HopponWorks: তথ্য উন্মুক্ত হওয়ার অভিযোগ

HopponWorks-এর রেকর্ড তৈরি করার আগে শিরোনাম, ডোমেইনের নাম, কাছাকাছি ব্র্যান্ডের নাম, ঘটনার তারিখ এবং রেকর্ডের সংখ্যা বিদ্যমান রেকর্ডগুলোর সঙ্গে মিলিয়ে দেখা হয়েছিল। একই ঘটনার কোনো রেকর্ড না থাকায় এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। কাছাকাছি নামের হলেও ভিন্ন ডোমেইন বা ভিন্ন ঘটনার রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে উল্লিখিত রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন বিস্তারিত তথ্যের সংখ্যার মধ্যে পার্থক্য থাকতে পারে। এর কারণ হতে পারে অপরিশোধিত ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, একই ইমেলের একাধিক উপস্থিতি, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে সাজানো ডেটাসেট। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার বদলে 49,087 সংখ্যাটিকেই ভিত্তি ধরা হয়েছে, কারণ তথ্যের ধরনগুলোর পাশাপাশি এই সংখ্যাটিও ধারাবাহিকভাবে সমর্থিত।

HopponWorks-কে স্থানীয় দোকানের অফার খোঁজা ও খাবার সরবরাহের প্রেক্ষাপটে একটি ভোক্তা অ্যাকাউন্ট হিসেবে মূল্যায়ন করা হয়েছে। এ ধরনের সেবায় ইমেলের সঙ্গে ফোন নম্বর, জন্মতারিখ ও নামের তথ্য একত্রে থাকলে ব্যবহারকারীর ব্যক্তিগত তথ্য অনুযায়ী সাজানো ফিশিং বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

এই ঘটনায় পাসওয়ার্ডের তথ্য হ্যাশ আকারে তালিকাভুক্ত থাকলেও, এর সঙ্গে ফোন নম্বর, জন্মতারিখ, লিঙ্গ ও পুরো নামের মতো তথ্য থাকায় ব্যক্তির পরিচয়ভিত্তিক প্রোফাইল তৈরির ঝুঁকি বাড়ে। এই তথ্য ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ডেলিভারি, কুপন, সদস্যপদ যাচাই বা অর্থ ফেরতসংক্রান্ত বার্তা পাঠানো যেতে পারে।

HopponWorks-এর ঘটনায় সাধারণ ইমেল ফাঁসের চেয়ে ঝুঁকি বেশি, কারণ MD5 ও সল্ট ব্যবহার করে হ্যাশ করা পাসওয়ার্ডের তথ্য পাওয়া গেছে। পাসওয়ার্ডের তথ্য হামলাকারীদের বারবার অনুমান করে চেষ্টা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয় লগইন প্রচেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। কিন্তু এর সঙ্গে ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পুরো নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্য যুক্ত হলে তা আক্রমণ চালানোর শক্তিশালী উপকরণ হয়ে ওঠে। ব্যবহারকারী কাজ, কেনাকাটা, ফোরাম, গেমিং, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেল ঠিকানা ব্যবহার করলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়িয়ে পড়তে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই HopponWorks-এর মতো পুরোনো তথ্য ফাঁসও বহু বছর পরে পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের প্রচেষ্টায় কাজে লাগানো যেতে পারে।

ব্যবহারকারীদের প্রথম করণীয় হলো, আগে HopponWorks বা www.hopponworks.com-এ কোন ইমেল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টেও একই ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করা যথেষ্ট নয়; পুনরায় ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটির জন্য আলাদা ও দৈবভাবে তৈরি পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর পদক্ষেপগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়ানো ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডগুলো বদলানো উচিত।

দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করাকে বিশেষ করে ইমেল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট ও অ্যাডমিন প্যানেলের ক্ষেত্রে অগ্রাধিকার দেওয়া হয়। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আক্রমণ প্রতিরোধে বেশি সক্ষম সুরক্ষা দেয়।

ইমেল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। কোনো হামলাকারী সরাসরি HopponWorks অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, পেশাগত খাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের উচিত আসা লিংকে সরাসরি ক্লিক না করে নিজেরা ঠিকানা লিখে প্রবেশ করা, যাচাই না করে সংযুক্ত ফাইল না খোলা এবং তাড়াহুড়োর অনুভূতি তৈরি করে এমন বার্তার বিষয়ে সতর্ক থাকা।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী ব্যক্তিগত বলে মনে হয় এমন একটি অ্যাকাউন্টে কর্মস্থলের ইমেল ব্যবহার করে থাকলে, কোম্পানির সিস্টেমে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং একই পাসওয়ার্ড পুনরায় ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য মূল শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ সীমিত রাখা। সাধারণ টেক্সটে পাসওয়ার্ড রাখা বা দ্রুত ভাঙা যায় এমন হ্যাশের ধরন ব্যবহার করা সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত। ব্যবহারকারী লগইন করার সময় পুরোনো হ্যাশের ধরনগুলো ধাপে ধাপে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, রপ্তানি করা ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা উচ্চস্তরের অনুমতিসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তাজনিত ঘটনায় সাড়া দেওয়ার পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেমগুলো পর্যবেক্ষণ করা হবে, কোন রেকর্ডগুলো রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপগুলো পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

সর্বশেষ পরীক্ষায় HopponWorks ডোমেইন রিজলভ করা যায়নি বলে সেটিকে ‘আর ব্যবহারে নেই’ হিসেবে চিহ্নিত করা হয়েছে। পুরোনো সেবা বন্ধ হয়ে গেলেও, অন্য প্ল্যাটফর্মে পাসওয়ার্ড ও ব্যক্তিগত তথ্য পুনরায় ব্যবহারের কারণে ওই তথ্যের প্রভাব থেকে যেতে পারে।

তথ্যের ধরনগুলোর সরাসরি তালিকায় অবস্থানসংক্রান্ত কোনো ক্ষেত্র না থাকায় সাধারণ টেক্সটে থাকা অবস্থানের সাধারণ উল্লেখকে তথ্যের বিভাগ হিসেবে যোগ করা হয়নি। এই পৃষ্ঠায় তা ইমেল, IP, ফোন, নাম, লিঙ্গ, জন্মতারিখ ও পাসওয়ার্ড হ্যাশের মধ্যে সীমিত রাখা হয়েছে।

ব্যবহারকারীরা প্রায়ই খাবার সরবরাহ ও স্থানীয় অফারের সেবায় একই ফোন নম্বর ও ইমেল ঠিকানা ব্যবহার করেন। এতে অন্য প্রচারণা, বাজার, অনলাইন মার্কেটপ্লেস বা পেমেন্ট অ্যাপে তথ্য মিলিয়ে শনাক্ত করার ঝুঁকি বাড়ে।

জন্মতারিখ ও লিঙ্গের মতো তথ্য সরাসরি অ্যাকাউন্ট দখলের সুযোগ না-ও দিতে পারে, তবে সামাজিক প্রকৌশলের মাধ্যমে প্রতারণায় ব্যক্তিগতভাবে বার্তা সাজানোর জন্য এগুলো মূল্যবান। তাই এই ঘটনাকে শুধু পাসওয়ার্ডের ঝুঁকি হিসেবে নয়, ব্যক্তির প্রোফাইলে আরও তথ্য যোগ করার ঝুঁকি হিসেবেও বিবেচনা করা উচিত।

HopponWorks-এর সঙ্গে একটি লোগোর ছবি মেলানো হয়েছে।

এই রেকর্ডে যাচাই করা হয়নি এমন তথ্যের ধরনগুলো ইচ্ছাকৃতভাবে বাদ দেওয়া হয়েছে। তথ্যের বিভাগের দীর্ঘ তালিকা তৈরির চেয়ে সমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর উদ্দেশ্য ভীতিকর চিত্র তুলে ধরা নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তা ব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

HopponWorks-এর তথ্য ফাঁস, www.hopponworks.com-এর ডেটা ফাঁস, HopponWorks-এর পাসওয়ার্ড ফাঁস এবং HopponWorks-এর ব্যবহারকারীর তথ্য, এ ধরনের বিভিন্ন নামে সরল ও ব্যবহারিক তথ্য দেওয়ার জন্য এই পৃষ্ঠা তৈরি করা হয়েছে। লেখায় যাচাইকৃত বিষয়গুলো ও ব্যবহারিক নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করা হয়, সেগুলো বিশেষ করে হামলাকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ডের পুনরাবৃত্তি কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমানযোগ্য কোনো অংশ যোগ করা উচিত নয়। পাসওয়ার্ডের শেষে একটি ছোট সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয়ে যায় না; হামলাকারীদের সরঞ্জাম এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকাটি স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন, ইমেল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংক ব্যবহার না করে সরাসরি সাইটের ঠিকানায় প্রবেশ করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেলের ডোমেইন নামের সঙ্গে মিলে যায় এমন ইমেল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেল ঠিকানা হামলাকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। প্রোফাইলের অপ্রয়োজনীয় তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতি অনুযায়ী নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যের ক্ষেত্রে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য রপ্তানির কার্যক্রমে অতিরিক্ত নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্টের নিরাপত্তা ও পরিচর্যার কাজগুলো সম্পন্ন করতে হবে। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, তথ্যের বিভাগগুলো ব্যবহার করে অ্যাকাউন্ট দখলের সম্ভাবনা এবং ঘটনায় পুনরায় ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠায় ঝুঁকির মাত্রা অতি গুরুতর নির্ধারণ করা হয়েছে। অতি গুরুতর মাত্রা নিশ্চিত অপব্যবহারের ইঙ্গিত দেয় না; বরং বোঝায় যে ব্যবহারকারীর দ্রুত ব্যবস্থা নেওয়া প্রয়োজন।

সারসংক্ষেপে, HopponWorks-এর এই রেকর্ড এপ্রিল 2021-এ 49,087টি অ্যাকাউন্টে প্রভাব ফেলা একটি স্বতন্ত্র তথ্য ফাঁসের নথি। এতে ইমেল ঠিকানা, IP ঠিকানা, ফোন নম্বর, নাম ও পদবির তথ্য, লিঙ্গের তথ্য, জন্মতারিখ এবং পাসওয়ার্ড হ্যাশের মতো ক্ষেত্র রয়েছে। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু, ইমেলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।

HopponWorks-এর রেকর্ডগুলোতে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয় বলে একই নামে প্রচলিত তালিকার অস্পষ্ট উপাদানগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারীর সামনে থাকা রেকর্ডটি যাচাইকৃত ডোমেইন ও ঘটনার সময়সীমায় সীমিত।

যাচাই করা হয়নি এমন ব্যক্তির সংখ্যা, তথ্যের ক্ষেত্র এবং হামলাকারীদের দাবিকে এই ঘটনার প্রকাশ্য বিবরণের আওতায় ধরা হয়নি। তাই ইমেল ঠিকানা, IP ঠিকানা, ফোন নম্বর, নাম ও পদবির তথ্য, লিঙ্গের তথ্য, জন্মতারিখ এবং পাসওয়ার্ড হ্যাশ ছাড়া অন্য কোনো দাবিকে এই রেকর্ডের প্রমাণিত তথ্যের ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

www.hopponworks.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা ভুলে যাওয়া হয়ে থাকতে পারে। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড বদলানো সম্ভব না হলে, একই পাসওয়ার্ড ব্যবহার করা অন্য সেবাগুলো খুঁজে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে যুক্ত হলে হামলাকারীদের জন্য কোনো ব্যক্তির আগ্রহ, দেশ, পেশাগত খাত বা অতীতের সদস্যপদ নেওয়ার অভ্যাস অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁসকে ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কর্মস্থলের ইমেল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড একই পাসওয়ার্ড পুনরায় ব্যবহারের মাত্রা এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয়ের দৃশ্যমানতা পরিমাপের জন্য সতর্কসংকেত দেয়।

আনুষ্ঠানিক উৎসে প্রকাশিত ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা বা রেকর্ডের সংখ্যা ঘটনাটির প্রতিবেদনকৃত পরিসর বোঝায়। এর অর্থ এই নয় যে প্রকাশিত তথ্যের প্রতিটি বিভাগ প্রত্যেক ব্যক্তির ক্ষেত্রে প্রযোজ্য ছিল।

অ্যাকাউন্ট বন্ধ করার সুযোগ থাকলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও একটি ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত আলাদা পাসওয়ার্ড দেওয়া, প্রোফাইলের তথ্য ন্যূনতম রাখা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।