EyeEm: তথ্য ফাঁস

যে ধরনের তথ্য ফাঁস হওয়ার বিষয়টি যাচাই করে নিশ্চিত করা হয়েছে, সেগুলো হলো ইমেইল ঠিকানা, নাম, ব্যবহারকারীর নাম, প্রোফাইলের পরিচিতিমূলক লেখা এবং পাসওয়ার্ড হ্যাশ। বিক্রির জন্য দেওয়া আর্কাইভটির বিজ্ঞাপনে 2,23,60,765টি অ্যাকাউন্টের সারি থাকার দাবি করা হয়েছিল, তবে প্রায় 30 লাখ সারিতে কোনো ইমেইল ঠিকানা ছিল না বলে জানানো হয়েছিল। তাই ঘটনার প্রভাবের নির্ভরযোগ্য পরিমাপ হলো পুনরাবৃত্তি বাদ দেওয়ার পর শনাক্ত করা 1,96,11,022টি স্বতন্ত্র ইমেইল ঠিকানা; এই দুটি সংখ্যা যোগ করা যাবে না বা একই পরিমাপ হিসেবে উপস্থাপন করা যাবে না। প্রতিটি সারিতে পাঁচ ধরনের তথ্যই আছে, এমন ধরে নেওয়া যাবে না। নাম, ব্যবহারকারীর নাম ও পরিচিতিমূলক লেখা দিয়ে একজন ব্যক্তির সঙ্গে তাঁর তোলা ছবির যোগসূত্র স্থাপন করা যায়, যা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। ইমেইল ঠিকানা দিয়ে অ্যাকাউন্ট খুঁজে বের করা যায়। অন্যদিকে, পাসওয়ার্ড হ্যাশ ব্যবহার করে অফলাইনে সম্ভাব্য পাসওয়ার্ড অনুমান করে পরীক্ষা করা এবং একই লগইন তথ্য পুনরায় ব্যবহার করা হয়েছে এমন সেবায় প্রবেশের চেষ্টা করা সম্ভব। পেমেন্ট কার্ড ও ব্যাংক অ্যাকাউন্টের তথ্য যাচাই করা তথ্যের ধরনগুলোর মধ্যে নেই, তাই এই ঘটনাকে আর্থিক তথ্য ফাঁস হিসেবে উপস্থাপন করা উচিত নয়।

2018 সালের ফেব্রুয়ারিতে EyeEm-এর সার্ভার থেকে অ্যাকাউন্টের তথ্য চুরি হয়েছিল বলে জানানো হয়। পরে অন্যান্য বড় ডেটাসেটের সঙ্গে সেই তথ্য বিক্রির জন্য দেওয়া হয়। ঘটনাটি 2019 সালের 11 ফেব্রুয়ারি প্রকাশ্যে আসে; পরদিন EyeEm গ্রাহকদের জানায় এবং অ্যাকাউন্টের পাসওয়ার্ড বদলানো বাধ্যতামূলক করে। রেকর্ডে থাকা 28 ফেব্রুয়ারি তারিখটি এমন একটি ঘটনা বোঝায়, যা ওই মাসে ঘটেছিল বলেই শুধু জানা গেছে; এটি অনুপ্রবেশের সুনির্দিষ্ট দিনের প্রমাণ নয়। পরীক্ষা করা সারিগুলোর পাসওয়ার্ডকে SHA-1 হ্যাশ হিসেবে বর্ণনা করা হয়েছে। EyeEm প্রতিটি পাসওয়ার্ডের জন্য আলাদা সল্ট ব্যবহার করেছিল কি না, তা নির্ভরযোগ্য প্রমাণ দিয়ে নিশ্চিত করা যায়নি। তাই এগুলোকে “সল্টযুক্ত” বা “সল্টবিহীন” বলা অনুমাননির্ভর হবে। SHA-1-এর আউটপুট সরাসরি পড়া যায় এমন মূল পাসওয়ার্ড নয়, তবে অফলাইনে অনুমান করে পরীক্ষা করার মাধ্যমে দুর্বল পাসওয়ার্ড উদ্ধার করা যেতে পারে। প্রথমবার কীভাবে প্রবেশ করা হয়েছিল, তা প্রকাশ্যে নিশ্চিত করা হয়নি। তাই প্রমাণ ছাড়া ঘটনাটিকে কোনো নির্দিষ্ট নিরাপত্তা ত্রুটি, তৃতীয় পক্ষ বা কর্মীর কাজের ফল হিসেবে চিহ্নিত করা উচিত নয়।

যাঁরা 2018 সালের ফেব্রুয়ারির আগে EyeEm অ্যাকাউন্ট খুলেছেন, ইমেইল ঠিকানা দিয়ে নিবন্ধন করেছেন, অথবা প্রোফাইলে প্রকৃত নাম, ব্যবহারকারীর নাম ও পরিচিতিমূলক লেখা দিয়েছেন, তাঁরাই মূল ঝুঁকিতে থাকা গোষ্ঠী। নাম, ব্যবহারকারী পরিচিতি ও সৃজনশীল কাজের প্রোফাইল একত্রে ব্যবহার করা যায় বলে আলোকচিত্রী, ভিজ্যুয়াল কনটেন্ট নির্মাতা এবং লাইসেন্সিং পেশাজীবীরা বিশ্বাসযোগ্য মনে হয় এমন প্রতারণামূলক প্রস্তাব পেতে পারেন। পুরোনো অ্যাকাউন্টের ক্ষেত্রেও ঝুঁকি থেকে যায়: এর ইমেইল ঠিকানা দিয়ে অন্য সেবায় থাকা অ্যাকাউন্ট শনাক্ত করা যেতে পারে, পুরোনো পাসওয়ার্ডের ধরন থেকে নতুন পাসওয়ার্ডের সম্ভাব্য ধরন অনুমান করা যেতে পারে, আর প্রোফাইলের তথ্য দিয়ে বিশ্বাসযোগ্য বার্তা তৈরি করা যেতে পারে। অপব্যবহার শুধু অ্যাকাউন্ট দখলের মধ্যে সীমিত না-ও থাকতে পারে; ভুয়া কপিরাইট নোটিশ, লাইসেন্সিং-সংক্রান্ত অনুসন্ধান, অর্থ পরিশোধের অনুরোধ, পোর্টফোলিও যাচাইয়ের নির্দেশনা বা নতুন তথ্য সংগ্রহের উদ্দেশ্যে পাসওয়ার্ড রিসেটের অনুরোধও আসতে পারে। ডেটাসেটে অন্তর্ভুক্ত থাকার অর্থ এই নয় যে প্রতিটি অ্যাকাউন্টের অপব্যবহার হয়েছে বা প্রতিটি হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করা হয়েছে। তথ্য ফাঁস, পাসওয়ার্ড উদ্ধার এবং অ্যাকাউন্টে অননুমোদিত প্রবেশ নিশ্চিত হওয়া, এগুলো আলাদা ফলাফল।

2019 সালে EyeEm-এর বাধ্যতামূলক পাসওয়ার্ড রিসেটের ফলে ওই প্ল্যাটফর্মে পুরোনো পাসওয়ার্ড আর ব্যবহার করা যেত না। তবে একই বা কাছাকাছি ধরনের পাসওয়ার্ড অন্য কোথাও পুনরায় ব্যবহার করা হয়ে থাকলে সেখানে ঝুঁকি রয়ে যায়। সেই অ্যাকাউন্টগুলো শনাক্ত করুন এবং পুনরায় ব্যবহার করা প্রতিটি পাসওয়ার্ড বদলে একটি শক্তিশালী, স্বতন্ত্র পাসওয়ার্ড দিন; পাসওয়ার্ড ম্যানেজার ব্যবহার করলে এই অভ্যাস বজায় রাখা সহজ হয়। ইমেইল দিয়ে শুরু করে গুরুত্বপূর্ণ সেবাগুলোতে বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করুন। অ্যাকাউন্ট পুনরুদ্ধারের তথ্য ও সক্রিয় সেশন পরীক্ষা করে দেখুন, আপনার কাছে অপরিচিত কোনো পরিবর্তন আছে কি না। EyeEm-এর নোটিশ, ছবি ব্যবহারের লাইসেন্সের প্রস্তাব, কপিরাইট দাবি ও পোর্টফোলিও-সংক্রান্ত প্রস্তাবের ক্ষেত্রে সতর্ক থাকুন এবং প্রেরকের প্রকৃত ডোমেইন ও লিংক কোথায় নিয়ে যায় তা যাচাই করুন। অপ্রত্যাশিত সংযুক্তি খুলবেন না; বার্তার লিংক অনুসরণ না করে সেবার ঠিকানা নিজে লিখে সাইন ইন করুন। মেইলবক্সে অপরিচিত ফরওয়ার্ডিং নিয়ম, অ্যাপ্লিকেশন পাসওয়ার্ড বা পুনরুদ্ধারের পদ্ধতি থাকলে সরিয়ে দিন, অপরিচিত সেশন বন্ধ করুন এবং সাম্প্রতিক নিরাপত্তা কার্যকলাপ পর্যালোচনা করুন।

ঘটনাটি পুরোনো বলেই ফাঁস হওয়া পরিচয়-সংক্রান্ত তথ্য মূল্যহীন হয়ে যায় না। ইমেইল ঠিকানা ও প্রোফাইলের তথ্য বছরের পর বছর সঠিক থাকতে পারে। নির্দিষ্ট ব্যক্তিকে লক্ষ্য করার জন্য প্রোফাইল তৈরি করতে পুরোনো ডেটাসেটের সঙ্গে নতুন সংগ্রহের তথ্যও মিলিয়ে নেওয়া হতে পারে। প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করুন, আপনার পাসওয়ার্ড ম্যানেজারে তথ্য ফাঁস ও দুর্বল পাসওয়ার্ডের সতর্কতা চালু করুন এবং বহু-উপাদানভিত্তিক পরিচয় যাচাইয়ের জন্য অথেনটিকেটর অ্যাপ বা হার্ডওয়্যার কীকে অগ্রাধিকার দিন। আলাদা ইমেইল অ্যালিয়াস ব্যবহার করলে কোন ঠিকানা কোথায় দেওয়া হয়েছে তা বোঝা যায় এবং সন্দেহজনক ইমেইল চেনা সহজ হয়। প্রোফাইলের পরিচিতিমূলক লেখায় শুধু প্রয়োজনীয় তথ্য রাখলেও সামাজিক কৌশলে প্রতারণার ঝুঁকি কমে; স্পষ্ট প্রয়োজন ছাড়া ব্যক্তিগত ঠিকানা, ফোন নম্বর, জন্মতারিখ বা নিয়মিত যাতায়াতের স্থান প্রকাশ করবেন না। সক্রিয় সেশন, সংযুক্ত অ্যাপ ও অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস নিয়মিত পর্যালোচনা করুন এবং যে অ্যাকাউন্টগুলো আর ব্যবহার করেন না, সেগুলো বন্ধ করে দিন। বার্তার লিংক ব্যবহার না করে অফিশিয়াল অ্যাপ বা নিজে সরাসরি লিখে খোলা ঠিকানার মাধ্যমে সতর্কবার্তা যাচাই করুন।

কোনো ইমেইল ঠিকানা মিলে গেলে তার অর্থ, সেটি 2018 সালের ফেব্রুয়ারির EyeEm ডেটাসেটে ছিল। এতে প্রমাণ হয় না যে অ্যাকাউন্টটি এখনো চালু আছে, সরাসরি পড়া যায় এমন মূল পাসওয়ার্ড দেখা যাচ্ছে, অথবা অ্যাকাউন্টটি দখল করা হয়েছে। তথ্য ফাঁসের সময়কাল এবং 2019 সালের ফেব্রুয়ারিতে ঘটনাটি প্রকাশের সময়কে আলাদা করে দেখুন এবং পুরোনো পাসওয়ার্ড অন্য কোথাও পুনরায় ব্যবহার করেছিলেন কি না, তা বিবেচনা করুন। ঠিকানা মিলে গেলে প্রথমে আপনার ইমেইল সুরক্ষিত করুন, তারপর একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করে থাকতে পারেন এমন অ্যাকাউন্টগুলো সুরক্ষিত করুন। ঠিকানা না মিললেও তা সম্পূর্ণ নিরাপত্তার নিশ্চয়তা নয়: আপনি অন্য ঠিকানা দিয়ে নিবন্ধন করে থাকতে পারেন, কিছু সারিতে ইমেইল ছিল না, অথবা অন্য কোনো ঘটনা এখনো যাচাই করা হয়নি। নিয়মিত যাচাইয়ের পাশাপাশি পাসওয়ার্ড ম্যানেজারের সতর্কতা ও বহু-উপাদানভিত্তিক পরিচয় যাচাই ব্যবহার করুন এবং অ্যাকাউন্টের কার্যকলাপও পর্যালোচনা করুন। সন্দেহজনক বার্তার ক্ষেত্রে প্রকৃত প্রেরকের ডোমেইন, লিংকের গন্তব্য, তাড়াহুড়োর চাপ এবং পাসওয়ার্ড বা অর্থ চাওয়া হচ্ছে কি না, সব মিলিয়ে পরীক্ষা করুন। এভাবে পুরোনো EyeEm ঘটনার তথ্য যাচাই চলমান নিরাপত্তাচর্চার অংশ হয়ে ওঠে।