MapExpert: তথ্য উন্মুক্ত হওয়ার অভিযোগ

তথ্য যাচাইয়ের সময় আগস্ট 2018-এর ঘটনা হিসেবে mapexpert.com.ua ডোমেইন নামটি যাচাই করা হয়েছে। এতে 10,967 রেকর্ড, ইমেইল ঠিকানা এবং প্লেইন টেক্সটে সংরক্ষিত পাসওয়ার্ডের ফিল্ডের পক্ষে সমর্থনকারী তথ্য পাওয়া গেছে। পুরোনো ফোরাম, ই-কমার্স, ক্রীড়া আয়োজন, গেমিং কমিউনিটি, প্রযুক্তিগত সরঞ্জাম সরবরাহ ও মানচিত্রবিষয়ক সাইটের নিবন্ধনের ক্ষেত্রে এই পদ্ধতি বিশেষভাবে গুরুত্বপূর্ণ। কারণ, কাছাকাছি নামের সাইট, বন্ধ ডোমেইন বা অন্য ঠিকানায় পাঠিয়ে দেওয়া ডোমেইন দেখে সেগুলোকে একই ঘটনার অংশ মনে হতে পারে। MapExpert-এর রেকর্ড তৈরির সময় নাম, ডোমেইন নাম, রেকর্ডের সংখ্যা, ঘটনার সময় ও তথ্যের শ্রেণি একসঙ্গে মূল্যায়ন করা হয়েছে।

পাসওয়ার্ড প্লেইন টেক্সটে সংরক্ষিত থাকার পক্ষে প্রমাণ রয়েছে। তাই একই পাসওয়ার্ড অন্যত্র ব্যবহার করা হলে অ্যাকাউন্ট দখলের ঝুঁকি সরাসরি ও উচ্চমাত্রার। প্রযুক্তিগত প্রশিক্ষণ ও মানচিত্রবিষয়ক সেবার ব্যবহারকারীরা ব্যবসায়িক বা শিক্ষাপ্রতিষ্ঠানের ইমেইল ব্যবহার করায় একই পাসওয়ার্ড ব্যবহারের ঝুঁকি অন্য পেশাগত অ্যাকাউন্টেও ছড়িয়ে পড়তে পারে। তাই এই রেকর্ডে শুধু ঘটনার নাম তালিকাভুক্ত করা হয়নি; কোন পাসওয়ার্ড বদলাতে হবে, কোন অ্যাকাউন্ট পরীক্ষা করতে হবে এবং কোন সন্দেহজনক বার্তার দিকে খেয়াল রাখতে হবে, তা বুঝতে ব্যবহারকারীকে সহায়তা করার জন্য বিস্তারিত লেখা হয়েছে।

এই ঘটনায় দৃশ্যমান তথ্যের শ্রেণি শুধু ইমেইল ঠিকানা ও পাসওয়ার্ডের মধ্যে সীমিত। মানচিত্রের ফাইল, প্রকল্পের তথ্য, অবস্থানের ইতিহাস, অর্থপ্রদান, ফোন বা বাসা-অফিসের ঠিকানার ফিল্ড যোগ করা হয়নি, কারণ এগুলোর পক্ষে প্রমাণ নেই। এই সীমা ইচ্ছাকৃতভাবে রাখা হয়েছে। তথ্য ফাঁসের রেকর্ডে প্রকৃত পরিসরের চেয়ে বেশি কিছু দেখালে ব্যবহারকারী ভুল করে কোনো অ্যাকাউন্টকে ঝুঁকিপূর্ণ মনে করতে পারেন, অথবা সত্যিই ঝুঁকিতে থাকা পাসওয়ার্ডের বিষয়টি এড়িয়ে যেতে পারেন।

বর্তমান পরীক্ষায় mapexpert.com.ua ডোমেইনকে নির্ভরযোগ্যভাবে চলমান একটি সক্রিয় সেবা হিসেবে যাচাই করা যায়নি, অথবা সেটিকে আগের ব্র্যান্ডের প্রেক্ষাপট থেকে বিচ্ছিন্ন বলে মনে হয়েছে। তাই রেকর্ডে সেবাটিকে বন্ধ হয়ে যাওয়া বা প্রবেশ করা যায় না এমন সেবা হিসেবে রাখা হয়েছে। ওয়েবসাইটের বর্তমান অবস্থা ঘটনাটি ঘটার সময়কার নিরাপত্তাগত প্রভাব মুছে দেয় না। পুরোনো ডোমেইনটি আজ অন্য পাতায় পাঠিয়ে দিলেও, পার্ক করা আছে বলে মনে হলেও বা সেবাটি বদলে গেলেও, একই পাসওয়ার্ড পুনরায় ব্যবহারের কারণে ফাঁস হওয়া লগইন তথ্য বহু বছর পরও স্বয়ংক্রিয়ভাবে বারবার লগইনের চেষ্টায় ব্যবহার করা হতে পারে।

আপনার প্রথমে যাচাই করা উচিত, MapExpert-এর সঙ্গে যুক্ত ইমেইল ঠিকানাটি অন্য সেবাতেও ব্যবহার করছেন কি না। একই ইমেইল ও পাসওয়ার্ডের জোড়া অন্য সাইটেও ব্যবহার করলে ঝুঁকি একটি অ্যাকাউন্টে সীমিত থাকে না। বিশেষ করে ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেম, ফোরাম, চাকরির আবেদন ও প্রতিষ্ঠানের পোর্টালের অ্যাকাউন্টে একই পাসওয়ার্ড থাকলে একটির পর একটি অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে।

GIS, প্রশিক্ষণ, শিক্ষাপ্রতিষ্ঠান ও ব্যবসায়িক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করছেন কি না, তা পরীক্ষা করুন। পাসওয়ার্ড বদলানোর সময় সামান্য পরিবর্তন করাই যথেষ্ট নয়। যেমন, পুরোনো পাসওয়ার্ডের শেষে একটি বছর, বিস্ময়চিহ্ন বা সাইটের নাম যোগ করলে স্বয়ংক্রিয় আক্রমণের সরঞ্জাম দিয়ে সেই পরিবর্তিত পাসওয়ার্ড সহজেই চেষ্টা করা যায়। সবচেয়ে ভালো পদ্ধতি হলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা, সম্ভব হলে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা এবং পুরোনো পুনরুদ্ধার ইমেইল ঠিকানাগুলো পর্যালোচনা করা।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে এসব নিবন্ধন, মানচিত্র ও প্রশিক্ষণবিষয়ক সাইটের ব্যবহারকারী টেবিল, পুরোনো PHP অ্যাপ্লিকেশন এবং প্লেইন টেক্সটে পাসওয়ার্ড সংরক্ষণের ঝুঁকি নিয়মিত নিরীক্ষা করা উচিত। তথ্য ফাঁসের প্রভাব শুধু ব্যবহারকারী টেবিল ফাঁসেই শেষ হয় না। একই পাসওয়ার্ড VPN, প্রশাসনিক প্যানেল, গ্রাহক পোর্টাল, CMS, ক্লাউড স্টোরেজ বা ইমেইল অ্যাকাউন্টে ব্যবহার করা হলে ঘটনাটি এক সিস্টেম থেকে অন্য সিস্টেমে অনুপ্রবেশ ছড়িয়ে পড়া ও অননুমোদিত প্রবেশের ঝুঁকিতে পরিণত হতে পারে।

MapExpert-এর ঝুঁকি মূল্যায়নের সময় পাসওয়ার্ড সংরক্ষণের ধরনও বিবেচনায় নেওয়া হয়েছে: প্লেইন টেক্সটে সংরক্ষিত পাসওয়ার্ড। এ ধরনের পাসওয়ার্ড সরাসরি ব্যবহার করা যায় বলে বাস্তবে এগুলোর ঝুঁকি সবচেয়ে বেশি। MD5, salted MD5, পুরোনো ফোরাম সফটওয়্যারের হ্যাশ বা সল্ট-সংক্রান্ত তথ্য থাকা টেবিল প্লেইন টেক্সটে না থাকলেও আধুনিক হার্ডওয়্যার দিয়ে পরীক্ষা করা যায়।

MapExpert-এর তথ্য ফাঁস, GIS সাইটের পাসওয়ার্ড ফাঁস, মানচিত্র প্ল্যাটফর্মের নিরাপত্তা এবং প্লেইন টেক্সটে সংরক্ষিত পাসওয়ার্ডের ঝুঁকি, এ ধরনের বিভিন্ন নামে খোঁজ করলেও যাতে ঘটনার পরিসর সহজে বোঝা যায়, সেভাবেই এই রেকর্ড তৈরি করা হয়েছে। লক্ষ্য হলো, MapExpert-এর তথ্য ফাঁসের প্রভাব পড়েছে এমন যে কেউ যেন স্পষ্টভাবে বুঝতে পারেন কী ঘটেছিল, কোন ধরনের তথ্য যাচাই করা হয়েছে, কোন ফিল্ড বাদ দেওয়া হয়েছে এবং নিরাপত্তার জন্য কী পদক্ষেপ নিতে হবে।

ভুলভাবে মিল পাওয়ার সম্ভাবনা কমাতে কাছাকাছি নামগুলো আলাদা রাখা হয়েছে। mapexpert.com.ua-এর সঙ্গে সম্পর্কহীন সাধারণ সংকলন, অন্য ব্র্যান্ডের কাছাকাছি নামের ডেটাবেস বা শুধু এক লাইনের দাবিতে সীমিত রেকর্ড এই ঘটনার সঙ্গে এক করা হয়নি। এই পার্থক্য একই তথ্য ফাঁসের ঘটনা বারবার দেখানো ঠেকায় এবং তালিকায় ব্যবহারকারীর জন্য সত্যিই প্রাসঙ্গিক ডোমেইন নামটি থাকার বিষয়টি নিশ্চিত করে।

ঘটনাটি যে অতীতের, সেটিও গুরুত্বপূর্ণ। আগস্ট 2018-এর নিরাপত্তা কাঠামো, পাসওয়ার্ড সংরক্ষণের মানদণ্ড এবং ফোরাম বা ওয়েব অ্যাপ্লিকেশন রক্ষণাবেক্ষণের চর্চা আজকের প্রত্যাশা থেকে আলাদা হতে পারে। কিন্তু এতে পুরোনো রেকর্ডগুলোর প্রভাব কমে যায় না। পুরোনো তথ্য ফাঁস থেকে পাওয়া ইমেইল ও পাসওয়ার্ডের জোড়া নতুন সেবায় চেষ্টা করে এখনও অ্যাকাউন্ট দখলের প্রচেষ্টায় ব্যবহার করা যেতে পারে।

MapExpert-এর রেকর্ডে ব্যবহারকারীকে দেখানো সংখ্যা 10,967 রাখা হয়েছে। নিবন্ধনের সংখ্যা ও ব্যবহারকারীর সঠিক সংখ্যা এক হওয়া জরুরি নয়। কিছু ডেটাসেটে একই সারি একাধিকবার থাকতে পারে, পরীক্ষামূলক অ্যাকাউন্ট থাকতে পারে বা কিছু ফিল্ড অনুপস্থিত থাকতে পারে। তা সত্ত্বেও, নিশ্চিত মোট সংখ্যাটি ঘটনার ব্যাপকতা এবং ব্যবহারকারীর নিরাপত্তার ক্ষেত্রে কী অগ্রাধিকার দেওয়া উচিত, তা বোঝানোর জন্য যথেষ্ট সূচক।

নিরাপত্তা সচেতনতার উদ্দেশ্যে এই রেকর্ড তৈরি করা হয়েছে। ব্যবহারকারীদের ফাঁস হওয়া তথ্য খোঁজা, ডাউনলোড করা বা শেয়ার করতে উৎসাহিত করা হচ্ছে না। করণীয় হলো সংশ্লিষ্ট অ্যাকাউন্টগুলোর নিরাপত্তা বাড়ানো, একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার বন্ধ করা, সন্দেহজনক সেশন বন্ধ করা, পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা এবং সম্ভব হলে পাসওয়ার্ড ম্যানেজারের সাহায্যে প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা।

MapExpert-এর ঘটনায় তথ্যের ধরন সীমিত মনে হলেও শুধু ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডই আক্রমণকারীর জন্য যথেষ্ট হতে পারে। ইমেইল ঠিকানা দিয়ে পরিচয় নির্দিষ্টভাবে শনাক্ত করা, পাসওয়ার্ড পুনরায় সেট করার চেষ্টা, ভুয়া বিজ্ঞপ্তি, প্রচারমূলক ইমেইল এবং লক্ষ্যভিত্তিক সামাজিক প্রভাব খাটিয়ে প্রতারণা করা যেতে পারে। পাসওয়ার্ডটি অন্যত্রও ব্যবহার করা হলে সেটি দিয়ে সরাসরি লগইনের চেষ্টা করা যায়।

অ্যাকাউন্টধারীদের ব্যবহারিক যাচাইতালিকা হলো: সংশ্লিষ্ট সেবায় ব্যবহৃত পুরোনো পাসওয়ার্ডটি মনে করুন, একই বা কাছাকাছি পাসওয়ার্ড থাকা সব অ্যাকাউন্টের পাসওয়ার্ড বদলান, প্রধান ইমেইল অ্যাকাউন্টের লগইনের ইতিহাস পরীক্ষা করুন, দুই ধাপে যাচাইকরণ চালু করুন এবং কোনো সেবায় পুরোনো পাসওয়ার্ডটি পুনরায় ব্যবহার করবেন না। প্রতিষ্ঠানের জন্য যাচাইতালিকা হলো ব্যবহারকারীদের তথ্যের পুরোনো টেবিলগুলোতে প্রবেশাধিকার বন্ধ করা, পাসওয়ার্ড হ্যাশ করার নীতিমালা নিরীক্ষা করা এবং ক্রেডেনশিয়াল স্টাফিংয়ের চেষ্টার বিরুদ্ধে সতর্কসংকেতের ব্যবস্থা করা।

এই লেখা তৈরির সময় ঘটনার বাইরে থাকা ব্র্যান্ড, সাধারণ সংকলন এবং অপ্রমাণিত তথ্যের ফিল্ড ইচ্ছাকৃতভাবে বিবরণে রাখা হয়নি। MapExpert-এর রেকর্ডের উদ্দেশ্য হলো এই নির্দিষ্ট তথ্য ফাঁসের ঘটনাটি স্পষ্ট করা, mapexpert.com.ua-এর সঙ্গে যুক্ত ব্যবহারকারীদের কী পরীক্ষা করতে হবে তা দেখানো এবং অপ্রয়োজনীয় উৎস উল্লেখের বদলে তথ্য ফাঁসের পাতায় যাচাইকৃত ডোমেইনগুলোকে গুরুত্ব দেওয়া।

MapExpert-এর ক্ষেত্রে ঝুঁকির দ্বিতীয় স্তর হলো ফাঁস হওয়া লগইন তথ্য অন্য ডেটাসেটের তথ্যের সঙ্গে মিলে যাওয়া। একই ইমেইল ঠিকানা আগে ফোরাম, কেনাকাটা, চাকরির আবেদন, গেম বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে আক্রমণকারী শুধু পাসওয়ার্ড নয়, ব্যক্তির আগ্রহ ও অ্যাকাউন্ট ব্যবহারের অভ্যাসও অনুমান করতে পারে।

mapexpert.com.ua ডোমেইনের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানোর পর ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও মুছে ফেলা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড থাকা সব রেকর্ড খুঁজে বের করে প্রতিটির পাসওয়ার্ড আলাদা করতে হবে। বিশেষ করে প্লেইন টেক্সট বা দুর্বল হ্যাশের ক্ষেত্রে আক্রমণকারীকে পাসওয়ার্ড অনুমান করতে না-ও হতে পারে; সরাসরি সেটি দিয়ে চেষ্টা করা সম্ভব।

নিরাপত্তা দলের জন্য এই রেকর্ডটি দেখায় যে ফাঁস হওয়া লগইন তথ্য অনুসরণ করার কাজে ডোমেইনভিত্তিক মিল খোঁজা প্রয়োজন। শুধু প্রতিষ্ঠানের নাম দিয়ে খোঁজ করা যথেষ্ট না-ও হতে পারে। পুরোনো ডোমেইন নাম, www-এর ব্যবহার, বর্তমানে যে ডোমেইনে পাঠানো হচ্ছে তার নাম এবং ব্যবহারকারীদের ইমেইল ঠিকানার ডোমেইন অংশ একসঙ্গে পরীক্ষা করা উচিত। এতে প্রকৃত ঝুঁকি শনাক্ত করা যায় এবং কাছাকাছি নামের কিন্তু সম্পর্কহীন রেকর্ড ভুল করে এক করা হয় না।

এই রেকর্ডে তথ্যের শ্রেণি বোঝাতে ইচ্ছাকৃতভাবে সহজ ভাষা রাখা হয়েছে: ইমেইল ঠিকানা, পাসওয়ার্ড। প্রযুক্তিগত বিস্তারিতের মধ্যে আটকে না গিয়ে কী তথ্য উন্মুক্ত হয়েছে, তা ব্যবহারকারীর বোঝা দরকার। পাশাপাশি পাসওয়ার্ড সংরক্ষণের পদ্ধতিও উল্লেখ করা হয়েছে, কারণ সেটিই ঘটনাটির বাস্তব প্রভাব নির্ধারণ করেছে। প্লেইন টেক্সটে পাসওয়ার্ড থাকার উল্লেখটি বোঝায় যে ঘটনাটি শুধু একটি ইমেইল তালিকা ফাঁসের বিষয় নয়; অ্যাকাউন্টের নিরাপত্তার দৃষ্টিকোণ থেকেও এটি মূল্যায়ন করা উচিত।

এই ঘটনা সম্পর্কে তথ্য খুঁজছেন যাঁরা, তাঁদের জন্য মূল কথা হলো: একটি তথ্য ফাঁসের রেকর্ড অ্যাকাউন্টের নিরাপত্তার পুরো ইতিহাস আবার পর্যালোচনা করার সুযোগ। পুরোনো সেবায় ব্যবহৃত পাসওয়ার্ড প্রায়ই মানুষ ভুলে যান; কিন্তু ফাঁস হওয়া ডেটাসেটগুলো ভুলে যাওয়া হয় না। তাই পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রতিটি অ্যাকাউন্টের পাসওয়ার্ড আলাদা করা এবং প্রধান ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখাই অগ্রাধিকার।

রেকর্ডের কাঠামো পরিচ্ছন্ন রাখা হয়েছে: ওয়েবসাইটের ঘরে শুধু ডোমেইন নাম ব্যবহার করা হয়েছে, লোগোর ছবি রেকর্ডের সঙ্গে মিলিয়ে রাখা হয়েছে, বিবরণ ঘটনার পরিসরের মধ্যে সীমিত রাখা হয়েছে এবং একটি মাত্র রেকর্ডের কাঠামো দিয়ে একই নিবন্ধন একাধিকবার হওয়ার ঝুঁকি কমানো হয়েছে। সর্বজনীন নিবন্ধনের পাতায় ভুল লিংক দেখানো এড়াতে এবং একই ঘটনা ভিন্ন URL-এর অধীনে বারবার আসা ঠেকাতে এই বিন্যাস গুরুত্বপূর্ণ।

সব মিলিয়ে, আগস্ট 2018-এর MapExpert তথ্য ফাঁস (10,967 রেকর্ড, ইমেইল ঠিকানা, পাসওয়ার্ড এবং প্লেইন টেক্সটে সংরক্ষিত পাসওয়ার্ডসহ) অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত একটি ঘটনা, যা প্রেক্ষাপটসহ বিবেচনা করতে হবে। ঘটনার অস্তিত্বকে অতিরঞ্জিত না করে, অযাচাইকৃত দাবি না যোগ করে এবং একই ঘটনার একাধিক রেকর্ড তৈরি না করে ব্যবহারকারী যাতে দ্রুত পদক্ষেপ নিতে পারেন, সে জন্য এই পাতা প্রস্তুত করা হয়েছে।