Gab: তথ্য ফাঁস

ব্যক্তির সংখ্যা, তথ্যক্ষেত্র ও হামলাকারীদের দাবির মধ্যে যেগুলো যাচাই করা হয়নি, সেগুলো এই ঘটনার প্রকাশ্য বিবরণে নির্ধারিত পরিধির অংশ হিসেবে গণ্য করা হয় না। নাম ও অ্যাভাটারের তথ্য একই প্রোফাইলকে শনাক্ত করাও সহজ করে তোলে। শুধু এসব তথ্য আর্থিক প্রতারণার জন্য যথেষ্ট না হলেও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, ভুয়া নিরাপত্তা বিজ্ঞপ্তি, সুনামহানি এবং অ্যাকাউন্ট দখলের চেষ্টায় এগুলো গুরুত্বপূর্ণ প্রাসঙ্গিক তথ্য জোগায়। সামাজিক যোগাযোগমাধ্যমে ব্যবহারকারীর নাম প্রায়ই দীর্ঘদিন অপরিবর্তিত থাকে; তাই পুরোনো তথ্য ফাঁসও বর্তমান প্রোফাইলের সঙ্গে মিল খুঁজে পেতে কাজে লাগতে পারে।

পাসওয়ার্ডের ক্ষেত্রটি bcrypt হ্যাশ আকারে সংরক্ষণ করলে সরাসরি পাঠযোগ্য পাসওয়ার্ডের তুলনায় বেশি সুরক্ষা পাওয়া যায়। তা সত্ত্বেও দুর্বল, ছোট বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড ঝুঁকিপূর্ণ থাকে। অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হলে হামলাকারীরা পুরোনো ফাঁস হওয়া তথ্য কাজে লাগিয়ে নতুন করে লগইনের চেষ্টা করতে পারে। প্রত্যেক ব্যবহারকারীর ক্ষেত্রে বার্তার বিষয়বস্তু যাচাই করা হয়েছে বলে ধরে নেওয়া উচিত নয়। তবে যাঁদের তথ্যের মিল পাওয়া গেছে, তাঁদের গোপনীয় যোগাযোগসংক্রান্ত ঝুঁকি উপেক্ষা করা উচিত নয়।

এই রেকর্ডে যাচাইকৃত স্বতন্ত্র ইমেইল-মিলের সংখ্যা 66,521-ই রাখতে হবে। বিস্তৃত ডেটা আর্কাইভে কয়েক মিলিয়ন অ্যাকাউন্ট এবং সবার জন্য উন্মুক্ত কনটেন্ট থাকার তথ্যটি আলাদা প্রেক্ষাপট; এই সংখ্যাকে সরাসরি ইমেইল দিয়ে অনুসন্ধানযোগ্য ব্যক্তির সংখ্যা হিসেবে উপস্থাপন করা উচিত নয়। রেকর্ডের সংখ্যা বলতে ইমেইল ঠিকানার ভিত্তিতে পাওয়া স্বতন্ত্র মিল বোঝায়। একজন ব্যক্তির একাধিক অ্যাকাউন্ট থাকতে পারে, আবার কিছু অ্যাকাউন্টে ইমেইল ও পাসওয়ার্ডের কোনো ক্ষেত্রই নাও থাকতে পারে।

যাচাইকৃত তথ্যের ধরনগুলো হলো অ্যাভাটার, ইমেইল ঠিকানা, নাম, পাসওয়ার্ড, ব্যক্তিগত বার্তা ও ব্যবহারকারীর নাম। ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্রের নম্বর, জন্মতারিখ বা ব্যাংকের তথ্য এই তালিকায় যোগ করা উচিত নয়। ব্যক্তিগত বার্তার ক্ষেত্রটিকেও আর্কাইভে কেবল সীমিতসংখ্যক চ্যাটের রেকর্ড থাকার নির্দেশক হিসেবে বিবেচনা করতে হবে; প্রতিটি রেকর্ডের ব্যক্তিগত বার্তা ফাঁস হয়েছে বলে ধরে নেওয়া উচিত নয়। এই সীমাবদ্ধতা স্পষ্ট করে জানালে ব্যবহারকারী প্রকৃত ঝুঁকির পাশাপাশি কোন বিষয়গুলো অনিশ্চিত রয়ে গেছে, তা বুঝতে পারেন।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা Gab অ্যাকাউন্টের ইমেইল ঠিকানা, ব্যবহারকারীর নাম বা পাসওয়ার্ড অন্য সামাজিক যোগাযোগমাধ্যম, ফোরাম, ইমেইল বা প্রকাশনার অ্যাকাউন্টেও ব্যবহার করেন। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম রাখলে প্রোফাইলগুলোর মধ্যে যোগসূত্র খুঁজে পাওয়া সহজ হয়। সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের নাম, অ্যাভাটার ও ব্যবহারকারীর নাম একসঙ্গে বিবেচনা করে হামলাকারীরা আরও বিশ্বাসযোগ্য ভুয়া বিজ্ঞপ্তি তৈরি করতে এবং পাসওয়ার্ড রিসেটের চেষ্টা চালাতে পারে।

ব্যক্তিগত বার্তা বা সামাজিক যোগাযোগমাধ্যমের কনটেন্টের প্রেক্ষাপটের কারণে যাঁরা জনসমক্ষে পরিচিত হওয়া এড়িয়ে চলেন, তাঁরাও ঝুঁকিতে আছেন। কোনো অ্যাকাউন্ট পুরোনো, নিষ্ক্রিয় বা পরিত্যক্ত হলেও আগে ব্যবহৃত ব্যবহারকারীর নাম ও ইমেইল ঠিকানা বিশ্লেষণ করে অন্য অ্যাকাউন্টের সঙ্গে যোগসূত্র খোঁজা যেতে পারে। কাজ, পরিবার, সম্প্রদায় বা গণমাধ্যমে পরিচিতির দিক থেকে সংবেদনশীল অবস্থানে থাকা ব্যক্তিদের শুধু পাসওয়ার্ডের নিরাপত্তা নয়, প্রোফাইলের মধ্যে মিল খুঁজে পাওয়া এবং ভুয়া যোগাযোগের ঝুঁকিও বিবেচনা করা উচিত।

এই ফাঁসে যেসব ব্যবহারকারীর ইমেইল ঠিকানা ছিল, তাঁদের নিশ্চিত করা উচিত যে Gab অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড দিয়ে অন্য কোনো অ্যাকাউন্টে লগইন করা যায় না। বিভিন্ন অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে সংশ্লিষ্ট সব অ্যাকাউন্টে দীর্ঘ, স্বতন্ত্র ও সহজে অনুমান করা যায় না এমন পাসওয়ার্ড দিতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে এই প্রক্রিয়া আরও নির্ভরযোগ্য হয়। পাসওয়ার্ড বদলানোর সময় শুধু শেষে একটি বছর, প্রতীক বা ছোট হাতের অক্ষর যোগ করাকে যথেষ্ট মনে করা উচিত নয়।

ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে দুই-উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। অ্যাকাউন্টের কার্যকলাপের ইতিহাসে অপরিচিত ডিভাইস, অপ্রত্যাশিত সেশন, পাসওয়ার্ড রিসেটের বিজ্ঞপ্তি বা সন্দেহজনক নিরাপত্তা বার্তা থাকলে সেশনগুলো বন্ধ করতে হবে এবং অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও ফোনের বিকল্পগুলো পর্যালোচনা করতে হবে। ব্যক্তিগত বার্তার বিষয়বস্তু বা প্রোফাইলের তথ্য নিয়ে ব্ল্যাকমেইল, হুমকি বা বিভ্রান্তিকর বার্তা পেলে কোনো লিংকে ক্লিক করার আগে ব্যবহারকারীদের স্বাধীনভাবে বার্তাটির সত্যতা যাচাই করা উচিত।

সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের দীর্ঘমেয়াদি নিরাপত্তা কৌশল শুধু পাসওয়ার্ড বদলানোর মধ্যে সীমাবদ্ধ থাকা উচিত নয়। বিভিন্ন প্ল্যাটফর্মে ব্যবহারকারীর নাম, প্রোফাইল ছবি ও ইমেইল ঠিকানা একই থাকলে অ্যাকাউন্টগুলোর মধ্যে সহজেই মিল খুঁজে পাওয়া যায়। গোপনীয়তা বজায় রাখতে চান এমন ব্যবহারকারীদের বিভিন্ন সেবায় আলাদা ইমেইল ঠিকানা ও আলাদা ধরনের ব্যবহারকারীর নাম বেছে নেওয়া উচিত। অব্যবহৃত অ্যাকাউন্ট বন্ধ করা উচিত। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোর প্রোফাইলে ব্যক্তিগত তথ্য যতটা সম্ভব কম রাখতে হবে এবং স্বতন্ত্র পাসওয়ার্ড ব্যবহার করতে হবে।

সেবাদাতার দিক থেকে একই ঘটনায় ব্যক্তিগত বার্তা, প্রোফাইলের তথ্য ও পাসওয়ার্ড হ্যাশ উন্মুক্ত হলে আরও সতর্কতার সঙ্গে ঘটনা মোকাবিলা করা উচিত। নিরাপদে পাসওয়ার্ড সংরক্ষণ, প্রবেশাধিকার নিয়ন্ত্রণ, ডেটা পৃথকীকরণ, নিয়মিত নিরাপত্তা পরীক্ষা এবং ব্যবহারকারীদের জানানোর প্রক্রিয়া মৌলিক প্রয়োজন। বিজ্ঞপ্তিতে বিস্তৃত আর্কাইভের পরিধি থেকে আলাদা করে ইমেইল/পাসওয়ার্ডযুক্ত যাচাইকৃত রেকর্ডের সংখ্যা ব্যাখ্যা করতে হবে। এই পার্থক্য ব্যবহারকারীদের আতঙ্কিত না হয়ে এবং ঝুঁকিকে ছোট করে না দেখে সঠিক সিদ্ধান্ত নিতে সাহায্য করে।

নিয়ম লঙ্ঘনসংক্রান্ত রেকর্ড যাচাইয়ের সময় ফলাফলে দেখানো হয়, দেওয়া ইমেইল ঠিকানাটি এই যাচাইকৃত ডেটাসেটে আছে কি না। মিল পাওয়া গেলে ইমেইল ঠিকানা, ব্যবহারকারীর নাম, নাম, অ্যাভাটার, পাসওয়ার্ড হ্যাশ এবং সীমিতসংখ্যক ব্যক্তিগত বার্তাসংক্রান্ত ঝুঁকি একসঙ্গে বিবেচনা করতে হবে। মিল না পাওয়ার অর্থ হলো, ইমেইলের ভিত্তিতে মিল খোঁজার এই নির্দিষ্ট সেটে কোনো রেকর্ড পাওয়া যায়নি; এতে প্রমাণ হয় না যে বিস্তৃত আর্কাইভে বা অন্য কোনো ঘটনায় ভিন্ন ব্যবহারকারীর নামে ওই ব্যক্তির তথ্য নেই।

সঠিক করণীয় হলো পুরোনো পাসওয়ার্ড পুরোপুরি বাদ দেওয়া, একাধিক জায়গায় ব্যবহৃত সব পাসওয়ার্ড বদলানো, ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে বহু-উপাদানভিত্তিক পরিচয় যাচাইয়ের সুরক্ষা চালু করা, প্রোফাইলগুলোর মধ্যে মিল খুঁজে পেতে সহায়ক হতে পারে এমন পুনর্ব্যবহৃত ব্যবহারকারীর নাম পর্যালোচনা করা এবং সন্দেহজনক বার্তা সম্পর্কে সতর্ক থাকা। সামাজিক যোগাযোগমাধ্যমের পরিচয়, ইমেইল ও পাসওয়ার্ডের তথ্য একসঙ্গে পাওয়া গেলে পুরোনো তথ্য ফাঁসও বর্তমান সময়ে ঝুঁকি তৈরি করতে পারে।