Lanwar: তথ্য ফাঁস

Lanwar-এর ঘটনায় সবচেয়ে গুরুতর বিষয় হলো প্লেইনটেক্সট পাসওয়ার্ড। কোনো পাসওয়ার্ড হ্যাশ বা এনক্রিপ্ট করা রূপের বদলে সরাসরি পড়ার উপযোগী অবস্থায় পাওয়া গেলে আক্রমণকারীকে সেটি ক্র্যাক করার চেষ্টা করতে হয় না। ইমেইল, গেম স্টোর, চ্যাট সেবা, ফোরাম, সামাজিক যোগাযোগমাধ্যম বা অর্থপ্রদানের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হলে ঝুঁকি শুধু Lanwar অ্যাকাউন্টে সীমাবদ্ধ থাকে না। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে ব্যবহার করে বিভিন্ন গেমিং কমিউনিটির প্রোফাইলের মধ্যে মিলও খুঁজে বের করা যায়।

পূর্ণ নাম ও বাসা বা অন্য স্থানের ঠিকানা অনলাইন পরিচয়কে বাস্তব জগতের তথ্যের সঙ্গে যুক্ত করে। এসব তথ্য ব্যবহার করে লক্ষ্যভিত্তিক ফিশিং, কার্যকলাপসংক্রান্ত ভুয়া বিজ্ঞপ্তি, স্পনসরের প্রচারাভিযান, পণ্য পাঠানোর নোটিশ বা টুর্নামেন্টের পুরস্কারের ছদ্মবেশে আসা বার্তাগুলোকে আরও বিশ্বাসযোগ্য করে তোলা যায়। বাসা বা অন্য স্থানের ঠিকানা প্রকাশ পাওয়া গেমিং ইভেন্টে অংশগ্রহণকারীদের ব্যক্তিগত গোপনীয়তার জন্যও ঝুঁকি তৈরি করে। তাই ঘটনাটিকে শুধু পাসওয়ার্ড বদলানোর বিষয় হিসেবে দেখা উচিত নয়; ইমেইলের নিরাপত্তা, একই ব্যবহারকারীর নাম একাধিক স্থানে ব্যবহার এবং ঠিকানার তথ্যের সম্ভাব্য অপব্যবহার একসঙ্গে বিবেচনা করা উচিত।

Lanwar-এর তথ্য ফাঁসের যাচাইকৃত তারিখ হিসেবে 28 জুলাই 2018 এবং নিশ্চিত রেকর্ডসংখ্যা হিসেবে 45,120 নথিভুক্ত করা উচিত। ঘটনাটি LAN পার্টি ও গেমিং ইভেন্ট কমিউনিটির প্রেক্ষাপটে বিবেচনা করা উচিত। সূত্র অনুযায়ী, Lanwar দল ঘটনাটি লক্ষ্য করেছে, এটি আগের কয়েক মাস ধরেও ঘটে থাকতে পারে এবং তথ্যের সঙ্গে সংশ্লিষ্ট ফিশিং বা Bitcoin-এ চাঁদা দাবি করার চেষ্টা দেখে তারা কর্তৃপক্ষের সঙ্গে যোগাযোগ করেছে। এসব বিবরণ ঝুঁকির প্রেক্ষাপট ব্যাখ্যা করে; তবে এগুলোর ভিত্তিতে যাচাইকৃত তথ্যের ধরনের তালিকা বাড়ানো উচিত নয়।

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, পাসওয়ার্ড, বাসা বা অন্য স্থানের ঠিকানা ও ব্যবহারকারীর নাম। পাসওয়ার্ডগুলো যে প্লেইনটেক্সটে রয়েছে, তা উল্লেখ করা জরুরি। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ফোন নম্বর, IP ঠিকানা, জন্মতারিখ, ব্যক্তিগত বার্তা, গেমের ভেতরে কেনাকাটা, সরকারি পরিচয়সংক্রান্ত তথ্য বা স্বাস্থ্যতথ্য এই রেকর্ডের যাচাইকৃত তথ্যের অন্তর্ভুক্ত নয়। ব্যবহারকারীকে ঝুঁকি সম্পর্কে সঠিক ধারণা দিতে ব্যাখ্যাটি এই সীমার মধ্যেই রাখা উচিত। ঘটনার প্রযুক্তিগত কারণ নিশ্চিত না হলে আক্রমণের পদ্ধতিকে প্রমাণিত হিসেবে তুলে ধরা উচিত নয়।

যাঁরা Lanwar অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। গেমিং কমিউনিটিতে একই ব্যবহারকারীর নাম দীর্ঘদিন ধরে রাখা এবং বিভিন্ন প্ল্যাটফর্মে ব্যবহার করা হতে পারে। এ কারণে ইমেইল ঠিকানা ও ব্যবহারকারীর নাম হাতে পেলে আক্রমণকারীর পক্ষে Steam, Discord, ফোরাম, গেম সার্ভার বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইলগুলোর মধ্যে সংযোগ খুঁজে বের করা সহজ হয়। প্লেইনটেক্সট পাসওয়ার্ড হাতে থাকলে এই সংযোগগুলো কাজে লাগিয়ে অ্যাকাউন্টের নিয়ন্ত্রণ নেওয়ার চেষ্টাও করা যেতে পারে।

যাঁরা সশরীরে ইভেন্টে অংশ নেন বা নিবন্ধনের সময় ঠিকানার তথ্য দেন, তাঁদের ব্যক্তিগত গোপনীয়তাও ঝুঁকিতে থাকে। ঠিকানা, পূর্ণ নাম ও গেমিং ID একসঙ্গে জানা থাকলে ভুয়া টিকিট, পণ্য পাঠানো, পুরস্কার, স্পনসর চুক্তি বা ইভেন্টের হালনাগাদসংক্রান্ত বার্তা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। অনুসন্ধানে মিল পাওয়া গেলে পুরোনো ইভেন্ট অ্যাকাউন্টকে গুরুত্বহীন মনে করা উচিত নয়; পুরোনো পাসওয়ার্ডটি অন্য কোথাও এখনো কার্যকর থাকলে ঝুঁকিও বর্তমান পর্যন্ত থেকে যায়।

এই রেকর্ডে যাঁদের ইমেইল ঠিকানা রয়েছে, তাঁদের নিশ্চিত করা উচিত যে Lanwar অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে আর কার্যকর নেই। অন্য সেবায় একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে অবিলম্বে তা বদলে দীর্ঘ, স্বতন্ত্র ও সহজে অনুমান করা যায় না এমন পাসওয়ার্ড ব্যবহার করা উচিত। বিশেষ করে ইমেইল অ্যাকাউন্ট, গেম স্টোর, চ্যাট সেবা, সামাজিক যোগাযোগমাধ্যম ও অর্থপ্রদানের অ্যাকাউন্টগুলো অগ্রাধিকার দিয়ে পরীক্ষা করা উচিত। ইমেইল অ্যাকাউন্টের নিরাপত্তা ভঙ্গ হলে পাসওয়ার্ড রিসেটের ধারাবাহিক প্রক্রিয়ার মাধ্যমে আরও অনেক অ্যাকাউন্ট ঝুঁকিতে পড়ে।

যেসব গুরুত্বপূর্ণ অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণের সুবিধা আছে, সেগুলোতে তা চালু করা উচিত। সন্দেহজনক কার্যকলাপের বিজ্ঞপ্তি, টুর্নামেন্টের পুরস্কার, পণ্য পাঠানো, স্পনসরের আমন্ত্রণ বা অ্যাকাউন্ট যাচাইসংক্রান্ত বার্তা পেলে লিংকে ক্লিক করার আগে ডোমেইন নাম ও প্রেরককে সতর্কভাবে যাচাই করা উচিত। যাঁরা বিভিন্ন গেমিং কমিউনিটিতে পুরোনো একই ব্যবহারকারীর নাম ব্যবহার করেছেন, তাঁদের প্রোফাইলের গোপনীয়তার সেটিংস পর্যালোচনা করা এবং ঠিকানা বা যোগাযোগের তথ্য জনসমক্ষে যতটা সম্ভব কম রাখা উচিত। অপ্রত্যাশিত লগইন, পাসওয়ার্ড রিসেটের বার্তা বা ডিভাইসসংক্রান্ত বিজ্ঞপ্তি দেখা গেলে অ্যাকাউন্টের সেশনগুলো বন্ধ করা এবং অ্যাকাউন্ট পুনরুদ্ধারের তথ্য হালনাগাদ করা উচিত।

Lanwar-এর ঘটনা দেখায় যে ছোট ও মাঝারি আকারের গেমিং কমিউনিটিতেও গুরুতর নিরাপত্তাজনিত প্রভাব পড়তে পারে। ব্যবহারকারীদের প্রতিটি গেম, ফোরাম, ইভেন্ট, চ্যাট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা উচিত। পুরোনো অ্যাকাউন্টগুলোতে পুনরায় ব্যবহৃত পাসওয়ার্ড খুঁজে বের করা এবং প্রতিটি অ্যাকাউন্টের জন্য আলাদা শক্তিশালী পাসওয়ার্ড তৈরি করার একটি ব্যবহারিক উপায় হলো পাসওয়ার্ড ম্যানেজার। অব্যবহৃত ইভেন্ট ও ফোরাম অ্যাকাউন্ট বন্ধ করে দেওয়া উচিত, অথবা স্বতন্ত্র পাসওয়ার্ড দিয়ে অন্য অ্যাকাউন্টগুলো থেকে আলাদা রাখা উচিত।

কমিউনিটি ও ইভেন্ট পরিচালকদের জন্য মূল শিক্ষা হলো, কোনো অবস্থাতেই পাসওয়ার্ড প্লেইনটেক্সটে সংরক্ষণ করা উচিত নয়। আধুনিক ও সাশ্রয়ী পাসওয়ার্ড হ্যাশিং পদ্ধতি, প্রবেশাধিকারে সীমাবদ্ধতা, নিয়মিত নিরাপত্তা নিরীক্ষা এবং ব্যবহারকারীদের দ্রুত অবহিত করা এ ধরনের অ্যাকাউন্টের তথ্য সুরক্ষায় গুরুত্বপূর্ণ ভূমিকা রাখে। ইভেন্ট আয়োজনের প্রয়োজনে সংগ্রহ করা তথ্য, যেমন বাসা বা অন্য স্থানের ঠিকানা, কেবল প্রয়োজনীয় সময় পর্যন্তই রাখা উচিত। প্রতিটি তথ্য কেন চাওয়া হচ্ছে, সে বিষয়েও ব্যবহারকারীদের স্পষ্টভাবে জানানো উচিত।

Lanwar রেকর্ডের অনুসন্ধানের ফল দেখায়, দেওয়া ইমেইল ঠিকানাটি এই যাচাইকৃত ডেটাসেটে আছে কি না। মিল পাওয়ার অর্থ হলো, ওই ইমেইল ঠিকানার সঙ্গে যুক্ত নাম-পদবি, ব্যবহারকারীর নাম, বাসা বা অন্য স্থানের ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ডসংক্রান্ত ঝুঁকি বিবেচনা করা উচিত। মিল না পাওয়ার ফল শুধু বোঝায় যে এই নির্দিষ্ট ডেটাসেটে কোনো মিল পাওয়া যায়নি; এটি প্রমাণ করে না যে ওই ব্যক্তির তথ্য অন্য কোনো গেমিং, ফোরাম বা সামাজিক যোগাযোগমাধ্যমের তথ্য ফাঁসের ঘটনায় ছিল না।

সঠিক করণীয় হলো পুরোনো পাসওয়ার্ড পুরোপুরি পরিত্যাগ করা, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো, ইমেইল ও গেমিং অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করা, একই ব্যবহারকারীর নাম দিয়ে খোলা প্রোফাইলগুলো পর্যালোচনা করা এবং Lanwar বা গেমিং ইভেন্টকে বিষয় করে পাঠানো ভুয়া বার্তা সম্পর্কে সতর্ক থাকা। ঘটনাটিকে অর্থপ্রদান বা ব্যাংকিং তথ্যের ঝুঁকি হিসেবে নয়, বরং প্লেইনটেক্সট পাসওয়ার্ড ও গেমিং কমিউনিটির প্রোফাইলগুলোর মধ্যে মিল খুঁজে বের করার ঝুঁকি হিসেবে মূল্যায়ন করা উচিত।