Lumin PDF-এর 2019 সালের তথ্য ফাঁস

যাচাইকৃত ডেটাসেটে অথেনটিকেশন টোকেন, ইমেইল ঠিকানা, লিঙ্গ, নাম, পাসওয়ার্ড, ব্যবহারকারীদের কথ্য ভাষা ও ব্যবহারকারীর নাম ছিল। 1,54,53,048টি স্বতন্ত্র অ্যাকাউন্টের এই সংখ্যা অনুসন্ধানযোগ্য ডেটাসেট থেকে সদৃশ রেকর্ড বাদ দেওয়ার পর পাওয়া গেছে; অন্যদিকে, প্রকাশ্যে শেয়ার করা আর্কাইভে প্রায় 24.3 মিলিয়ন সারি ছিল বলে জানানো হয়েছিল। তাই এই দুটি সংখ্যাকে একই অর্থে ব্যবহার করা যাবে না। অধিকাংশ রেকর্ডে Google Drive-এর সঙ্গে Lumin PDF-এর সংযোগের একটি অ্যাক্সেস টোকেন ছিল, আর সরাসরি তৈরি করা 1,18,746টি Lumin অ্যাকাউন্টে bcrypt পাসওয়ার্ড হ্যাশ ছিল। প্রতিটি সারিতে পাসওয়ার্ড ও টোকেন উভয়ই ছিল, এমন ধরে নেওয়া যাবে না। কোম্পানি জানিয়েছিল, ঘটনার সময় ফাঁস হওয়া Google টোকেনগুলোর মেয়াদ শেষ হয়ে গিয়েছিল এবং সেগুলো দিয়ে ব্যবহারকারীদের নথি বা স্বাক্ষরে প্রবেশ করা যেত না। এটি ছিল কোম্পানির দাবি; সংবাদ প্রকাশকারী প্রতিষ্ঠান স্বাধীনভাবে তা যাচাই করেনি।

প্রতিবেদন অনুযায়ী, 2019 সালের এপ্রিলে Lumin PDF-এর একটি ডেটাবেস পাসওয়ার্ড সুরক্ষা ছাড়াই ইন্টারনেট থেকে প্রবেশযোগ্য অবস্থায় ছিল এবং সেখান থেকে তথ্য নেওয়া হয়েছিল। 2019 সালের সেপ্টেম্বরে অপরাধীদের একটি ফোরামে ব্যবহারকারীদের তথ্য ডাউনলোডের জন্য উন্মুক্ত হয়; সাংবাদিকেরা একটি কপি সংগ্রহ করেন এবং কয়েকজন Lumin PDF ব্যবহারকারীর তথ্যের সঙ্গে মিলিয়ে সেটির সত্যতা যাচাই করেন। প্রথম প্রতিবেদন প্রকাশের পর Lumin PDF তদন্ত করে নিশ্চিত করে যে ওই উপাত্তে তাদের ব্যবহারকারীদের তথ্যের একটি অংশ ছিল। ফাঁস হওয়া ডেটাবেসে আনুমানিক 24.3 মিলিয়ন সারি ছিল, আর সদৃশ রেকর্ড বাদ দেওয়ার পর নির্ধারিত স্বতন্ত্র অ্যাকাউন্টের সংখ্যা 1,54,53,048। Google অ্যাক্সেস টোকেনগুলো অকার্যকর ছিল, কোম্পানি এই দাবিতে অটল ছিল; সংবাদ প্রকাশকারী প্রতিষ্ঠান জানায়, তারা স্বাধীনভাবে এই দাবি যাচাই করতে পারেনি এবং Google বিষয়টি তদন্ত করছিল। ডেটাবেসটি ঠিক কত দিন উন্মুক্ত ছিল বা প্রতিটি সারি একই সময়ে সংগ্রহ করা হয়েছিল কি না, তা প্রতিষ্ঠিত হয়নি। তাই তথ্য সংগ্রহের অন্য কোনো পদ্ধতি অনুমান করা উচিত নয়।

যাঁরা পাসওয়ার্ড দিয়ে সরাসরি Lumin PDF অ্যাকাউন্ট তৈরি করেছিলেন, তাঁদের অ্যাকাউন্ট দখল হওয়ার ঝুঁকি রয়েছে, বিশেষ করে যদি তাঁরা ইমেইল বা অন্য কোনো সেবায় একই পাসওয়ার্ড ব্যবহার করে থাকেন। Bcrypt অফলাইনে পাসওয়ার্ড অনুমানের চেষ্টা ধীর করে, তবে ছোট, বহুল ব্যবহৃত বা আগে ফাঁস হওয়া পাসওয়ার্ডকে অনুমান করা অসম্ভব করে তুলতে পারে না। যাঁরা Google দিয়ে সাইন ইন করেছিলেন, তাঁদের ঝুঁকি নির্ভর করে সেই সময় অ্যাক্সেস টোকেনটি কার্যকর ছিল কি না এবং সেটি কী কী অনুমতি পেয়েছিল তার ওপর। কোম্পানি টোকেনগুলোর মেয়াদ শেষ হয়ে যাওয়ার কথা বললেও, তৃতীয় পক্ষের অ্যাপ্লিকেশনের প্রবেশাধিকার পর্যালোচনা করা এখনো সতর্কতামূলক একটি যুক্তিসংগত পদক্ষেপ। নাম, ইমেইল ঠিকানা, ব্যবহারকারীর নাম, লিঙ্গ ও ভাষার সেটিংস ব্যবহার করে নথি শেয়ার করা, স্বাক্ষরের অনুরোধ, চালান, একসঙ্গে কাজের আমন্ত্রণ বা অ্যাকাউন্টের নিরাপত্তা নিয়ে বিশ্বাসযোগ্য মনে হয় এমন বার্তা তৈরি করা যেতে পারে। কোনো ইমেইল ঠিকানা মিলে যাওয়া থেকে প্রমাণ হয় না যে পাসওয়ার্ড উদ্ধার করা হয়েছে, Google অ্যাকাউন্টে প্রবেশ করা হয়েছে বা কোনো PDF নথি দেখা হয়েছে।

আপনি যদি Lumin PDF-এ সরাসরি পাসওয়ার্ড দিয়ে নিবন্ধন করে থাকেন, তাহলে সেটি বদলান এবং একই বা অনুরূপ লগইন তথ্য ব্যবহার করা অন্য সব অ্যাকাউন্টেও তা পরিবর্তন করুন। আপনার প্রধান ইমেইল অ্যাকাউন্টে একটি স্বতন্ত্র পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর অথেনটিকেশন ব্যবহার করে সেটি সুরক্ষিত করুন, কারণ পাসওয়ার্ড পুনর্নির্ধারণের অধিকাংশ বার্তা সেখানেই আসে। আপনার Google অ্যাকাউন্টে তৃতীয় পক্ষের অ্যাপ্লিকেশনের অনুমতির অংশটি খুলুন, Lumin PDF-কে কী কী অনুমতি দেওয়া হয়েছে তা পর্যালোচনা করুন এবং সেবাটি আর ব্যবহার না করলে প্রবেশাধিকার সরিয়ে দিন। ব্যবহার চালিয়ে গেলে, অনুমতি প্রত্যাহার করে অফিশিয়াল অ্যাপ্লিকেশনের মাধ্যমে আবার সংযোগ স্থাপন করা পুরোনো টোকেন অকার্যকর করতে সহায়তা করতে পারে। অপরিচিত Google সেশন, নিরাপত্তা-সংক্রান্ত ঘটনা ও সংযুক্ত ডিভাইসগুলো পর্যালোচনা করুন। শেয়ার করা নথি, ইলেকট্রনিক স্বাক্ষর, চালান বা স্টোরেজ সীমা নিয়ে অপ্রত্যাশিতভাবে আসা লিংকে ক্লিক করবেন না; Lumin PDF ও Google Drive-এর পরিচিত ডোমেইন দিয়ে সরাসরি সেগুলো খুলুন। সহায়তাকর্মী পরিচয়ে ফোন করা কাউকে বা কোনো বার্তার উত্তরে কখনো পাসওয়ার্ড, অ্যাক্সেস টোকেন বা একবার ব্যবহারযোগ্য কোড দেবেন না।

প্রতিটি সেবার জন্য দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন, যাতে একটি bcrypt হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করা গেলেও অন্য অ্যাকাউন্টগুলো ঝুঁকিতে না পড়ে। ইমেইল ও ক্লাউড স্টোরেজ সেবায় পাসকি বা ফিশিং-প্রতিরোধী মাল্টি-ফ্যাক্টর অথেনটিকেশনকে অগ্রাধিকার দিন। Google, Microsoft ও অনুরূপ অ্যাকাউন্টে তৃতীয় পক্ষের অ্যাপ্লিকেশনের অনুমতি নিয়মিত পর্যালোচনা করুন; অব্যবহৃত সংযোগ সরিয়ে দিন এবং শুধু ন্যূনতম প্রয়োজনীয় অনুমতি দিন। শেয়ার করা নথির প্রবেশাধিকার সেটিংস, লিংকের অনুমতি ও সহযোগীদের তালিকা পরীক্ষা করুন। প্রতিষ্ঠানগুলোর উচিত অথেনটিকেশন, নেটওয়ার্কে প্রবেশের অনুমোদিত তালিকা ও ফায়ারওয়াল দিয়ে ইন্টারনেট থেকে প্রবেশযোগ্য ডেটাবেস সুরক্ষিত করা, ব্যাকআপে প্রবেশের জন্য আলাদা সুরক্ষা-সীমানা রাখা এবং বাইরে থেকে প্রবেশযোগ্য ডিজিটাল সম্পদ স্ক্যান করা। OAuth টোকেনে ন্যূনতম অধিকার, স্বল্প মেয়াদ ও নিয়মিত টোকেন পরিবর্তনের ব্যবস্থা থাকা উচিত; পাশাপাশি কোনো ঘটনার পর একসঙ্গে বহু টোকেন প্রত্যাহারের ব্যবস্থাও রাখতে হবে। কোনো প্রেরক আসল ফাইলের নাম বা ব্যবহারকারীর কোনো তথ্য জানেন বলেই তাঁকে বিশ্বাস করবেন না।

Lumin PDF-এ আপনি ব্যবহার করে থাকতে পারেন এমন বর্তমান ও পুরোনো প্রতিটি ইমেইল ঠিকানা পরীক্ষা করতে এই পৃষ্ঠার নিরাপদ অনুসন্ধান বক্স ব্যবহার করুন। মিল পাওয়ার অর্থ হলো, ঠিকানাটি যাচাইকৃত 1,54,53,048টি স্বতন্ত্র অ্যাকাউন্টের মধ্যে রয়েছে; এতে বোঝা যায় না যে সংশ্লিষ্ট সারিতে bcrypt পাসওয়ার্ড হ্যাশ বা Google অ্যাক্সেস টোকেন ছিল কি না, কোনো টোকেন কার্যকর ছিল কি না, কিংবা নথি ফাঁস হয়েছিল কি না। ফল পাওয়া গেলে, আপনি সরাসরি পাসওয়ার্ড দিয়ে অ্যাকাউন্ট ব্যবহার করেছিলেন কি না তা নির্ধারণ করুন, অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করে থাকলে তা বদলান এবং Google অ্যাকাউন্টে তৃতীয় পক্ষের অ্যাপ্লিকেশনের প্রবেশাধিকার পর্যালোচনা করুন। অন্য কোথাও একই ব্যবহারকারীর নাম ব্যবহার করে থাকলে, ফিশিং এবং বিভিন্ন প্রোফাইলের মধ্যে যোগসূত্র খোঁজার চেষ্টা সম্পর্কে সতর্ক থাকুন। অনুসন্ধান বক্সে কখনো পাসওয়ার্ড, অ্যাক্সেস টোকেন, একবার ব্যবহারযোগ্য কোড বা নথির বিষয়বস্তু লিখবেন না। কোনো ফল না পাওয়া সম্পূর্ণ নিশ্চয়তা দেয় না, কারণ আপনার অন্য কোনো ঠিকানা, এই ডেটাসেটের বাইরে থাকা কোনো রেকর্ড বা অন্য কোনো ঘটনা তখনো প্রাসঙ্গিক হতে পারে। সন্দেহজনক নথি বা স্বাক্ষর-সংক্রান্ত সতর্কবার্তার লিংক ব্যবহার না করে সেবাটির পরিচিত ডোমেইন সরাসরি খুলুন।