Kickstarter-এর 2014 সালের তথ্য ফাঁস

বাহ্যিক তথ্য ফাঁসের রেকর্ডে 16 ফেব্রুয়ারি 2014 তারিখটি ব্যবহার করা হয়েছে। Kickstarter-এর নিরাপত্তাবিষয়ক বিজ্ঞপ্তিতে ঘটনাটি এবং ক্ষতিগ্রস্ত ফিল্ডের ধরনগুলো নিশ্চিত করা হয়েছে, তবে আক্রমণকারী প্রথম কখন সিস্টেমে প্রবেশ করেছিল তা জানানো হয়নি। তাই ক্যাটালগের তারিখটিকে প্রথম প্রবেশের তারিখ হিসেবে ধরে নেওয়া উচিত নয়। প্রতিষ্ঠানটি জানায়, ক্রেডিট কার্ডের তথ্যে প্রবেশ করা হয়েছে এমন কোনো প্রমাণ তাদের কাছে ছিল না এবং বিজ্ঞপ্তি প্রকাশের সময় পর্যন্ত মাত্র দুটি অ্যাকাউন্টে অননুমোদিত কার্যকলাপ দেখা গিয়েছিল। এই সীমিত বক্তব্যের অর্থ এই নয় যে কোনো তথ্য নেওয়া হয়নি; পরবর্তী সময়ে অপব্যবহারের সম্ভাবনাও এতে নাকচ হয় না।

প্রতিষ্ঠানটির ভাষ্য অনুযায়ী, পুরোনো পাসওয়ার্ডগুলোর প্রতিটিতে আলাদা সল্ট যোগ করে SHA-1 দিয়ে বারবার হ্যাশ করা হয়েছিল, আর নতুন পাসওয়ার্ডগুলোর ক্ষেত্রে bcrypt ব্যবহার করা হয়েছিল। এগুলো প্লেইনটেক্সট পাসওয়ার্ড ছিল না, তবে অফলাইনে অনুমান করে পাসওয়ার্ড বের করার প্রচেষ্টা থেকে এগুলোকে সম্পূর্ণ সুরক্ষিত ধরে নেওয়া উচিত নয়। ক্রেডিট কার্ডের তথ্য কাঠামোবদ্ধ ডেটার একটি শ্রেণি হিসেবে রাখা হয় না। নামও বাদ দেওয়া হয়েছে, কারণ নির্বাচিত উৎসসমূহে এই ঘটনার সাধারণ ও যাচাইকৃত ফিল্ড হিসেবে নামের স্পষ্ট উল্লেখ নেই।

প্রোডাকশন পরিবেশে সম্পন্ন শুধু ইমেইল ইমপোর্টের প্রক্রিয়ায় 51,69,669টি বৈধ লাইন প্রক্রিয়াকরণ করা হয় এবং সক্রিয় ইনডেক্সে 51,69,660টি স্বতন্ত্র ইমেইল-সংযোগ তৈরি করা হয়। স্থানীয় প্রক্রিয়াটিতে ব্যবহারকারীর নাম, পাসওয়ার্ড, ফোন নম্বর বা ডাকযোগাযোগের ঠিকানা ইমপোর্ট করা হয়নি। তাই স্থানীয় ডেটায় এসব ফিল্ড একসঙ্গে থাকার দাবি করা হচ্ছে না। বাহ্যিক ডেটায় স্বতন্ত্র ইমেইলের সংখ্যা স্থানীয় ইমেইল-সংযোগের চেয়ে 6,803 বেশি। ডেটাসেটের সংস্করণ, স্বাভাবিকীকরণ ও সদৃশ রেকর্ড বাদ দেওয়ার প্রক্রিয়ায় থাকা পার্থক্যগুলো মিলিয়ে দেখা হয়নি; কোনো কারণ নির্ধারণ করা হয়নি এবং সংখ্যাগুলো যোগও করা হয়নি।

Kickstarter-এর বর্তমান ডোমেইন ও ঘটনাসংক্রান্ত বিজ্ঞপ্তি এখনও পাওয়া যায়। শুধু ইমেইল মিলে গেলেই প্রমাণিত হয় না যে কোনো ব্যক্তি একটি প্রকল্প তৈরি করেছিলেন, কোনো নির্দিষ্ট প্রচারণায় অর্থসহায়তা দিয়েছিলেন, কিংবা ঘটনার ডেটায় তাঁর ফোন নম্বর ও ঠিকানার ফিল্ড ছিল। আপনি যদি অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে সেই সেবায় একটি স্বতন্ত্র পাসওয়ার্ড বেছে নেওয়া উচিত। আপনি Kickstarter-এর বর্তমান দুই ধাপে পরিচয় যাচাই এবং অ্যাক্সেসের ইতিহাস দেখার সুবিধাও ব্যবহার করতে পারেন। অ্যাকাউন্ট বা অর্থপ্রদানসংক্রান্ত অপ্রত্যাশিত কোনো বার্তা পেলে, বার্তার লিংক অনুসরণ না করে নিজে সরাসরি অফিসিয়াল ডোমেইনে গিয়ে তা যাচাই করা উচিত।