MtGox তথ্য ফাঁস

এই রেকর্ডে উল্লেখযোগ্য তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, অ্যাকাউন্ট নম্বর ও পাসওয়ার্ড হ্যাশ। শুধু একটি ইমেইল ঠিকানা থাকলে ঝুঁকি কম বলে মনে হতে পারে। কিন্তু পুরোনো কোনো এক্সচেঞ্জ অ্যাকাউন্টের সঙ্গে সেটি মেলানো গেলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, অর্থ ফেরতের ভুয়া ঘোষণা, ভুয়া সহায়তা বার্তা ও ক্রিপ্টোকারেন্সিকেন্দ্রিক প্রতারণার জন্য তা একটি কার্যকর সূত্র হয়ে ওঠে। ব্যবহারকারীর নাম ও অ্যাকাউন্ট নম্বর ব্যবহার করে আক্রমণকারী ভুক্তভোগীর কাছে আরও বিশ্বাসযোগ্য মনে হয় এমন বার্তা পাঠাতে পারে, পুরোনো এক্সচেঞ্জ অ্যাকাউন্টের মালিক বলে নিজেকে পরিচয় দিতে পারে অথবা অন্য প্ল্যাটফর্মে একই ব্যবহারকারীর নাম খুঁজতে পারে। পাসওয়ার্ড হ্যাশ মানে সরাসরি পড়া যায় এমন পাসওয়ার্ড নয়। তবে পুরোনো ও দুর্বল পাসওয়ার্ড ঝুঁকি তৈরি করতে পারে, বিশেষ করে সে সময় সহজে ভাঙা যেত এমন হ্যাশ পদ্ধতি ব্যবহার করা হলে। বিভিন্ন এক্সচেঞ্জ, ইমেইল, ফোরাম বা পেমেন্ট অ্যাকাউন্টে একই পাসওয়ার্ড পুনরায় ব্যবহার করা হয়ে থাকলে, এই ঘটনা বহু বছর পরও অ্যাকাউন্ট দখলের চেষ্টার পথ তৈরি করতে পারে।

যাচাই করা পরিসর শুধু 2011 সালে MtGox-এর ব্যবহারকারী ডেটাবেস থেকে উন্মুক্ত হওয়া অ্যাকাউন্টের তথ্যে সীমাবদ্ধ। রেকর্ডের সংখ্যা 42,163 বলে ধরা হয়, কারণ উপলব্ধ তথ্য ফাঁসের সূচিগুলো এই সংখ্যাকে সরাসরি MtGox-এর ডোমেইন নাম ও 2011 সালের জুনের সঙ্গে যুক্ত করে। সে সময়ের বিবরণগুলোতেও ডেটাবেসে প্রবেশের পর অ্যাকাউন্টের লগইন তথ্য, ইমেইল ঠিকানা ও এনক্রিপ্ট করা পাসওয়ার্ড ছড়িয়ে পড়ার কথা পাওয়া যায়। অন্যদিকে, এই রেকর্ড 2014 সালে MtGox-এর দেউলিয়া হওয়ার পেছনে থাকা ক্রিপ্টো সম্পদ হারানোর ঘটনা, এক্সচেঞ্জের ওয়ালেট থেকে চুরি হয়েছে বলে অভিযোগ ওঠা Bitcoin-এর পরিমাণ অথবা পাওনাদারদের দাবি নিষ্পত্তির প্রক্রিয়াকে নির্দেশ করে না। এই পার্থক্যটি গুরুত্বপূর্ণ। ব্যবহারকারীর তথ্য ফাঁস ব্যক্তিগত অ্যাকাউন্টের নিরাপত্তার ঝুঁকি তৈরি করে, আর 2014 সালের ঘটনাটি আলাদা; সেটি এক্সচেঞ্জের মজুত সম্পদ ও কার্যক্রম ভেঙে পড়ার প্রেক্ষাপটে পৃথকভাবে পর্যালোচনা করা দরকার।

সবচেয়ে বেশি ঝুঁকিতে আছেন যাঁরা 2011 সালের সময়কালে MtGox অ্যাকাউন্ট খুলেছিলেন, দীর্ঘদিন একই ইমেইল ঠিকানা ব্যবহার করেছেন এবং অন্য সেবায়ও একই পাসওয়ার্ড ব্যবহার করেছেন। ক্রিপ্টোকারেন্সি কমিউনিটিতে একই ডাকনাম ব্যবহার করেন এমন ব্যক্তিরাও বাড়তি ঝুঁকিতে আছেন, কারণ ব্যবহারকারীর নামটি অন্য ফোরাম, এক্সচেঞ্জ বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের সঙ্গে মিলিয়ে দেখা যেতে পারে। সাবেক অ্যাকাউন্টধারীদের বহু বছর পরে আসা অর্থ ফেরত, পাওনাদারের রেকর্ড, ওয়ালেট যাচাই বা সহায়তাসংক্রান্ত ভুয়া বার্তার ব্যাপারে সতর্ক থাকা উচিত। এমন বার্তায় প্রকৃত ঘটনার ইতিহাস ব্যবহার করে আস্থা অর্জন করা এবং ব্যবহারকারীকে ভুয়া লগইন পৃষ্ঠায় নিয়ে যাওয়া সম্ভব। ইমেইল ঠিকানাটি আর সক্রিয় না থাকলেও, আগে সেই ঠিকানা দিয়ে খোলা অ্যাকাউন্টগুলো পাসওয়ার্ড পুনর্ব্যবহারের কারণে পরিচয় যাচাইয়ের তথ্য ব্যবহার করে প্রবেশের চেষ্টার লক্ষ্য হতে পারে। তাই ঝুঁকিকে শুধু MtGox অ্যাকাউন্টের মধ্যে সীমাবদ্ধ বলে দেখা উচিত নয়; একই ইমেইল ও পাসওয়ার্ড ব্যবহারের ইতিহাস আছে এমন সব গুরুত্বপূর্ণ অ্যাকাউন্ট একসঙ্গে মূল্যায়ন করা উচিত।

এই রেকর্ডে আপনার ইমেইল ঠিকানা থাকলে, প্রথম কাজ হওয়া উচিত কোন কোন অ্যাকাউন্টে পুরোনো MtGox পাসওয়ার্ড বা কাছাকাছি ধরনের পাসওয়ার্ড এখনও ব্যবহার করা হচ্ছে, তা চিহ্নিত করা। ইমেইল অ্যাকাউন্ট, ক্রিপ্টোকারেন্সি এক্সচেঞ্জ, আর্থিক সেবা, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলো আগে পরীক্ষা করা উচিত। পুনর্ব্যবহৃত পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড ব্যবহার করা উচিত। যেখানে সম্ভব, প্রমাণীকরণ অ্যাপ বা হার্ডওয়্যার কী-এর মতো শক্তিশালী দ্বিতীয় প্রমাণীকরণ উপাদান চালু করা উচিত। ইমেইল ইনবক্সের নিয়ম, ফরওয়ার্ডিং, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা ও লগইনের ইতিহাস পরীক্ষা করা উচিত; অপরিচিত সেশন বন্ধ করা উচিত। MtGox-এর নাম ব্যবহার করে অর্থ ফেরত, মামলা, ক্ষতিপূরণ বা ওয়ালেট পরীক্ষার বিষয়ে কোনো বার্তা এলে, লিংকে ক্লিক করার আগে ডোমেইনটি সতর্কভাবে পরীক্ষা করা উচিত। চাওয়া পাসওয়ার্ড বা পুনরুদ্ধারের গোপন শব্দগুচ্ছ কোনো অবস্থাতেই শেয়ার করা উচিত নয়।

ঘটনাটি পুরোনো মনে হলেও, পাসওয়ার্ড পুনর্ব্যবহার ও ক্রিপ্টোকারেন্সিকে লক্ষ্য করে প্রতারণার কারণে এর দীর্ঘমেয়াদি ঝুঁকি রয়েছে। ব্যবহারকারীদের সব গুরুত্বপূর্ণ অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা, পাসওয়ার্ড ম্যানেজার দিয়ে শক্তিশালী ও এলোমেলো পাসওয়ার্ড তৈরি করা এবং পুরোনো এক্সচেঞ্জ ও ফোরাম অ্যাকাউন্টে ব্যবহৃত লগইনের তথ্যকে আলাদা ঝুঁকির শ্রেণি হিসেবে বিবেচনা করা উচিত। ক্রিপ্টোকারেন্সি সম্পদের সঙ্গে যুক্ত ইমেইল ঠিকানাগুলো যতটা সম্ভব আলাদা রাখা উচিত; বিনিয়োগ, এক্সচেঞ্জ, ওয়ালেট ও দৈনন্দিন যোগাযোগের জন্য একই ঠিকানা ব্যবহার এড়ানো উচিত। অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো নিয়মিত পর্যালোচনা করা এবং পুরোনো ফোন নম্বর ও অব্যবহৃত ইমেইল ঠিকানা সরিয়ে ফেলা উচিত। প্রতিষ্ঠানের ক্ষেত্রে, অতীতে ক্রিপ্টোকারেন্সি এক্সচেঞ্জ থেকে ফাঁস হওয়া কর্মীদের ইমেইল ঠিকানাগুলোকে ফিশিংবিষয়ক প্রশিক্ষণে বিশেষ পরিস্থিতির উদাহরণ হিসেবে বিবেচনা করা যেতে পারে। এভাবে অতীতের কোনো তথ্য ফাঁস বর্তমানে অননুমোদিত প্রবেশের পথ হয়ে ওঠার আগেই তা শনাক্ত করা সম্ভব হতে পারে।

এই রেকর্ডে কোনো মিল পাওয়া মানেই ওই ব্যক্তির ক্রিপ্টো সম্পদ সরাসরি চুরি হয়েছে, এমন নয়। মিল পাওয়া বোঝায় যে ইমেইল বা অ্যাকাউন্টের তথ্য 2011 সালের ব্যবহারকারী ডেটাবেসসংক্রান্ত ঘটনায় উপস্থিত থাকতে পারে। তবু ঝুঁকিটিকে গুরুত্ব দেওয়া উচিত, কারণ পুরোনো পাসওয়ার্ড হ্যাশ, পুনর্ব্যবহৃত পাসওয়ার্ড ও ক্রিপ্টোকারেন্সিভিত্তিক ফিশিং প্রচারাভিযান একসঙ্গে বিবেচনা করলে অ্যাকাউন্টের নিরাপত্তার ওপর প্রভাব বাড়তে পারে। ব্যবহারকারীর উচিত একই ইমেইল দিয়ে খোলা গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর তালিকা করা, পাসওয়ার্ড পুনর্ব্যবহার বন্ধ করা, দুই উপাদানভিত্তিক সুরক্ষা জোরদার করা এবং MtGox-এর পুরোনো ইতিহাস ব্যবহার করে পাঠানো বার্তার ব্যাপারে সতর্ক থাকা। প্রতিষ্ঠানের জন্য সুপারিশ হলো, কর্মীদের ইমেইল ঠিকানা এই রেকর্ডে পাওয়া গেলে শুধু মিলের সংখ্যা দেখা উচিত নয়। সংশ্লিষ্ট ব্যক্তির আর্থিক অ্যাকাউন্টে প্রবেশাধিকার, সিস্টেমে উচ্চ ক্ষমতাসম্পন্ন ভূমিকা ও পাসওয়ার্ড পুনর্ব্যবহারের ঝুঁকি বিবেচনায় এটি বাড়তি যাচাইয়ের একটি উপাদান।