MyHeritage: তথ্য ফাঁস

MyHeritage ডেটাসেটে যাচাই করা তথ্যের ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। পাসওয়ার্ডের ঘরে সল্টযুক্ত SHA-1 পাসওয়ার্ড হ্যাশ রয়েছে। ইমেইল ঠিকানা ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, বিভিন্ন অ্যাকাউন্টের মধ্যে মিল খোঁজা, পুরোনো অ্যাকাউন্ট নিয়ে সতর্কবার্তা পাঠানো এবং পাসওয়ার্ড রিসেটের নামে প্রতারণা করা যেতে পারে। অন্যদিকে, পাসওয়ার্ড হ্যাশ বাড়তি ঝুঁকি তৈরি করে, বিশেষ করে পাসওয়ার্ড দুর্বল হলে বা একই পাসওয়ার্ড একাধিক সেবায় ব্যবহার করা হলে।

এই ঘটনায় সরাসরি পাঠযোগ্য পাসওয়ার্ড, পেমেন্ট কার্ড, ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, পরিচয়পত্র, DNA প্রোফাইল কিংবা পারিবারিক বংশবৃক্ষের বিষয়বস্তুকে যাচাই করা ফাঁস হওয়া তথ্য হিসেবে বিবেচনা করা উচিত নয়। তবু ইমেইল ও পাসওয়ার্ডের তথ্য একসঙ্গে পাওয়া গেলে আক্রমণকারীরা একই ইমেইল-পাসওয়ার্ড জোড়া দিয়ে ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, কেনাকাটা, পারিবারিক ইতিহাসবিষয়ক সেবা ও কর্মক্ষেত্রের অ্যাকাউন্টে ঢোকার চেষ্টা করতে পারে।

MyHeritage-এর তথ্য ফাঁসের তারিখ 26 অক্টোবর 2017, রেকর্ড সংযোজনের তারিখ 20 ফেব্রুয়ারি 2019 এবং প্রভাবিত অ্যাকাউন্টের সংখ্যা 9,19,91,358 হিসেবেই রাখতে হবে। কোম্পানির ঘোষণায় বলা হয়েছে, ফাইলটিতে MyHeritage অ্যাকাউন্ট খোলা ব্যবহারকারীদের ইমেইল ঠিকানা ও হ্যাশ করা পাসওয়ার্ড ছিল; ফাইলটি কোম্পানির বাইরের একটি ব্যক্তিগত সার্ভারে দেখা গিয়েছিল।

ঘটনার পরিসর ব্যাখ্যা করার সময় পারিবারিক বংশবৃক্ষ, DNA তথ্য, পেমেন্টের তথ্য, ক্রেডিট কার্ড, পরিচয়পত্র, ফোন নম্বর বা বাসা বা অন্য স্থানের ঠিকানা নিশ্চিতভাবে ফাঁস হয়েছে বলে উপস্থাপন করা উচিত নয়। কোম্পানি জানিয়েছে, পেমেন্টের তথ্য তৃতীয় পক্ষের পেমেন্ট সেবাদাতাদের কাছে সংরক্ষিত থাকে এবং পারিবারিক বংশবৃক্ষ ও DNA তথ্য আলাদা সিস্টেমে রাখা হয়। এসব সিস্টেমে অননুমোদিত প্রবেশের কোনো প্রমাণ পাওয়া যায়নি। তাই MyHeritage-এর রেকর্ডটিকে সংবেদনশীল বংশতালিকার তথ্য ফাঁসের ঘটনা হিসেবে নয়, বরং বিপুলসংখ্যক অ্যাকাউন্টের শনাক্তকারী ও পাসওয়ার্ড পুনর্ব্যবহার-সংক্রান্ত ঝুঁকি হিসেবে বিবেচনা করা উচিত।

প্রধানত ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা 26 অক্টোবর 2017 বা তার আগে MyHeritage অ্যাকাউন্ট খুলেছিলেন। যাঁরা ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, কেনাকাটার সাইট, বংশতালিকাবিষয়ক সেবা বা কর্মক্ষেত্রের অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি বেশি। পুরোনো অ্যাকাউন্টের কথা ভুলে গেলেও, অন্য সেবায় একই পাসওয়ার্ড চালু থাকলে ঝুঁকি থেকে যায়।

পারিবারিক বংশবৃক্ষ, পারিবারিক ইতিহাস বা DNA পরীক্ষার ফলাফল নিয়ে আসা বার্তায় যাঁরা সহজে প্রভাবিত হতে পারেন, তাঁদেরও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তার বিষয়ে সতর্ক থাকা উচিত। আক্রমণকারীরা কোনো প্রকৃত MyHeritage অ্যাকাউন্টের অস্তিত্ব জানলে পারিবারিক সম্পর্ক, নিরাপত্তা সতর্কবার্তা, পুরোনো সাবস্ক্রিপশন, ছবির আর্কাইভ বা আত্মীয়ের সঙ্গে মিল পাওয়ার অজুহাতে ব্যবহারকারীর সঙ্গে যোগাযোগ করতে পারে। যাঁরা প্রতিষ্ঠানের ইমেইল ব্যবহার করেন, তাঁদের ক্ষেত্রে কর্মক্ষেত্রের অ্যাকাউন্টে পাসওয়ার্ড দিয়ে ঢোকার চেষ্টা পর্যন্ত এই ঝুঁকি ছড়াতে পারে।

MyHeritage ডেটাসেটে যাঁদের তথ্যের মিল পাওয়া গেছে, তাঁদের MyHeritage অ্যাকাউন্টের পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহৃত সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, কেনাকাটা, পেমেন্ট, পারিবারিক ইতিহাসবিষয়ক সেবা ও কর্মক্ষেত্রের অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত। নতুন পাসওয়ার্ড দীর্ঘ হতে হবে, অন্য কোনো অ্যাকাউন্টে ব্যবহৃত হওয়া চলবে না এবং পাসওয়ার্ড ম্যানেজারে সংরক্ষিত পাসওয়ার্ডগুলোর মধ্য থেকে বেছে নেওয়া উচিত।

সব গুরুত্বপূর্ণ অ্যাকাউন্টে দুই-ধাপের প্রমাণীকরণ চালু করা, সক্রিয় সেশন ও সংযুক্ত ডিভাইস পরীক্ষা করা এবং অপরিচিত সেশন বন্ধ করা উচিত। পারিবারিক বংশবৃক্ষ, DNA পরীক্ষার ফলাফল, আত্মীয়ের সঙ্গে মিল পাওয়া বা পুরোনো অ্যাকাউন্টের নিরাপত্তা নিয়ে কোনো বার্তা এলে, কোনো লিংকে ক্লিক করার আগে আপনি সেবাটির পরিচিত ওয়েব ঠিকানা বা আনুষ্ঠানিক অ্যাপ দিয়ে লগইন করুন। সহায়তা চেয়ে কোনো কথোপকথনে একবার ব্যবহারযোগ্য কোড, অ্যাকাউন্টের পাসওয়ার্ড বা অ্যাকাউন্ট পুনরুদ্ধারের লিংক শেয়ার করা উচিত নয়।

দীর্ঘমেয়াদে সুরক্ষার ভিত্তি হলো প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড, একটি পাসওয়ার্ড ম্যানেজার এবং দুই-ধাপের প্রমাণীকরণ। পারিবারিক ইতিহাস ও ছবির আর্কাইভের মতো গভীরভাবে ব্যক্তিগত বিষয়ের সঙ্গে যুক্ত সেবায় বছরের পর বছর একই ইমেইল-পাসওয়ার্ডের ধরন বজায় রাখলে, পুরোনো তথ্য ফাঁস থেকে পাওয়া তথ্য দিয়ে নতুন অ্যাকাউন্টে ঢোকার চেষ্টা করা সহজ হয়। গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা ইমেইল অ্যালিয়াস ব্যবহারের কথা বিবেচনা করা যেতে পারে।

ব্যবহারকারীদের নিয়মিত পারিবারিক ইতিহাসবিষয়ক পুরোনো অ্যাকাউন্ট পর্যালোচনা করা, অপ্রয়োজনীয় অ্যাকাউন্ট বন্ধ করা এবং অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও নিরাপত্তা বিজ্ঞপ্তি হালনাগাদ রাখা উচিত। ইমেইল ঠিকানা ও পাসওয়ার্ড হ্যাশ প্রকাশ হয়ে গেলে ঝুঁকি শুধু একটি সাইটে সীমিত থাকে না; একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করতে হবে এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তার বিরুদ্ধে দীর্ঘমেয়াদে সতর্ক থাকতে হবে।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি MyHeritage ডেটাসেটে আছে কি না তা জানা যায়। মিল পাওয়ার ফলাফল বোঝায় যে ইমেইল ঠিকানাটি এই ডেটাসেটে রয়েছে এবং ঝুঁকি মূল্যায়নে যাচাই করা তথ্যের ঘরগুলো অন্তর্ভুক্ত করা উচিত। এই ফলাফল DNA, পারিবারিক বংশবৃক্ষ, পেমেন্ট কার্ড বা পরিচয়পত্রের তথ্য প্রকাশ হয়েছে বলে প্রমাণ করে না; সুরক্ষামূলক পদক্ষেপের পরিকল্পনা ইমেইল ও পাসওয়ার্ডের ঝুঁকিকে কেন্দ্র করে করা উচিত।

মিল না পাওয়ার ফলাফল শুধু বোঝায় যে MyHeritage ডেটাসেটে কোনো মিল পাওয়া যায়নি; অন্য কোনো তথ্য ফাঁসের ঘটনায় তথ্য থাকার সম্ভাবনা এতে নাকচ হয় না। যাঁদের মিল পাওয়া যায়, তাঁদের পাসওয়ার্ড রিসেট করা, দুই-ধাপের প্রমাণীকরণ চালু করা, পুরোনো সেশন পর্যালোচনা করা এবং বংশতালিকা বা পারিবারিক ইতিহাসের প্রসঙ্গে আসা নিরাপত্তা বার্তা আলাদা যোগাযোগমাধ্যম দিয়ে যাচাই করা উচিত।