MyLloyd-এর 2016 সালের তথ্য ফাঁস

MyLloyd-এর একটি রেকর্ডে মূলত যে ধরনের তথ্য যাচাই করা যায়, তা হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। শুধু একটি ইমেইল ঠিকানা সাধারণত পরিচয় চুরির জন্য যথেষ্ট নয়, কিন্তু তার সঙ্গে পাসওয়ার্ড যুক্ত হলে ঝুঁকি অনেক বেড়ে যায়। ইমেইল ঠিকানা ব্যবহারকারীর অ্যাকাউন্ট শনাক্ত করে, আর পাসওয়ার্ডটি একই বা অনুরূপ সেবায় প্রবেশের জন্য পরীক্ষা করা যেতে পারে। পুরোনো ফাঁস হওয়া তথ্য বহু বছর পর আবার সামনে এলে একই পাসওয়ার্ড পুনর্ব্যবহারকে কাজে লাগিয়ে আক্রমণ চালানোর সুযোগও থেকে যায়। নিবন্ধনের তারিখ পুরোনো হলেও আক্রমণকারীর কাছে তা গুরুত্বপূর্ণ নাও হতে পারে, কারণ ব্যবহারকারীরা বছরের পর বছর মূল পাসওয়ার্ডটি সামান্য পরিবর্তন করে ব্যবহার করে থাকতে পারেন।

পাসওয়ার্ডগুলো প্লেইন টেক্সটে তালিকাভুক্ত থাকার তথ্যের কারণে এই রেকর্ডকে নিছক ইমেইলের তালিকা হিসেবে দেখা যায় না। শক্তিশালী সল্টসহ হ্যাশ করা পাসওয়ার্ডের ক্ষেত্রে আক্রমণকারীকে অতিরিক্ত গণনাগত কাজ করতে হয়; কিন্তু প্লেইন টেক্সট পাসওয়ার্ড সরাসরি ব্যবহার করে প্রবেশের চেষ্টা করা যায়। তাই ঝুঁকি শুধু MyLloyd বা Lloyd অ্যাকাউন্টে সীমাবদ্ধ নয়। একই ইমেইল ও পাসওয়ার্ডের সমন্বয় ইমেইল ইনবক্স, কেনাকাটার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, কাজের অ্যাকাউন্ট, পেমেন্ট সেবা বা ক্লাউড স্টোরেজ অ্যাকাউন্টে ব্যবহার করা হলে একটির পর একটি অ্যাকাউন্টে প্রবেশের ঝুঁকি থাকে। ব্যবহারকারীর জন্য সবচেয়ে গুরুত্বপূর্ণ নিরাপত্তামূলক পদক্ষেপ হলো পুরোনো পাসওয়ার্ডটি পুরোপুরি ব্যবহার বন্ধ করা এবং পুরোনো পাসওয়ার্ডটির আদলে তৈরি পাসওয়ার্ডগুলোও বদলে ফেলা।

এই রেকর্ডের পরিধির ভিত্তি হলো MyLloyd-এর 26,244টি সারির তথ্য। ঘটনার সময় 2016 সালের মে মাসই রাখা হয়েছে, কারণ দেখা যায় এমন তথ্য ফাঁসের সূচিগুলোতে একই ডোমেইন নাম, একই ধরনের অ্যাকাউন্ট ও একই তথ্যের ফিল্ড এই সময়ের সঙ্গে মিলে যায়। বাইরের সূচিগুলোতে রেকর্ড যোগ করার তারিখ হিসেবে 2022 সালের 25 জুলাই দেখা যায়। এই তারিখ ঘটনাটি ঘটার দিন নয়; বরং তথ্য সূচিভুক্ত হওয়ার বা আবার দৃশ্যমান হওয়ার সময় নির্দেশ করে। এই পার্থক্যটি গুরুত্বপূর্ণ: ব্যবহারকারীকে তথ্য ফাঁসের সময় হিসেবে 2022 বা 2026 দেখালে পুরোনো অ্যাকাউন্টের তথ্যকে নতুন ঘটনা বলে মনে হতে পারে।

পরিধির সীমাও স্পষ্ট রাখা উচিত। কিছু গৌণ তালিকায় mylloyd.com-এর জন্য 30,706টি রেকর্ড ও 2017 সালের 19 জুন তারিখ দেখা যায়। একই তথ্য অন্য সারণিতে যোগ করা, নতুনভাবে সাজিয়ে প্রকাশ করা, ভিন্ন ফিল্ড গণনা করা বা আলাদা সূচিভুক্তির তারিখকে ঘটনার তারিখ হিসেবে দেখানোর কারণে এই অমিল হয়ে থাকতে পারে। বিভিন্ন উৎস মিলিয়ে যাচাই করা যায়নি বলে এই বেশি সংখ্যাটি এই রেকর্ডের মূল প্রভাবিত অ্যাকাউন্টের সংখ্যায় যোগ করা হয়নি। ফলে ব্যবহারকারীকে 2016 সালের মে মাসের 26,244টি রেকর্ড, ইমেইল ঠিকানা ও পাসওয়ার্ড ফিল্ড দেখানো হচ্ছে, যেগুলোতে উৎসগুলোর মধ্যে সবচেয়ে জোরালো মিল পাওয়া যায়।

প্রথম ঝুঁকিপূর্ণ গোষ্ঠী হলো তাঁরা, যাঁরা 2016 সালের আগে বা ওই সময়ে mylloyd.com, Lloyd-এর সহায়তা চ্যানেল, সেবার অনুরোধ, পণ্য নিবন্ধনের প্রক্রিয়া বা কেনাকাটার অ্যাকাউন্টের মতো সেবায় একই ইমেইল ঠিকানা ব্যবহার করেছিলেন। যাঁরা বিভিন্ন কেনাকাটার সাইট, ইমেইল সেবা বা সামাজিক যোগাযোগমাধ্যমে একই পাসওয়ার্ড বারবার ব্যবহার করেন, তাঁদের ঝুঁকি বিশেষভাবে বেশি। ব্যবহারকারীর MyLloyd অ্যাকাউন্টের কথা আর মনে না থাকলেও পুরোনো অ্যাকাউন্টের তথ্য আক্রমণকারীর কাছে মূল্যবান হতে পারে, কারণ পুরোনো পাসওয়ার্ডের ধরন নতুন পাসওয়ার্ড সম্পর্কে সূত্র দিতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো কর্মীরা, যাঁরা প্রতিষ্ঠানের ইমেইল ঠিকানা ব্যবহার করে ব্যক্তিগত সেবায় নিবন্ধন করেন। কোনো পুরোনো ভোক্তা সেবার তথ্য ফাঁসে প্রতিষ্ঠানের ইমেইল পাওয়া যাওয়া মানেই সরাসরি সেই প্রতিষ্ঠানের সিস্টেমে প্রবেশ করা হয়েছে, এমন নয়। তবে এটি আক্রমণকারীকে লক্ষ্যভিত্তিক ফিশিং, পাসওয়ার্ড অনুমান ও সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টার জন্য প্রাসঙ্গিক তথ্য দেয়। তৃতীয় গোষ্ঠীতে আছেন তাঁরা, যাঁরা পরিবারের সদস্যদের হয়ে অ্যাকাউন্ট তৈরি করেন বা একই ডিভাইস থেকে একাধিক ব্যবহারকারীর অ্যাকাউন্ট পরিচালনা করেন। এ ক্ষেত্রে একটি ইমেইল ঠিকানা একাধিক পণ্য, সেবার অনুরোধ বা পণ্য পৌঁছে দেওয়া-সংক্রান্ত যোগাযোগের সঙ্গে যুক্ত থাকতে পারে। এসব তথ্য আক্রমণকারীকে বিশ্বাসযোগ্য বার্তা তৈরি করতে সাহায্য করতে পারে।

যে ব্যবহারকারীর ইমেইল ঠিকানা এই রেকর্ডে রয়েছে, তাঁকে নিশ্চিত করতে হবে যে MyLloyd বা Lloyd-এর সঙ্গে যুক্ত পুরোনো পাসওয়ার্ডটি অন্য কোনো সেবায় ব্যবহার করা হচ্ছে না। একই বা কাছাকাছি ধরনের পাসওয়ার্ড এখনো ব্যবহার করা হলে সব গুরুত্বপূর্ণ অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড নির্ধারণকে অগ্রাধিকার দিতে হবে। শুরু করতে হবে ইমেইল ও আর্থিক লেনদেনের অ্যাকাউন্টগুলো দিয়ে। পাসওয়ার্ড বদলানোর সময় পুরোনো পাসওয়ার্ডের শেষে শুধু একটি সংখ্যা বা প্রতীক যোগ করা যথেষ্ট নয়; আক্রমণকারীরা স্বয়ংক্রিয় চেষ্টায় এ ধরনের ছোট পরিবর্তন সহজেই পরীক্ষা করতে পারে। পাসওয়ার্ড ম্যানেজার ব্যবহার করে দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড তৈরি করাই সবচেয়ে ভালো উপায়।

ইমেইল অ্যাকাউন্টে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। ইমেইল ইনবক্স অন্য সেবার পাসওয়ার্ড পুনরায় নির্ধারণের কেন্দ্র হিসেবে কাজ করে বলে এই অ্যাকাউন্টের নিয়ন্ত্রণ হারালে একটির পর একটি ক্ষতি হতে পারে। ব্যবহারকারীর উচিত অ্যাকাউন্টগুলোতে সর্বশেষ লগইনের ইতিহাস, অপরিচিত ডিভাইস, ফরওয়ার্ডিং নিয়ম এবং অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানাগুলো পরীক্ষা করা। কেনাকাটা ও সেবার অ্যাকাউন্টে ঠিকানা, ফোন নম্বর বা পেমেন্টের পদ্ধতি নিবন্ধিত থাকলে পুরোনো তথ্য সরিয়ে ফেলার পরামর্শ দেওয়া হয়। সন্দেহজনক ইমেইল এলে লিংকে ক্লিক না করে সরাসরি সেবাটির পরিচিত ঠিকানায় গিয়ে যাচাই করা উচিত।

MyLloyd-এর ঘটনাটি পুরোনো হলেও দীর্ঘমেয়াদি নিরাপত্তার শিক্ষা স্পষ্ট: একই পাসওয়ার্ড পুনর্ব্যবহার করলে ছোট পরিসরের তথ্য ফাঁসও বহু বছর ধরে অ্যাকাউন্ট দখলের ঝুঁকি তৈরি করে। ব্যবহারকারীদের প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত এবং সহজে মনে রাখার মতো ধরন অনুসরণ না করে নির্ভরযোগ্য পাসওয়ার্ড ম্যানেজারে সেগুলো সংরক্ষণ করা উচিত। গুরুত্বপূর্ণ অ্যাকাউন্টে পরিচয় যাচাইয়ের অ্যাপ বা হার্ডওয়্যার নিরাপত্তা চাবিকে অগ্রাধিকার দেওয়া উচিত এবং সম্ভব হলে SMS-ভিত্তিক কোডের বদলে আরও শক্তিশালী পদ্ধতি ব্যবহার করা উচিত।

প্রতিষ্ঠানের পরিবেশে এ ধরনের রেকর্ডকে শুধু কর্মীদের ব্যক্তিগত ইমেইল ব্যবহারের অভ্যাসের মধ্যে সীমাবদ্ধ বিষয় হিসেবে দেখা উচিত নয়। প্রতিষ্ঠানের ডোমেইনের ইমেইল পুরোনো ভোক্তা সেবায় ব্যবহার করা হয়ে থাকলে নিরাপত্তা দলের উচিত পাসওয়ার্ড পুনর্ব্যবহার রোধের নীতি, ফাঁস হওয়া পাসওয়ার্ড যাচাই, ঝুঁকিপূর্ণ সেশনের সতর্কতা এবং বাধ্যতামূলক একাধিক উপাদানভিত্তিক পরিচয় যাচাইয়ের ব্যবস্থা নেওয়া। প্রযুক্তিগত নিয়ন্ত্রণের মতো ব্যবহারকারীদের প্রশিক্ষণও গুরুত্বপূর্ণ। বিশেষভাবে বোঝানো উচিত যে পুরোনো তথ্য ফাঁসের তথ্য ব্যবহার করে তৈরি লক্ষ্যভিত্তিক বার্তায় ব্র্যান্ডের আসল ভাষার ধরন ও পুরোনো সেবার নাম থাকতে পারে।

LeakData-তে যাঁর MyLloyd রেকর্ড দেখা যায়, তাঁর এই ফলাফলকে পরিচয় চুরির একক প্রমাণ হিসেবে নয়, বরং পাসওয়ার্ড পুনর্ব্যবহার বন্ধ করার প্রয়োজনীয়তা সম্পর্কে একটি গুরুতর সতর্কতা হিসেবে বিবেচনা করা উচিত। রেকর্ডটির ভিত্তি হলো ইমেইল ঠিকানা, পাসওয়ার্ড ফিল্ড, 2016 সালের মে মাসের সময়কাল এবং 26,244টি প্রভাবিত রেকর্ড। কোনো আনুষ্ঠানিক ঘোষণা না থাকায় ঘটনাটির প্রযুক্তিগত পদ্ধতি, আক্রমণকারী গোষ্ঠী বা সিস্টেমে প্রবেশের বিস্তারিত নিয়ে কোনো নিশ্চিত দাবি যোগ করা হয়নি। এই সীমিত দৃষ্টিভঙ্গি ভিত্তিহীন নিশ্চয়তাবোধ ও অযথা সতর্কসংকেত, উভয়ের ঝুঁকিই কমায়।

ব্যবহারকারীর জন্য কাজের ক্রম সহজ: প্রথমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন। তারপর কেনাকাটা, সামাজিক যোগাযোগমাধ্যম, ক্লাউড ও কাজের যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে, সেগুলোর পাসওয়ার্ড বদলান। সবশেষে অপরিচিত সেশনগুলো বন্ধ করুন। পাসওয়ার্ড পরিবর্তন শেষ হলে অ্যাকাউন্ট পুনরুদ্ধারের তথ্যও পরীক্ষা করা উচিত। পুরোনো MyLloyd অ্যাকাউন্ট আর সক্রিয় না থাকলেও অতীতে যেখানেই একই পাসওয়ার্ড ব্যবহার করা হয়েছে, সেখানেই ঝুঁকি রয়েছে। এই রেকর্ডকে একটি আগাম সতর্কতা হিসেবে বিবেচনা করা উচিত, যা ব্যবহারকারীকে বুঝতে সাহায্য করে পুরোনো কোন পাসওয়ার্ড এবং সেটির আদলে তৈরি অন্যান্য পাসওয়ার্ডের ব্যবহার বন্ধ করতে হবে।