Grand Exchange Tracker তথ্য ফাঁস

Grand Exchange Tracker-এর রেকর্ড তৈরি করার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইন নাম, অনুরূপ ব্র্যান্ডের নাম, ঘটনার তারিখ ও রেকর্ডসংখ্যার সঙ্গে মিল আছে কি না তা যাচাই করা হয়েছিল। একই ঘটনার কোনো রেকর্ড না থাকায় এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। একই ধরনের নাম থাকলেও ডোমেইন বা ঘটনা ভিন্ন, এমন রেকর্ড এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

বিবেচ্য তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন বিবরণের সংখ্যায় পার্থক্য দেখা যেতে পারে। কাঁচা ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে সাজানো ডেটাসেটের পার্থক্য এর কারণ হতে পারে। এই পৃষ্ঠায় সর্বোচ্চ দেখা সংখ্যাটি নয়, বরং তথ্যের ধরনসহ ধারাবাহিকভাবে প্রমাণসমর্থিত 42,196 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে।

Grand Exchange Tracker হলো Old School RuneScape-এর অর্থনীতিতে ব্যবহৃত মূল্য ও বেচাকেনা পর্যবেক্ষণের একটি টুল। গেমের অর্থনীতি-সংক্রান্ত টুলে ব্যবহৃত অ্যাকাউন্টের তথ্যের সঙ্গে ব্যবহারকারীর নাম ও ফোনের তথ্য যুক্ত হলে গেমের অ্যাকাউন্ট এবং একই ইমেইল দিয়ে খোলা অন্যান্য কমিউনিটি অ্যাকাউন্ট, উভয়ই ঝুঁকিতে পড়ে।

এই ঘটনায় ইমেইল ঠিকানা, ব্যবহারকারীর নাম, ফোন নম্বর ও bcrypt পাসওয়ার্ড হ্যাশ অন্তর্ভুক্ত ছিল। bcrypt একটি শক্তিশালী সংরক্ষণপদ্ধতি হলেও একই পাসওয়ার্ড আবার ব্যবহার করাকে নিরাপদ ধরে নেওয়া যায় না; ব্যবহারকারীর নাম ও ফোনের তথ্য সামাজিক প্রকৌশলভিত্তিক প্রতারণাকে আরও কার্যকর করে তোলে।

Grand Exchange Tracker-এর ঘটনায় bcrypt পাসওয়ার্ড হ্যাশ পাওয়া গিয়েছিল বলে এর ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ড-সংক্রান্ত তথ্য আক্রমণকারীদের বিভিন্ন সম্ভাবনা পরীক্ষা করার সময় কমায়, একই পাসওয়ার্ড ব্যবহৃত অন্য সেবায় স্বয়ংক্রিয় লগইন চেষ্টাকে সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। তবে এর সঙ্গে ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পূর্ণ নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্য যুক্ত হলে তা আক্রমণের জন্য শক্তিশালী উপাদান হয়ে ওঠে। ব্যবহারকারী কাজ, কেনাকাটা, ফোরাম, গেমিং, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়িয়ে পড়তে পারে।

ঘটনাটি অতীতের হলেও নিরাপত্তার দৃষ্টিতে এর গুরুত্ব এখনও রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ পুরোনো পাসওয়ার্ডের ধরনে সামান্য পরিবর্তন করে তা আবার ব্যবহার করেন। তাই Grand Exchange Tracker-এর মতো পুরোনো তথ্য ফাঁসের ঘটনাও বহু বছর পরে পাসওয়ার্ড অনুমান, ফাঁস হওয়া লগইন তথ্য দিয়ে অন্য সেবায় প্রবেশের চেষ্টা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের কাজে ব্যবহার করা হতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো Grand Exchange Tracker বা ge-tracker.com-এ আগে কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। একই ধরনের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পাসওয়ার্ড বদলানো যথেষ্ট নয়; পুনর্ব্যবহৃত সব পাসওয়ার্ডের বদলে স্বতন্ত্র ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডগুলো বদলে ফেলা উচিত।

বিশেষ করে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট ও অ্যাডমিন প্যানেলে দুই-উপাদানভিত্তিক প্রমাণীকরণকে অগ্রাধিকার দেওয়া হয়। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আক্রমণ প্রতিরোধে বেশি সক্ষম সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি Grand Exchange Tracker অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারেন।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, খাত-সংক্রান্ত তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের উচিত আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লেখা, যাচাই ছাড়া সংযুক্ত ফাইল না খোলা এবং তাড়াহুড়ো করে পদক্ষেপ নেওয়ার চাপ সৃষ্টি করে এমন বার্তার বিষয়ে সতর্ক থাকা।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত অ্যাকাউন্টে কাজের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের সিস্টেমেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা হতে পারে। তাই ডোমেইনভিত্তিক নিরাপত্তা পরীক্ষা, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইট মালিকদের জন্য প্রধান শিক্ষা হলো নিরাপদে পাসওয়ার্ড সংরক্ষণ এবং তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা। প্লেইন টেক্সট বা দ্রুত ভাঙা যায় এমন হ্যাশ ফরম্যাট সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ ফরম্যাট ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষার পরিবেশ, এক্সপোর্ট করা ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা বিস্তৃত অনুমতিসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তা ঘটনা মোকাবিলার পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট করা, লগ পর্যালোচনা এবং সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড সংরক্ষণ করা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, এসব আগে থেকেই নির্ধারণ করে রাখা উচিত।

GE-Tracker বর্তমানে সক্রিয় এবং www ডোমেইনে পুনর্নির্দেশিত হয় বলে ওয়েবসাইটের ডোমেইন প্রোটোকল ছাড়া `www.ge-tracker.com` হিসেবে রাখা হয়েছে। একই রেকর্ড একাধিকবার থাকা ঠেকাতে ডোমেইন অংশটি মূল ডোমেইন হিসেবে রাখা হয়েছে।

গেমের অর্থনীতি-সংক্রান্ত টুল কখনো কখনো এমন ইন-গেম সম্পদের সঙ্গে যুক্ত থাকতে পারে, যার বাস্তব আর্থিক মূল্য রয়েছে। তাই আক্রমণকারীরা শুধু ফোরাম নয়, গেমের অ্যাকাউন্ট বা সংযুক্ত ইমেইল অ্যাকাউন্টকেও লক্ষ্য করার চেষ্টা করতে পারেন।

ফোন নম্বর পাওয়া গেলে অ্যাকাউন্ট পুনরুদ্ধার, ভুয়া সহায়তা বা নিরাপত্তা যাচাইয়ের নামে পাঠানো বার্তা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। ব্যবহারকারীদের উচিত কারও সঙ্গে যাচাইকরণ কোড শেয়ার না করা।

এই রেকর্ডে IP ঠিকানা বা আর্থিক লেনদেনের তথ্য যোগ করা হয়নি, কারণ সেগুলোর পক্ষে প্রমাণ নেই। শুধু সরাসরি তালিকাভুক্ত ইমেইল, ফোন, ব্যবহারকারীর নাম ও পাসওয়ার্ডের ক্ষেত্রগুলো রাখা হয়েছে।

নিবন্ধন পৃষ্ঠায় সামঞ্জস্যপূর্ণভাবে দেখানোর জন্য Grand Exchange Tracker-এর লোগোর ছবি মিলিয়ে নেওয়া হয়েছে।

এই রেকর্ডে যাচাই না করা তথ্যের ধরনগুলো সচেতনভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থা অর্জনে বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর লক্ষ্য ভয় দেখানো নয়, বরং সঠিক পরিধি ও প্রযোজ্য নিরাপত্তাব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

Grand Exchange Tracker-এর তথ্য ফাঁস, ge-tracker.com-এর ডেটা ফাঁস, Grand Exchange Tracker-এর পাসওয়ার্ড ফাঁস এবং Grand Exchange Tracker-এর ব্যবহারকারীর তথ্য, এ ধরনের বিভিন্ন নামে সরল ও বাস্তবে কাজে লাগানো যায় এমন তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি প্রস্তুত করা হয়েছে। লেখায় যাচাইকৃত বিষয় ও বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখলে ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলো আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ডের পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমানযোগ্য বাড়তি অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট কোনো সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই সেটি নিরাপদ হয় না; আক্রমণকারীদের টুল দ্রুত এসব ধরন পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহৃত সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যায় এমন ইমেইল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। প্রোফাইলের অপ্রয়োজনীয় তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণনীতি অনুযায়ী নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যের ক্ষেত্রে প্রবেশাধিকার সীমিত রাখা উচিত এবং তথ্য এক্সপোর্টের কার্যক্রম অতিরিক্তভাবে পর্যবেক্ষণ করা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্টগুলো নিরাপদ ও সুশৃঙ্খল রাখার কাজ সম্পন্ন করা প্রয়োজন। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে তথ্যের বিভিন্ন শ্রেণির সম্ভাব্য ভূমিকা এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনা করে এই পৃষ্ঠার ঝুঁকির মাত্রা সংকটজনক নির্ধারণ করা হয়েছে। সংকটজনক মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; এটি বোঝায় যে ব্যবহারকারীর দ্রুত পদক্ষেপ নেওয়া প্রয়োজন।

সব মিলিয়ে, Grand Exchange Tracker-এর এই রেকর্ডটি 2017 সালের মে মাসে ঘটে যাওয়া একটি স্বতন্ত্র তথ্য ফাঁসের রেকর্ড, যা 42,196টি অ্যাকাউন্টকে প্রভাবিত করেছে এবং এতে ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশের মতো ক্ষেত্র রয়েছে। ব্যবহারকারীদের স্বতন্ত্র পাসওয়ার্ড ব্যবহার, দুই-ধাপের যাচাইকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণের পরামর্শ দেওয়া হচ্ছে।

Grand Exchange Tracker-এর রেকর্ডে সংখ্যা, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচলিত অস্পষ্ট তালিকা-আইটেমগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারীর সামনে থাকা রেকর্ডটি যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমাবদ্ধ।

তথ্যের শ্রেণিগুলো সহজ ও স্পষ্ট রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণ ছাড়া কোনো ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ ছাড়া অন্য দাবিগুলো এই রেকর্ডের প্রমাণিত তথ্যক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

ge-tracker.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা আপনার মনে না-ও থাকতে পারে। ভুলে যাওয়া অ্যাকাউন্টের পাসওয়ার্ড বদলানো সম্ভব না হলে, একই পাসওয়ার্ড ব্যবহৃত অন্য সেবা খুঁজে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে মিলিয়ে নিলে আক্রমণকারীদের জন্য একজন ব্যক্তির আগ্রহ, দেশ, পেশাগত খাত বা অতীতের সদস্যপদের ধরন অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁসের ঘটনা ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কাজের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয়ের দৃশ্যমানতা পরিমাপের জন্য সতর্কসংকেত দেয়।

আপনি এই রেকর্ডে নিজের ইমেইল দেখতে পেলে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও একটি ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত স্বতন্ত্র পাসওয়ার্ড দেওয়া, প্রোফাইলের তথ্য ন্যূনতম রাখা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।