MangaToon: তথ্য ফাঁস

ইমেইল ঠিকানা, নাম ও ব্যবহারকারীর নাম নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং চালাতে বা বিভিন্ন অ্যাকাউন্টের মধ্যে মিল খুঁজতে ব্যবহার করা যেতে পারে। অন্যদিকে, লিঙ্গ সংক্রান্ত তথ্য, অ্যাভাটার ও সামাজিক প্রোফাইলের পরিচয় ব্যবহার করে বার্তাকে আরও ব্যক্তিগত করে তোলা সম্ভব। পাসওয়ার্ডগুলো সল্টযুক্ত MD5 হ্যাশ হিসেবে সংরক্ষিত ছিল বলে নিশ্চিত করা হয়েছে। সল্ট ব্যবহারে একই পাসওয়ার্ড থেকে একই হ্যাশ তৈরি হওয়া ঠেকানো যায়। তবে MD5 আধুনিক পাসওয়ার্ড হ্যাশিং অ্যালগরিদম নয়, আর এটিকে ইচ্ছাকৃতভাবে ধীরগতিরও করা হয়নি। তাই অফলাইনে অনুমান করে দুর্বল পাসওয়ার্ড বের করার ঝুঁকি থেকেই যায়। সামাজিক অ্যাকাউন্ট দিয়ে সাইন-ইন থেকে পাওয়া পরিচয় যাচাইয়ের টোকেন পাসওয়ার্ড নয়। এগুলোর মেয়াদও প্রকাশ করা হয়নি। তবে চুরি হওয়ার সময় সক্রিয় থাকা টোকেনগুলো সেশনের জন্য আলাদা ঝুঁকি তৈরি করে থাকতে পারে। সামাজিক যোগাযোগমাধ্যমের প্রোফাইল সংক্রান্ত তথ্য বলতে অ্যাকাউন্টের পরিচয় বোঝানো হয়েছে; এর অর্থ এই নয় যে ব্যক্তিগত বার্তা বা সামাজিক যোগাযোগমাধ্যমের পাসওয়ার্ড ফাঁস হয়েছে।

ঘটনাটির উল্লিখিত তারিখ 13 মে 2022। প্রযুক্তিগত প্রতিবেদনে বলা হয়, আক্রমণকারী সহজে অনুমান করা যায় এমন লগইন তথ্য ব্যবহার করে MangaToon-এর একটি Elasticsearch সার্ভারে প্রবেশ করেছিল। প্রতিবেদনে দাবি করা হয়, পাসওয়ার্ডটি ছিল আক্ষরিক অর্থেই “password”। আক্রমণকারী প্রতিষ্ঠানকে জানানোর পর সার্ভারের লগইন তথ্য পরিবর্তন করা হয়েছিল বলে জানানো হয়। তবে প্রতিষ্ঠানের সঙ্গে যোগাযোগ করে ব্যবহারকারীদের জন্য বক্তব্য পাওয়ার একাধিক চেষ্টা করা হলেও কোনো উত্তর পাওয়া যায়নি। একটি সংবাদমাধ্যমের সঙ্গে শেয়ার করা অ্যাকাউন্টের নমুনাও পরীক্ষা করে প্ল্যাটফর্মে বৈধ বলে নিশ্চিত করা হয়। 2022 সালের জুলাই মাসে 2 কোটি 30 লাখেরও বেশি রেকর্ড একটি যাচাইকৃত তথ্য ফাঁসের তালিকায় যুক্ত করা হয়। ডেটাবেসটি কত দিন প্রবেশযোগ্য ছিল, তখন টোকেনগুলো সক্রিয় ছিল কি না, অথবা প্রতিটি রেকর্ডে সব ধরনের তথ্য ছিল কি না, প্রকাশ্য তথ্য থেকে এসব নিশ্চিত করা যায় না। তাই এই বিষয়গুলোকে নিশ্চিত তথ্য হিসেবে উপস্থাপন করা উচিত নয়।

যাঁরা MangaToon-এর পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেছেন এবং যাঁরা সামাজিক অ্যাকাউন্ট দিয়ে সাইন-ইন করেছেন, তাঁরা সবচেয়ে সরাসরি ঝুঁকির মুখে আছেন। উদ্ধার করা কোনো পাসওয়ার্ড একই লগইন তথ্য গ্রহণ করে এমন ইমেইল, সামাজিক যোগাযোগমাধ্যম বা অন্য বিনোদন সেবায় ক্রেডেনশিয়াল স্টাফিংয়ের চেষ্টায় ব্যবহার করা হতে পারে। যেসব ব্যবহারকারীর সামাজিক অ্যাকাউন্ট দিয়ে সাইন-ইনের টোকেন রেকর্ডে ছিল, তাঁদের ক্ষেত্রে শুধু পাসওয়ার্ড বদলানো যথেষ্ট নাও হতে পারে; সংযুক্ত অ্যাপের অনুমতি ও সক্রিয় সেশনও পর্যালোচনা করা দরকার। নাম, ইমেইল ঠিকানা, লিঙ্গ, অ্যাভাটার ও সামাজিক প্রোফাইলের পরিচয় একত্র করে সহায়তা বিভাগের নামে পাঠানো ভুয়া বার্তা বা MangaToon-সংক্রান্ত প্রচারকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। সব 2,30,40,238টি রেকর্ডে প্রতিটি তথ্য ছিল বলে ধরে নেওয়া উচিত নয়। টোকেনগুলো এখনও বৈধ আছে বলেও ধরে নেওয়া উচিত নয়। পেমেন্ট ও বাসা বা অন্য স্থানের ঠিকানা সংক্রান্ত তথ্য যাচাইকৃত পরিসরের বাইরে রয়েছে। তাই আর্থিক জালিয়াতির দাবি সরাসরি এই ঘটনার সঙ্গে যুক্ত করা যায় না।

আপনার MangaToon পাসওয়ার্ডের বদলে দীর্ঘ ও অন্য কোথাও ব্যবহার করা হয়নি এমন একটি পাসওয়ার্ড দিন। একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেছেন এমন প্রতিটি সেবার জন্য আলাদা লগইন তথ্য তৈরি করুন। সংশ্লিষ্ট ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন (একাধিক স্বতন্ত্র উপাদান দিয়ে পরিচয় যাচাই) চালু করুন। আপনি সামাজিক অ্যাকাউন্ট দিয়ে সাইন-ইন করে থাকলে সেই সেবাদাতার সংযুক্ত অ্যাপের তালিকা পর্যালোচনা করুন, MangaToon-এর প্রবেশাধিকার প্রত্যাহার করুন, আবার সংযুক্ত করার ক্ষেত্রে কেবল আনুষ্ঠানিক অ্যাপ বা ওয়েবসাইট ব্যবহারের কথা বিবেচনা করুন, বিদ্যমান সেশনগুলো বন্ধ করুন এবং অপরিচিত সাইন-ইনগুলো পরীক্ষা করুন। অপ্রত্যাশিতভাবে আসা MangaToon-সংক্রান্ত পাসওয়ার্ড রিসেট, বিনামূল্যে টোকেন, সদস্যপদ বা কনটেন্ট আনলক করার বার্তার লিংকে যাবেন না। অনুমতি ছাড়া প্রোফাইলের ইমেইল ঠিকানা, ব্যবহারকারীর নাম, অ্যাভাটার বা সংযুক্ত সামাজিক অ্যাকাউন্ট বদলে গেলে আনুষ্ঠানিক মাধ্যমে সহায়তা বিভাগে যোগাযোগ করুন। তথ্য ফাঁসের অনুসন্ধান ফর্ম বা তৃতীয় পক্ষের ওয়েবসাইটে কখনো পাসওয়ার্ড বা টোকেনের মান লিখবেন না।

প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করে এমন পাসওয়ার্ড ম্যানেজার ব্যবহার করলে পুরোনো কোনো তথ্য ফাঁসের প্রভাব অন্য অ্যাকাউন্টে ছড়ানো ঠেকানো যায়। সামাজিক অ্যাকাউন্ট দিয়ে সাইন-ইন সুবিধাজনক হতে পারে, তবে সংযুক্ত অ্যাপের তালিকা নিয়মিত পরিষ্কার করা এবং অব্যবহৃত সেশনগুলো বাতিল করা উচিত। অনেক অ্যাকাউন্ট পুনরুদ্ধারের কেন্দ্রীয় মাধ্যম হলো ইমেইল। তাই অন্য কোথাও ব্যবহার করা হয়নি এমন সবচেয়ে শক্তিশালী পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর অথেনটিকেশন দিয়ে এটি সুরক্ষিত রাখুন। MangaToon অ্যাকাউন্টের আর প্রয়োজন না হলে আনুষ্ঠানিক মাধ্যমে সেটি মুছে ফেলা বা বন্ধ করার উপায় খুঁজুন। সেবা পরিচালনাকারীদের জন্য দীর্ঘস্থায়ী সুরক্ষার ব্যবস্থাগুলোর মধ্যে রয়েছে ব্যবস্থাপনার ইন্টারফেসগুলোকে উন্মুক্ত ইন্টারনেটের বাইরে রাখা, সেবার জন্য শক্তিশালী ও স্বতন্ত্র লগইন তথ্য ব্যবহার করা, নেটওয়ার্কে প্রবেশাধিকার সীমিত করা, আধুনিক পাসওয়ার্ড হ্যাশিং প্রয়োগ করা, টোকেনের মেয়াদ সীমিত রাখা, অস্বাভাবিক কার্যকলাপ পর্যবেক্ষণ করা এবং নিরাপত্তাজনিত ঘটনা জানানোর সুস্পষ্ট প্রক্রিয়া চালু রাখা।

MangaToon-এর তথ্য ফাঁসের রেকর্ডে আপনার ইমেইল ঠিকানা মেলে কি না দেখতে LeakData-তে সেটি অনুসন্ধান করুন। কেবল আপনার নিজের বা যাচাই করার অনুমতি আছে এমন ঠিকানাই অনুসন্ধান করুন। মিল পাওয়ার অর্থ হলো ঠিকানাটি যাচাইকৃত ডেটাসেটে রয়েছে; এতে প্রমাণ হয় না যে পাসওয়ার্ড উদ্ধার করা হয়েছে, কোনো সামাজিক অ্যাকাউন্টের টোকেন এখনও বৈধ রয়েছে বা অ্যাকাউন্টের নিয়ন্ত্রণ অন্য কেউ নিয়ে নিয়েছে। কোনো ফল না পাওয়ার কারণে অন্য মাধ্যমে পাওয়া নির্ভরযোগ্য নিরাপত্তা বিজ্ঞপ্তি উপেক্ষা করা উচিত নয়। মিল পাওয়া গেলে প্রথমে একাধিক সেবায় ব্যবহার করা পাসওয়ার্ডগুলো বদলান। এরপর সংযুক্ত সামাজিক অ্যাপ, সক্রিয় সেশন এবং অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস পর্যালোচনা করুন।