MyPirata.me Forums: 2019 সালের তথ্য ফাঁস

MyPirata.me Forums-এর নিবন্ধন রেকর্ডে যে মৌলিক তথ্যের ধরনগুলো যাচাই করা যায়, সেগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, IP ঠিকানা, নিবন্ধনের তারিখ ও পাসওয়ার্ড হ্যাশ। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম ব্যবহার করে বিভিন্ন ফোরাম, গেমিং কমিউনিটি বা সামাজিক প্ল্যাটফর্মে কোনো ব্যক্তির পরিচয়ের মধ্যে যোগসূত্র খুঁজে বের করা যায়। অন্যদিকে, IP ঠিকানা নিবন্ধন বা সেশনের সময়কার নেটওয়ার্কের তথ্য দেয়, যা ভৌগোলিক অবস্থান বা সেবাদাতা সম্পর্কে অতিরিক্ত ধারণা দিতে পারে। নিবন্ধনের তারিখ থেকে অ্যাকাউন্টটি কত পুরোনো এবং কোন ব্যবহারকারীদের পুরোনো পাসওয়ার্ড ব্যবহারের অভ্যাস থাকতে পারে, তা বুঝতেও সাহায্য হয়।

পাসওয়ার্ডের ঘরে হ্যাশ থাকায় এর ঝুঁকি সরাসরি পাঠযোগ্য পাসওয়ার্ড ফাঁসের ঝুঁকি থেকে আলাদা। হ্যাশ মান নিজে সরাসরি পড়া যায় এমন পাসওয়ার্ড নয়; তবে দুর্বল, ছোট বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড ডিকশনারি আক্রমণের মাধ্যমে উদ্ধার করা সম্ভব। ফোরামের ব্যবহারকারীরা অন্য কমিউনিটিতেও একই ব্যবহারকারীর নাম ও কাছাকাছি পাসওয়ার্ড ব্যবহার করে থাকলে, বহু বছর পরও পুরোনো ফাঁস হওয়া তথ্য দিয়ে অ্যাকাউন্টের নিয়ন্ত্রণ নেওয়ার চেষ্টা হতে পারে। তাই ঝুঁকি শুধু MyPirata অ্যাকাউন্টে সীমাবদ্ধ নয়; একই ইমেইল, একই ব্যবহারকারীর নাম বা একই ধরনের পাসওয়ার্ড দিয়ে নিবন্ধিত অন্য সেবাগুলোতেও তা ছড়িয়ে পড়তে পারে।

এই রেকর্ডে মূল পরিসর হিসেবে 5,03,194টি ব্যবহারকারী রেকর্ড ধরা হয়েছে। কিছু গৌণ সূচিতে কাছাকাছি হলেও ভিন্ন সংখ্যা দেখা যায়, যেমন 5,03,285, 5,03,696 বা 5,06,439। পুনরাবৃত্ত সারি পার্স করার পদ্ধতি, ফাঁকা অংশ গণনা করা, টেবিলের ভিন্ন অংশ একত্র করা বা সূচিগুলোতে আলাদা পদ্ধতিতে সারি পরিষ্কার করার কারণে এসব পার্থক্য হতে পারে। তাই বড় সংখ্যাটিকে স্বয়ংক্রিয়ভাবে মূল গণনায় অন্তর্ভুক্ত করা হয়নি। ব্যবহারকারীকে দেখানো মূল সংখ্যাটি বিদ্যমান রেকর্ড ও যাচাইয়ের অভিন্ন ন্যূনতম ভিত্তির সঙ্গে সামঞ্জস্যপূর্ণ রাখা হয়েছে।

ঘটনাটির সময় 2019 সালের ডিসেম্বর বলে ধরা হয়; তবে যেসব উৎস দেখা যায়, সেগুলোতে রেকর্ডটি যুক্ত হওয়ার বা সূচিতে দেখা যাওয়ার তারিখ পরবর্তী সময়ের। তাই সিস্টেমে প্রযুক্তিগতভাবে ইমপোর্ট করার 2026 সালের তারিখকে তথ্য ফাঁসের তারিখ বা বাইরের কোনো উৎসে প্রথম প্রকাশের তারিখ হিসেবে ব্যবহার করলে তা বিভ্রান্তিকর হবে। রেকর্ডটি যুক্ত করার সময় 2024 সালের নভেম্বর নির্ধারণ করা উচিত; তবে প্রকাশ্য লেখায় ঘটনাটিকে নতুন ঘটনা হিসেবে উপস্থাপন করা উচিত নয়। বহু বছর পর পুরোনো ফোরামের তথ্য আবার সামনে আসায় অ্যাকাউন্টের নিরাপত্তায় যে ঝুঁকি তৈরি হয়, এই রেকর্ডটিকে সেভাবেই বিবেচনা করা উচিত।

ঝুঁকিতে থাকা প্রথম গোষ্ঠী হলেন যাঁরা একই ইমেইল ঠিকানা দিয়ে MyPirata.me ফোরামে অ্যাকাউন্ট খুলেছেন। তাঁরা এখন আর অ্যাকাউন্টটির কথা মনে না রাখলেও ইমেইল ঠিকানা ও ব্যবহারকারীর নাম মিলে যাওয়া আক্রমণকারীর জন্য মূল্যবান হতে পারে। ফোরামের ব্যবহারকারীর নাম প্রায়ই গেমিং, অ্যানিমে, সামাজিক যোগাযোগমাধ্যম বা মেসেজিং অ্যাকাউন্টেও ব্যবহার করা হয়। একাধিক জায়গায় একই ডাকনাম দেখা গেলে ব্যবহারকারীর অনলাইন প্রোফাইলগুলোর মধ্যে যোগসূত্র খুঁজে বের করা সহজ হয় এবং তাঁকে লক্ষ্য করে পাঠানো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলেন যাঁরা বিভিন্ন ফোরাম, গেমিং অ্যাকাউন্ট, ইমেইল অ্যাকাউন্ট বা সামাজিক প্ল্যাটফর্মে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেন। হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করা গেলে আক্রমণকারী অন্য সেবাতেও সেই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করতে পারে। তৃতীয় গোষ্ঠীতে আছেন এমন ব্যবহারকারীরা, যাঁদের পুরোনো IP ঠিকানা ও নিবন্ধনের তারিখের মতো তথ্য তাঁদের ব্যক্তিগত পরিস্থিতির সঙ্গে মিলিয়ে দেখলে ক্ষতির আশঙ্কা তৈরি হতে পারে। শুধু এই তথ্য পরিচয় চুরির জন্য যথেষ্ট নাও হতে পারে; তবে ইমেইল, ব্যবহারকারীর নাম ও পাসওয়ার্ডের ঝুঁকির সঙ্গে একত্র হলে তা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং ও অ্যাকাউন্টের নিয়ন্ত্রণ নেওয়ার চেষ্টাকে আরও কার্যকর করতে পারে।

MyPirata.me Forums-এর নিবন্ধন রেকর্ডে যাঁদের তথ্য রয়েছে, তাঁদের ওই ফোরাম বা একই ধরনের কমিউনিটিতে ব্যবহৃত পুরোনো পাসওয়ার্ড সম্পূর্ণভাবে বাদ দেওয়া উচিত। পুরোনো পাসওয়ার্ডের শেষে একটি সংখ্যা যোগ করা বা ছোট হাতের অক্ষর বড় হাতের অক্ষরে বদলে দেওয়া যথেষ্ট নয়। সবচেয়ে নিরাপদ উপায় হলো প্রতিটি সেবার জন্য দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা এবং সেগুলো একটি নির্ভরযোগ্য পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করা। একই ইমেইল ও ব্যবহারকারীর নাম দিয়ে খোলা অন্য ফোরাম, গেমিং, সামাজিক যোগাযোগমাধ্যম ও মেসেজিং অ্যাকাউন্টও পরীক্ষা করা উচিত।

ইমেইল অ্যাকাউন্টের সুরক্ষাকেও অগ্রাধিকার দেওয়া উচিত। অন্য সেবাগুলোর পাসওয়ার্ড পুনর্নির্ধারণের কেন্দ্র হিসেবে কাজ করে বলে ইমেইল অ্যাকাউন্টে শক্তিশালী পাসওয়ার্ড এবং একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু থাকা জরুরি। আপনি চিনতে পারছেন না এমন সেশন বন্ধ করুন, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও ফোন নম্বর যাচাই করুন এবং স্বয়ংক্রিয় ফরওয়ার্ডিং বা সন্দেহজনক কোনো নিরাপত্তা সেটিংস আছে কি না দেখুন। ফোরাম বা গেমের নামে আসা ভুয়া বিজ্ঞপ্তির লিংকে ক্লিক না করে সেবাটির পরিচিত ঠিকানা দিয়ে লগইন করাই ভালো। পুরোনো স্মৃতি বা অ্যাকাউন্ট নবায়নের কথা বলে পাঠানো প্রতারণামূলক বার্তায় পুরোনো ফোরামের তথ্য ব্যবহার করা হতে পারে।

এই রেকর্ড দেখায়, ফোরাম অ্যাকাউন্টকে তুচ্ছ মনে করা উচিত নয়। ব্যবহারকারীরা প্রায়ই পুরোনো ফোরামকে গুরুত্বপূর্ণ সেবা হিসেবে দেখেন না; কিন্তু একই ব্যবহারকারীর নাম, ইমেইল ও পাসওয়ার্ডের ধরন অন্য অ্যাকাউন্টের সঙ্গে যুক্ত থাকলে, ফোরামের আপাতদৃষ্টিতে সামান্য একটি তথ্য ফাঁস ধারাবাহিকভাবে আরও বেশি অ্যাকাউন্টে প্রবেশের পথ খুলে দিতে পারে। দীর্ঘমেয়াদে প্রতিটি কমিউনিটি, গেম ও সামাজিক অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত; ভিন্ন পরিবেশে একই ডাকনাম ব্যবহারের ফলে গোপনীয়তায় কী প্রভাব পড়তে পারে, তা বিবেচনা করা দরকার। ব্যক্তিগত ও পেশাগত পরিচয় যতটা সম্ভব আলাদা রাখা উচিত।

প্রতিষ্ঠানের জন্য এ ধরনের রেকর্ড মনে করিয়ে দেয় যে কর্মীরা ব্যক্তিগত ফোরামে প্রতিষ্ঠানের ইমেইল ঠিকানা ব্যবহার করলে ঝুঁকি তৈরি হতে পারে। পুরোনো ফোরামের তথ্য ফাঁসে কোনো প্রতিষ্ঠানের ইমেইল পাওয়া গেলেই যে প্রতিষ্ঠানের সিস্টেমে প্রবেশ ঘটেছে, তা নয়; তবে এটি নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের সূচনা হতে পারে। ফাঁস হওয়া পাসওয়ার্ড যাচাই, একাধিক উপাদানভিত্তিক পরিচয় যাচাই, ঝুঁকিপূর্ণ সেশনের সতর্কবার্তা ও কর্মীদের সচেতনতা প্রশিক্ষণের মাধ্যমে নিরাপত্তা দলের এই ঝুঁকি কমানো উচিত। পুরোনো কমিউনিটির অ্যাকাউন্ট বন্ধ হয়ে গেলেও একই ইমেইল ও ব্যবহারকারীর নাম অন্য কোথাও থেকে যেতে পারে।

আপনি LeakData-তে MyPirata.me Forums-এর ফলাফল দেখলে এটিকে পুরোনো ফোরাম অ্যাকাউন্ট থেকে উদ্ভূত অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত সতর্কতা হিসেবে বিবেচনা করুন। রেকর্ডটির পরিসর প্রায় 5,03,194টি সারি, 2019 সালের ডিসেম্বর এবং ইমেইল ঠিকানা, ব্যবহারকারীর নাম, IP ঠিকানা, নিবন্ধনের তারিখ ও পাসওয়ার্ড হ্যাশের মধ্যে সীমাবদ্ধ। কোনো আনুষ্ঠানিক বিজ্ঞপ্তি না থাকায় ঘটনাটি ঘটানোর প্রযুক্তিগত পদ্ধতি, আক্রমণকারী গোষ্ঠী বা ফোরাম সার্ভারে কতখানি প্রবেশাধিকার পাওয়া গিয়েছিল, সে বিষয়ে কোনো নিশ্চিত দাবি যোগ করা হয়নি। এই পদ্ধতি ভুল সতর্কতার ঝুঁকি কমিয়েও বাস্তবসম্মত নিরাপত্তামূলক পদক্ষেপের গুরুত্ব বজায় রাখে।

সঠিক ক্রম হলো প্রথমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করা, তারপর একই ব্যবহারকারীর নাম বা ইমেইল দিয়ে তৈরি ফোরাম ও গেম অ্যাকাউন্ট পর্যালোচনা করা এবং এরপর পুরোনো পাসওয়ার্ড ব্যবহৃত হয়েছে এমন সব সেবায় স্বতন্ত্র পাসওয়ার্ড নির্ধারণ করা। অন্য প্ল্যাটফর্মেও একই ব্যবহারকারীর নাম ব্যবহার করা হলে গোপনীয়তার সেটিংস ও প্রকাশ্যে দেখা যায় এমন প্রোফাইলের তথ্যও পরীক্ষা করা উচিত। প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে অ্যাকাউন্ট নিবন্ধন করা হয়ে থাকলে ফলাফলটি নিরাপত্তা দলকে জানানো উচিত। এভাবে পুরোনো ফোরামের নিবন্ধনসংক্রান্ত ঝুঁকি আরও ব্যাপকভাবে অ্যাকাউন্টের নিয়ন্ত্রণ নেওয়ার চেষ্টায় রূপ নেওয়ার আগেই মোকাবিলা করা যায়।