HackBase তথ্য উন্মুক্ত হওয়ার অভিযোগ

যেসব তথ্যক্ষেত্রের পক্ষে সমর্থন রয়েছে, সেগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড এবং পাসওয়ার্ড হ্যাশের ধরন। পাসওয়ার্ড হ্যাশ আকারে রাখা হলে তা সাধারণ পাঠ্য আকারে রাখার মতো সরাসরি ঝুঁকি তৈরি করে না। তবে পাসওয়ার্ড দুর্বল হলে, পুরোনো অ্যালগরিদম ব্যবহার করা হলে বা সল্টিং না থাকলে আক্রমণকারীরা অফলাইনে চেষ্টা চালিয়ে এসব হ্যাশ ভাঙতে পারে। হ্যাকিং ও নিরাপত্তাবিষয়ক ফোরামের প্রেক্ষাপট ঝুঁকি বাড়ায়, কারণ এ ধরনের কমিউনিটিতে ব্যবহৃত ইমেইল ঠিকানা প্রযুক্তিগত টুল, ফোরাম প্রোফাইল, ছদ্মনাম ও অন্যান্য নিরাপত্তা প্ল্যাটফর্মের সঙ্গে যুক্ত থাকতে পারে। ব্যবহারকারীর নাম ও ইমেইল ঠিকানা একসঙ্গে ফাঁস হলে তা বিভিন্ন ফোরামে একই ব্যক্তির চিহ্ন মেলানো এবং লক্ষ্যভিত্তিক সামাজিক প্রকৌশলের চেষ্টার জন্য মূল্যবান তথ্যসমষ্টি হয়ে ওঠে।

এই ঘটনার মূল পরিধিতে ফোন নম্বর, প্রকৃত নাম, অর্থপ্রদানের তথ্য, বাসার ঠিকানা বা পরিচয়পত্রের মতো অতিরিক্ত ব্যক্তিগত তথ্যের পক্ষে সমর্থন পাওয়া যায়নি। দ্বিতীয় তালিকায় IP ঠিকানা ও ফোরামের তথ্য দেখা যাওয়ায় সেগুলো অভ্যন্তরীণ পর্যালোচনার নোটে রাখা হয়েছে, তবে প্রকাশ্য মূল তথ্যক্ষেত্রে যোগ করা হয়নি। ব্যবহারকারীকে বিভ্রান্ত না করার জন্য এই পার্থক্যটি গুরুত্বপূর্ণ। তবে ইমেইল, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশ একসঙ্গে থাকায় অ্যাকাউন্ট দখলের ঝুঁকি বজায় থাকে, যদি পুরোনো প্রযুক্তিবিষয়ক ফোরাম, ডেভেলপার টুল, গেমিং কমিউনিটি, ইমেইল অ্যাকাউন্ট বা ব্যবসায়িক সেবায় একই পাসওয়ার্ড পুনরায় ব্যবহার করা হয়।

মূল পরিধি হলো 10,625টি অ্যাকাউন্ট। ঘটনাটি 2011 সালের অক্টোবরে ঘটেছে বলে ধরা হয়, আর সূচিতে যোগ করার তারিখ 25 জুলাই 2022। পরিধি মূল্যায়নের সময় ডোমেইনের নাম, ফোরাম ID, রেকর্ডের সংখ্যা, হ্যাশের ধরনের তথ্য, ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও হ্যাশ করা পাসওয়ার্ডের তথ্যক্ষেত্রগুলো পরস্পরের সঙ্গে সামঞ্জস্যপূর্ণ ছিল। তাই বিদ্যমান রেকর্ডটি এই কাঠামোর মধ্যেই রাখা হয়েছে। একই ডোমেইনের জন্য বেশি সংখ্যার উল্লেখ করা দ্বিতীয় সূচিটি মূল সংখ্যার পরিবর্তে ব্যবহার করা হয়নি, কারণ সেখানে তারিখের তথ্য নেই এবং তথ্যক্ষেত্রেও পার্থক্য রয়েছে। একই তথ্যের ভিন্নভাবে পরিশোধিত অনুলিপি, একই সারির একাধিক উপস্থিতি, ভিন্ন আমদানি-পদ্ধতি বা আরও বড় ফোরাম আর্কাইভের কারণে এই পার্থক্য হয়ে থাকতে পারে।

ঘটনাটির পক্ষে যাচাইকৃত করপোরেট প্রতিবেদনের সমর্থন নেই, তাই একে কোম্পানির চূড়ান্ত নিশ্চিতকরণ হিসেবে উপস্থাপন করা উচিত নয়। ডোমেইনটি বর্তমানে অন্য ঠিকানায় পাঠিয়ে দেয়, এই তথ্য একাই 2011 সালের ফোরামের বিষয়বস্তু বা তথ্যসমষ্টির উৎস প্রমাণ করে না। তাই বিবরণটি সমর্থন পাওয়া তারিখ, রেকর্ডের সংখ্যা ও তথ্যক্ষেত্রের মধ্যেই সীমিত রাখা হয়েছে। আনুষ্ঠানিক নিশ্চিতকরণ বা স্বাধীন সংবাদ প্রতিবেদন ছাড়া আরও বিস্তৃত দাবিকে ব্যবহারকারীর কাছে চূড়ান্ত তথ্য হিসেবে উপস্থাপন করা হয়নি। এই পদ্ধতি ভুলভাবে মিল শনাক্ত হওয়ার ঝুঁকি কমায় এবং যেসব ব্যবহারকারী সত্যিই মিল পান, তাঁদের সঠিক অগ্রাধিকার অনুযায়ী ব্যবস্থা নিতে সাহায্য করে।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা HackBase অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য ফোরাম, ইমেইল অ্যাকাউন্ট, ডেভেলপার সেবা, নিরাপত্তা টুল, গেমিং প্ল্যাটফর্ম বা কর্মক্ষেত্রের সেশনে আবার ব্যবহার করেন। ব্যবহারকারীর নাম ও ইমেইল ঠিকানা একসঙ্গে পাওয়া গেলে আক্রমণকারীরা বিভিন্ন সাইটে একই ছদ্মনামের চিহ্ন খুঁজতে পারে। তাই প্রযুক্তিবিষয়ক কমিউনিটির সদস্য, প্রশাসক, ডেভেলপার, নিরাপত্তায় আগ্রহী ব্যক্তি এবং ফোরামের সাবেক সদস্যরা আরও লক্ষ্যভিত্তিক বার্তার মুখে পড়তে পারেন। পুরোনো কোনো ফোরামের পাসওয়ার্ড আজ গুরুত্বহীন মনে হলেও, সেটি অন্য কোথাও ব্যবহার করা থাকলে ঝুঁকি থেকে যায়।

হ্যাশের তথ্য আক্রমণকারীকে অফলাইনে চেষ্টা করার সুযোগ দেয়। দুর্বল, ছোট, অভিধানের শব্দনির্ভর বা পুরোনো ব্যক্তিগত তথ্য থেকে তৈরি পাসওয়ার্ড দ্রুত ভাঙা যেতে পারে। যাঁরা বহু বছর একই ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের ঝুঁকি বেশি, কারণ পুরোনো অ্যাকাউন্টের রেকর্ড নতুন সেবার সঙ্গে যুক্ত করা যেতে পারে। সুনাম, ছদ্মনামের সঙ্গে সংশ্লিষ্টতা এবং আগের ফোরাম কার্যক্রমের সূত্র ধরে হ্যাকিং ফোরামের প্রেক্ষাপটকে সামাজিক চাপ সৃষ্টি বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের কাজেও ব্যবহার করা যেতে পারে। তাই শুধু ফাঁস হওয়া ফোরাম অ্যাকাউন্ট নয়, পরিচয়ের একই চিহ্নের সঙ্গে যুক্ত সব গুরুত্বপূর্ণ অ্যাকাউন্ট পর্যালোচনা করা উচিত।

প্রথম অগ্রাধিকার হলো যেসব অ্যাকাউন্টে HackBase-এর একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়েছে, সেগুলোর পাসওয়ার্ড বদলানো। ইমেইল অ্যাকাউন্টটি আগে সুরক্ষিত করা উচিত, কারণ আক্রমণকারী ইমেইল ইনবক্সে প্রবেশ করতে পারলে অন্য সেবার পাসওয়ার্ড রিসেট করার প্রক্রিয়া ব্যবহার করতে পারে। এরপর ডেভেলপার অ্যাকাউন্ট, ডোমেইন ব্যবস্থাপনা, ক্লাউড সেবা, ফোরাম অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল এবং অর্থসংক্রান্ত সেশনগুলো নিরীক্ষা করা উচিত। প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও এলোমেলো পাসওয়ার্ড বেছে নেওয়া উচিত। পাসওয়ার্ড ম্যানেজারে একই পাসওয়ার্ড পুনরায় ব্যবহৃত হয়েছে এমন জায়গাগুলো থাকা উচিত।

বিশেষ করে ইমেইল, কাজের অ্যাকাউন্ট, ডেভেলপার সেবা ও ক্লাউড সেশনে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। অ্যাপভিত্তিক কোড, হার্ডওয়্যার কী বা পাসকি SMS কোডের চেয়ে শক্তিশালী সুরক্ষা দেয়। অচেনা ডিভাইসের সতর্কবার্তা, ব্যর্থ লগইনের বিজ্ঞপ্তি, অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা এবং ফোরাম ID-সংশ্লিষ্ট সন্দেহজনক ইমেইল সতর্কভাবে পরীক্ষা করা উচিত। HackBase বা নিরাপত্তাবিষয়ক ফোরামকে কেন্দ্র করে পাঠানো লিংক, ফাইল ডাউনলোডের আহ্বান এবং ভুয়া অ্যাকাউন্ট যাচাইয়ের অনুরোধযুক্ত বার্তা সম্পর্কে সতর্ক থাকুন।

এই ঘটনা দেখায় যে পরিচয়ের নিরাপত্তার জন্য পুরোনো ফোরামের তথ্য ফাঁস বহু বছর পরও গুরুত্বপূর্ণ থাকে। স্থায়ী সুরক্ষার জন্য প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহারকে সাধারণ নিয়ম হিসেবে নেওয়া উচিত। দীর্ঘ ও এলোমেলো পাসওয়ার্ড তৈরি এবং পুরোনো পুনরাবৃত্ত পাসওয়ার্ড খুঁজে বের করতে নিয়মিত পাসওয়ার্ড ম্যানেজার ব্যবহার করা উচিত। নিরাপত্তা, হ্যাকিং, গেমিং, সফটওয়্যার ও কমিউনিটি ফোরামে খোলা পুরোনো অ্যাকাউন্টগুলো বছরে অন্তত কয়েকবার পর্যালোচনা করা উচিত। অব্যবহৃত অ্যাকাউন্ট বন্ধ করা উচিত, অথবা শক্তিশালী ও আলাদা পাসওয়ার্ড দিয়ে সেগুলোকে অন্য অ্যাকাউন্ট থেকে পৃথক রাখা উচিত।

প্রযুক্তিবিষয়ক পরিচিতি রয়েছে এমন ব্যবহারকারীদের জন্য ছদ্মনাম ও ইমেইল ব্যবহারে পৃথকতা বজায় রাখাও গুরুত্বপূর্ণ। কাজ, ব্যক্তিগত ফোরাম, নিরাপত্তা গবেষণা ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ছদ্মনাম ব্যবহার করলে পরিচয় শনাক্ত করে একটির সঙ্গে অন্যটি যুক্ত করার ঝুঁকি বাড়ে। গুরুত্বপূর্ণ অ্যাকাউন্টগুলোতে সেশনের সতর্কবার্তা, ডিভাইস নিয়ন্ত্রণ ও পাসকি সমর্থন সক্রিয় রাখা উচিত। কর্মীরা যেন কাজের অ্যাকাউন্টে পুরোনো ফোরামের পাসওয়ার্ড পুনরায় ব্যবহার না করেন, সে জন্য করপোরেট পরিবেশে পাসওয়ার্ড নিরীক্ষা, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং নিরাপত্তা সচেতনতার প্রশিক্ষণ চালু করা উচিত। পুরোনো হ্যাশের তথ্য আক্রমণের নতুন টুল দিয়ে আবার ভাঙার চেষ্টা করা যায় বলে সময়ের সঙ্গে ঝুঁকি পুরোপুরি দূর হয় না।

LeakData-তে HackBase-এর ফলাফল দেখলে ব্যবহারকারীদের সেটিকে উন্মুক্ত তথ্য ফাঁসের তালিকায় থাকা একটি অযাচাইকৃত ঝুঁকির সংকেত হিসেবে বিবেচনা করা উচিত, কোম্পানির যাচাই করা আনুষ্ঠানিক বিজ্ঞপ্তি হিসেবে নয়। প্রদর্শিত মূল পরিধি 10,625টি অ্যাকাউন্ট; তথ্যক্ষেত্রগুলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড ও পাসওয়ার্ড হ্যাশের ধরনের মধ্যে সীমিত। বড় তালিকাটিতে IP ঠিকানা ও ফোরামের তথ্য থাকলেও মূল পরিধিতে সেগুলো চূড়ান্তভাবে প্রতিষ্ঠিত হয়নি বলে প্রকাশ্য তথ্যক্ষেত্রে যোগ করা হয়নি। পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করা হয়েছে এমন অ্যাকাউন্ট শনাক্ত করতেই বিশেষভাবে এই ফলাফল ব্যবহার করা উচিত।

মিল পাওয়া ব্যবহারকারীকে প্রথমে ইমেইল অ্যাকাউন্টটি, এরপর একই বা কাছাকাছি পাসওয়ার্ড ব্যবহৃত সব প্রযুক্তিসংক্রান্ত ও ব্যক্তিগত অ্যাকাউন্ট নতুন করে সুরক্ষিত করতে হবে। পাসওয়ার্ড ম্যানেজারে একই পাসওয়ার্ড কোথায় কোথায় ব্যবহার করা হয়েছে তা খুঁজে দেখা উচিত এবং পুরোনো ফোরামের পাসওয়ার্ডগুলো একে একে আলাদা করা উচিত। অ্যাকাউন্টের কার্যক্রম, লগইনের ইতিহাস ও সংযুক্ত ডিভাইস পরীক্ষা করা উচিত; অচেনা সেশন বন্ধ করা উচিত। হ্যাকিং ফোরাম, নিরাপত্তা টুল, ফাইল শেয়ারিং বা অ্যাকাউন্ট যাচাইকে কেন্দ্র করে আসা অপ্রত্যাশিত বার্তা বিশ্বাস করা উচিত নয়। লিংক ব্যবহার না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে লিখে যাচাই করাকে অগ্রাধিকার দেওয়া উচিত।