Jefit-এর 2020 সালের তথ্য ফাঁস

Jefit জানিয়েছে, কয়েকজন ব্যবহারকারীর কাছ থেকে অভিযোগ পাওয়ার পর তারা নিরাপত্তাজনিত একটি ত্রুটির কারণে তথ্যসংক্রান্ত ঘটনার সন্ধান পায়। এরপর তারা নিজেদের সার্ভার ও ক্ষতিগ্রস্ত অ্যাকাউন্টগুলো সুরক্ষিত করে, ত্রুটিটি সংশোধন করে, ফরেনসিক তদন্ত চালায় এবং আইনশৃঙ্খলা রক্ষাকারী সংস্থার সঙ্গে যোগাযোগ করে। কোম্পানির বিজ্ঞপ্তি অনুযায়ী, 20 সেপ্টেম্বর 2020-এর আগে নিবন্ধিত অ্যাকাউন্টগুলো ক্ষতিগ্রস্ত হয়ে থাকতে পারে।

কোম্পানির বিবৃতিতে প্রথমবার প্রবেশের সুনির্দিষ্ট দিন, সংশ্লিষ্ট ব্যক্তি বা পক্ষ, কিংবা তথ্য সংগ্রহের সময়কাল জানানো হয়নি। তাই 11 আগস্টকে যাচাইকৃত বাহ্যিক রেকর্ডের তারিখ হিসেবে রাখা হয়েছে; কোম্পানির জানানো সুনির্দিষ্ট প্রবেশের দিন হিসেবে উপস্থাপন করা হয়নি। 19 মার্চ 2021 হলো প্রকাশ্য বিজ্ঞপ্তির তারিখ, আলাদা কোনো তথ্য ফাঁসের ঘটনা নয়।

কোম্পানির বিজ্ঞপ্তিতে অ্যাকাউন্টের ব্যবহারকারীর নাম, অ্যাকাউন্টের সঙ্গে যুক্ত ইমেইল ঠিকানা, প্রতিটি অ্যাকাউন্টের জন্য আলাদা সল্ট ব্যবহার করে হ্যাশ করা পাসওয়ার্ড এবং অ্যাকাউন্ট তৈরির সময় রেকর্ড করা IP ঠিকানার উল্লেখ রয়েছে। এতে আরও বলা হয়েছে, সব অ্যাকাউন্টের IP ঠিকানা ছিল না। তৃতীয় পক্ষের স্টোর বা পেমেন্ট কোম্পানিগুলো অর্থপ্রদান পরিচালনা করত বলে Jefit জানিয়েছে যে তারা গ্রাহকদের অর্থপ্রদানের তথ্য সংরক্ষণ করত না এবং কোনো আর্থিক তথ্য এই ঘটনার অন্তর্ভুক্ত ছিল না।

যাচাইকৃত বাহ্যিক রেকর্ড অনুযায়ী, পাসওয়ার্ডগুলো vBulletin বা Argon2 হ্যাশ হিসেবে পাওয়া গেছে এবং পরে ক্র্যাক করা কয়েক মিলিয়ন পাসওয়ার্ড ছড়িয়ে পড়েছে। এই কারিগরি তথ্য বাহ্যিক ডেটাসেটের বিশ্লেষণ থেকে এসেছে; এর অর্থ এই নয় যে কোম্পানি বলেছে সব অ্যাকাউন্টে একই অ্যালগরিদম ব্যবহার করা হয়েছিল বা সবগুলোর পাসওয়ার্ড ক্র্যাক করা হয়েছিল। স্বাস্থ্যসংক্রান্ত রেকর্ড, ওয়ার্কআউটের ইতিহাস, ব্যক্তিগত বার্তা, পেমেন্ট কার্ড ও ব্যাংক অ্যাকাউন্ট নিশ্চিত করা তথ্যের শ্রেণির অন্তর্ভুক্ত নয়।

90,52,457 হলো যাচাইকৃত বাহ্যিক ডেটাসেটে থাকা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা। প্রোডাকশন পরিবেশে এক কলামের ডেটা প্রক্রিয়াকরণের কাজটি 90,34,605টি ইমেইল লাইন প্রক্রিয়া করেছে এবং 90,33,145টি স্বতন্ত্র ইমেইল-সংযুক্তি তৈরি করেছে। Jefit-এর উৎস ডেটার কাঠামোতে থাকা ইমেইল কলাম থেকে স্থানীয় ফাইলটি স্বাভাবিকীকরণ করা হয়েছে; পাসওয়ার্ড, ব্যবহারকারীর নাম ও IP ঠিকানা আমদানি করা হয়নি।

স্থানীয় স্বতন্ত্র ইমেইলের সংখ্যা বাহ্যিক গণনার চেয়ে 19,312 কম। ডেটাসেটের সংস্করণ, স্বাভাবিকীকরণ ও ডুপ্লিকেট এন্ট্রি বাদ দেওয়ার প্রক্রিয়ার পার্থক্য উৎসগুলোতে মিলিয়ে দেখা হয়নি, তাই সংখ্যাগুলো একত্র করা হয়নি। স্থানীয়ভাবে কোনো মিল পাওয়া গেলে তা শুধু ইমেইলের উপস্থিতি নিশ্চিত করে; একই ব্যক্তির পাসওয়ার্ড, ব্যবহারকারীর নাম বা IP ঠিকানাও ছিল, এটি প্রমাণ করে না।

আপনি 2020 সালে Jefit-এ ব্যবহৃত পাসওয়ার্ড অন্য কোনো সেবাতেও ব্যবহার করে থাকলে, সেই সেবায় সেটি বদলে একটি স্বতন্ত্র পাসওয়ার্ড দেওয়া উচিত। যেখানে একাধিক উপাদানভিত্তিক প্রমাণীকরণের (মাল্টি-ফ্যাক্টর অথেনটিকেশন) সুবিধা রয়েছে, সেখানে তা সক্রিয় করা উচিত। কোম্পানির নিজস্ব বিজ্ঞপ্তিতেও বর্তমান ব্যবহারকারীদের Jefit পাসওয়ার্ড বদলে আরও শক্তিশালী একটি সমন্বয় ব্যবহার করতে উৎসাহিত করা হয়েছে।

সদস্যপদ, ওয়ার্কআউট পরিকল্পনা, ডিভাইস সংযুক্ত করা বা পাসওয়ার্ড পুনর্নির্ধারণ নিয়ে অপ্রত্যাশিত বার্তার লিংকে না গিয়ে সরাসরি Jefit-এর ঠিকানা বা অ্যাপ খুলুন। ইমেইলের মিল পাওয়া আর্থিক, স্বাস্থ্য বা ওয়ার্কআউটের তথ্য ফাঁসের প্রমাণ নয়; নিশ্চিত করা তথ্যের পরিধি হলো ইমেইল, ব্যবহারকারীর নাম, অ্যাকাউন্ট তৈরির সময়ের IP ঠিকানা এবং পাসওয়ার্ড হ্যাশ।