LinkedIn তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরন হিসেবে ইমেইল ঠিকানা, পাসওয়ার্ডের সল্টবিহীন SHA-1 হ্যাশ এবং LinkedIn সদস্য ID বিবেচনা করতে হবে। একটি ইমেইল ঠিকানা সরাসরি কোনো ব্যক্তির পেশাগত পরিচয়ের সঙ্গে যুক্ত থাকতে পারে এবং তাঁকে লক্ষ্য করে পাঠানো বার্তায় ব্যবহার করা হতে পারে। সদস্য ID হলো অ্যাকাউন্ট প্রোফাইলের সঙ্গে তথ্য যুক্ত করতে ব্যবহৃত একটি অভ্যন্তরীণ শনাক্তকারী। পাসওয়ার্ডের হ্যাশ পাসওয়ার্ডটির পাঠযোগ্য রূপ নয়; তবে সল্টবিহীন SHA-1 এখন দুর্বল সংরক্ষণপদ্ধতি হিসেবে বিবেচিত হয় এবং বিশেষ করে ছোট বা বহুল ব্যবহৃত পাসওয়ার্ড ভেঙে বের করার ঝুঁকি বাড়ায়।

সবচেয়ে গুরুতর ঝুঁকি আসে একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করা থেকে। একই পুরোনো LinkedIn পাসওয়ার্ড ইমেইল, কর্মক্ষেত্রের অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ফোরাম, পেমেন্টের সঙ্গে যুক্ত অ্যাকাউন্ট বা ক্লাউড সেবায়ও ব্যবহার করা হয়ে থাকলে আক্রমণকারীরা অন্য সেবার লগইন পৃষ্ঠায় একই ইমেইল ও পাসওয়ার্ডের সমন্বয় দিয়ে চেষ্টা করতে পারে। এটি পেশাজীবীদের নেটওয়ার্কের অ্যাকাউন্ট হওয়ায় ফিশিং বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে: ভুয়া চাকরির প্রস্তাব, সংযোগের অনুরোধ, মানবসম্পদ বিভাগের বার্তা, ফাইল শেয়ার করা বা অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত সতর্কবার্তার মতো বিষয় ব্যবহার করা হতে পারে। এই ঘটনায় পেমেন্ট কার্ডের তথ্য বা ব্যক্তিগত বার্তার বিষয়বস্তু যাচাইকৃত তথ্যের শ্রেণির অন্তর্ভুক্ত নয়।

তথ্য ফাঁসের সময় হিসেবে 2012 সাল নথিভুক্ত রয়েছে; তথ্যগুলো 2016 সালের মে মাসে ব্যাপকভাবে প্রকাশ্যে আসে। যাচাইকৃত অ্যাকাউন্টের সংখ্যা 16,46,11,595 হিসেবে রাখা হয়েছে। কিছু সংবাদ প্রতিবেদনে 117 মিলিয়ন, 164 মিলিয়ন বা 167 মিলিয়নের মতো ভিন্ন সংখ্যা দেখা যেতে পারে; তথ্যের ভিন্ন অংশ, যাচাইয়ের প্রাথমিক পর্যায় এবং সংবাদে আনুমানিক সংখ্যা ব্যবহারের কারণে এমন পার্থক্য হয়েছে। ব্যবহারকারীদের অনুসন্ধানের ভিত্তি হিসেবে ধরা যাচাইকৃত সংখ্যাটি হলো 16,46,11,595টি অ্যাকাউন্ট।

এই ঘটনার পরিসরের সীমা স্পষ্ট। আনুষ্ঠানিক বিজ্ঞপ্তিতে উল্লেখ করা যাচাইকৃত তথ্যগুলো হলো ইমেইল ঠিকানা, পাসওয়ার্ডের হ্যাশ ও সদস্য ID। প্রোফাইলে দেখা যায় এমন সম্পূর্ণ কর্মজীবনের ইতিহাস, সংযোগের তালিকা, ব্যক্তিগত বার্তা, পেমেন্টের তথ্য, ফোন নম্বর, বাসস্থান বা অন্য স্থানের ঠিকানা কিংবা সরকারি পরিচয়পত্র এই ঘটনায় ফাঁস হয়েছে বলে ধরে নেওয়া উচিত নয়। পুরো পেশাগত প্রোফাইলের তথ্যের বদলে অ্যাকাউন্টে লগইনের তথ্য ও অভ্যন্তরীণ শনাক্তকারীর ভিত্তিতে ঘটনাটি মূল্যায়ন করা উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁদের 2012 সালের আগে LinkedIn অ্যাকাউন্ট ছিল এবং যাঁরা সে সময়ের পাসওয়ার্ড অন্য অ্যাকাউন্টেও বারবার ব্যবহার করেছেন। যাঁরা কর্মক্ষেত্রের ইমেইল দিয়ে LinkedIn ব্যবহার করেন, তাঁদের ঝুঁকি আরও বেশি; কারণ একই ইমেইল ঠিকানাকে লক্ষ্য করে প্রতিষ্ঠানের লগইন পৃষ্ঠায় চেষ্টা চালানো বা কাজ-সম্পর্কিত বার্তা পাঠানো হতে পারে। নির্বাহী কর্মকর্তা, বিক্রয়, মানবসম্পদ, অর্থ, আইন ও প্রযুক্তি দলের সদস্য এবং সর্বসাধারণের জন্য উন্মুক্ত পেশাগত প্রোফাইলধারী ব্যক্তিরা তাঁদের লক্ষ্য করে তৈরি আরও বেশি সোশ্যাল ইঞ্জিনিয়ারিং বার্তা পেতে পারেন।

2012 সালের পর পাসওয়ার্ড পরিবর্তন করা ব্যবহারকারীদের LinkedIn-এ ঝুঁকি কম হতে পারে; তবে একই পুরোনো পাসওয়ার্ড অন্য কোথাও এখনো চালু থাকলে হুমকি থেকে যায়। পুরোনো পাসওয়ার্ড ব্যক্তিগত ইমেইল অ্যাকাউন্ট, প্রতিষ্ঠানের অভ্যন্তরীণ সরঞ্জাম বা সামাজিক যোগাযোগমাধ্যমে ব্যবহার করা হয়ে থাকলে আক্রমণকারী এক সেট তথ্য থেকেই একাধিক অ্যাকাউন্টে প্রবেশের সুযোগ পেতে পারে। LinkedIn অ্যাকাউন্ট আর সক্রিয় না থাকলেও একই ইমেইল ঠিকানা ও পুরোনো পাসওয়ার্ড অন্য সেবায় নিরাপত্তাজনিত সমস্যা তৈরি করতে পারে।

প্রথমে নিশ্চিত করতে হবে, 2012 সালে LinkedIn-এ ব্যবহৃত পাসওয়ার্ডটি এখন কোনো অ্যাকাউন্টেই চালু নেই। অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড থাকলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও শক্তিশালী পাসওয়ার্ড সেট করতে হবে। LinkedIn অ্যাকাউন্টে দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে এবং সক্রিয় সেশন ও সংযুক্ত অ্যাপ্লিকেশনগুলো পর্যালোচনা করতে হবে। কর্মক্ষেত্রের ইমেইল দিয়ে নিবন্ধিত অ্যাকাউন্টের ক্ষেত্রে প্রতিষ্ঠানের ও ব্যক্তিগত অ্যাকাউন্টের পাসওয়ার্ড অবশ্যই সম্পূর্ণ আলাদা রাখতে হবে।

LinkedIn-সংক্রান্ত ভুয়া বার্তার ব্যাপারে সতর্ক থাকতে হবে। এ ধরনের ঘটনার পর ভুয়া সংযোগের আমন্ত্রণ, চাকরির প্রস্তাবের ফাইল, মানবসম্পদ বিভাগের ফর্ম, পাসওয়ার্ড পুনরায় সেট করার সতর্কবার্তা ও অ্যাকাউন্ট যাচাইয়ের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। লিংকে ক্লিক না করে সরাসরি সংশ্লিষ্ট সেবায় যেতে হবে এবং প্রেরকের ঠিকানা ও লগইনের ইতিহাস যাচাই করতে হবে। যে ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ ও কাজের সরঞ্জামে একই পুরোনো পাসওয়ার্ড ব্যবহার করা হয়েছিল, সেগুলোর পাসওয়ার্ডও পরিবর্তন করতে হবে।

দীর্ঘমেয়াদে পেশাজীবীদের নেটওয়ার্কের অ্যাকাউন্ট সুরক্ষিত রাখার মৌলিক পদক্ষেপ হলো প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই ধাপে যাচাইকরণ এবং নিয়মিত সেশন পর্যালোচনা। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো LinkedIn পাসওয়ার্ড আর কোথায় ব্যবহার করা হয়েছে তা খুঁজে পাওয়া সহজ হয়। কর্মক্ষেত্রের ইমেইল ও ব্যক্তিগত অ্যাকাউন্টে আলাদা পাসওয়ার্ড রাখতে হবে, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা হালনাগাদ রাখতে হবে এবং নিরাপত্তা-সংক্রান্ত বিজ্ঞপ্তি চালু করতে হবে। অপ্রয়োজনীয় তৃতীয় পক্ষের সংযোগ সরিয়ে ফেলতে হবে এবং পুরোনো ডিভাইসের সেশন বন্ধ করতে হবে।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে LinkedIn-এর ঘটনা দেখায়, কর্মীদের পেশাগত নেটওয়ার্কের অ্যাকাউন্ট সরাসরি প্রতিষ্ঠানের নিরাপত্তার সঙ্গে সম্পর্কিত হতে পারে। একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার ঠেকানোর নীতি, দুই উপাদানভিত্তিক প্রমাণীকরণ, সন্দেহজনক লগইনের সতর্কবার্তা এবং কর্মীদের ফিশিং-সংক্রান্ত সচেতনতা, এসব একসঙ্গে বিবেচনা করতে হবে। পুরোনো কোনো বাইরের অ্যাকাউন্টের পাসওয়ার্ড যদি প্রতিষ্ঠানের ইমেইল বা কাজের সরঞ্জামের পাসওয়ার্ডের সঙ্গে মিলে যায়, তাহলে একটি তথ্য ফাঁসের ঘটনাই প্রতিষ্ঠানের জন্য ঝুঁকিতে পরিণত হতে পারে। তাই পাসওয়ার্ডের ক্ষেত্রে ব্যক্তিগত ও পেশাগত পরিচয়ের মধ্যে ধারাবাহিকভাবে পৃথকতা বজায় রাখতে হবে।

আপনি যদি তথ্য মিলে যাওয়ার ফলাফল দেখতে পান, তাহলে আপনার ইমেইল ঠিকানা LinkedIn-এর তথ্য ফাঁসের সঙ্গে সংশ্লিষ্ট 16,46,11,595টি অ্যাকাউন্টের মধ্যে থাকতে পারে। এই ফলাফলের অর্থ নয় যে আপনার প্রোফাইলের সব তথ্য বা ব্যক্তিগত বার্তা ফাঁস হয়েছে। যাচাইকৃত তথ্যগুলো হলো ইমেইল ঠিকানা, পাসওয়ার্ডের হ্যাশ ও সদস্য ID। প্রথমে যাচাই করতে হবে, 2012 সালে LinkedIn-এ ব্যবহৃত পাসওয়ার্ড অন্য অ্যাকাউন্টে রয়ে গিয়েছিল কি না।

আপনার LinkedIn অ্যাকাউন্ট সক্রিয় থাকলে সেটির জন্য আলাদা পাসওয়ার্ড নির্ধারণ করুন, দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করুন এবং সক্রিয় সেশনগুলো পর্যালোচনা করুন। একই পুরোনো পাসওয়ার্ড অন্য সেবায় ব্যবহার করে থাকলে সেসব অ্যাকাউন্টেও পাসওয়ার্ড পরিবর্তন করুন। আপনি কর্মক্ষেত্রের ইমেইল ব্যবহার করলে প্রতিষ্ঠানের অ্যাকাউন্টগুলোর পাসওয়ার্ডও যাচাই করুন এবং সন্দেহজনক লগইনের সতর্কবার্তার দিকে নজর রাখুন। এই ঘটনার ক্ষেত্রে সঠিক পদক্ষেপ হলো প্রোফাইলের তথ্য নিয়ে যাচাই করা হয়নি এমন দাবি ছড়ানো নয়, বরং ইমেইল ও পুরোনো পাসওয়ার্ডের সমন্বয় থেকে তৈরি অ্যাকাউন্টের নিরাপত্তার দীর্ঘস্থায়ী ঝুঁকি কমানো।