে। জন্মতারিখ ও লিঙ্গসংক্রান্ত তথ্য অ্যাকাউন্ট পুনরুদ্ধার বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তায় অতিরিক্ত প্রাসঙ্গিক তথ্য হিসেবে ব্যবহার করা হতে পারে।

বিজ্ঞাপনপ্রযুক্তি, বিপণন এবং প্রকাশকের অ্যাকাউন্টের সঙ্গে যুক্ত ব্যবহারকারীদেরও সতর্ক থাকা উচিত। ভৌগোলিক অবস্থান ও ব্যবহারকারীর নাম থেকে কোনো ব্যক্তি কোন বাজার বা অঞ্চলে কাজ করেন, তা অনুমান করতে সহায়তা পাওয়া যেতে পারে। যাঁরা প্রাতিষ্ঠানিক ইমেইল ঠিকানা দিয়ে নিবন্ধন করেছেন, তাঁদের কর্মক্ষেত্রের অ্যাকাউন্টেও ঝুঁকি ছড়াতে পারে; বিজ্ঞাপন পরিচালনার প্যানেলের ভুয়া সতর্কবার্তা, বাজেটের বিজ্ঞপ্তি, বিজ্ঞাপন প্রচার স্থগিতের বার্তা বা অ্যাকাউন্ট যাচাইয়ের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

আপনার ইমেইল ঠিকানা কোনো পুরোনো রেকর্ডে পাওয়া গেলে প্রথমে দেখুন, ওই অ্যাকাউন্টের পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করেছেন কি না। ইমেইল, বিজ্ঞাপন পরিচালনার প্যানেল, সামাজিক যোগাযোগমাধ্যম, কর্মক্ষেত্রের অ্যাকাউন্ট বা অন্য সেবায় একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করে থাকলে তা অবিলম্বে বদলে ফেলুন। নতুন পাসওয়ার্ড প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও এলোমেলো হওয়া উচিত; সেগুলো পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করা উচিত। পুরোনো পাসওয়ার্ড সামান্য বদলে ব্যবহার করলে পর্যাপ্ত নিরাপত্তা পাওয়া যায় না।

যেসব অ্যাকাউন্টে দুই ধাপে যাচাইয়ের সুবিধা আছে, সেগুলোতে এই সুরক্ষা চালু করুন। বিজ্ঞাপন অ্যাকাউন্ট, বিজ্ঞাপন প্রচারের বাজেট, পেমেন্টের বিজ্ঞপ্তি, অ্যাকাউন্ট স্থগিত করা বা নিরাপত্তা যাচাইসংক্রান্ত বার্তার লিংকে সরাসরি ক্লিক করবেন না। অ্যাকাউন্ট পরীক্ষা করার প্রয়োজন হলে ব্রাউজারে সংশ্লিষ্ট সেবার ঠিকানা নিজে লিখুন। আপনার ইমেইল অ্যাকাউন্টে অপরিচিত সেশন, ইমেইল ফরওয়ার্ড করার নিয়ম এবং অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস পরীক্ষা করুন।

Eskimi-এর ঘটনা দেখায় যে AdTech প্ল্যাটফর্মে অ্যাকাউন্ট শনাক্তকারী তথ্যের সঙ্গে প্রোফাইলের তথ্য ফাঁস হলে স্থায়ী ঝুঁকি তৈরি হয়। বিজ্ঞাপন ও বিপণনের অ্যাকাউন্টে প্রতিষ্ঠানগুলোর আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক পরিচয় যাচাই এবং ভূমিকা অনুযায়ী প্রবেশাধিকার ব্যবহার করা উচিত। পাসওয়ার্ড সংরক্ষণে সল্ট ছাড়া MD5-এর মতো পুরোনো পদ্ধতি ব্যবহার করা উচিত নয়; আধুনিক, সল্টযুক্ত ও ধীরগতির হ্যাশ অ্যালগরিদমকে অগ্রাধিকার দেওয়া উচিত। তথ্য সংরক্ষণ নীতির মাধ্যমে প্রোফাইলের অপ্রয়োজনীয় তথ্য সংরক্ষণও সীমিত করা উচিত।

ব্যবহারকারীদের জন্য দীর্ঘমেয়াদি করণীয় হলো ব্যবসায়িক ও ব্যক্তিগত বিজ্ঞাপন বা বিপণনের অ্যাকাউন্ট আলাদা ইমেইল ঠিকানা দিয়ে পরিচালনা করা এবং কখনো একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার না করা। ভৌগোলিক অবস্থান, জন্মতারিখ ও লিঙ্গের মতো প্রোফাইলের তথ্য অপ্রয়োজনে শেয়ার করা উচিত নয়, কারণ এগুলো বদলানো কঠিন অথবা ব্যক্তিগত তথ্য। প্রাতিষ্ঠানিক দলগুলোর উচিত কর্মীদের বিজ্ঞাপন পরিচালনার প্যানেলের অ্যাকাউন্টে শক্তিশালী পরিচয় যাচাই এবং নিয়মিত প্রবেশাধিকার পর্যালোচনার ব্যবস্থা চালু করা।

আপনার ইমেইল ঠিকানা এই রেকর্ডে পাওয়া গেলে তার অর্থ হলো, আনুমানিক 26 মিলিয়ন সারির ডেটাসেটে থাকা 11,97,620টি স্বতন্ত্র ইমেইল ঠিকানার একটির সঙ্গে আপনার ঠিকানা মিলে গেছে। এর অর্থ এই নয় যে আপনার ফোন নম্বর, পেমেন্ট কার্ড বা বসবাসের ঠিকানা ফাঁস হয়েছে; এসব তথ্য যাচাই করা পরিসরের অন্তর্ভুক্ত নয়। তবে ইমেইল, ব্যবহারকারীর নাম, জন্মতারিখ, লিঙ্গ, অবস্থানসংক্রান্ত তথ্য এবং সল্ট ছাড়া MD5 পাসওয়ার্ড হ্যাশ একসঙ্গে থাকা অ্যাকাউন্টের নিরাপত্তার জন্য গুরুতর ঝুঁকি।

সঠিক করণীয় হলো অবিলম্বে একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার বন্ধ করা, গুরুত্বপূর্ণ অ্যাকাউন্টে দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করা, বিজ্ঞাপন বা অ্যাকাউন্টের নিরাপত্তা নিয়ে আসা বার্তা সংশ্লিষ্ট সেবার আনুষ্ঠানিক মাধ্যমে যাচাই করা এবং আপনার ইমেইল অ্যাকাউন্ট পরীক্ষা করা। অতীতের তথ্য ফাঁসের ঘটনাগুলো দেখিয়েছে যে প্রোফাইলের তথ্য ও দুর্বল পদ্ধতিতে হ্যাশ করা পাসওয়ার্ড একসঙ্গে ফাঁস হলে অ্যাকাউন্ট দখল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের ঝুঁকি, দুটিই দীর্ঘদিন বহাল থাকতে পারে।