MemoryBreak: তথ্য উন্মুক্ত হওয়ার অভিযোগ

MemoryBreak-এর রেকর্ডটি যুক্ত করার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইনের নাম, কাছাকাছি ব্র্যান্ডের নাম, ঘটনার তারিখ ও রেকর্ডের সংখ্যা মিলিয়ে দেখা হয়েছে। একই ঘটনার প্রতিনিধিত্ব করে এমন কোনো রেকর্ড পাওয়া যায়নি বলে এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। কাছাকাছি নাম থাকলেও ভিন্ন ডোমেইন বা ভিন্ন ঘটনার রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা ও যাচাইযোগ্য বিস্তারিত তথ্যের সংখ্যার মধ্যে পার্থক্য দেখা যেতে পারে। অপরিশোধিত ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, একই ইমেইলের পুনরাবৃত্তি, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে সাজানো ডেটাসেটের পার্থক্যের কারণে এমন হতে পারে। এই পাতায় দেখানো সর্বোচ্চ সংখ্যাকে ভিত্তি হিসেবে নেওয়া হয়নি; বরং তথ্যের ধরনগুলোর পাশাপাশি ধারাবাহিকভাবে সমর্থিত 40,288 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে।

MemoryBreak একটি প্ল্যাটফর্ম, যা তুরস্কভিত্তিক গেম অটোমেশন টুলের প্রেক্ষাপটে বিবেচনা করা হয়েছে। গেম টুলে ব্যবহৃত ইমেইল ঠিকানা ও ব্যবহারকারীর নামের মাধ্যমে একই খেলোয়াড়ের পরিচয় অন্য ফোরাম বা গেমিং সেবার পরিচয়ের সঙ্গে মেলানো সম্ভব হতে পারে।

এই ঘটনায় ব্যবহারকারীর নাম, ইমেইল ঠিকানা ও MD5 পাসওয়ার্ড হ্যাশ বেহাত হয়েছে। MD5 হ্যাশ দ্রুত ভাঙা যায় বলে দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড দিয়ে অন্য গেমিং ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে প্রবেশের চেষ্টা করা হতে পারে।

MemoryBreak-এর ঘটনায় MD5 হ্যাশ আকারে পাসওয়ার্ড পাওয়া গেছে বলে ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের বিভিন্ন অনুমান পরীক্ষা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটসংক্রান্ত বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। তবে এর সঙ্গে ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পূর্ণ নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্য যুক্ত হলে তা আক্রমণের জন্য শক্তিশালী উপাদান হয়ে ওঠে। ব্যবহারকারী যদি কর্মক্ষেত্র, কেনাকাটা, ফোরাম, গেমিং, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়িয়ে পড়তে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। উল্লেখযোগ্যসংখ্যক ব্যবহারকারী সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই MemoryBreak-এর মতো পুরোনো তথ্য ফাঁসের ঘটনাও বহু বছর পরে পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং ও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় কাজে লাগানো হতে পারে।

ব্যবহারকারীদের প্রথম করণীয় হলো, আগে MemoryBreak বা memorybreak.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। একই ধরনের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে তা পরিবর্তন করাই যথেষ্ট নয়; একাধিক জায়গায় ব্যবহৃত সব পাসওয়ার্ডের বদলে স্বতন্ত্র ও দৈবভাবে তৈরি পাসওয়ার্ড ব্যবহার করা উচিত।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টগুলোতে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও পর্যালোচনা করা উচিত এবং দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডগুলো সরিয়ে ফেলা উচিত।

বিশেষ করে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট ও অ্যাডমিন প্যানেলে দুই-উপাদানভিত্তিক প্রমাণীকরণকে অগ্রাধিকার দেওয়া হয়। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আক্রমণ প্রতিরোধে আরও শক্তিশালী সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ্লিকেশন, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি MemoryBreak অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারেন।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, শিল্পখাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের উচিত প্রাপ্ত লিংকে সরাসরি ক্লিক না করে নিজেরা ঠিকানা লিখে প্রবেশ করা, যাচাই না করে সংযুক্ত ফাইল না খোলা এবং জরুরি পদক্ষেপ নেওয়ার চাপ তৈরি করে এমন বার্তার ব্যাপারে সতর্ক থাকা।

করপোরেট ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত একটি অ্যাকাউন্টে কর্মক্ষেত্রের ইমেইল ব্যবহার করে থাকলে কোম্পানির সিস্টেমেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য প্রধান শিক্ষাটি হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ সীমিত রাখা। সরাসরি পাঠযোগ্য পাসওয়ার্ড বা দ্রুত ভাঙা যায় এমন হ্যাশ ফরম্যাট ব্যবহারকারীর নিরাপত্তাকে সরাসরি দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ ফরম্যাটগুলো ধাপে ধাপে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, ডেটা রপ্তানির ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় প্রবেশাধিকার নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং নজরের বাইরে থেকে যাওয়া সহায়ক সিস্টেম বা ব্যাপক প্রবেশাধিকার থাকা অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তাজনিত ঘটনা মোকাবিলার পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট করা, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

বর্তমান যাচাইয়ে MemoryBreak সাইটটি খোলা যাচ্ছে বলে পুরোনো অ্যাকাউন্টের কথা মনে থাকলে ব্যবহারকারীদের সরাসরি পাসওয়ার্ড ও প্রোফাইলের সেটিংস পরীক্ষা করা উচিত।

তুরস্কের প্রেক্ষাপটের কারণে তুর্কি ভাষায় তৈরি ভুয়া সহায়তা, লাইসেন্স নবায়ন বা গেম টুল হালনাগাদের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। ফাইল ডাউনলোড ও লগইনের লিংকের ব্যাপারে ব্যবহারকারীদের সতর্ক থাকা উচিত।

গেম অটোমেশন টুল নির্দিষ্ট কিছু প্ল্যাটফর্মের নিয়মের সঙ্গে সম্পর্কিত হতে পারে বলে ব্যবহারকারীরা একই ডাকনামের সঙ্গে অন্য অ্যাকাউন্টের যোগসূত্র কমাতে চাইতে পারেন।

IP ঠিকানা বা পেমেন্টের তথ্যের সমর্থন পাওয়া যায়নি বলে এই রেকর্ডটি যুক্ত করা হয়নি। যাচাইকৃত পরিসর ব্যবহারকারীর নাম, ইমেইল ও পাসওয়ার্ড হ্যাশের মধ্যে সীমিত রাখা হয়েছে।

MemoryBreak-এর যাচাইকৃত লোগোর ছবিটি ফাইলে ডাউনলোড করা হয়েছে এবং লোগোর ছবির মাধ্যমে তা ওয়েবসাইটে দেখানোর ব্যবস্থা করা হয়েছে।

এই রেকর্ডে যাচাই করা হয়নি এমন তথ্যের ধরনগুলো সচেতনভাবেই বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে সমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্য ফাঁসের পাতার উদ্দেশ্য ভয় দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তাব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

MemoryBreak তথ্য ফাঁস, memorybreak.com থেকে তথ্য ফাঁস, MemoryBreak পাসওয়ার্ড ফাঁস এবং MemoryBreak ব্যবহারকারীর তথ্যের মতো বিভিন্ন নামে পরিচিত বিষয় সম্পর্কে সহজবোধ্য ও ব্যবহারিক তথ্য দেওয়ার জন্য এই পাতাটি তৈরি করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয়গুলো ও ব্যবহারিক নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ডটি দেখার সময় ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলোই আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ডের পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন সংযোজন রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট একটি সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না; আক্রমণকারীদের টুল এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা নিশ্চিত করার যাচাইতালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড পরিবর্তন করা, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করা, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করা, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করা, অপরিচিত সেশন বন্ধ করা এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করা।

নিরাপত্তা দলগুলোর উচিত এই রেকর্ডের ইমেইল ঠিকানাগুলো কর্মীদের ব্যবহৃত ডোমেইনের নামের সঙ্গে মেলে কি না, তা মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত করপোরেট ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ সীমিত রাখা অত্যন্ত গুরুত্বপূর্ণ। প্রোফাইলের অপ্রয়োজনীয় তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত তথ্য সংরক্ষণ নীতি অনুযায়ী নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যের ক্ষেত্রে প্রবেশাধিকার সীমিত রাখা উচিত এবং ডেটা রপ্তানির কার্যক্রমে অতিরিক্ত নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্টের নিরাপত্তা বজায় রাখার প্রয়োজনীয় কাজগুলো সেরে নেওয়া দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে তথ্যের শ্রেণিগুলোর সম্ভাব্য ভূমিকা এবং ঘটনাটিতে পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনা করে এই পাতায় ঝুঁকির মাত্রা সংকটজনক নির্ধারণ করা হয়েছে। সংকটজনক মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; বরং ব্যবহারকারীকে দ্রুত পদক্ষেপ নিতে হবে, তা নির্দেশ করে।

সারসংক্ষেপে, MemoryBreak-এর এই রেকর্ডটি 2020 সালের নভেম্বরের একক তথ্য ফাঁসের ঘটনা, যা 40,288টি অ্যাকাউন্টকে প্রভাবিত করেছে এবং এতে ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও MD5 পাসওয়ার্ড হ্যাশের ক্ষেত্র রয়েছে। ব্যবহারকারীদের স্বতন্ত্র পাসওয়ার্ড ব্যবহার, দুই-ধাপের যাচাইকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণের পরামর্শ দেওয়া হচ্ছে।

MemoryBreak রেকর্ডে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচলিত তালিকার অস্পষ্ট এন্ট্রিগুলো এই পাতায় আনা হয়নি। ব্যবহারকারীর দেখা রেকর্ডটি যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যে সীমিত।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ সমর্থনহীন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও MD5 পাসওয়ার্ড হ্যাশ ছাড়া অন্য কোনো দাবিকে এই রেকর্ডের প্রমাণিত তথ্যের ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

memorybreak.com ডোমেইনের সঙ্গে সংশ্লিষ্ট পুরোনো সদস্যপদের কথা ব্যবহারকারীরা ভুলে গিয়ে থাকতে পারেন। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড পরিবর্তন করা সম্ভব না হলে একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবাগুলো খুঁজে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়াই বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে যুক্ত হলে আক্রমণকারীদের জন্য একজন ব্যক্তির আগ্রহ, দেশ, কাজের খাত বা অতীতের সদস্যপদ নেওয়ার ধরন অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁস ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কর্মক্ষেত্রের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে করপোরেট পরিচয়ের উপস্থিতি মূল্যায়নের জন্য সতর্কসংকেত দেয়।

ব্যবহারকারী এই রেকর্ডে নিজের ইমেইল দেখতে পেলে প্রথমে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো থেকে শুরু করা উচিত: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও একটি ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত স্বতন্ত্র পাসওয়ার্ড ব্যবহার, প্রোফাইলের তথ্য সীমিত রাখা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।