MoDaCo-এর 2016 সালের তথ্য ফাঁস

এই ঘটনায় যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড এবং ব্যবহারকারীর নাম। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে পাওয়া গেলে বিভিন্ন Android ফোরাম, ডিভাইস ডেভেলপমেন্ট কমিউনিটি বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের সঙ্গে একই ব্যক্তির পরিচয় মেলানোর ঝুঁকি বাড়ে। IP ঠিকানা থেকে সংযোগের আনুমানিক অবস্থান ও আগের সেশনের প্রেক্ষাপট সম্পর্কে সীমিত ধারণা পাওয়া যেতে পারে। পাসওয়ার্ডের ঘরটিতে সল্টযুক্ত MD5 হ্যাশ রয়েছে বলে জানানো হয়েছে, তাই সরাসরি পাঠযোগ্য পাসওয়ার্ড থাকার কোনো দাবি প্রতিষ্ঠিত হয়নি। তবে যাঁরা শক্তিশালী পাসওয়ার্ড ব্যবহার করেন না, তাঁদের ক্ষেত্রে MD5-ভিত্তিক হ্যাশ ভেঙে পাসওয়ার্ড উদ্ধার করার ঝুঁকি বাড়তে পারে।

ফোরাম কমিউনিটিতে বছরের পর বছর একই ব্যবহারকারীর নাম ব্যবহার করা সাধারণ ব্যাপার। তাই MoDaCo-এর রেকর্ডকে শুধু একটি পুরোনো ফোরাম অ্যাকাউন্টের বিষয় হিসেবে দেখা উচিত নয়। ব্যবহারকারী যদি Android ডেভেলপার ফোরাম, ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম বা কেনাকাটার সাইটে একই ইমেইল ঠিকানা ও একই ধরনের পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে আক্রমণকারীরা অন্য সেবায় এই তথ্য ব্যবহার করে দেখার চেষ্টা করতে পারে। মোবাইল প্রযুক্তিতে আগ্রহীদের পুরোনো ফোরাম অ্যাকাউন্টের সঙ্গে ডিভাইসের মডেল, পছন্দের ROM বা ডেভেলপার পরিচয়ের মতো পরোক্ষ প্রোফাইল তথ্যও মিলিয়ে নেওয়া সম্ভব হতে পারে। এসব তথ্য একত্র হলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

যাচাইকৃত ঘটনার সময় আনুমানিক জানুয়ারি 2016 বলে জানানো হয়েছে এবং সিস্টেমে ওই বছরের তারিখ হিসেবে 1 জানুয়ারি 2016 নথিভুক্ত রয়েছে। রেকর্ড যুক্ত করার এবং উৎস সংশোধনের তারিখ 20 সেপ্টেম্বর 2016। যাচাইকৃত অ্যাকাউন্টের মোট সংখ্যা 8,79,703। তথ্যের ধরনগুলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশের মধ্যে সীমিত। এই রেকর্ডে ফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা, পেমেন্ট কার্ড, জন্মতারিখ, আসল নাম বা ব্যক্তিগত বার্তার বিষয়বস্তু থাকার বিষয়টি যাচাই করা হয়নি।

তথ্যের পরিধি সঠিকভাবে বুঝলে অপ্রয়োজনীয় আতঙ্কের বদলে ব্যবহারকারী বাস্তবসম্মত নিরাপত্তামূলক পদক্ষেপ নিতে পারেন। রেকর্ডে তথ্য মিলে যাওয়া মানেই ব্যবহারকারীর Android ডিভাইস, ডেভেলপার অ্যাকাউন্ট বা পেমেন্ট-সংক্রান্ত তথ্যের নিরাপত্তা ভঙ্গ হয়েছে, এমন প্রমাণ নয়। ঘটনাটি MoDaCo ফোরামের সদস্যতা ও অ্যাকাউন্টের তথ্যের সঙ্গে সম্পর্কিত। তবে ফোরাম অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করা হলে ঝুঁকি বাড়ে। সঠিক পদক্ষেপ হলো একই ধরনের পাসওয়ার্ড ব্যবহার বন্ধ করা, ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা এবং পুরোনো ফোরাম পরিচয়টি অন্য অ্যাকাউন্টের সঙ্গে কীভাবে যুক্ত আছে তা পর্যালোচনা করা।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা MoDaCo ফোরামে অ্যাকাউন্ট খুলেছেন এবং Android ডিভাইস ডেভেলপমেন্ট বা মোবাইল প্রযুক্তির কমিউনিটিতে একই ব্যবহারকারীর নাম ব্যবহার করে যাচ্ছেন। ডেভেলপার, ROM-এ আগ্রহী ব্যক্তি, ডিভাইস মডিং কমিউনিটিতে সক্রিয় ব্যবহারকারী এবং বিভিন্ন ফোরামে একই ইমেইল ঠিকানা ব্যবহারকারীদের ক্ষেত্রে প্রোফাইল মেলানোর ঝুঁকি বেশি। IP ঠিকানা ও ব্যবহারকারীর নামের তথ্য আগের ফোরাম কার্যকলাপের সঙ্গে মিলিয়ে দেখলে কোনো ব্যক্তির প্রযুক্তিগত আগ্রহ সম্পর্কে পরোক্ষ সূত্র পাওয়া যেতে পারে।

যাঁরা একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করেন, তাঁদের অতিরিক্ত ঝুঁকি রয়েছে। সল্টযুক্ত MD5 হ্যাশও দুর্বল হতে পারে, বিশেষ করে পাসওয়ার্ড ছোট ও সহজে অনুমানযোগ্য হলে। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ডেভেলপার টুল বা কেনাকাটার অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, পুরোনো ফোরামের তথ্য ফাঁসের প্রভাব বর্তমান অ্যাকাউন্টেও পড়তে পারে। পুরোনো ফোরামের সদস্যতা ও ব্যবহারকারীর নামের তথ্য ব্যবহার করে Android বা মোবাইল প্রযুক্তি নিয়ে ভুয়া বার্তা আরও বিশ্বাসযোগ্য করে তোলা যেতে পারে। তাই এই রেকর্ডে আপনার তথ্য মিলে গেলে পাসওয়ার্ডের নিরাপত্তা এবং অন্য অ্যাকাউন্টের সঙ্গে ফোরাম পরিচয়ের সংযোগ, দুটিই মূল্যায়ন করা উচিত।

এই রেকর্ডে যাঁদের লগইন তথ্য পাওয়া গেছে, তাঁদের MoDaCo অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ডকে আর নিরাপদ মনে করা উচিত নয়। অন্য অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হলে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড বেছে নেওয়া উচিত। ইমেইল অ্যাকাউন্ট, ডেভেলপার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ফোরাম এবং পেমেন্ট করা হয় এমন সেবাগুলোকে সর্বোচ্চ অগ্রাধিকার দেওয়া উচিত। যেসব অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন (একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই) করার সুবিধা আছে, সেখানে তা চালু করা উচিত; সক্রিয় সেশনগুলো বন্ধ করা এবং অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল বা ফোনের তথ্য পরীক্ষা করা উচিত। শুধু পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন করা যথেষ্ট নয়।

Android ফোরামে ডিভাইস আপডেট, কাস্টম ROM ফাইল, ডেভেলপার অ্যাকাউন্ট বা অ্যাকাউন্টের নিরাপত্তা নিয়ে আসা বার্তার ব্যাপারে সতর্ক থাকা উচিত। কোনো বার্তায় প্রকৃত ব্যবহারকারীর নাম বা পুরোনো ইমেইল ঠিকানা থাকলেই সেটিকে বিশ্বাসযোগ্য ধরে নেওয়া উচিত নয়। ফাইল ডাউনলোডের লিংক, ভুয়া লগইন পৃষ্ঠা এবং অ্যাকাউন্ট যাচাইয়ের অনুরোধ আলাদা যোগাযোগমাধ্যমে যাচাই করা উচিত। যেহেতু IP ঠিকানার তথ্যও রয়েছে, তাই অ্যাকাউন্টে অপ্রত্যাশিত কোনো অঞ্চল থেকে লগইনের সতর্কতা বা অপরিচিত ডিভাইসের সেশন দেখা গেলে সেগুলো আলাদাভাবে পরীক্ষা করা উচিত।

দীর্ঘমেয়াদে ফোরাম ও প্রযুক্তি কমিউনিটির অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা এবং প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করলে ভালো সুরক্ষা পাওয়া যায়। সব প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করা সুবিধাজনক হতে পারে, তবে এতে প্রোফাইল মেলানোর ঝুঁকি বাড়ে। ব্যবহারকারীদের নিয়মিত পুরোনো Android ফোরাম অ্যাকাউন্ট, ডেভেলপার প্রোফাইল এবং কমিউনিটির সদস্যতা পর্যালোচনা করা উচিত। অব্যবহৃত অ্যাকাউন্টে ব্যক্তিগত তথ্য কমিয়ে দেওয়া বা অ্যাকাউন্ট বন্ধ করা ঝুঁকির প্রভাব কমায়।

পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি ফোরাম ও প্রযুক্তি-সংক্রান্ত অ্যাকাউন্টের জন্য শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়। ইমেইল অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা উচিত এবং অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যমগুলো হালনাগাদ রাখা উচিত। মোবাইল প্রযুক্তির কমিউনিটিতে ফাইল ডাউনলোড ও লগইন লিংকের ক্ষেত্রেও বাড়তি সতর্কতা প্রয়োজন। তাই অপরিচিত লিংক থেকে আসা ROM, টুল বা অ্যাকাউন্ট যাচাইয়ের ফাইলের ব্যাপারে ব্যবহারকারীদের সতর্ক থাকা উচিত। পুরোনো ফোরামে ফাঁস হওয়া তথ্য বহু বছর পরও পাসওয়ার্ড দিয়ে আবার লগইনের চেষ্টা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বার্তা পাঠানোর কাজে ব্যবহার করা হতে পারে।

এই রেকর্ডে তথ্যের মিল পাওয়ার অর্থ হলো ইমেইল ঠিকানা বা সংশ্লিষ্ট অ্যাকাউন্টটি MoDaCo ডেটাসেটের যাচাইকৃত অ্যাকাউন্টগুলোর মধ্যে রয়েছে। এই মিল ডেটাসেটে ফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা, পেমেন্ট-সংক্রান্ত তথ্য বা ব্যক্তিগত বার্তার বিষয়বস্তু থাকার প্রমাণ নয়। যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ। ব্যবহারকারীর উচিত এই সীমাবদ্ধতা সঠিকভাবে বোঝা, একই পাসওয়ার্ড পুনরায় ব্যবহার বন্ধ করা এবং পুরোনো ফোরাম পরিচয় পর্যালোচনা করা।

প্রথম পদক্ষেপ হলো একই ইমেইল ঠিকানা ও কাছাকাছি ধরনের পাসওয়ার্ড দিয়ে ব্যবহার করা অ্যাকাউন্টগুলো শনাক্ত করা। এরপর ইমেইল অ্যাকাউন্ট, Android ফোরাম, ডেভেলপার অ্যাকাউন্ট এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত; মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা এবং সক্রিয় সেশনগুলো পরীক্ষা করা উচিত। Android কমিউনিটি থেকে ডিভাইস আপডেট বা অ্যাকাউন্টের নিরাপত্তা নিয়ে আসা বার্তা আলাদা যোগাযোগমাধ্যমে যাচাই করা উচিত। এই রেকর্ডে যাচাইকৃত তথ্যের ক্ষেত্রগুলো অতিরঞ্জন ছাড়াই তুলে ধরা হয়েছে এবং ফোরাম অ্যাকাউন্ট, পাসওয়ার্ড ব্যবস্থাপনা ও প্রোফাইল মেলানোর ঝুঁকি মোকাবিলায় ব্যবহারকারীর জন্য বাস্তবসম্মত করণীয় দেওয়া হয়েছে।