mail.ru ডাম্প

সংকলনটিতে ইমেইল ঠিকানা ও পাসওয়ার্ড ছিল। প্রথম প্রকাশিত অংশে প্রায় 45 লাখ লগইন রেকর্ড ছিল, যার বেশির ভাগ ঠিকানায় mail.ru ডোমেইন ব্যবহৃত হয়েছিল। জানুয়ারি 2018-তে আরও কিছু তথ্য যোগ করা হয়, যাতে ইমেইল ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ড রয়েছে বলে দাবি করা হয়েছিল। এর ফলে পুনরাবৃত্তি বাদ দেওয়ার পর মোট রেকর্ডের সংখ্যা দাঁড়ায় 1,66,30,988। প্রতিটি সারির তথ্য একই পদ্ধতিতে সংগ্রহ করা হয়েছিল কি না, প্রকাশের সময় প্রতিটি পাসওয়ার্ড কার্যকর ছিল কি না বা প্রতিটি ঠিকানা Mail.ru-এর কোনো মেইলবক্সের ছিল কি না, এসব প্রতিষ্ঠিত হয়নি। বেশির ভাগ ইমেইল ঠিকানা একই ডোমেইনের হওয়া থেকে প্রমাণ হয় না যে Mail.ru-এর অবকাঠামোতে অনুপ্রবেশ ঘটেছিল; মানুষ ওই ঠিকানাগুলো দিয়ে অন্য সাইটে নিবন্ধন করে থাকতে পারেন, যেখান থেকে পরে লগইন তথ্য সংগ্রহ করা হয়েছিল। একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করা হলে প্লেইনটেক্সটে থাকা বা সরাসরি ব্যবহারযোগ্য ইমেইল-পাসওয়ার্ড জোড়া অ্যাকাউন্ট দখলের ঝুঁকি তৈরি করে। অর্থপ্রদান, প্রোফাইল, টেলিফোন, ডাক ঠিকানা ও অন্যান্য ব্যক্তিগত তথ্যের শ্রেণিকে এই রেকর্ডের যাচাইকৃত পরিসরে অন্তর্ভুক্ত করা হয়নি।

10 সেপ্টেম্বর 2014-তে একটি রুশভাষার নিরাপত্তাবিষয়ক ফোরামে Mail.ru-ধাঁচের প্রায় 45 লাখ লগইন তথ্য ও পাসওয়ার্ড প্রকাশিত হয়। Mail.ru জানায়, তাদের বিশ্লেষণে দেখা গেছে যে তালিকাভুক্ত অ্যাকাউন্টগুলোর 95% আগে থেকেই নিরাপত্তা লঙ্ঘনের শিকার হিসেবে চিহ্নিত ছিল, সেগুলোর ব্যবহারকারীদের পাসওয়ার্ড বদলাতে বলা হয়েছিল, মেইল পাঠানো সীমিত করা হয়েছিল বা অ্যাকাউন্টগুলো নিষ্ক্রিয় করা হয়েছিল। কোম্পানির বক্তব্য ছিল, তাদের সার্ভারে সরাসরি হামলার বদলে ব্যবহারকারীদের লক্ষ্য করে চালানো ফিশিং, ম্যালওয়্যার বা তাদের সঙ্গে সম্পর্কহীন সেবা থেকে এই তথ্য এসে থাকতে পারে। রেকর্ডটি 12 সেপ্টেম্বর 2014-তে তালিকায় যোগ করা হয়। জানুয়ারি 2018-তে mail.ru ঠিকানার সঙ্গে যুক্ত আরও ইমেইল-পাসওয়ার্ড জোড়া যোগ হওয়ায় মোট সংখ্যা বেড়ে 1,66,30,988টি রেকর্ড হয় এবং ঘটনাটিকে স্পষ্টভাবে অযাচাইকৃত হিসেবে চিহ্নিত করা হয়। তাই তারিখটিকে প্রথম বড় আকারে তথ্য প্রকাশের সময় হিসেবে বিবেচনা করতে হবে, কোনো একটি অনুপ্রবেশের সুনির্দিষ্ট দিন হিসেবে নয়। এই রেকর্ডকে কোনো প্রতিষ্ঠানের ডেটাবেস থেকে তথ্য ফাঁসের নিশ্চিত ঘটনা বা একক উৎসের ইমেইল-পাসওয়ার্ডের কম্বো তালিকা হিসেবে বর্ণনা করা যাবে না।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা সংকলনে থাকা কোনো পাসওয়ার্ড Mail.ru, সামাজিক যোগাযোগমাধ্যম, কেনাকাটার সাইট, ফোরাম বা অন্য কোনো সেবায়ও ব্যবহার করেছেন। আক্রমণকারীরা স্বয়ংক্রিয়ভাবে একটি ইমেইল-পাসওয়ার্ড জোড়া পরীক্ষা করতে পারে এবং কার্যকর মিল পাওয়ার পর সংশ্লিষ্ট মেইলবক্সে থাকা পাসওয়ার্ড রিসেটের বার্তাগুলোতে প্রবেশের চেষ্টা করতে পারে। তবে এই রেকর্ডে কারও তথ্য থাকা থেকে প্রমাণ হয় না যে তিনি Mail.ru-এর গ্রাহক ছিলেন, তাঁর Mail.ru মেইলবক্সে কেউ প্রবেশ করেছিল বা পাসওয়ার্ডটি Mail.ru-এর সিস্টেম থেকে এসেছিল। Mail.ru-এর পর্যালোচনা অনুযায়ী, প্রথম অংশের অ্যাকাউন্টগুলোর খুব বড় একটি অংশ আগেই চিহ্নিত, সীমাবদ্ধ বা নিষ্ক্রিয় করা ছিল। তাই বর্তমান ঝুঁকি প্রতিটি সারির তথ্য অনুযায়ী ভিন্ন। তা সত্ত্বেও, অপরাধীদের সংকলনে কোনো ঠিকানা ঘুরতে থাকলে স্প্যাম, ফিশিং, প্রতারণামূলক নিরাপত্তা সতর্কবার্তা ও ভবিষ্যতে পাসওয়ার্ড পরীক্ষা করার চেষ্টা চলতে পারে।

2014 সালের কাছাকাছি সময়ে ব্যবহার করা পাসওয়ার্ডটি আপনার মনে থাকলে, এখনো একই পাসওয়ার্ড বা তার কাছাকাছি কোনো রূপ ব্যবহার করছে এমন প্রতিটি অ্যাকাউন্ট শনাক্ত করুন। পুরোনো পাসওয়ার্ড ও সেটির সব পরিবর্তিত রূপ স্থায়ীভাবে ব্যবহার করা বন্ধ করুন; শুধু একটি সংখ্যা বা প্রতীক যোগ করলে যথেষ্ট পার্থক্য তৈরি হয় না। আপনার প্রধান ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিন, কারণ কেউ এতে প্রবেশ করতে পারলে অন্য অনেক সেবার পাসওয়ার্ড রিসেট প্রক্রিয়া ঝুঁকিতে পড়তে পারে। অপরিচিত সেশন, মেইল ফরওয়ার্ড করার নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা ও সংযুক্ত ডিভাইসগুলো পর্যালোচনা করুন। এরপর যেখানে সম্ভব, একাধিক উপাদানভিত্তিক পরিচয় যাচাই (মাল্টি-ফ্যাক্টর অথেনটিকেশন) চালু করুন। Mail.ru বা অন্য কোনো সেবাদাতার নামে “আপনার পাসওয়ার্ড ফাঁস হয়েছে”, “আপনার অ্যাকাউন্ট বন্ধ হয়ে যাবে” বা “আপনার পরিচয় যাচাই করুন” দাবি করা বার্তার লিংকে যাবেন না। নিজে সরাসরি সেবাটি খুলে অ্যাকাউন্ট প্যানেলে সতর্কবার্তাটি যাচাই করুন। ফোন করা বা বার্তা পাঠানো কাউকে কখনো পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড বা রিকভারি কি দেবেন না। অপ্রত্যাশিত সেশনের নোটিশ পেলে আলাদা কোনো মাধ্যমে তা যাচাই করুন।

প্রতিটি সেবার জন্য এলোমেলো ও স্বতন্ত্র পাসওয়ার্ড তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন। এতে একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ হবে, বিভিন্ন উৎসের এমন সংকলনকে সবচেয়ে বেশি কাজে লাগানোর সুযোগ দেয় এই পুনর্ব্যবহারই। ইমেইলে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু রাখুন। সুযোগ থাকলে ফিশিং-প্রতিরোধী নিরাপত্তা চাবি বা ডিভাইসভিত্তিক পদ্ধতিকে অগ্রাধিকার দিন। পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন করে নতুন পাসওয়ার্ড বানাবেন না এবং অ্যাকাউন্ট পুনরুদ্ধারের প্রশ্নের উত্তরে সর্বজনবিদিত ব্যক্তিগত তথ্য ব্যবহার করা এড়িয়ে চলুন। মনে রাখবেন, কোনো ডেটাসেটের নাম একটি ইমেইল ডোমেইনের নামে হলেই সেবাদাতা হ্যাক হয়েছে বলে প্রতিষ্ঠিত হয় না; নিরাপত্তার মূল্যায়নে উৎসের অনিশ্চয়তাও বিবেচনায় রাখতে হবে। পরিত্যক্ত অ্যাকাউন্ট বন্ধ করুন, পুরোনো সেশন শেষ করুন এবং নিয়মিত অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করুন। পুরোনো কোনো সংকলনে থাকা ঠিকানা এখনো ফিশিং অভিযানে ব্যবহার করা যেতে পারে। প্রেরক আপনার আসল ঠিকানা বা পুরোনো পাসওয়ার্ড জানেন বলেই তাঁর বার্তা বিশ্বাসযোগ্য হয়ে যায় না।

2014 সালে বা তার আগে ব্যবহার করা আপনার প্রতিটি বর্তমান ও পুরোনো ইমেইল ঠিকানা যাচাই করতে এই পৃষ্ঠার নিরাপদ অনুসন্ধান ঘরটি ব্যবহার করুন। মিল পাওয়া গেলে বোঝা যেতে পারে যে ঠিকানাটি এই অযাচাইকৃত, বিভিন্ন উৎস থেকে সংগৃহীত সংকলনে রয়েছে। এতে প্রমাণ হয় না যে Mail.ru হ্যাক হয়েছিল, পাসওয়ার্ডটি এখনো কাজ করে বা রেকর্ডটির উৎস জানা আছে। কোনো ফল পেলে সেই সময়ের পাসওয়ার্ডটি মনে করার চেষ্টা করুন এবং এখনো ব্যবহৃত প্রতিটি একই বা কাছাকাছি ধরনের পাসওয়ার্ড বদলে ফেলুন। মেইলবক্সের নিরাপত্তার ইতিহাস, অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস ও সক্রিয় সেশনও পর্যালোচনা করুন। কোনো ফল না পাওয়া সম্পূর্ণ নিশ্চয়তা নয়, কারণ সংকলনটি অসম্পূর্ণ হতে পারে, কোনো ঠিকানা ভিন্নভাবে লেখা থাকতে পারে বা অন্য কোনো ডেটাসেটে সেটি থাকতে পারে। অনুসন্ধান ঘরে শুধু যে শনাক্তকারী গ্রহণ করা হয় সেটিই লিখুন; তথ্য ফাঁস যাচাইয়ের কোনো সেবায় কখনো পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড বা রিকভারি কি জমা দেবেন না। কোনো নোটিশে পুরোনো পাসওয়ার্ড দেখানো হলেও সেটির ভেতরের লিংক এড়িয়ে চলুন এবং সংশ্লিষ্ট সেবায় সরাসরি প্রবেশ করুন।