MagicDuel: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, খেলোয়াড়দের ডাকনাম ও পাসওয়ার্ড। পাসওয়ার্ডগুলো bcrypt ফরম্যাটে সংরক্ষিত বলে মূল্যায়ন করা হয়েছিল। এটি সংরক্ষণের একটি শক্তিশালী পদ্ধতি হলেও একাধিক জায়গায় ব্যবহৃত দুর্বল পাসওয়ার্ড ঝুঁকিপূর্ণ। এই ক্ষেত্রগুলো আলাদাভাবে মূল্যায়ন করা হয়েছিল। যাচাই না করা পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র, ব্যক্তিগত বার্তা, স্বাস্থ্য রেকর্ড বা অতিরিক্ত প্রোফাইলের ক্ষেত্র তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি।

খেলোয়াড়ের ডাকনাম ও ইমেইলের মিল পাওয়া গেলে তাঁর গেমিং পরিচয়কে যোগাযোগের প্রকৃত ঠিকানার সঙ্গে যুক্ত করা সম্ভব। শুধু একটি ইমেইল ঠিকানা থেকেই স্প্যাম ও ফিশিংয়ের ঝুঁকি তৈরি হয়। তবে নাম, ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ বা পেশাগত তথ্যের সঙ্গে এটি যুক্ত হলে আক্রমণকারীর পক্ষে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে আরও মানানসই বার্তা তৈরি করা সহজ হয়। তাই শুধু রেকর্ডের সংখ্যার ভিত্তিতে নয়, তথ্যের ক্ষেত্রগুলো একসঙ্গে কতটা ব্যবহারযোগ্য, তা বিবেচনা করেও ঝুঁকি মূল্যায়ন করা হয়েছিল।

যাচাইকৃত পরিসরে 2023 সালের আগস্টের 1,38,443টি অ্যাকাউন্ট অন্তর্ভুক্ত ছিল। যাচাইকৃত তথ্যের ক্ষেত্রগুলো রাখা হলেও যেসব ক্ষেত্রের বিষয়ে চূড়ান্ত সিদ্ধান্ত হয়নি, সেগুলো বাদ দেওয়া হয়েছিল। এর ফলে ব্যবহারকারী বর্তমান রেকর্ড সম্পর্কে জানতে পারেন, অযথা অতিরিক্ত উদ্বিগ্ন হন না, আবার প্রকৃত ঝুঁকিকেও ছোট করে দেখেন না।

ব্যবহারকারীর নামের বদলে ডাকনাম ব্যবহার করা হয়েছিল, কারণ প্রতিবেদনে উল্লেখিত ক্ষেত্রটি খেলোয়াড়ের নাম বা ডাকনামের সঙ্গে বেশি সঙ্গতিপূর্ণ। এই রেকর্ডের নামের সঙ্গে মিল আছে এমন অন্য কোনো ঘটনা থাকলেও সেগুলোকে একত্র করে একটি বড় ঘটনা হিসেবে দেখানো হয়নি। ডোমেইনের নাম, কোম্পানির নাম ও খাতের তথ্য যতটা সম্ভব সঠিক ও সুনির্দিষ্ট প্রেক্ষাপটে সীমিত রাখা হয়েছিল। এতে একই তথ্য ফাঁসের ঘটনা একাধিকবার যোগ হওয়া বা ভুলভাবে কোনো ঘটনার সঙ্গে যুক্ত হওয়াও এড়ানো যায়।

যাঁদের MagicDuel অ্যাকাউন্ট আছে এবং যাঁরা অন্য গেমেও একই ডাকনাম ব্যবহার করেন, তাঁরা ঝুঁকিতে থাকা ব্যবহারকারী গোষ্ঠীর অন্তর্ভুক্ত। এই রেকর্ডে যাঁদের তথ্যের মিল পাওয়া যায়, তাঁদের শুধু সংশ্লিষ্ট সেবার অ্যাকাউন্ট নয়, একই ইমেইল, ব্যবহারকারীর নাম বা পাসওয়ার্ডের ধরন ব্যবহার করা অন্য অ্যাকাউন্টগুলোর কথাও বিবেচনা করা উচিত।

গেমিং কমিউনিটিতে ভুয়া পুরস্কার, অ্যাকাউন্ট যাচাই, অনুষ্ঠানের আমন্ত্রণ বা মার্কেটপ্লেসের বার্তার মাধ্যমে সামাজিক প্রকৌশলভিত্তিক প্রতারণা চালানো হতে পারে। যাঁরা প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধন করেন, তাঁদের ক্ষেত্রে ঝুঁকি ব্যক্তিগত অ্যাকাউন্টের বাইরেও ছড়াতে পারে। আক্রমণকারীরা আরও বিশ্বাসযোগ্য বার্তা পাঠাতে নাম, পদ, ফোন নম্বর, ঠিকানা, কেনাকাটার তথ্য, গেম ID বা পেশাগত প্রোফাইলের তথ্য ব্যবহার করতে পারে। তাই ব্যবহারকারীদের এই মিল পাওয়াকে শুধু একটি সাইটের সমস্যা হিসেবে দেখা উচিত নয়।

ক্ষতিগ্রস্ত ব্যবহারকারীদের MagicDuel-এর পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা গেম স্টোর, ইমেইল, সামাজিক যোগাযোগমাধ্যম ও মেসেজিং অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো উচিত। যেসব রেকর্ডে পাসওয়ার্ডের ক্ষেত্র আছে, সেগুলোর ক্ষেত্রে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড হালনাগাদ করা উচিত। যেসব রেকর্ডে পাসওয়ার্ডের ক্ষেত্র নেই, সেগুলোর ক্ষেত্রে ইমেইল, ফোন ও ভুয়া বিজ্ঞপ্তির ঝুঁকির দিকে মনোযোগ দেওয়া উচিত। উভয় ক্ষেত্রেই ইমেইল অ্যাকাউন্ট একটি শক্তিশালী ও অন্য কোথাও ব্যবহার করা হয়নি এমন পাসওয়ার্ড দিয়ে সুরক্ষিত রাখা উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা উচিত অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত রেকর্ড ব্যবহার করা উচিত। ফোনে পাওয়া যাচাইকরণ কোড, পাসওয়ার্ড পুনঃস্থাপনের অনুরোধ, পণ্য পাঠানো, চাকরির প্রস্তাব, সহায়তা, সাবস্ক্রিপশন বা নিরাপত্তা-সংক্রান্ত বিজ্ঞপ্তির মতো বার্তা আলাদা একটি মাধ্যমে যাচাই না করে বিশ্বাস করা উচিত নয়।

খেলোয়াড়দের প্রতিটি গেম ও ফোরাম অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। গেমের ডাকনামের সঙ্গে ব্যক্তিগত অ্যাকাউন্টের অপ্রয়োজনীয় মিল রাখাও উচিত নয়। পুরোনো অ্যাকাউন্ট, অব্যবহৃত ফোন নম্বর ও ঠিকানার ক্ষেত্র, বারবার ব্যবহৃত ব্যবহারকারীর নাম এবং একই পাসওয়ার্ডের ধরন নিয়মিত পরিষ্কার করা উচিত। ব্যবহারকারীদের প্রতিটি সেবায় আলাদা পাসওয়ার্ড ব্যবহার করা এবং সম্ভব হলে দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত।

সেবাদাতাদের দৃষ্টিকোণ থেকে ন্যূনতম তথ্য সংরক্ষণ, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, অ্যাক্সেস লগ পর্যবেক্ষণ, অপ্রয়োজনীয় প্রোফাইলের ক্ষেত্র মুছে ফেলা এবং তথ্য ফাঁসের পর ব্যবহারকারীদের জানানো মৌলিক প্রয়োজন। গেমিং অ্যাকাউন্টের নিরাপত্তা দুর্বলতা ডিজিটাল সম্পদ হারানো এবং কমিউনিটিতে সুনাম নষ্ট হওয়ার কারণও হতে পারে। এমন ক্ষেত্রে ঘটনার পরিসর সঠিকভাবে জানানো প্রযুক্তিগত সংশোধনের মতোই গুরুত্বপূর্ণ। অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

ব্যবহারকারীর উচিত প্রথমে নিজের ইমেইল ঠিকানা দিয়ে এই রেকর্ডটি যাচাই করা। মিল পাওয়া গেলে ডাকনাম, IP ও পাসওয়ার্ডের ক্ষেত্রগুলো ঝুঁকিতে থাকতে পারে বলে ধরে নেওয়া উচিত। একই পাসওয়ার্ড ব্যবহার করা সব গেম অ্যাকাউন্টের পাসওয়ার্ড হালনাগাদ করা উচিত। মিল না পাওয়া গেলেও আগে একই পাসওয়ার্ড বারবার ব্যবহার করা বা একই সেবার সঙ্গে যুক্ত ভিন্ন ইমেইল ব্যবহারের সম্ভাবনা পুরোপুরি নাকচ হয় না। তাই গুরুত্বপূর্ণ অ্যাকাউন্টগুলোও আলাদাভাবে পর্যালোচনা করা উচিত।

এই রেকর্ডের যাচাইকৃত অবস্থা বজায় ছিল। রেকর্ডের সংখ্যা ও তথ্যের ধরন যাচাইকৃত মানের সঙ্গে সামঞ্জস্যপূর্ণ করা হয়েছিল। এই সংশোধনে তথ্যের ক্ষেত্রগুলো ইংরেজি মানক শ্রেণিনামেই রাখা হয়েছিল, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছিল, যাচাই না করা ক্ষেত্র যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতার ফ্ল্যাগ ব্যবহার করা হয়েছিল।