Knuddels-এর 2018 সালের তথ্য ফাঁস

Knuddels-এর ফোরামে প্রকাশিত তথ্য অনুযায়ী, অজ্ঞাত এক ব্যক্তি 2018 সালের 5 সেপ্টেম্বর Pastebin-এ 8,000টি সদস্য রেকর্ড প্রকাশ করেন। কোম্পানি 6 সেপ্টেম্বর তথ্যের সত্যতা নিশ্চিত করে, সংশ্লিষ্ট লগইন তথ্য সাময়িকভাবে অকার্যকর করে এবং পাসওয়ার্ড রিসেটের ব্যবস্থা প্রস্তুত করে। 7 সেপ্টেম্বর তারা আরও বড় একটি ফাইলের লিংক পায়, যাতে 18,72,000টি ডাকনাম ও পাসওয়ার্ড ছিল; Knuddels জানায়, এরপর তারা সব সদস্যের জন্য পাসওয়ার্ড বদলানো বাধ্যতামূলক করে এবং বিজ্ঞপ্তি পাঠায়।

প্রকাশিত বিবরণ অনুযায়ী, প্রথম 8,000টি রেকর্ডে ডাকনাম ও পাসওয়ার্ড ছিল। পাশাপাশি 57% রেকর্ডে ইমেইল, 41% রেকর্ডে নামের প্রথম অংশ এবং 30% রেকর্ডে বসবাসের স্থান ছিল। কোম্পানি আরও জানায়, প্রায় 8,08,000টি ইমেইল ঠিকানার মধ্যে প্রায় 3,30,000টি যাচাইকৃত ছিল এবং সেগুলো ভিন্ন ভিন্ন ব্যক্তির ছিল। বাহ্যিক ডেটাসেটের 8,08,330টি স্বতন্ত্র ইমেইলের হিসাবে ইমেইল শনাক্তকারী গণনা করা হয়েছে; এই হিসাবকে কোম্পানির যাচাইকৃত ব্যক্তিদের উপগোষ্ঠীর হিসাবের বিকল্প হিসেবে ব্যবহার করা হয়নি।

Knuddels ব্যাখ্যা করে, 2012 সালে পাসওয়ার্ড হ্যাশ চালু করলেও চ্যাটে ব্যবহারকারীদের পাসওয়ার্ড শেয়ার করা ঠেকাতে তৈরি একটি পুরোনো ফিল্টারের জন্য তারা পাসওয়ার্ডের এনক্রিপশনবিহীন সংস্করণ সংরক্ষণ করত। কোম্পানি 2018 সালের 7 সেপ্টেম্বর ওই সংস্করণগুলো সরিয়ে ফেলে এবং ফিল্টারটি নিষ্ক্রিয় করে। তদন্তে প্রথম সম্ভাব্য দুর্বলতা হিসেবে পুরোনো অপারেটিং সিস্টেমে চলা একটি ব্যাকআপ সার্ভার শনাক্ত করা হয় এবং সেটি বন্ধ করে দেওয়া হয়; তবে ফোরামের পোস্টে এই ফলাফলকে প্রাথমিক অননুমোদিত প্রবেশের পথ সম্পর্কে চূড়ান্ত সিদ্ধান্ত হিসেবে উপস্থাপন করা হয়নি। তাই এখানে এটিকে নিশ্চিত কারণ বলা হচ্ছে না।

Baden-Württemberg-এর তথ্য সুরক্ষা কর্তৃপক্ষ পরে প্লেইনটেক্সটে পাসওয়ার্ড সংরক্ষণের জন্য Knuddels-কে €20,000 জরিমানা করে। নিয়ন্ত্রক কর্তৃপক্ষ কোম্পানির দ্রুত অবহিতকরণ, সহযোগিতা, স্বচ্ছতা এবং নিরাপত্তার উন্নতিও বিবেচনায় নিয়েছিল। জরিমানার অঙ্ক ডেটাসেটে থাকা ব্যক্তি বা ইমেইল ঠিকানার সংখ্যার পরিমাপ নয়।

প্রোডাকশন পরিবেশে সম্পন্ন কাজটি দুটি নির্দিষ্ট ইমেইল কলামের সম্মিলিত সেট থেকে তৈরি শুধু ইমেইল থাকা একটি ফাইলের 8,08,156টি বৈধ লাইন প্রক্রিয়াকরণ করেছে এবং একই সংখ্যক স্বতন্ত্র ইমেইল সংযোগ তৈরি করেছে। স্থানীয়ভাবে তথ্য আমদানির সময় ব্যবহারকারীর নাম, পাসওয়ার্ড, নাম, অবস্থান ও অন্যান্য টেক্সট ক্ষেত্র বাদ দেওয়া হয়েছে। স্থানীয় ইমেইলের সংখ্যা বাহ্যিক হিসাবের চেয়ে 174 কম; উৎসের সংস্করণ ও তথ্যের বিন্যাস একরূপ করার বিস্তারিত পদ্ধতি এক নয় বলে এই পার্থক্যের কোনো কারণ নির্ধারণ করা হয়নি।

Knuddels-এর আনুষ্ঠানিক সাইট এবং ঘটনাসংক্রান্ত ফোরাম এখনও চালু আছে। স্থানীয় সূচকে কোনো ইমেইল মিলে যাওয়া সদস্যপদ, বাস্তব পরিচয়, শহর বা এখনও একই পাসওয়ার্ড ব্যবহার করার প্রমাণ নয়। 2018 সালে ব্যবহার করা কোনো পাসওয়ার্ড একই বা কাছাকাছি রূপে অন্য কোনো সেবায়ও ব্যবহার করা হয়ে থাকলে, সেখানে সেটির বদলে একটি স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা উচিত। অপ্রত্যাশিত সাইন-ইন বা পাসওয়ার্ড রিসেটের বার্তা পেলে, বার্তার লিংক অনুসরণ না করে সরাসরি সংশ্লিষ্ট সেবার আনুষ্ঠানিক সাইট বা অ্যাপ খুলে তা যাচাই করা উচিত।