HeatGames: তথ্য ফাঁস

এই রেকর্ডে ইমেইল ঠিকানা, IP ঠিকানা, দেশ বা ভৌগোলিক অবস্থানের তথ্য এবং পাসওয়ার্ড হ্যাশ একসঙ্গে রয়েছে। অ্যাকাউন্ট দখলের চেষ্টার ক্ষেত্রে ইমেইল ঠিকানা ও পাসওয়ার্ড হ্যাশই প্রধান ঝুঁকির উৎস। বর্তমান পাসওয়ার্ড সংরক্ষণের মানদণ্ড অনুযায়ী সল্টযুক্ত MD5 দুর্বল বলে বিবেচিত হয়। তাই ছোট, অভিধানের শব্দভিত্তিক বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে অফলাইনে পাসওয়ার্ড অনুমান করার চেষ্টা বেশি কার্যকর হতে পারে। IP ঠিকানা ও দেশের তথ্য দিয়ে খেলোয়াড় কোন অঞ্চলের, সে সম্পর্কেও ধারণা তৈরি করা সম্ভব।

গেমিং কমিউনিটিতে একই ইমেইল ও পাসওয়ার্ডের জোড়া ফোরাম, গেম ক্লায়েন্ট, মার্কেটপ্লেস, চ্যাট অ্যাপ বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের মতো অনেক সেবায় ব্যবহার করা হতে পারে। তাই HeatGames অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করা হলে ঝুঁকি শুধু একটি গেমিং সাইটে সীমাবদ্ধ থাকে না। আক্রমণকারীরা গেম অ্যাকাউন্ট পুনরুদ্ধার, বিনা মূল্যে আইটেম, টুর্নামেন্টের আমন্ত্রণ, ব্যক্তিগত সার্ভার, চিট টুল, বেটা সংস্করণে প্রবেশাধিকার বা অ্যাকাউন্ট যাচাইয়ের অজুহাতে ভুয়া বার্তা পাঠাতে পারে। IP ও দেশের তথ্য ব্যবহার করে এসব বার্তাকে নির্দিষ্ট অঞ্চল বা গেমিং কমিউনিটির উপযোগী বলে মনে করানো সম্ভব।

যাচাইকৃত স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা 6,47,896, এবং ঘটনাটি 2021 সালের 12 জুনের। বড় ডেটাসেটে HeatGames-সংক্রান্ত সারির সংখ্যা ভিন্ন দেখা যেতে পারে; তবে এই পার্থক্যের অর্থ এই নয় যে স্বতন্ত্র ব্যবহারকারীর সংখ্যা বেশি। তথ্যের শ্রেণিগুলো হলো ইমেইল ঠিকানা, ভৌগোলিক অবস্থান, IP ঠিকানা ও পাসওয়ার্ড। পাসওয়ার্ডগুলোকে সল্টযুক্ত MD5 বা vBulletin ফরম্যাটের হ্যাশ হিসেবে বিবেচনা করতে হবে, সাধারণ পাঠ্য হিসেবে নয়।

যেসব তথ্য যাচাই করা হয়নি, সেগুলোকে এই রেকর্ডের পরিধি থেকে স্পষ্টভাবে বাদ দিতে হবে। ব্যবহারকারীর নাম, ফোন নম্বর, বাসস্থান বা প্রতিষ্ঠানের ঠিকানা, পেমেন্ট কার্ড, কেনাকাটার ইতিহাস, ব্যক্তিগত বার্তা, ডিভাইস ID বা সরকারি পরিচয়পত্র এই তথ্যের শ্রেণিগুলোর অন্তর্ভুক্ত নয়। ভৌগোলিক অবস্থানের ঘরটি পূর্ণ ঠিকানা বোঝায় না; এটিকে মূলত দেশ বা অনুরূপ আঞ্চলিক তথ্য হিসেবে ব্যাখ্যা করা উচিত। বর্ণনায় রেকর্ডের সারির সংখ্যাকে স্বতন্ত্র ইমেইল ঠিকানার সংখ্যার সঙ্গে গুলিয়ে ফেলা উচিত নয়। দুর্বল পাসওয়ার্ড হ্যাশের ঝুঁকিও স্পষ্টভাবে ব্যাখ্যা করা উচিত, তবে অতিরঞ্জিত করে নয়।

যাঁরা HeatGames অ্যাকাউন্টে ব্যবহৃত ইমেইল ও পাসওয়ার্ড অন্য গেম, ফোরাম, সামাজিক যোগাযোগমাধ্যম বা ইমেইল অ্যাকাউন্টেও ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। বিভিন্ন সেবায় একই পাসওয়ার্ড ব্যবহার করা হলে আক্রমণকারীরা স্বয়ংক্রিয়ভাবে লগইন করার চেষ্টায় এই তথ্য কাজে লাগাতে পারে। গেমিং কমিউনিটির ব্যবহারকারীরা প্রায়ই দীর্ঘদিন একই ডাকনাম ও ইমেইল ঠিকানা ব্যবহার করেন। তাই পুরোনো ফাঁস হওয়া তথ্যও বর্তমান অ্যাকাউন্টে প্রবেশের জন্য ব্যবহার করা যেতে পারে।

যেসব ব্যবহারকারীর IP ঠিকানা ও দেশের তথ্য রয়েছে, তাঁদের নির্দিষ্ট অঞ্চলভিত্তিক ভুয়া গেম প্রচার বা কমিউনিটির আমন্ত্রণ দিয়ে লক্ষ্যবস্তু করা হতে পারে। চিট টুল, গেমের ভেতরে বিনা মূল্যে মুদ্রা, বিশেষ আইটেম, সার্ভারে প্রবেশাধিকার বা অ্যাকাউন্টের নিরাপত্তা পরীক্ষার প্রস্তাব বলে মনে হয়, এমন বার্তা বিশেষভাবে ঝুঁকিপূর্ণ। এই রেকর্ডগুলোতে পেমেন্টের তথ্য বা বাসস্থান বা প্রতিষ্ঠানের ঠিকানা নেই, তাই আর্থিক তথ্য ফাঁস এখানে প্রধান ঝুঁকি নয়। মূল ঝুঁকি হলো একই পাসওয়ার্ড পুনর্ব্যবহারের কারণে অ্যাকাউন্ট দখল, গেমের ভেতরের সম্পদ হারানো, সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের সঙ্গে পরিচয় মিলিয়ে ফেলা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং।

যেসব ব্যবহারকারীর ইমেইল ঠিকানা এই রেকর্ডে রয়েছে, তাঁদের HeatGames-এ ব্যবহৃত পাসওয়ার্ডকে আর নিরাপদ মনে করা উচিত নয়। অন্য অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে প্রতিটির জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড দিতে হবে। ইমেইল অ্যাকাউন্ট, গেমিং প্ল্যাটফর্ম, গেমের মার্কেটপ্লেস, ফোরাম, চ্যাট অ্যাপ ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত। গুরুত্বপূর্ণ অ্যাকাউন্টে দুই-ধাপের প্রমাণীকরণ চালু করা উচিত এবং সম্ভব হলে অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার কীকে অগ্রাধিকার দেওয়া উচিত।

বিনা মূল্যে আইটেম, ব্যক্তিগত সার্ভার, বেটা সংস্করণে প্রবেশাধিকার, অ্যাকাউন্ট যাচাই, টুর্নামেন্টের আমন্ত্রণ বা নিরাপত্তা সতর্কবার্তা বলে মনে হয়, এমন বার্তার লিংক এড়িয়ে চলা উচিত। পরিচিত ডোমেইন নাম বা অফিসিয়াল অ্যাপ ব্যবহার করে অ্যাকাউন্টে প্রবেশ করা উচিত। অজানা গেম টুল, চিট ফাইল বা মড প্যাক ডাউনলোড করা উচিত নয়। ইমেইল অ্যাকাউন্টে অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা, নতুন ডিভাইসের সতর্কতা বা অপরিচিত সেশন দেখা গেলে সেশনগুলো বন্ধ করে অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো যাচাই করা উচিত।

দীর্ঘমেয়াদে আলাদা পাসওয়ার্ড, পৃথক ইমেইল অ্যালিয়াস এবং দুই-ধাপের প্রমাণীকরণ গেমিং অ্যাকাউন্টের জন্য মৌলিক সুরক্ষা দেয়। পুরোনো গেমিং সাইটে তৈরি অ্যাকাউন্টের কথা ভুলে গেলেও সেখানে ব্যবহৃত একই পাসওয়ার্ড বহু বছর পর অন্য অ্যাকাউন্টকে ঝুঁকিতে ফেলতে পারে। ব্যবহারকারীদের নিয়মিত পুরোনো গেমিং, ফোরাম ও কমিউনিটির অ্যাকাউন্ট পর্যালোচনা করা, অব্যবহৃত অ্যাকাউন্ট বন্ধ করা এবং একই ব্যবহারকারীর নাম দিয়ে বিভিন্ন প্ল্যাটফর্মের অ্যাকাউন্টগুলোকে সহজে একে অপরের সঙ্গে মিলিয়ে ফেলার সুযোগ কমানো উচিত।

সেবাদাতাদের জন্য এই ঘটনা পুরোনো গেমিং সাইটের দুর্বল পাসওয়ার্ড হ্যাশের দীর্ঘমেয়াদি ঝুঁকি তুলে ধরে। সল্টযুক্ত MD5-এর মতো পুরোনো পদ্ধতি আধুনিক পাসওয়ার্ড সংরক্ষণের প্রয়োজনীয়তা পূরণ করে না। গেমিং কমিউনিটির অ্যাকাউন্টের সঙ্গে আর্থিক মূল্য আছে এমন গেমের সম্পদ যুক্ত থাকতে পারে। তাই শক্তিশালী পাসওয়ার্ড হ্যাশিং, সেশন পর্যবেক্ষণ, দুই-ধাপের প্রমাণীকরণ, তথ্য ফাঁসের পর পাসওয়ার্ড রিসেট এবং পুরোনো তথ্য নিরাপদে মুছে ফেলা গুরুত্বপূর্ণ। নিষ্ক্রিয় সাইটের পুরোনো ডেটাবেসও অরক্ষিত ফেলে রাখা উচিত নয়।

আপনার ইমেইল ঠিকানা এই রেকর্ডে থাকলে প্রথমে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট শনাক্ত করুন। আপনার ইমেইল অ্যাকাউন্ট ও প্রধান গেম অ্যাকাউন্টগুলোকে অগ্রাধিকার দিন। এরপর গেমিং কমিউনিটি থেকে আসা বিনা মূল্যে আইটেম, অ্যাকাউন্ট যাচাই, চিট টুল, ব্যক্তিগত সার্ভার বা টুর্নামেন্ট-সংক্রান্ত বার্তা সতর্কভাবে যাচাই করুন। কোনো বার্তায় আপনার দেশ বা পুরোনো গেম অ্যাকাউন্টের তথ্য সঠিকভাবে উল্লেখ করা থাকলেই সেটি বিশ্বাসযোগ্য হয়ে যায় না।

HeatGames-এর তথ্য ফাঁসের প্রধান ঝুঁকি হলো IP ও অবস্থানের তথ্যের সঙ্গে ইমেইল এবং দুর্বল পাসওয়ার্ড হ্যাশ ছড়িয়ে পড়া। সঠিক করণীয় হলো একই পাসওয়ার্ড পুনর্ব্যবহার বন্ধ করা, দুই-ধাপের প্রমাণীকরণ চালু করা, গেম অ্যাকাউন্টের সাম্প্রতিক লগইনগুলো যাচাই করা এবং ভুয়া গেমের লিংক এড়িয়ে চলা। এই রেকর্ডকে পেমেন্ট কার্ড বা বাসস্থান বা প্রতিষ্ঠানের ঠিকানা ফাঁসের ঘটনা হিসেবে ব্যাখ্যা করা উচিত নয়। ঝুঁকি মোকাবিলার পরিকল্পনা যাচাইকৃত ইমেইল, IP, অবস্থান ও পাসওয়ার্ড হ্যাশের ওপর ভিত্তি করে তৈরি করা উচিত।