Mary Evans Picture Library: তথ্য উন্মুক্ত হওয়ার অভিযোগ

Mary Evans Picture Library-এর রেকর্ড খোলার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইন নাম, কাছাকাছি ব্র্যান্ড নাম, ঘটনার তারিখ ও রেকর্ডের সংখ্যার সঙ্গে মিল আছে কি না, তা যাচাই করা হয়েছিল। একই ঘটনার কোনো রেকর্ড না থাকায় এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। নাম কাছাকাছি হলেও ডোমেইন বা ঘটনা আলাদা হলে সেই রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

লক্ষ্যভুক্ত তালিকাগুলোতে উল্লেখ করা রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন তথ্যের সংখ্যার মধ্যে পার্থক্য দেখা যেতে পারে। কাঁচা ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, একাধিকবার থাকা ইমেইল, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে প্যাকেজ করা ডেটাসেটের পার্থক্যের কারণে এমন হতে পারে। এই পৃষ্ঠায় সর্বোচ্চ দেখানো সংখ্যার বদলে 34,708 সংখ্যাটিকে ভিত্তি ধরা হয়েছে, কারণ তথ্যের ধরনগুলোর পাশাপাশি এই সংখ্যার পক্ষেও ধারাবাহিক সমর্থন রয়েছে।

Mary Evans Picture Library-কে লন্ডনভিত্তিক একটি পেশাদার ঐতিহাসিক চিত্রভান্ডারের প্রেক্ষাপটে বিবেচনা করা হয়। চিত্রভান্ডার ও শিক্ষামূলক সেবার অ্যাকাউন্টগুলো গবেষক, প্রকাশক বা প্রতিষ্ঠানের ইমেইল দিয়ে খোলা হয়ে থাকতে পারে। এতে প্রতিষ্ঠানের কাজে ব্যবহৃত পাসওয়ার্ড পুনর্ব্যবহারের সম্ভাবনাও বোঝা যেতে পারে।

এই ঘটনায় ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড থাকার পক্ষে প্রমাণ পাওয়া গেছে। প্লেইন টেক্সটে থাকা পাসওয়ার্ড দিয়ে আক্রমণকারী পাসওয়ার্ড ভাঙার কোনো প্রক্রিয়া ছাড়াই অন্য সেবায় একই ইমেইল-পাসওয়ার্ডের সমন্বয় ব্যবহার করে চেষ্টা করতে পারে।

প্লেইন টেক্সটে পাসওয়ার্ড পাওয়া যাওয়ায় Mary Evans Picture Library-এর ঘটনায় ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ডের এই তথ্য আক্রমণকারীদের বারবার অনুমান করে চেষ্টা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহার করা অন্য সেবায় স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পূর্ণ নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে মিললে তা আক্রমণের জন্য শক্তিশালী উপকরণ হয়ে ওঠে। ব্যবহারকারী কাজ, কেনাকাটা, ফোরাম, গেমিং, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন পুনর্ব্যবহার করেন। তাই Mary Evans Picture Library-এর মতো পুরোনো তথ্য ফাঁসের ঘটনাও বহু বছর পর পাসওয়ার্ড অনুমান, ফাঁস হওয়া লগইন তথ্য দিয়ে অন্য অ্যাকাউন্টে প্রবেশের চেষ্টা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় কাজে লাগতে পারে।

ব্যবহারকারী হিসেবে আপনার প্রথম কাজ হলো, আগে Mary Evans Picture Library বা www.maryevans.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টেও একই ধরনের পাসওয়ার্ড ব্যবহার করে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়; পুনর্ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটির জন্য আলাদা ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর পদক্ষেপগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব একের পর এক অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও পর্যালোচনা করা উচিত এবং দুর্বল বা বারবার ব্যবহার করা পাসওয়ার্ডগুলো বদলে ফেলা উচিত।

ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট ও অ্যাডমিন প্যানেলে দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা বিশেষভাবে জরুরি। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আরও দৃঢ় সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ্লিকেশন, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি Mary Evans Picture Library-এর অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, পেশাগত খাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। আপনার কাছে আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লিখে সাইটে যান, যাচাই না করে সংযুক্ত ফাইল খুলবেন না এবং তাড়াহুড়ো করে পদক্ষেপ নিতে চাপ দেয় এমন বার্তা সম্পর্কে সতর্ক থাকুন।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ঝুঁকিও মূল্যায়ন করা উচিত। কোনো কর্মী ব্যক্তিগত বলে মনে হয় এমন অ্যাকাউন্টে কাজের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের সিস্টেমেও একই পাসওয়ার্ড দিয়ে চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, একাধিক উপাদানভিত্তিক প্রমাণীকরণ এবং পাসওয়ার্ড পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য প্রধান শিক্ষা হলো নিরাপদে পাসওয়ার্ড সংরক্ষণ এবং তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা। প্লেইন টেক্সট বা দ্রুত ভাঙা যায় এমন হ্যাশ বিন্যাস সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত। ব্যবহারকারী লগইন করার সময় পুরোনো হ্যাশ বিন্যাসগুলো ধাপে ধাপে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষার পরিবেশ, এক্সপোর্ট ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় প্রবেশাধিকার নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁসের উৎস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা অতিরিক্ত ক্ষমতাসম্পন্ন অ্যাকাউন্ট।

যেসব প্রতিষ্ঠানে নিরাপত্তা ঘটনা মোকাবিলার পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা এবং সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেমগুলো নজরদারিতে থাকবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপগুলো পর্যালোচনা করা হবে, তা আগেই নির্ধারণ করা উচিত।

MaryEvans.com-এর লক্ষ্যভুক্ত তালিকার লাইনে প্রায় 37 হাজার রেকর্ড দেখা গেলেও সরাসরি প্রমাণসমর্থিত সংখ্যা 34,708-ই রাখা হয়েছে। কাঁচা ডেটার লাইনের সংখ্যা ও স্বতন্ত্র রেকর্ডের সংখ্যার পার্থক্যকে অতিরঞ্জিত না করতেই এই সতর্ক সিদ্ধান্ত নেওয়া হয়েছে।

সর্বশেষ পরীক্ষায় ওয়েবসাইট থেকে 403 ফিরলেও ডোমেইনটি চালু অবকাঠামো থেকে সাড়া দিয়েছে। তাই রেকর্ডটিকে নিষ্ক্রিয় হিসেবে চিহ্নিত করা হয়নি। অ্যাকাউন্টে প্রবেশ করতে পারলে আপনার পাসওয়ার্ড ও অ্যাকাউন্টের সেটিংস পরীক্ষা করুন।

চিত্রভান্ডারের অ্যাকাউন্টে কাজের ইমেইল ব্যবহার সাধারণ হওয়ায় প্রতিষ্ঠানগুলোর উচিত নিজেদের ডোমেইন নামের সঙ্গে মিলে যাওয়া ব্যবহারকারীদের আলাদাভাবে মূল্যায়ন করা।

চিত্রভান্ডারের কোনো অ্যাকাউন্টের পাসওয়ার্ড প্লেইন টেক্সটে থাকলে সেই একই পাসওয়ার্ড দিয়ে ক্লাউড স্টোরেজ, ইমেইল বা প্রকাশনার টুলেও প্রবেশের চেষ্টা করা হতে পারে।

Mary Evans Picture Library-এর লোগোর ছবি নিবন্ধনের পৃষ্ঠায় সামঞ্জস্যপূর্ণভাবে প্রদর্শনের জন্য এটি মিলিয়ে নেওয়া হয়েছিল।

এই রেকর্ডে যাচাই করা হয়নি এমন তথ্যের ধরন ইচ্ছাকৃতভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ফিল্ডগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি গুরুত্বপূর্ণ। তথ্য ফাঁসের পৃষ্ঠার উদ্দেশ্য ভয় দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তা ব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

Mary Evans Picture Library-এর তথ্য ফাঁস, www.maryevans.com-এর তথ্য ফাঁস, Mary Evans Picture Library-এর পাসওয়ার্ড ফাঁস এবং Mary Evans Picture Library-এর ব্যবহারকারীর তথ্য, এ ধরনের বিভিন্ন নামের অধীনে সহজবোধ্য ও ব্যবহারিক তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি তৈরি করা হয়েছিল। এখানে যাচাইকৃত বিষয়গুলো ও বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখার পর শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড পুনর্ব্যবহার করা হয়েছে, সেগুলো বিশেষভাবে আক্রমণকারীদের প্রথম লক্ষ্য হয়ে ওঠে। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদি ঝুঁকি কমে।

পাসওয়ার্ড পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমানযোগ্য কিছু যোগ করা উচিত নয়। পাসওয়ার্ডের শেষে একটি ছোট সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না; আক্রমণকারীদের টুল দ্রুত এসব ধরন দিয়ে চেষ্টা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের করণীয়গুলো স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যাওয়া ঠিকানাগুলোর দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। প্রোফাইলের অপ্রয়োজনীয় তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত তথ্য সংরক্ষণ নীতি মেনে নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল ফিল্ডে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য এক্সপোর্টের কার্যক্রমে বাড়তি নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্ট পরিচর্যার কাজগুলো সম্পন্ন করা দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, সংশ্লিষ্ট তথ্যের শ্রেণিগুলো দিয়ে অ্যাকাউন্ট দখলের সম্ভাবনা এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠায় ঝুঁকির মাত্রা ‘অত্যন্ত গুরুতর’ হিসেবে নির্ধারণ করা হয়েছে। অত্যন্ত গুরুতর মাত্রা মানে অপব্যবহার নিশ্চিত হয়েছে, এমন নয়; এর অর্থ ব্যবহারকারীর দ্রুত পদক্ষেপ নেওয়া প্রয়োজন।

সারসংক্ষেপে, Mary Evans Picture Library-এর এই রেকর্ডটি 2018 সালের আগস্টে 34,708টি অ্যাকাউন্টকে প্রভাবিত করা একটি স্বতন্ত্র তথ্য ফাঁসের ঘটনার রেকর্ড। এতে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের ফিল্ড রয়েছে। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই ধাপে যাচাইকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তায় নজর রাখার পরামর্শ দেওয়া হচ্ছে।

Mary Evans Picture Library-এর রেকর্ডে সংখ্যা, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে। তাই একই নামে প্রচলিত তালিকার অস্পষ্ট এন্ট্রিগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারী যে রেকর্ড দেখেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমিত।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণসমর্থনহীন ফিল্ড যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড ছাড়া অন্য দাবিগুলোকে প্রমাণিত তথ্যের ফিল্ড হিসেবে উপস্থাপন করা হয়নি।

www.maryevans.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদগুলো হয়তো ভুলে যাওয়া হয়েছে। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড পরিবর্তন করা না গেলে একই পাসওয়ার্ড ব্যবহার করা অন্য সেবাগুলো খুঁজে বের করে সেগুলো সুরক্ষিত করাই বেশি বাস্তবসম্মত অগ্রাধিকার।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে মেলানো হলে আক্রমণকারীদের জন্য কোনো ব্যক্তির আগ্রহ, দেশ, পেশাগত খাত বা অতীতে কী ধরনের সেবার সদস্য ছিলেন, তা অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁসের ঘটনা ছোট মনে হলেও মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দিক থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কাজের ইমেইল ব্যবহার করার বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ড পুনর্ব্যবহার ও ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয়ের দৃশ্যমানতা পরিমাপের জন্য সতর্কসংকেত দেয়।

এই রেকর্ডে আপনার নিজের ইমেইল দেখলে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহার করা কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত আলাদা পাসওয়ার্ড দিন, প্রোফাইলের তথ্য ন্যূনতম রাখুন এবং লগইনের বিজ্ঞপ্তি চালু করুন।