Gemplex: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ডিভাইসসংক্রান্ত তথ্য, ইমেইল ঠিকানা, নাম, ফোন নম্বর ও পাসওয়ার্ড। অন্য সেবায় ব্যবহারকারীকে খুঁজে বের করতে এবং বিভিন্ন ডেটাসেটে একই ব্যক্তির পরিচয় মেলাতে আক্রমণকারীর প্রধান সংযোগসূত্র হলো ইমেইল ঠিকানা। এর সঙ্গে নাম যুক্ত হলে বার্তাগুলো ব্যক্তিগতভাবে পাঠানো বলে মনে হয়। ফোন নম্বর থাকলে এসএমএস ও ফোনকলের মাধ্যমে প্রতারণার ঝুঁকি বাড়ে। ব্যবহারকারী যে ডিভাইস দিয়ে স্ট্রিমিং সেবাটি ব্যবহার করেন, সেই ডিভাইসের পরিবেশ সম্পর্কে ডিভাইসসংক্রান্ত তথ্য থেকে ধারণা পাওয়া যেতে পারে। ভুয়া সহায়তা, ডিভাইস যাচাই বা অ্যাকাউন্টের কার্যকলাপের বিজ্ঞপ্তির মতো বিষয়কে কেন্দ্র করে এই তথ্য কাজে লাগানো হতে পারে।

পাসওয়ার্ডের ঘরে থাকা মানগুলো bcrypt দিয়ে সুরক্ষিত হ্যাশ হিসেবে যাচাই করা হয়েছে। প্লেইন টেক্সটে পাসওয়ার্ড সংরক্ষণের তুলনায় এই পদ্ধতি আক্রমণ প্রতিরোধে বেশি সক্ষম; তবে দুর্বল, ছোট বা একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকে যায়। আক্রমণকারীরা ফাঁস হওয়া ইমেইল ও পাসওয়ার্ডের সমন্বয় অন্য সেবায় ব্যবহার করে দেখার চেষ্টা করতে পারে। নাম, ফোন নম্বর ও ডিভাইসসংক্রান্ত তথ্য যুক্ত বার্তা দেখে ব্যবহারকারীর মনে হতে পারে যে তিনি সত্যিই তাঁর Gemplex অ্যাকাউন্ট সম্পর্কে নিরাপত্তা সতর্কতা পেয়েছেন। তাই ঝুঁকি শুধু একটি অ্যাকাউন্টে সীমাবদ্ধ নয়; একই ইমেইল বা ফোন নম্বর দিয়ে খোলা অন্য অ্যাকাউন্টেও তা ছড়িয়ে পড়তে পারে।

তথ্যফাঁসের যাচাইকৃত তারিখ 2021 সালের 18 ফেব্রুয়ারি, আর নথিভুক্তকরণ ব্যবস্থায় অন্তর্ভুক্তির তারিখ হিসেবে 2023 সালের 9 ডিসেম্বর উল্লেখ করা হয়েছে। মোট প্রভাবিত অ্যাকাউন্টের সংখ্যা 45,63,166। তথ্যের বিভাগগুলো হলো ডিভাইসসংক্রান্ত তথ্য, ইমেইল ঠিকানা, নাম, ফোন নম্বর ও পাসওয়ার্ড হ্যাশ। কোনো ব্যবহারকারীকে খোঁজার ক্ষেত্রে রেকর্ডের সংখ্যা পৃথক অ্যাকাউন্টের ভিত্তিতে বিবেচনা করা উচিত। বিভিন্ন প্রসঙ্গে উল্লিখিত 46 লাখ সংখ্যাটি এই সংখ্যারই আনুমানিক, গোল করা রূপ। প্রত্যেক ব্যবহারকারীর ক্ষেত্রে একই পরিমাণ বিস্তারিত তথ্য আছে বলে ধরে নেওয়া উচিত নয়, কারণ কিছু তথ্যের ঘর শুধু নির্দিষ্ট কিছু অ্যাকাউন্টেই থাকতে পারে।

কোন বিষয়গুলো এই ঘটনার পরিসরের বাইরে, তা-ও স্পষ্ট রাখা উচিত। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্রের নম্বর, বাসা বা কার্যালয়ের ঠিকানা, ব্রাউজিংয়ের ইতিহাস, দেখা কনটেন্ট বা ব্যক্তিগত বার্তার বিষয়বস্তু এই ঘটনার যাচাইকৃত তথ্যের বিভাগ নয়। ঘটনার প্রযুক্তিগত কারণ সম্পর্কে প্রকাশ্যে পাওয়া নির্ভরযোগ্য বিস্তারিত তথ্য সীমিত। তাই এই ব্যাখ্যায় কারণ নিয়ে অনুমান না করে যাচাইকৃত তথ্যের বিভাগগুলোকেই গুরুত্ব দেওয়া হয়েছে। ব্যবহারকারীকে জানানো ঝুঁকি স্ট্রিমিং অ্যাকাউন্ট ও যোগাযোগের তথ্যফাঁসের মধ্যেই সীমিত রাখা উচিত; অর্থপ্রদান বা সরকারি পরিচয়পত্রসংক্রান্ত অপ্রমাণিত দাবি এতে অন্তর্ভুক্ত করা উচিত নয়।

যাঁরা Gemplex অ্যাকাউন্ট খুলেছেন, ভারতভিত্তিক এই অনলাইন স্ট্রিমিং সেবা ব্যবহার করেন বা একই ইমেইল ঠিকানা দিয়ে মিডিয়া সাবস্ক্রিপশনের জন্য নিবন্ধন করেন, তাঁরা প্রথম ঝুঁকিগোষ্ঠীতে পড়েন। যাঁরা অ্যাকাউন্টে ফোন নম্বর যুক্ত করেছেন, তাঁদের ক্ষেত্রে সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বেশি। একই পাসওয়ার্ড অন্য সেবায় ব্যবহার করলে ঝুঁকি আরও বাড়ে, কারণ আক্রমণকারীরা বিভিন্ন লগইন পাতায় ইমেইল ও পাসওয়ার্ডের সমন্বয় ব্যবহার করে দেখার চেষ্টা করতে পারে। যাঁরা তাঁদের পুরোনো অ্যাকাউন্ট আর ব্যবহার করেন না, তাঁদেরও ঝুঁকিমুক্ত ধরা যায় না, কারণ ইমেইল ও ফোন নম্বর দীর্ঘদিন সচল থাকতে পারে।

যাঁরা পরিবারের সদস্যদের সঙ্গে একই ডিভাইস ব্যবহার করেন, কর্মস্থলের ইমেইল দিয়ে মিডিয়া অ্যাকাউন্ট খোলেন বা ফোন নম্বরের মাধ্যমে সহায়তাসংক্রান্ত বার্তা পান, তাঁদের বিশেষভাবে সতর্ক থাকা উচিত। আক্রমণকারী সাবস্ক্রিপশন নবায়ন, ডিভাইস যাচাই, কনটেন্টে প্রবেশাধিকার, ছাড়, অ্যাকাউন্ট বন্ধ করা বা পাসওয়ার্ড রিসেটের বিষয় নিয়ে ব্যবহারকারীকে বার্তা পাঠাতে পারে। যেসব অ্যাকাউন্টের ডিভাইসসংক্রান্ত তথ্য রয়েছে, সেগুলোর ক্ষেত্রে বার্তা আরও বাস্তবসম্মত মনে হতে পারে। তাই শুধু পাসওয়ার্ডের নিরাপত্তা নয়, ফোন ও ইমেইলে পাওয়া অ্যাকাউন্টসংক্রান্ত বিজ্ঞপ্তির সত্যতাও যাচাই করা উচিত।

আপনি প্রভাবিত হয়েছেন বলে জানতে পারলে প্রথমে দেখুন, Gemplex-এ ব্যবহৃত পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করেছেন কি না। অন্য কোথাও একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করা উচিত। ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম ও অন্যান্য প্রকাশনা সেবাকে অগ্রাধিকার দেওয়া উচিত। Gemplex অ্যাকাউন্টে এখনও প্রবেশ করা গেলে সেশন, সংযুক্ত ডিভাইস, ফোন নম্বর ও ইমেইলসংক্রান্ত পছন্দের সেটিংস পর্যালোচনা করা উচিত। সেবাটিতে অতিরিক্ত যাচাইকরণ পদ্ধতি সমর্থিত থাকলে সেগুলো চালু করা উচিত।

Gemplex, সাবস্ক্রিপশন, অর্থপ্রদান, ডিভাইস যাচাই বা নিরাপত্তা সতর্কতা নিয়ে আসা লিংক সরাসরি খোলা উচিত নয়। সেবাটি ব্যবহার করতে হলে ব্রাউজারে নিজে ঠিকানা লিখে প্রবেশ করা উচিত, অথবা পরিচিত অফিসিয়াল অ্যাপ ব্যবহার করা উচিত। ফোনে পাসওয়ার্ড, অর্থপ্রদান বা যাচাইকরণ কোড চাওয়া হলে তা প্রত্যাখ্যান করা উচিত। সন্দেহজনক বার্তা পেলে লিংকে ক্লিক না করে অ্যাকাউন্টের লগইন ইতিহাস দেখা উচিত। একই ইমেইল ঠিকানার সঙ্গে যুক্ত অন্য সেবাগুলোতেও অস্বাভাবিক লগইনের সতর্কতা এসেছে কি না, তা যাচাই করা উচিত। তথ্য ছড়িয়ে পড়ার পরও এসব পদক্ষেপ অ্যাকাউন্ট দখলের ঝুঁকি কমায়।

দীর্ঘমেয়াদে প্রকাশনা, গেমিং, কেনাকাটা ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। পাসওয়ার্ড ম্যানেজার প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করা এবং পুরোনো পাসওয়ার্ড খুঁজে পাওয়া সহজ করে। যেসব অ্যাকাউন্টে ফোন নম্বর দেওয়া বাধ্যতামূলক নয়, সেখানে তা দেওয়া উচিত নয়। মিডিয়া ও বিনোদনের অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করাকে অগ্রাধিকার দেওয়া উচিত। নিয়মিত বিরতিতে অব্যবহৃত অ্যাকাউন্ট বন্ধ করা বা সেখানে ব্যক্তিগত তথ্যের পরিসর কমানো উচিত। এতে ভবিষ্যতের কোনো তথ্যফাঁসে প্রকাশ পেতে পারে এমন তথ্যের পরিমাণ আরও সীমিত থাকে।

ডিভাইসসংক্রান্ত তথ্য জড়িত এমন তথ্যফাঁসের ক্ষেত্রে নিরাপত্তাকে শুধু পাসওয়ার্ডের মধ্যে সীমাবদ্ধ ভাবা উচিত নয়। ব্যবহারকারীদের নিয়মিত অ্যাকাউন্টের সঙ্গে যুক্ত ডিভাইস এবং বিজ্ঞপ্তিসংক্রান্ত পছন্দের সেটিংস যাচাই করা উচিত। পুরোনো ফোন, একাধিক ব্যক্তির ব্যবহৃত ট্যাবলেট এবং সবার ব্যবহারের কম্পিউটারে খোলা থাকা সেশন বন্ধ করা উচিত। ফিশিংবিষয়ক প্রশিক্ষণে মিডিয়া সাবস্ক্রিপশন, কনটেন্টে প্রবেশাধিকার ও ডিভাইস যাচাইয়ের মতো বিষয়ও বিবেচনা করা উচিত। ব্যক্তিগত পর্যায়ে সন্দেহজনক এসএমএসের অভিযোগ জানানো, অপরিচিত ফোনকলে তথ্য না দেওয়া এবং অ্যাকাউন্টের সতর্কতা চালু রাখা দীর্ঘস্থায়ীভাবে ঝুঁকি কমায়।

প্রভাবিত ব্যক্তির সংখ্যা ও তথ্যের ধরন সম্পর্কে অযাচাইকৃত তথ্য এবং আক্রমণকারীদের অযাচাইকৃত দাবি এই ঘটনার প্রকাশ্য পরিসরের অংশ হিসেবে বিবেচিত হয় না। এই ফলাফলের অর্থ এই নয় যে আপনার পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, ব্রাউজিংয়ের ইতিহাস বা বাসা বা কার্যালয়ের ঠিকানার তথ্য ফাঁস হয়েছে। যাচাইকৃত তথ্যগুলো হলো ডিভাইসসংক্রান্ত তথ্য, ইমেইল ঠিকানা, নাম, ফোন নম্বর ও bcrypt দিয়ে সুরক্ষিত পাসওয়ার্ড হ্যাশ। প্রথমে যাচাই করতে হবে, Gemplex-এ ব্যবহৃত পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করা হয়েছে কি না।

আপনি একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার করে থাকলে সংশ্লিষ্ট অ্যাকাউন্টগুলোর পাসওয়ার্ড একে একে পরিবর্তন করুন এবং যেখানে সম্ভব অতিরিক্ত যাচাইকরণ চালু করুন। সাবস্ক্রিপশন, ডিভাইস যাচাই বা অ্যাকাউন্টের নিরাপত্তা নিয়ে আসা এসএমএসের বিষয়ে সতর্ক থাকুন, কারণ আপনার ফোন নম্বরও প্রভাবিত হয়ে থাকতে পারে। সন্দেহজনক লিংক খুলবেন না; পরিচিত ঠিকানা বা অফিসিয়াল অ্যাপ দিয়ে সেবাটিতে প্রবেশ করুন। একই ইমেইল ঠিকানা ব্যবহার করা অন্য মিডিয়া ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের লগইন কার্যকলাপ যাচাই করুন। এই ঘটনার ক্ষেত্রে সঠিক পন্থা হলো অযাচাইকৃত তথ্যের ধরন নিয়ে উদ্বেগ বাড়ানোর বদলে ইমেইল, ফোন, ডিভাইসসংক্রান্ত তথ্য ও পুরোনো পাসওয়ার্ড হ্যাশ থেকে তৈরি হওয়া অ্যাকাউন্টের নিরাপত্তার দীর্ঘমেয়াদি ঝুঁকি কমানো।