Funny Games তথ্য ফাঁস

এই তথ্য ফাঁসের ঘটনায় নিশ্চিত হওয়া সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো, পাসওয়ার্ডগুলো সল্টযুক্ত MD5 হ্যাশ আকারে রয়েছে। সল্ট ব্যবহার করলে একই পাসওয়ার্ড থাকা অ্যাকাউন্টগুলোর হ্যাশও এক হওয়ার সম্ভাবনা কমে; তবে বর্তমান নিরাপত্তার চাহিদা অনুযায়ী MD5-কে দুর্বল বলে বিবেচনা করা হয়। পাসওয়ার্ড ছোট, সহজে অনুমানযোগ্য বা আগের কোনো তথ্য ফাঁসে প্রকাশিত হয়ে থাকলে, হ্যাশ ভেঙে পাসওয়ার্ড উদ্ধার করার সম্ভাবনা বেড়ে যায়। এতে শুধু Funny Games অ্যাকাউন্ট নয়, একই পাসওয়ার্ড ব্যবহার করা ইমেইল, গেমিং, সামাজিক যোগাযোগমাধ্যম, ফোরাম বা কেনাকাটার অ্যাকাউন্টও দখল হয়ে যাওয়ার ঝুঁকি বাড়ে।

ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পেলে আক্রমণকারীরা জানতে পারে, অ্যাকাউন্টের মালিক কোন ছদ্মনাম ও কোন ইমেইল দিয়ে নিবন্ধন করেছিলেন। এই দুই তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তা, ভুয়া লগইন পৃষ্ঠা এবং পাসওয়ার্ড রিসেটের চেষ্টায় ব্যবহার করা যেতে পারে। IP ঠিকানা পাওয়া গেলে ব্যবহারকারীর সংযোগের চিহ্ন সম্পর্কে অতিরিক্ত ধারণা পাওয়া যেতে পারে। এটি একা কারও পরিচয়ের চূড়ান্ত প্রমাণ নয়, তবে সময়, অবস্থান ও সেশনের তথ্যের সঙ্গে মিলিয়ে ব্যবহার করা হলে ব্যবহারকারীর প্রোফাইল তৈরি করার ঝুঁকি বাড়ে।

যাচাইকৃত রেকর্ডের সংখ্যা 7,64,357 হিসেবেই উল্লেখ করতে হবে। এই সংখ্যা ফাঁস হওয়া তথ্যের ফাইলে থাকা রেকর্ডের সংখ্যা বোঝায়; প্রতিটি রেকর্ড আলাদা একজন বাস্তব ব্যক্তিকে প্রতিনিধিত্ব নাও করতে পারে। একই ব্যক্তি একাধিক অ্যাকাউন্ট খুলে থাকতে পারেন, পুরোনো ও বর্তমান ইমেইল ঠিকানা আলাদাভাবে থাকতে পারে, অথবা প্রযুক্তিগত কারণে একই রেকর্ড একাধিকবার থাকতে পারে। তাই ঘটনার পরিসর মূল্যায়নের সময় সংখ্যাটির পূর্ণ মান বজায় রাখতে হবে, কিন্তু ব্যক্তির সংখ্যা সম্পর্কে যাচাই ছাড়া নিশ্চিত বক্তব্য দেওয়া উচিত নয়।

এই রেকর্ডের যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটি সল্টযুক্ত MD5 হ্যাশ হিসেবে উল্লেখ করতে হবে; যাচাই না হওয়া পর্যন্ত সাধারণ পাঠ্যরূপে থাকা পাসওয়ার্ড, পেমেন্ট কার্ডের তথ্য, পরিচয়পত্রের নম্বর, পূর্ণ ঠিকানা, ফোন নম্বর, জন্মতারিখ, গেমের ভেতরে পেমেন্টের ইতিহাস বা ব্যক্তিগত বার্তার তথ্য এই রেকর্ডে যোগ করা উচিত নয়। দেশের তথ্যও স্পষ্টভাবে যাচাই করা হয়নি, তাই কোম্পানির অবস্থান কোনো নির্দিষ্ট দেশের সঙ্গে যুক্ত করা উচিত নয়। এতে ব্যবহারকারীর কাছে তথ্য ফাঁসের ঘটনাকে অতিরঞ্জিতভাবে বা ভিত্তিহীন তথ্য দিয়ে উপস্থাপন করা হয় না।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা Funny Games অ্যাকাউন্টের পাসওয়ার্ড অন্য প্ল্যাটফর্মেও ব্যবহার করেন। ইমেইল ও ব্যবহারকারীর নাম একই থাকলে আক্রমণকারীরা স্বয়ংক্রিয় লগইন প্রচেষ্টার মাধ্যমে বিভিন্ন অ্যাকাউন্টকে লক্ষ্য করতে পারে। পুরোনো গেমের অ্যাকাউন্টে বছরের পর বছর পাসওয়ার্ড অপরিবর্তিত থাকা সাধারণ ঘটনা হওয়ায়, ঘটনাটি পুরোনো হলেও ঝুঁকি পুরোপুরি শেষ হয়ে যায় না। কোনো পুরোনো পাসওয়ার্ড আজও অন্য সক্রিয় অ্যাকাউন্টে ব্যবহার করা হলে, এই রেকর্ড এখনো বাস্তব নিরাপত্তাঝুঁকির দিক থেকে প্রাসঙ্গিক।

শিশু ও কমবয়সী খেলোয়াড়দের জন্য খোলা অ্যাকাউন্টগুলোও সতর্কভাবে মূল্যায়ন করা উচিত। গেমিং ও বিনোদনমূলক সাইটে ব্যবহৃত ব্যবহারকারীর নাম কখনো কখনো সামাজিক যোগাযোগমাধ্যম, মেসেজিং, স্ট্রিমিং প্ল্যাটফর্ম বা ফোরামের অ্যাকাউন্টেও ব্যবহার করা হয়। একই নাম বারবার ব্যবহার করা হলে বিভিন্ন অনলাইন পরিসরে সেই ব্যক্তির পরিচয়গুলোকে পরস্পরের সঙ্গে যুক্ত করা সম্ভব হতে পারে। IP ঠিকানা পাওয়া গেলে কোন ধরনের সংযোগ থেকে অ্যাকাউন্টটি ব্যবহার করা হয়েছে, সে সম্পর্কেও অতিরিক্ত চিহ্ন পাওয়া যায়। তাই অ্যাকাউন্টের মালিকের শুধু গেমের অ্যাকাউন্ট নয়, একই ইমেইল ও ডাকনামের সঙ্গে যুক্ত সব অ্যাকাউন্টও পরীক্ষা করা উচিত।

এই রেকর্ডে ইমেইল ঠিকানা রয়েছে এমন ব্যবহারকারীর প্রথমে নিশ্চিত হওয়া উচিত যে Funny Games অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি আর কোথাও ব্যবহার করা হচ্ছে না। একই বা কাছাকাছি ধরনের পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে, সেটি অবিলম্বে বদলে শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড দিতে হবে। প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও অনুমান করা কঠিন পাসওয়ার্ড তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি কমে। পাসওয়ার্ড বদলানোর সময় শুধু শেষ অক্ষরটি পরিবর্তন করা বা একই গঠনের সঙ্গে সামান্য কিছু যোগ করা যথেষ্ট নয়।

ইমেইল, গেম ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট এবং আর্থিক লেনদেন হয় এমন সব সেবায় একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা উচিত। অ্যাকাউন্টের কার্যকলাপের ইতিহাসে অপরিচিত উৎস থেকে প্রবেশ, অচেনা ডিভাইস, অপ্রত্যাশিত পাসওয়ার্ড রিসেটের অনুরোধ বা নিরাপত্তাসংক্রান্ত ইমেইল থাকলে, সেশনগুলো বন্ধ করে অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা উচিত। এই ঘটনায় ফোন বা পেমেন্টের তথ্য ফাঁস হওয়া যাচাই করা না হলেও, আক্রমণকারীরা বিশ্বাসযোগ্য মনে হয় এমন বার্তায় ইমেইল, ব্যবহারকারীর নাম ও পুরোনো পাসওয়ার্ডের তথ্য ব্যবহার করতে পারে। তাই আসা লিংক ও সংযুক্ত ফাইল সতর্কভাবে পরীক্ষা করা উচিত।

এই তথ্য ফাঁসের ঘটনাটি পুরোনো হলেও, এর দীর্ঘমেয়াদি শিক্ষা হলো পাসওয়ার্ডকে সুরক্ষার একমাত্র স্তর হিসেবে না রাখা। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টের জন্য স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা, গুরুত্বপূর্ণ অ্যাকাউন্টে একাধিক স্বতন্ত্র উপাদানভিত্তিক সুরক্ষা কার্যকর করা এবং পুরোনো গেম বা ফোরামের অ্যাকাউন্ট নিয়মিত পর্যালোচনা করা উচিত। যেসব অ্যাকাউন্ট আর ব্যবহার করা হয় না, সম্ভব হলে সেগুলো বন্ধ করে দেওয়া উচিত; বন্ধ করা না গেলে পাসওয়ার্ডটি স্বতন্ত্র করতে হবে এবং প্রোফাইলে রাখা তথ্য যতটা সম্ভব কমাতে হবে।

প্রতিষ্ঠানের ক্ষেত্রে MD5-এর মতো পুরোনো হ্যাশিং পদ্ধতি বাদ দিয়ে পাসওয়ার্ড সংরক্ষণের জন্য বর্তমান সময়ের উপযোগী ও গণনার ব্যয় সমন্বয় করা অ্যালগরিদমকে অগ্রাধিকার দেওয়া উচিত। সিস্টেমে পুরোনো কোডের অংশ রেখে দিলে সময়ের সঙ্গে অদৃশ্য নিরাপত্তার ঘাটতি জমতে থাকে। তাই অ্যাকাউন্টের তথ্য প্রক্রিয়া করে এমন অ্যাপ্লিকেশনে কোডের তালিকা, অ্যাক্সেস লগ, নির্ভরশীল উপাদানের পরীক্ষা এবং নিয়মিত নিরাপত্তা পরীক্ষার ব্যবস্থা ধারাবাহিকভাবে চালু রাখতে হবে। ব্যবহারকারীদের উদ্দেশে পাঠানো বিজ্ঞপ্তিতে কোন তথ্যের ক্ষেত্রগুলো প্রভাবিত হয়েছে, কোনগুলো হয়নি এবং ব্যবহারকারীর কী করা প্রয়োজন, এসব স্পষ্টভাবে আলাদা করে জানানো উচিত।

Funny Games-এর তথ্য ফাঁসের রেকর্ড যাচাই করার সময় ফলাফল জানায়, সংশ্লিষ্ট ব্যক্তির ইমেইল ঠিকানা এই তথ্যসমষ্টিতে আছে কি না। ফলাফলে মিল পাওয়া গেলে ব্যবহারকারীর নাম, ইমেইল ঠিকানা, IP ঠিকানা ও পাসওয়ার্ড হ্যাশকে ঝুঁকিতে রয়েছে বলে বিবেচনা করা উচিত। মিল না পাওয়ার অর্থ হলো এই নির্দিষ্ট তথ্যসমষ্টিতে কোনো মিল পাওয়া যায়নি; এর অর্থ এই নয় যে সেই ব্যক্তির তথ্য অন্য কোনো তথ্য ফাঁসের ঘটনায় ছিল না। তাই নিরাপত্তা মূল্যায়ন একটি রেকর্ডের মধ্যেই সীমাবদ্ধ রাখা উচিত নয়।

এই রেকর্ড অনুযায়ী ব্যবহারকারীর যথাযথ করণীয় হলো পুরোনো পাসওয়ার্ডের ব্যবহার বন্ধ করা, স্বতন্ত্র পাসওয়ার্ড ব্যবহার শুরু করা, একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা এবং একই ইমেইল ঠিকানা ব্যবহার করা অন্য অ্যাকাউন্টগুলোর নিরাপত্তার ইতিহাস পরীক্ষা করা। অতীতের কোনো ঘটনায় পাসওয়ার্ড হ্যাশ ফাঁস হয়ে থাকলে, আক্রমণকারীরা বহু বছর পরও সেই তথ্য আবার ব্যবহার করতে পারে। ব্যবহারকারীদের পুরোনো পাসওয়ার্ড তৈরির ধরন পুরোপুরি বাদ দেওয়া উচিত, বিশেষ করে গেমিং ও বিনোদনমূলক অ্যাকাউন্টে ব্যবহৃত ধরনগুলো। শুধু ঘটনার তারিখ দেখে নিরাপত্তার সতর্কতাকে তুচ্ছ মনে করা উচিত নয়।