Exploit.In তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাই করা ডেটার ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। এই ঘটনার যাচাই করা তথ্যের মধ্যে ফোন নম্বর, বসবাসের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, ব্যক্তিগত বার্তা বা প্রোফাইলের বিস্তারিত তথ্য নেই। তবে ইমেইল ও পাসওয়ার্ডের জোড়া একসঙ্গে পাওয়ার অর্থ হলো, একজন আক্রমণকারী সেগুলো দিয়ে সরাসরি অন্য সেবায় লগইনের চেষ্টা করতে পারে। যাঁরা বিভিন্ন অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের জন্য ঝুঁকি বিশেষভাবে গুরুতর।

ক্রেডেনশিয়াল স্টাফিং আক্রমণে পুরোনো তথ্য ফাঁস থেকে পাওয়া ইমেইল-পাসওয়ার্ডের জোড়া বিপুল সংখ্যায় বিভিন্ন সাইটে পরীক্ষা করা হয়। কোনো ব্যবহারকারী ইমেইল, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম, গেমিং, ক্লাউড বা কাজের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকলে, পুরোনো একটি তালিকাও তাঁর বর্তমানে ব্যবহৃত অ্যাকাউন্টকে প্রভাবিত করতে পারে। কিছু পাসওয়ার্ড বহু বছর আগে ব্যবহার করা বন্ধ হয়ে গেলেও, একই ধরনের পাসওয়ার্ড তৈরি করা বা অক্ষরে সামান্য পরিবর্তন আনার কারণে ঝুঁকি থেকে যায়।

ঘটনার তারিখ 13 অক্টোবর 2016 হিসেবে নথিভুক্ত করা উচিত। রেকর্ডটি 6 মে 2017 তারিখে নির্ভরযোগ্য তথ্য ফাঁস যাচাইয়ের তালিকায় যুক্ত করা হয় এবং একই সময়ে সর্বশেষ সংশোধন করা হয়। প্রভাবিত অ্যাকাউন্টের সংখ্যা হলো 59,34,27,119টি স্বতন্ত্র ইমেইল ঠিকানা। অসংখ্য ফাইল ও পুনরাবৃত্ত পাসওয়ার্ডের জোড়াসংবলিত অপরিশোধিত ডেটা পরিশোধনের পর পাওয়া ব্যবহারকারীভিত্তিক পরিসরকে এই সংখ্যা নির্দেশ করে।

Exploit-কে নির্দিষ্ট কোনো ডোমেইন নাম বা একক প্রতিষ্ঠানের সঙ্গে যুক্ত করা উচিত নয়। এটিকে একাধিক উৎস থেকে সংগ্রহ করা ইমেইল-পাসওয়ার্ডের জোড়ার সমষ্টি হিসেবে বর্ণনা করাই সঠিক। এটি যাচাই না হওয়া শ্রেণিতে থাকলেও তার অর্থ এই নয় যে তালিকার সব তথ্য ভুয়া; এর অর্থ শুধু এই যে প্রতিটি লাইনের মূল উৎস নিশ্চিত করা যায়নি। ব্যবহারকারীকে ফলাফল জানানোর সময় কোনো একক কোম্পানির অ্যাকাউন্টে অনুপ্রবেশের বদলে, একই পাসওয়ার্ড পুনরায় ব্যবহারের কারণে অ্যাকাউন্টের নিয়ন্ত্রণ অন্যের হাতে চলে যাওয়ার ঝুঁকিকে গুরুত্ব দেওয়া উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা একাধিক সেবায় একই ইমেইল ও পাসওয়ার্ড ব্যবহার করেন। পুরোনো ফোরাম অ্যাকাউন্ট, গেমিং কমিউনিটি, কেনাকাটার সাইট, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট এবং বহু বছর আগে নেওয়া সদস্যপদের কথা প্রায়ই ভুলে যাওয়া হয়; কিন্তু সে সময়ের পাসওয়ার্ডটি পরে অন্য অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকতে পারে। এ কারণে একটি পুরোনো সংগ্রহ বহু বছর পরও কার্যকর থাকতে পারে।

যাঁরা ব্যক্তিগত অ্যাকাউন্টেও কর্মস্থলের ইমেইল ব্যবহার করেন, তাঁদের আলাদা ঝুঁকি রয়েছে। আক্রমণকারীরা একই ঠিকানা দিয়ে প্রতিষ্ঠানের লগইন পেজ, ইমেইল সেবা বা ক্লাউড অ্যাকাউন্টে প্রবেশের চেষ্টা করতে পারে। যাঁরা দুই উপাদানভিত্তিক পরিচয় যাচাই ব্যবহার করেন না, সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ড ব্যবহার করে যান, পাসওয়ার্ড ম্যানেজার ব্যবহার করেন না এবং সেশন-সংক্রান্ত সতর্কবার্তা নজরে রাখেন না, তাঁরা এ ধরনের সংগ্রহের কারণে বেশি প্রভাবিত হন।

তালিকায় মিল পাওয়া গেলে ব্যবহারকারীর উচিত এমন সব গুরুত্বপূর্ণ অ্যাকাউন্ট পরীক্ষা করা, যেখানে তিনি একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করে থাকতে পারেন। ইমেইল অ্যাকাউন্ট, আর্থিক অ্যাকাউন্ট, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম, ব্যবসায়িক অ্যাকাউন্ট এবং কেনাকাটার প্রোফাইলকে অগ্রাধিকার দেওয়া উচিত। প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করা, পুরোনো পাসওয়ার্ডের ধরন পুরোপুরি বাদ দেওয়া এবং যেখানে সম্ভব দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত।

ইমেইল অ্যাকাউন্টের সুরক্ষায় বিশেষ গুরুত্ব দেওয়া উচিত, কারণ অন্য অ্যাকাউন্টের পাসওয়ার্ড রিসেট করার প্রক্রিয়া প্রায়ই এই ঠিকানার সঙ্গে যুক্ত থাকে। ব্যবহারকারীর উচিত অপরিচিত সেশন বন্ধ করা, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও ফোনের তথ্য পরীক্ষা করা এবং অপ্রত্যাশিত লগইনের সতর্কবার্তা পর্যালোচনা করা। একই ঠিকানায় পাঠানো ভুয়া নিরাপত্তা সতর্কবার্তা, পাসওয়ার্ড রিসেটের বার্তা ও অ্যাকাউন্ট যাচাইয়ের লিংকের ক্ষেত্রেও সতর্ক থাকা উচিত।

দীর্ঘমেয়াদি সুরক্ষার ভিত্তি হলো একই পাসওয়ার্ড পুনরায় ব্যবহার পুরোপুরি বন্ধ করা। পাসওয়ার্ড ম্যানেজার ব্যবহার করা, প্রতিটি সেবার জন্য এলোমেলোভাবে তৈরি আলাদা পাসওয়ার্ড নির্ধারণ করা, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে শক্তিশালী দুই উপাদানভিত্তিক পরিচয় যাচাই ব্যবহার করা ঝুঁকি অনেক কমিয়ে দেয়। ব্যবহারকারীদের নতুন পাসওয়ার্ডে পুরোনো পাসওয়ার্ডের ধরন বজায় রাখা উচিত নয় এবং সহজে অনুমান করা যায় এমন ব্যক্তিগত তথ্য ব্যবহার এড়ানো উচিত।

এ ধরনের তালিকায় কর্মীদের ইমেইল ঠিকানা পাওয়া যাওয়াকে প্রতিষ্ঠানের নিরাপত্তা-সংক্রান্ত সংকেত হিসেবে নজরে রাখা উচিত। বাধ্যতামূলক একাধিক উপাদানভিত্তিক পরিচয় যাচাই, ঝুঁকিপূর্ণ লগইন চেষ্টার সতর্কবার্তা, একই পাসওয়ার্ড পুনরায় ব্যবহার প্রতিরোধের নিয়ম এবং কর্মীদের সচেতনতামূলক প্রশিক্ষণ ক্রেডেনশিয়াল স্টাফিংয়ের ঝুঁকি কমায়। ব্যর্থ লগইন বেড়ে যাওয়া, নতুন ডিভাইসের সেশন এবং অস্বাভাবিক ভৌগোলিক অবস্থান থেকে লগইন আলাদাভাবে পর্যবেক্ষণ করা উচিত, বিশেষ করে প্রশাসনিক ও আর্থিক অ্যাকাউন্টের ক্ষেত্রে।

LeakData-তে ফলাফল ইতিবাচক হলে তা নির্দেশ করে যে অনুসন্ধান করা ইমেইল ঠিকানাটি Exploit.In সংগ্রহে রয়েছে। এই ফলাফল প্রমাণ করে না যে সেই মুহূর্তে কোনো নির্দিষ্ট কোম্পানিতে ব্যবহারকারীর অ্যাকাউন্টে অনুপ্রবেশ ঘটেছে; তবে এটি দেখায় যে তাঁর আগে ব্যবহৃত কোনো পাসওয়ার্ড ছড়িয়ে থাকতে পারে এবং একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলো ঝুঁকিতে থাকতে পারে। প্রথম করণীয় হলো একই পাসওয়ার্ড পুনরায় ব্যবহার বন্ধ করা এবং দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করা।

ফলাফল নেতিবাচক হলে তার অর্থ এই সংগ্রহে কোনো মিল পাওয়া যায়নি; তবে একই ঠিকানা অন্য লগইন তথ্যের সংগ্রহের রেকর্ডে বা আলাদা কোনো সেবার তথ্য ফাঁসের রেকর্ডে থাকতে পারে। ব্যবহারকারীর উচিত নিয়মিত পর্যবেক্ষণ চালিয়ে যাওয়া, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা, ইমেইল অ্যাকাউন্টের সুরক্ষা জোরদার করা এবং অপ্রত্যাশিত লগইন বা পাসওয়ার্ড রিসেটের বার্তা সতর্কভাবে পর্যালোচনা করা।