Little Monsters তথ্য ফাঁস

যাচাইকৃত তথ্যগুলো চারটি প্রধান শ্রেণিতে ভাগ করা হয়েছে: ইমেইল ঠিকানা, ব্যবহারকারীর নাম, জন্মতারিখ এবং পাসওয়ার্ড হ্যাশ। ইমেইল ঠিকানা আক্রমণকারীদের সরাসরি যোগাযোগের সুযোগ দেয়; এসব ঠিকানায় ভুয়া নিরাপত্তা সতর্কতা, সদস্যপদ নবায়নের বার্তা, কমিউনিটির বিজ্ঞপ্তি বা শিল্পীর ফ্যান ক্লাবের প্রসঙ্গ ব্যবহার করে ফিশিং বার্তা পাঠানো হতে পারে। ব্যবহারকারীর নামের সাহায্যে বিভিন্ন সামাজিক যোগাযোগমাধ্যমে একই ব্যক্তিকে খুঁজে পাওয়া সহজ হতে পারে। জন্মতারিখ অ্যাকাউন্ট পুনরুদ্ধারের প্রশ্ন, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো প্রতারণামূলক বার্তা এবং বিভিন্ন প্রোফাইলের মধ্যে মিল খোঁজার চেষ্টায় অতিরিক্ত সূত্র জোগায়।

পাসওয়ার্ডের তথ্য bcrypt দিয়ে সুরক্ষিত হ্যাশ আকারে ছিল বলে জানানো হয়েছে। এটি সরাসরি পাঠযোগ্য পাসওয়ার্ড ফাঁসের তুলনায় বেশি সুরক্ষা দেয়; তবে ঝুঁকি পুরোপুরি দূর করে না। কম্পিউটারের সাহায্যে বারবার চেষ্টা করে দুর্বল পাসওয়ার্ড উদ্ধার করা সম্ভব, আগের তথ্য ফাঁসে পাওয়া পাসওয়ার্ড দ্রুত পরীক্ষা করে দেখা যায়, আর বিভিন্ন পরিষেবায় একই পাসওয়ার্ড ব্যবহার করা হলে একটির সূত্র ধরে একাধিক অ্যাকাউন্ট দখলে যাওয়ার ঝুঁকি থাকে। Little Monsters-এর মতো ভক্তদের কমিউনিটিকেন্দ্রিক পরিষেবায় ব্যবহারকারীরা দীর্ঘদিন একই ডাকনাম ব্যবহার করতে পারেন। ফলে ইমেইল, ব্যবহারকারীর নাম ও জন্মতারিখ একসঙ্গে পাওয়া গেলে সামাজিক যোগাযোগমাধ্যমের প্রোফাইল খুঁজে বের করা ও তার সঙ্গে সংশ্লিষ্ট তথ্যের যোগসূত্র স্থাপন করা সহজ হয়।

এই রেকর্ডের যাচাইকৃত পরিসর প্রায় 9,95,698টি অ্যাকাউন্ট এবং চার ধরনের তথ্যের মধ্যে সীমাবদ্ধ। ঘটনার তারিখ 2017 সালের জানুয়ারি হিসেবেই রাখতে হবে, আর রেকর্ড যুক্ত করার তারিখ 2017 সালের মার্চকে আলাদাভাবে বিবেচনা করতে হবে। ডেটাসেটটি ছড়িয়ে পড়েছিল বলে প্রমাণ রয়েছে এবং নমুনা অ্যাকাউন্টের তথ্যও যাচাই করা হয়েছে; তবে তথ্য ফাঁসের সুনির্দিষ্ট প্রযুক্তিগত কারণ, কোন প্রশাসনিক অ্যাকাউন্ট থেকে ঘটনাটি শুরু হয়েছিল বা সিস্টেমের কোন অংশে ত্রুটি হয়েছিল, তা চূড়ান্তভাবে নিশ্চিত করা হয়নি। তাই অজানা আক্রমণপদ্ধতিকে নিশ্চিত তথ্য হিসেবে ব্যাখ্যা করা উচিত নয়।

Little Monsters এখনও সামাজিক যোগাযোগমাধ্যম ও মোবাইল অ্যাপ হিসেবে পরিচিত এবং Honeycommb-এর সহায়তায় পরিচালিত একটি কমিউনিটি হিসেবে প্রচারিত হয়। পরিষেবাটির বর্তমান এই তথ্য 2017 সালের তথ্য ফাঁসের পরিসর বাড়ায় না; এটি কেবল ব্র্যান্ড ও কমিউনিটির প্রেক্ষাপট সঠিকভাবে শনাক্ত করতে সাহায্য করে। রেকর্ডে প্রতিষ্ঠানের নাম Little Monsters, খাত সামাজিক যোগাযোগমাধ্যম এবং ওয়েবসাইটের ডোমেইন শুধু littlemonsters.com হিসেবে রাখতে হবে। পরিচালনাকারী প্রতিষ্ঠানের যুক্তরাষ্ট্রভিত্তিক দলের ওপর জোর দেওয়া এবং অ্যাপ স্টোরের নিবন্ধন অনুযায়ী দেশের ঘরে যুক্তরাষ্ট্র রাখা যেতে পারে।

যাঁদের 2017 সালের আগে Little Monsters অ্যাকাউন্ট ছিল এবং যাঁরা অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করতেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। ভক্তদের কমিউনিটির সঙ্গে প্রায়ই সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, ইমেইল ঠিকানা, অনুষ্ঠান-সংক্রান্ত অ্যাকাউন্ট ও শিল্পীর কনটেন্টের ঘনিষ্ঠ সম্পর্ক থাকে। আক্রমণকারীরা ব্যক্তিকে লক্ষ্য করে তৈরি বার্তায় এই প্রেক্ষাপট কাজে লাগাতে পারে। যেমন, কোনো ব্যবহারকারী পুরোনো অ্যাকাউন্টের নিরাপত্তা, ভক্তদের কার্যক্রম, অ্যাপে লগইন বা ব্যক্তিগত কমিউনিটিতে যোগ দেওয়ার আমন্ত্রণের ছলে ভুয়া বিজ্ঞপ্তি পেতে পারেন। ইমেইল ও ব্যবহারকারীর নামের মিল এসব বার্তাকে আরও বাস্তবসম্মত করে তোলে।

ডেটাসেটে আপনার জন্মতারিখ থাকা কম বয়সী ব্যবহারকারী, পুরোনো ফ্যান অ্যাকাউন্টের কথা ভুলে যাওয়া ব্যক্তি এবং নিরাপত্তা প্রশ্নে জন্মতারিখ ব্যবহারকারীদের জন্য বাড়তি ঝুঁকি তৈরি করে। একই ইমেইল ঠিকানা দিয়ে খোলা সংগীত, টিকিট, সামাজিক যোগাযোগমাধ্যম, ছবি, ক্লাউড স্টোরেজ বা পেমেন্ট-সংক্রান্ত অ্যাকাউন্ট পর্যালোচনা করা উচিত। এ ছাড়া, বিভিন্ন প্ল্যাটফর্মে একই ডাকনাম ব্যবহারকারীরা ফিশিং ও ভুয়া প্রোফাইল তৈরির প্রচেষ্টার লক্ষ্য হিসেবে আরও সহজে চিহ্নিত হতে পারেন। ঝুঁকির মূল কারণ শুধু একটি পুরোনো অ্যাকাউন্ট নয়, বরং সেই অ্যাকাউন্টের সঙ্গে অন্যান্য ডিজিটাল পরিচয়ের যোগসূত্র স্থাপন করা সম্ভব হওয়া।

এই রেকর্ডে আপনার ইমেইল ঠিকানা থাকলে প্রথমে Little Monsters অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি মনে করার চেষ্টা করুন এবং আর কোথায় একই পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা পরীক্ষা করুন। ইমেইল, সামাজিক যোগাযোগমাধ্যম, সংগীত, অনুষ্ঠান, কেনাকাটা বা আর্থিক অ্যাকাউন্টে একই বা খুব কাছাকাছি পাসওয়ার্ড পাওয়া গেলে প্রতিটির জন্য নতুন, দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড সেট করতে হবে। ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিতে হবে; কারণ সেটি দখলে চলে গেলে অন্য পরিষেবার পাসওয়ার্ড রিসেট লিংকের অপব্যবহার হতে পারে।

যেসব গুরুত্বপূর্ণ অ্যাকাউন্টে দুই উপাদানভিত্তিক পরিচয় যাচাইয়ের সুবিধা আছে, সেগুলোতে তা চালু করতে হবে, অপরিচিত ডিভাইসের সেশন বন্ধ করতে হবে এবং পুনরুদ্ধারের ইমেইল ও ফোনের তথ্য পরীক্ষা করতে হবে। জন্মতারিখ বা ব্যবহারকারীর নাম থাকা নিরাপত্তা প্রশ্ন বদলাতে হবে। Little Monsters বা Lady Gaga-র ভক্তদের কমিউনিটি নিয়ে আসা ইমেইলের কোনো লিংকে ক্লিক করার আগে ঠিকানা ও লগইন পৃষ্ঠা যাচাই করতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একাধিক অ্যাকাউন্টে ব্যবহৃত একই পাসওয়ার্ড খুঁজে পাওয়া এবং প্রতিটি অ্যাকাউন্টের জন্য নতুন শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়।

সামাজিক যোগাযোগমাধ্যমের পুরোনো তথ্য ফাঁস দীর্ঘ সময় পরও কাজে লাগানো যায়, বিশেষ করে প্রোফাইলের মধ্যে মিল খোঁজা ও একই পাসওয়ার্ড পুনরায় ব্যবহারের কারণে। তাই ব্যবহারকারীদের শুধু আক্রান্ত পরিষেবার পাসওয়ার্ড বদলালেই চলবে না। বছরের পর বছর ধরে একই ইমেইল ঠিকানা দিয়ে খোলা অ্যাকাউন্টগুলোর তালিকা তৈরি করতে হবে, অব্যবহৃত অ্যাকাউন্ট বন্ধ করতে হবে এবং প্রোফাইলের তথ্যের ঘরে অপ্রয়োজনীয় জন্মতারিখ বা সবার জন্য উন্মুক্ত ব্যক্তিগত তথ্য রাখা উচিত নয়। পুরোনো ব্যবহারকারীর নাম দিয়ে বিভিন্ন পরিষেবায় খোঁজা সম্ভব হওয়ায় প্রকাশ্য প্রোফাইলে এমন অপ্রয়োজনীয় তথ্য কমাতে হবে, যা বিভিন্ন অ্যাকাউন্টের মধ্যে যোগসূত্র স্থাপনে সাহায্য করে।

প্রতিষ্ঠানের দিক থেকে এ ধরনের কমিউনিটি পরিষেবায় পাসওয়ার্ড হ্যাশ তৈরির জন্য শক্তিশালী অ্যালগরিদম ব্যবহার করতে হবে, অ্যাক্সেস লগ নিয়মিত পর্যবেক্ষণ করতে হবে, তথ্য সংগ্রহ ও সংরক্ষণ প্রয়োজনীয় ন্যূনতম পর্যায়ে রাখতে হবে, অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়ায় অপব্যবহার ঠেকানোর বিধিনিষেধ রাখতে হবে এবং ব্যবহারকারীদের দ্রুত জানাতে হবে। ব্যবহারকারীর দিক থেকে প্রতিটি অ্যাকাউন্টের জন্য স্বতন্ত্র পাসওয়ার্ড, দুই উপাদানভিত্তিক পরিচয় যাচাই, সেশনের ইতিহাস পরীক্ষা এবং সন্দেহজনক কমিউনিটির আমন্ত্রণের ব্যাপারে সতর্ক থাকা হলো সুরক্ষার মৌলিক ব্যবস্থা। এই ঘটনার সবচেয়ে গুরুত্বপূর্ণ শিক্ষা হলো, ভক্তদের কমিউনিটির মতো আপাতদৃষ্টিতে কম ঝুঁকির অ্যাকাউন্টও অন্য অ্যাকাউন্টের সঙ্গে যুক্ত থাকলে নিরাপত্তার ওপর গুরুতর প্রভাব ফেলতে পারে।

LeakData-তে Little Monsters-এর ফলাফল ইতিবাচক হলে প্রথমে সংশ্লিষ্ট ইমেইল ঠিকানার দিকে মনোযোগ দিন। এই ঠিকানার সঙ্গে যুক্ত পুরোনো Little Monsters অ্যাকাউন্ট, একই ব্যবহারকারীর নাম ব্যবহার করা অন্যান্য সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট এবং সেই সময়ের চিহ্নিত পাসওয়ার্ডগুলো পরীক্ষা করুন। পাসওয়ার্ড হ্যাশ bcrypt দিয়ে সুরক্ষিত হলেও শুধু এই তথ্যের ভিত্তিতে নিশ্চিন্ত হওয়া উচিত নয়; দুর্বল বা পুনরায় ব্যবহৃত পাসওয়ার্ড এখনও অ্যাকাউন্টে অনুপ্রবেশের চেষ্টায় কাজে লাগানো যেতে পারে। পুরোনো পাসওয়ার্ড সামান্য বদলে আবার ব্যবহার না করে সম্পূর্ণ নতুন পাসওয়ার্ড বেছে নেওয়া উচিত।

শেষবার যাচাই করার সময় ইমেইল অ্যাকাউন্টের নিরাপত্তা, সামাজিক যোগাযোগমাধ্যমে লগইনের ইতিহাস, পুনরুদ্ধারের তথ্য, সংযুক্ত অ্যাপ এবং সন্দেহজনক বার্তা পর্যালোচনা করতে হবে। জন্মতারিখ বা ব্যবহারকারীর নাম ব্যবহার করে আপনাকে লক্ষ্য করে তৈরি ভুয়া বার্তার ব্যাপারে আরও সতর্ক থাকতে হবে। তথ্য ফাঁসের এই রেকর্ডটি 2017 সালের জানুয়ারির Little Monsters ডেটাসেটের সঙ্গে সম্পর্কিত, যাতে প্রায় 9,95,698টি অ্যাকাউন্ট ছিল; যাচাইকৃত তথ্যগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, জন্মতারিখ এবং bcrypt পাসওয়ার্ড হ্যাশ। এই চার ধরনের তথ্যের কারণে একই পাসওয়ার্ড পুনরায় ব্যবহার, ফিশিং ও বিভিন্ন প্রোফাইলের মধ্যে মিল খোঁজার যে ঝুঁকি তৈরি হতে পারে, তা কমানোই ব্যবহারকারীর করণীয়ের মূল লক্ষ্য হওয়া উচিত।