Fotolog তথ্য ফাঁস ও ইমেইল যাচাই

যাচাইকৃত ডেটাসেটে ইমেইল ঠিকানা, ব্যবহারকারীর নাম এবং সল্টবিহীন SHA-256 পাসওয়ার্ড হ্যাশ ছিল। বিক্রির জন্য দেওয়া Fotolog-এর পাঁচটি ডেটাবেসের ওপর সে সময়ের একটি প্রযুক্তিগত পর্যালোচনায় পূর্ণ নাম, ভৌগোলিক অবস্থান, আগ্রহ ও অন্যান্য প্রোফাইল তথ্যের পাশাপাশি নিরাপত্তা প্রশ্ন ও উত্তরের কথাও জানানো হয়েছিল। তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস-এর জানানো 1,67,17,854টি ঠিকানা বাইরের সূত্রে উল্লেখ করা ঘটনার পরিধি বোঝায়; LeakData-এ উৎস দ্বারা সমর্থিত 1,62,31,463টি ইমেইল-সম্পর্ক অনুসন্ধানযোগ্য। এই সংখ্যা থেকে প্রমাণ হয় না যে প্রতিটি সারি আলাদা ব্যক্তির ছিল বা প্রতিটি অ্যাকাউন্টে অতিরিক্ত সব তথ্য ছিল। ইমেইল, ব্যবহারকারীর নাম, ব্যক্তির নাম ও প্রোফাইলের তথ্য একত্রে ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং করা এবং অন্য প্ল্যাটফর্মের অ্যাকাউন্টের সঙ্গে মিল খুঁজে বের করা সম্ভব হতে পারে। একই নিরাপত্তা প্রশ্নের উত্তর একাধিক জায়গায় ব্যবহার করা হলে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়া দুর্বল হয়ে পড়তে পারে। পাসওয়ার্ড হ্যাশ সরাসরি পাঠযোগ্য পাসওয়ার্ড নয়। তবে দ্রুত গণনা করা যায় এমন সল্টবিহীন হ্যাশ পদ্ধতি অফলাইনে অনুমান করে পাসওয়ার্ড বের করার চেষ্টার বিরুদ্ধে দুর্বল, বিশেষ করে পাসওয়ার্ড ছোট, প্রচলিত বা আগে ফাঁস হয়ে থাকলে।

প্রকাশিত তথ্য অনুযায়ী, 2018 সালের ডিসেম্বরে Fotolog-এর অ্যাকাউন্টের তথ্য নেওয়া হয় এবং 2019 সালের ফেব্রুয়ারিতে অপরাধীদের একটি অনলাইন বাজারে আলাদা প্যাকেজ হিসেবে বিক্রির জন্য দেওয়া হয়। সেখানে আরও অনেক প্রতিষ্ঠানের বলে উল্লেখ করা ডেটাবেসও ছিল। বিজ্ঞাপনে Fotolog-এর প্যাকেজে মোট প্রায় 5.9 GB আকারের পাঁচটি ডেটাবেস এবং 1 কোটি 60 লাখের বেশি অ্যাকাউন্ট রেকর্ড থাকার কথা বলা হয়েছিল। বিক্রেতা বিভিন্ন সাইটের ওয়েব অ্যাপ্লিকেশনের ত্রুটি কাজে লাগানোর দাবি করলেও প্রকাশ্য প্রমাণ থেকে Fotolog-এ অনুপ্রবেশের নির্দিষ্ট পথ, আক্রান্ত সিস্টেম বা আক্রমণের ধাপগুলো নিশ্চিত করা যায়নি; তাই দূর থেকে কোড চালানোকে নিশ্চিত মূল কারণ হিসেবে উপস্থাপন করা যাবে না। তথ্য ফাঁসসংক্রান্ত প্রকাশ্য উৎস ঘটনার পরিধি হিসেবে 1,67,17,854টি স্বতন্ত্র ইমেইল ঠিকানার কথা জানায়; এই সংখ্যা LeakData-এর উৎস দ্বারা সমর্থিত ইমেইল-সম্পর্কের সংখ্যা নয়। এটি ছিল Fotolog-এর অ্যাকাউন্ট কাঠামোর সঙ্গে সরাসরি সম্পর্কিত বলে চিহ্নিত একটি স্বতন্ত্র ডেটাবেস, সাধারণ ধরনের লগইন তথ্যের সংকলন নয়। 2019 সালে সেবাটি বন্ধ হয়ে যায় এবং পরে এর ডোমেইন অন্য কাজে ব্যবহার করা হয়; বর্তমানে Fotolog অ্যাকাউন্টে প্রবেশের কোনো পোর্টাল না থাকলেও পুরোনো তথ্য থেকে তৈরি হওয়া ঝুঁকি দূর হয় না।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা 2018 সালে ব্যবহার করা Fotolog পাসওয়ার্ডটি ইমেইল, সামাজিক যোগাযোগমাধ্যম, ছবি-সংক্রান্ত কোনো সেবা বা অন্য অ্যাকাউন্টেও ব্যবহার করেছেন। সল্টবিহীন SHA-256 পাসওয়ার্ড হ্যাশের ক্ষেত্রে একই পাসওয়ার্ড থেকে একই হ্যাশ তৈরি হয়, এবং আক্রমণকারীরা খুব দ্রুত প্রচলিত পাসওয়ার্ডের তালিকা পরীক্ষা করতে পারে। হ্যাশ সরাসরি পাসওয়ার্ড প্রকাশ করে না, আর দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড উদ্ধার করা তুলনামূলকভাবে কঠিন থাকে। ছোট, অভিধানের শব্দভিত্তিক বা আগে ফাঁস হওয়া পাসওয়ার্ড অনুমান করা অনেক সহজ। যাঁরা অন্য সেবায় একই নিরাপত্তা প্রশ্নের উত্তর ব্যবহার করেছেন, তাঁরাও পাসওয়ার্ড রিসেট ও অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়াকে কাজে লাগিয়ে চালানো আক্রমণের ঝুঁকিতে আছেন। পূর্ণ নাম, অবস্থান, আগ্রহ, ব্যবহারকারীর নাম ও ইমেইল একত্রে পেলে অপরাধীরা পুরোনো ছবি বা কোনো কমিউনিটির প্রসঙ্গ উল্লেখ করে বার্তা তৈরি করতে পারে।

আপনার পুরোনো Fotolog পাসওয়ার্ড মনে থাকলে, কোন কোন অ্যাকাউন্টে এখনো একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হচ্ছে তা শনাক্ত করুন এবং প্রতিটিতে দীর্ঘ, স্বতন্ত্র পাসওয়ার্ড দিন। আপনার প্রধান ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ক্লাউডে ছবি রাখার সেবা এবং পেমেন্ট পদ্ধতি সংরক্ষণ করে এমন সেবাগুলোকে অগ্রাধিকার দিন। Fotolog-এর কোনো নিরাপত্তা প্রশ্নের উত্তর অন্য কোথাও ব্যবহার করে থাকলে, সম্ভব হলে সব জায়গায় তা বদলান; নিজের জীবনের বাস্তব কোনো তথ্যের বদলে অনুমান করা যায় না এমন এলোমেলো উত্তর বেছে নিয়ে পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করুন। অপরিচিত ইমেইল সেশন, পুনরুদ্ধারের ইমেইল ঠিকানা ও ফরওয়ার্ডিং নিয়ম পরীক্ষা করুন, তারপর মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করুন। পুরোনো Fotolog ছবি ফিরিয়ে দেওয়া, অ্যাকাউন্ট আবার চালু করা, কপিরাইট অভিযোগ মেটানো বা প্রোফাইল যাচাই করার দাবি করা বার্তাকে বিশ্বাস করবেন না; অপরাধীরা পুরোনো ব্র্যান্ডের নাম ও প্রকৃত ব্যবহারকারীর নাম ব্যবহার করতে পারে। মূল সেবাটি আর চালু নেই বলে Fotolog অ্যাকাউন্ট রিসেটের লিংক দেওয়া যেকোনো বার্তাকে বিশেষভাবে সন্দেহের চোখে দেখুন।

প্রতিটি সেবার জন্য এলোমেলো ও স্বতন্ত্র পাসওয়ার্ড তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন, যাতে একটি হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করা হলেও অন্য অ্যাকাউন্টগুলোতে তার প্রভাব না পড়ে। ইমেইল ও গুরুত্বপূর্ণ সেবায় মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু রাখুন। সুযোগ থাকলে ফিশিং-প্রতিরোধী নিরাপত্তা চাবি বা ডিভাইসভিত্তিক পদ্ধতিকে অগ্রাধিকার দিন। পুরোনো Fotolog পাসওয়ার্ড ও নিরাপত্তা প্রশ্নের উত্তরগুলো আর কখনো ব্যবহার করবেন না; বানানে সামান্য পরিবর্তন করে সেগুলো আবার ব্যবহার করলে কার্যকর সুরক্ষা পাওয়া যায় না। মনে রাখবেন, সামাজিক প্রোফাইলে দেখা যায় এমন অবস্থান, আগ্রহ ও পুরোনো ব্যবহারকারীর নাম কাজে লাগিয়ে আপনাকে লক্ষ্য করে ফিশিং বার্তা তৈরি করা যেতে পারে। তাই অপ্রয়োজনীয় তথ্য প্রকাশ কমিয়ে দিন। তথ্য ফাঁসের যাচাইয়ে পুরোনো ইমেইল ঠিকানাগুলোও নিয়মিত পরীক্ষা করুন এবং অপ্রত্যাশিত পাসওয়ার্ড রিসেট সতর্কবার্তা পেলে আলাদা, স্বাধীন মাধ্যমে তা যাচাই করুন। বন্ধ হয়ে যাওয়া সেবার তথ্য অনির্দিষ্টকাল ধরে ছড়াতে পারে। তাই দীর্ঘস্থায়ী নিরাপত্তা পরিকল্পনায় শুধু বর্তমান অ্যাকাউন্ট নয়, বহু বছর আগে ব্যবহার করা লগইন তথ্য ও পরিচয়-সংক্রান্ত তথ্যও অন্তর্ভুক্ত থাকতে হবে।

Fotolog-এ ব্যবহার করে থাকতে পারেন এমন প্রতিটি বর্তমান ও পুরোনো ইমেইল ঠিকানা যাচাই করতে এই পৃষ্ঠার নিরাপদ অনুসন্ধান ঘরটি ব্যবহার করুন। মিল পাওয়ার অর্থ হলো, ঠিকানাটি উৎস ফাইল থেকে যাচাই করা LeakData-এর 1,62,31,463টি অনুসন্ধানযোগ্য ইমেইল-সম্পর্কের মধ্যে রয়েছে; এতে প্রমাণ হয় না যে পাসওয়ার্ড উদ্ধার করা হয়েছে, অন্য কোনো অ্যাকাউন্টে প্রবেশ করা হয়েছে বা ওই ব্যক্তির জন্য প্রোফাইলের প্রতিটি তথ্য ছিল। ফল পাওয়া গেলে, 2018 সালের সময়কার পাসওয়ার্ড বা নিরাপত্তা প্রশ্নের উত্তর ব্যবহার করা অন্য অ্যাকাউন্টগুলো পরীক্ষা করুন, এখনো যেখানে সেগুলো পুনরায় ব্যবহার করা হচ্ছে সেখানে বদলান এবং ইমেইল অ্যাকাউন্টের নিরাপত্তা পরীক্ষা করুন। কোনো ফল না পাওয়া সম্পূর্ণ নিশ্চয়তা দেয় না, কারণ ঠিকানাটি ভিন্নভাবে লেখা হয়ে থাকতে পারে, ডেটাসেটে কোনো রেকর্ড বাদ পড়ে থাকতে পারে বা অন্য কোনো তথ্য ফাঁসের ঘটনা আপনাকে প্রভাবিত করে থাকতে পারে। অনুসন্ধান ঘরে শুধু সমর্থিত শনাক্তকারী দিন; কখনো পাসওয়ার্ড, পাসওয়ার্ড হ্যাশ, নিরাপত্তা প্রশ্নের উত্তর, একবার ব্যবহারযোগ্য কোড বা পেমেন্টের তথ্য দেবেন না। মাঝে মাঝে পুরোনো ঠিকানাগুলো আবার পরীক্ষা করলে ঘটনার বহু বছর পর যাচাই করা ডেটাসেটেও মিল পাওয়া যেতে পারে। অপ্রত্যাশিত সতর্কবার্তা এলে তার ভেতরের লিংক ব্যবহার না করে আলাদা, স্বাধীন পথে সরাসরি সংশ্লিষ্ট সেবায় প্রবেশ করুন।