MrExcel তথ্য ফাঁস

এই ঘটনায় প্রকাশ হয়ে পড়া তথ্যের ক্ষেত্রগুলোর ঝুঁকির মাত্রা ভিন্ন। ইমেইল ঠিকানা ও ব্যবহারকারীর নামের সাহায্যে আক্রমণকারীরা কোনো ব্যবহারকারীর সঙ্গে MrExcel-এর সদস্যপদের যোগসূত্র খুঁজে পেতে পারে এবং তাঁর জন্য বিশেষভাবে লেখা হয়েছে বলে মনে হয়, এমন বার্তা তৈরি করতে পারে। IP ঠিকানা থেকে সংযোগের আনুমানিক অবস্থান ও সেবাদাতার তথ্য মিলিয়ে দেখা যায়; শুধু এই ঠিকানা দিয়ে পরিচয় নির্ধারণ করা যায় না, তবে অন্যান্য তথ্যের সঙ্গে মিলিয়ে কোনো ব্যক্তির প্রোফাইল তৈরি করা সহজ হতে পারে। জন্মতারিখ এমন একটি ব্যক্তিগত তথ্য, যা পাসওয়ার্ড রিসেট, নিরাপত্তা প্রশ্নের উত্তর অনুমান এবং সামাজিক প্রকৌশলের মাধ্যমে প্রতারণার চেষ্টায় ব্যবহার করা যেতে পারে। সামাজিক সংযোগ ও সাইটে কার্যক্রমের তথ্য থেকে ফোরামের ভেতরের সম্পর্ক, আগের বার্তা আদান-প্রদানের অভ্যাস বা ব্যবহারকারীর আচরণ সম্পর্কে ধারণা পাওয়া যেতে পারে। সবচেয়ে গুরুত্বপূর্ণ ক্ষেত্রটি হলো পাসওয়ার্ডের তথ্য। পাসওয়ার্ড সল্টযুক্ত MD5 হ্যাশ হিসেবে পাওয়া গেছে মানেই মূল পাসওয়ার্ড সরাসরি প্রকাশ করা হয়েছে, এমন নয়। তবে MD5-এর বিরুদ্ধে দ্রুত একের পর এক সম্ভাব্য পাসওয়ার্ড পরীক্ষা করে আক্রমণ চালানো যায় বলে ছোট, সহজে অনুমানযোগ্য বা আগে ব্যবহৃত পাসওয়ার্ড উদ্ধার করা সম্ভব হতে পারে। একই পাসওয়ার্ড যদি ইমেইল, কর্মক্ষেত্রের অ্যাকাউন্ট, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা বা অন্য ফোরামে কার্যকর থাকে, তাহলে একটি ফোরামের তথ্য ফাঁস থেকে আরও ব্যাপকভাবে অ্যাকাউন্টের নিয়ন্ত্রণ হারানোর ঝুঁকি তৈরি হতে পারে।

যাচাই করা অ্যাকাউন্টের সংখ্যা 3,66,140 হিসেবে বিবেচনা করা উচিত। ঘটনার তারিখ 2016 সালের 5 ডিসেম্বর এবং নথিভুক্তির তারিখ 2017 সালের 22 জানুয়ারি হিসেবে যাচাই করা হয়েছে। এই ঘটনার পরিসর MrExcel ফোরামের সদস্যদের তথ্যের সঙ্গে সম্পর্কিত; তাই MrExcel-এর সব দর্শনার্থী, কনটেন্ট পাঠক বা স্টোরের গ্রাহক একইভাবে ক্ষতিগ্রস্ত হয়েছেন বলে ধরে নেওয়া উচিত নয়। আনুষ্ঠানিক বিজ্ঞপ্তিতে স্পষ্টভাবে আলাদা করে বলা হয়েছে যে এই ঘটনায় স্টোর অ্যাকাউন্টের তথ্য ক্ষতিগ্রস্ত হয়নি। ফোরামের ক্ষেত্রে বলা হয়েছিল, ব্যবহারকারীর ID, ইমেইল ঠিকানা ও hash+salt আকারে থাকা পাসওয়ার্ডের তথ্যে প্রবেশ করা হয়েছিল। সাম্প্রতিক লগইন, পোস্টের সংখ্যা এবং একই ধরনের প্রশাসনিক ক্ষেত্রের কিছু কার্যক্রমের তথ্যও দেখা গিয়েছিল। অন্যান্য যাচাইকরণ রেকর্ডেও জন্মতারিখ, IP ঠিকানা, সামাজিক সংযোগ, ব্যবহারকারীর নাম ও সাইটে কার্যক্রমের মতো ক্ষেত্র উল্লেখ করা হয়েছে, তাই সেগুলো এই রেকর্ডে রাখা হয়েছে। এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ তথ্য ফাঁসের রেকর্ডে অতিরিক্ত ব্যাপক দাবি ব্যবহারকারীকে বিভ্রান্ত করে, আবার কোনো তথ্যের ক্ষেত্র বাদ পড়লে প্রকৃত ঝুঁকি আড়ালে থেকে যায়। MrExcel-এর ঘটনাকে ফোরাম অ্যাকাউন্টকেন্দ্রিক তথ্য ফাঁস হিসেবে বোঝা উচিত, যেখানে দুর্বল হ্যাশ অ্যালগরিদমের কারণে পাসওয়ার্ড উদ্ধার করার ঝুঁকি রয়েছে এবং বিভিন্ন সেবায় একই পাসওয়ার্ড ব্যবহারকারীদের একের পর এক অ্যাকাউন্ট দখল হয়ে যাওয়ার সম্ভাবনা আছে।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁদের 2016 সালের ডিসেম্বরের আগে MrExcel ফোরামে অ্যাকাউন্ট ছিল এবং যাঁরা একই পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করতেন। Excel-সংক্রান্ত সহায়তার জন্য আগে ফোরামে সদস্য হয়েছিলেন কিন্তু বহু বছর ধরে লগইন করেননি, এমন ব্যবহারকারীরাও এই দলে পড়েন; কারণ ভুলে যাওয়া অ্যাকাউন্টের পাসওয়ার্ড প্রায়ই পাসওয়ার্ড ম্যানেজারে অপরিবর্তিত থেকে যায়। দ্বিতীয় ঝুঁকিপূর্ণ দলটি হলো ফোরাম অ্যাকাউন্টে কর্মক্ষেত্রের ইমেইল ব্যবহারকারীরা। প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে ফোরামের সদস্য হওয়া ব্যক্তিরা Excel ফাইল, ম্যাক্রো, প্রতিবেদন তৈরির প্রক্রিয়া বা কাজের নথিকে কেন্দ্র করে আরও বিশ্বাসযোগ্য ফিশিং বার্তা পেতে পারেন। তৃতীয় ঝুঁকিপূর্ণ দলটি হলো যাঁরা অন্য সাইটেও জন্মতারিখ বা ব্যবহারকারীর নাম একই বিন্যাসে ব্যবহার করেন। এসব তথ্য অ্যাকাউন্ট পুনরুদ্ধারের প্রশ্নের উত্তর অনুমান করতে বা ভুয়া সহায়তামূলক বার্তার মাধ্যমে আস্থা অর্জনের চেষ্টায় ব্যবহার করা যেতে পারে। যাঁরা ফোরামে সক্রিয়, নিয়মিত প্রশ্ন করেন, প্লাগইন ডাউনলোড করেন বা প্রোফাইলে সামাজিক সংযোগের তথ্য শেয়ার করেন, তাঁদের সম্পর্কে বেশি তথ্য দেখা যেতে পারে। MrExcel-এর মতো প্রযুক্তিগত সহায়তার কমিউনিটিতে ব্যবহারকারীরা প্রায়ই তাঁদের কাজের প্রক্রিয়া, শিল্পখাত বা ব্যবহৃত সরঞ্জাম সম্পর্কে ইঙ্গিত দেন। তাই আক্রমণকারীরা শুধু পাসওয়ার্ড নয়, ব্যবহারকারীর আচরণ সম্পর্কে পাওয়া তথ্যও কাজে লাগিয়ে আরও লক্ষ্যভিত্তিক চেষ্টা চালাতে পারে।

এই রেকর্ডের সঙ্গে তথ্য মিলে গেলে ব্যবহারকারীদের প্রথমে MrExcel ফোরামে ব্যবহার করা পুরোনো পাসওয়ার্ডটি মনে করার চেষ্টা করা উচিত এবং যে সব অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়েছিল, সেগুলোর পাসওয়ার্ড বদলানো উচিত। পাসওয়ার্ড পরিবর্তন শুধু MrExcel অ্যাকাউন্টে সীমাবদ্ধ রাখা উচিত নয়; একই ইমেইল ঠিকানা দিয়ে খোলা ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, পেমেন্ট, কেনাকাটা, কর্মক্ষেত্রের সরঞ্জাম ও অন্যান্য ফোরামের অ্যাকাউন্টও পরীক্ষা করা উচিত। নতুন পাসওয়ার্ড দীর্ঘ, প্রতিটি অ্যাকাউন্টের জন্য আলাদা এবং এলোমেলো হওয়া উচিত; পুরোনো পাসওয়ার্ডের শেষে শুধু একটি সংখ্যা বা চিহ্ন যোগ করাকে যথেষ্ট মনে করা উচিত নয়। ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিতে হবে, কারণ ইমেইলের নিয়ন্ত্রণ অন্যের হাতে চলে গেলে অন্যান্য সেবার পাসওয়ার্ড রিসেটের লিংকও ঝুঁকিতে পড়ে। যে সব গুরুত্বপূর্ণ অ্যাকাউন্টে দুই ধাপে পরিচয় যাচাইয়ের সুবিধা রয়েছে, সেগুলোতে তা চালু করা উচিত। MrExcel, Excel ফাইল, ম্যাক্রো, ইনভয়েস, সহায়তার অনুরোধ, নিরাপত্তা সতর্কতা বা পাসওয়ার্ড রিসেটকে কেন্দ্র করে আসা সন্দেহজনক বার্তার বিষয়েও সতর্ক থাকা উচিত। বার্তার লিংক দিয়ে লগইন পাতায় না গিয়ে ব্রাউজারে নিজে ঠিকানা লিখতে হবে অথবা বিশ্বস্ত বুকমার্ক ব্যবহার করতে হবে। অজানা সংযুক্তি খোলা উচিত নয়, এবং বিশেষ করে Office ফাইলে থাকা ম্যাক্রো চালানোর অনুমতি দেওয়া উচিত নয়। পুরোনো ফোরাম অ্যাকাউন্ট আর প্রয়োজন না হলে সেটি বন্ধ করা বা প্রোফাইলের তথ্য কমিয়ে দেওয়ার বিকল্পও বিবেচনা করা উচিত।

MrExcel-এর ঘটনা দেখায় যে পুরোনো ফোরাম অ্যাকাউন্ট বহু বছর পরেও নিরাপত্তায় প্রভাব ফেলতে পারে। দীর্ঘমেয়াদে প্রত্যেক ব্যবহারকারীর উচিত ফোরামসহ সব সদস্যপদের লগইন তথ্য পাসওয়ার্ড ম্যানেজারে রাখা এবং একই পাসওয়ার্ডের পুনর্ব্যবহার পুরোপুরি বন্ধ করা। বিভিন্ন সেবায় একই পাসওয়ার্ড ব্যবহার হচ্ছে কি না, তা নিয়মিত যাচাই করার জন্য পাসওয়ার্ড ম্যানেজারের পরীক্ষা করার সরঞ্জামগুলো ব্যবহার করা যেতে পারে। কর্মক্ষেত্রের ইমেইল দিয়ে খোলা ব্যক্তিগত ফোরাম অ্যাকাউন্টগুলোও আলাদা করা উচিত; কর্মক্ষেত্রের ও ব্যক্তিগত অ্যাকাউন্টে একই পাসওয়ার্ড বা পুনরুদ্ধারের পদ্ধতি ব্যবহার করলে ঝুঁকি প্রতিষ্ঠানের পরিসরেও ছড়িয়ে পড়তে পারে। গুরুত্বপূর্ণ অ্যাকাউন্টে দ্বিতীয় ধাপের যাচাইয়ের জন্য অ্যাপভিত্তিক পরিচয় যাচাই বা হার্ডওয়্যার কী-এর মতো আরও শক্তিশালী উপায়কে অগ্রাধিকার দেওয়া উচিত। ফোরাম ও কমিউনিটির প্রশাসকদের জন্যও শিক্ষাটি স্পষ্ট: পুরোনো ফোরাম সফটওয়্যার ও প্লাগইন নিয়মিত হালনাগাদ করতে হবে, পাসওয়ার্ড হ্যাশের জন্য আধুনিক ও ধীরগতির অ্যালগরিদমে যেতে হবে, প্রশাসক অ্যাকাউন্টগুলো আলাদা করে বাড়তি সুরক্ষা দিতে হবে এবং তথ্য ফাঁসের সন্দেহ হলে ব্যবহারকারীদের জানাতে দেরি করা যাবে না। ব্যবহারকারীদের পুরোনো ফোরাম প্রোফাইলে অপ্রয়োজনীয় জন্মতারিখ, সামাজিক যোগাযোগের লিংক বা পেশাগত তথ্য রাখা উচিত নয়। প্রোফাইলে কম তথ্য থাকলে ভবিষ্যতে তথ্য ফাঁসের ঘটনায় আক্রমণকারীরা কাজে লাগানোর মতো কম প্রাসঙ্গিক তথ্য পাবে।

MrExcel রেকর্ডের সঙ্গে তথ্য মিলে যাওয়া বোঝায় যে সংশ্লিষ্ট ইমেইল ঠিকানা 2016 সালের ডিসেম্বরের ফোরাম অ্যাকাউন্টের তথ্যের মধ্যে পাওয়া গেছে। ব্যবহারকারীর প্রথমে নির্ধারণ করা উচিত এই ফোরামে তিনি কোন পাসওয়ার্ড ব্যবহার করতেন, তারপর অতীতে একই পাসওয়ার্ড ব্যবহার হয়ে থাকতে পারে এমন সব অ্যাকাউন্ট একে একে হালনাগাদ করা উচিত। পুরোনো পাসওয়ার্ড মনে না পড়লেও একই সময়ে খোলা অ্যাকাউন্টগুলোকে ঝুঁকিতে আছে বলে বিবেচনা করা উচিত এবং পাসওয়ার্ড ম্যানেজারের রেকর্ড পর্যালোচনা করা উচিত। ইমেইল অ্যাকাউন্টের সাম্প্রতিক লগইন, পুনরুদ্ধারের ঠিকানা, ফরওয়ার্ডিং নিয়ম ও অপরিচিত ডিভাইস পরীক্ষা করা উচিত। কোনো সন্দেহজনক সেশন পাওয়া গেলে সব ডিভাইস থেকে লগআউট করতে হবে, পাসওয়ার্ড রিসেট করতে হবে এবং দুই ধাপে পরিচয় যাচাই চালু করতে হবে। জন্মতারিখ ও ব্যবহারকারীর নামের তথ্য ফাঁস হওয়ার কারণে পাসওয়ার্ড রিসেটের প্রশ্নগুলোও পর্যালোচনা করা উচিত এবং সহজে অনুমান করা যায় এমন উত্তরের বদলে প্রতিটির জন্য আলাদা উত্তর ব্যবহার করা উচিত। Excel, ম্যাক্রো, ফাইল ডাউনলোড বা ফোরামের সহায়তামূলক বার্তা বলে মনে হয় এমন ইমেইলের সংযুক্তি ও লিংক বিশেষ সতর্কতার সঙ্গে পরীক্ষা করা উচিত। এই ঘটনাকে স্টোর অ্যাকাউন্ট বা পেমেন্টের তথ্য ফাঁস হিসেবে বিবেচনা করা উচিত নয়; তবে ফোরামের পাসওয়ার্ড অন্য সেবায়ও ব্যবহার করা হলে এর প্রভাব ফোরামের বাইরে ছড়িয়ে পড়তে পারে। তাই সবচেয়ে উপযুক্ত পদক্ষেপ হলো পুরোনো ফোরাম পাসওয়ার্ডটি যেন আর কোথাও কার্যকর না থাকে, তা নিশ্চিত করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে অতিরিক্ত যাচাইয়ের ব্যবস্থা ব্যবহার করা।