myRepoSpace: 2015 সালের তথ্য ফাঁস

myRepoSpace রেকর্ডে যে ধরনের তথ্য যাচাই করা যায়, সেগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড এবং ব্যবহারকারীর নাম। এই চারটি ফিল্ড একসঙ্গে বিবেচনা করলে শুধু ব্যবহারকারীর অ্যাকাউন্টে লগইনের তথ্য নয়, তাঁর অনলাইন পরিচয় এবং প্রযুক্তিভিত্তিক কমিউনিটিতে অংশগ্রহণের ইতিহাসও দৃশ্যমান হয়। ইমেইল ঠিকানা অ্যাকাউন্ট পুনরুদ্ধার ও বিজ্ঞপ্তি পাওয়ার মাধ্যম হিসেবে কাজ করে; একই ব্যবহারকারীর নাম বিভিন্ন ফোরামে ব্যবহৃত হতে পারে; IP ঠিকানা থেকে নেটওয়ার্ক বা সেবা প্রদানকারী সম্পর্কে আনুমানিক ধারণা পাওয়া যেতে পারে; আর পাসওয়ার্ড পুনর্ব্যবহার করা হলে সেটিই অ্যাকাউন্টের নিয়ন্ত্রণ হারানোর সবচেয়ে সরাসরি ঝুঁকি তৈরি করে।

পাসওয়ার্ডের ফিল্ডের কারণে সৃষ্ট ঝুঁকিকে শুধু myRepoSpace-এর মধ্যে সীমাবদ্ধ মনে করা উচিত নয়। ব্যবহারকারী যদি তাঁর ইমেইল অ্যাকাউন্ট, ডেভেলপার অ্যাকাউন্ট, ফোরাম প্রোফাইল, প্যাকেজ রিপোজিটরি ব্যবস্থাপনা, সামাজিক যোগাযোগমাধ্যম বা ক্লাউড সেবায় একই পাসওয়ার্ড পুনর্ব্যবহার করে থাকেন, তাহলে পুরোনো তথ্যও নতুন আক্রমণের চেষ্টায় কাজে লাগে। আক্রমণকারীরা শুধু পুরোনো পাসওয়ার্ড হুবহু ব্যবহার করে চেষ্টা করে না; একই মূল অংশ থেকে তৈরি নতুন পাসওয়ার্ডও পরীক্ষা করে। বিশেষ করে IP ঠিকানা ও ব্যবহারকারীর নাম মিলিয়ে দেখার মাধ্যমে ব্যক্তিগত প্রোফাইল শনাক্ত করা এবং প্রযুক্তিভিত্তিক কমিউনিটির সদস্যদের লক্ষ্য করে ফিশিং বার্তা তৈরি করার ঝুঁকি বাড়ে।

এই রেকর্ডের যাচাইকৃত পরিধি হলো 2,52,751টি অ্যাকাউন্ট। ঘটনার তারিখ 6 জুলাই 2015 হিসেবে এবং উৎসের সূচিতে যুক্ত হওয়ার তারিখ 8 জুলাই 2015 হিসেবে নথিভুক্ত করা উচিত। এই দুটি তারিখ সিস্টেমে 2026 সালের কারিগরি হালনাগাদের সময় থেকে আলাদা। কারিগরি হালনাগাদের তারিখকে তথ্য ফাঁসের তারিখ বা বাইরের উৎসে তা প্রথম প্রকাশিত হওয়ার তারিখ হিসেবে উপস্থাপন করা উচিত নয়। তথ্যের ধরনও যাচাইকৃত তালিকার মধ্যে সীমাবদ্ধ: ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড এবং ব্যবহারকারীর নাম।

উৎসগুলো থেকে সমর্থন পাওয়া যায় যে ঘটনাটি Cydia রিপোজিটরি সেবার প্রেক্ষাপটে ঘটেছিল এবং তথ্য প্রকাশ্যে ছড়িয়ে পড়েছিল। তবে পেমেন্ট-সংক্রান্ত তথ্য, পরিচয়পত্র, বাসা বা কার্যালয়ের ঠিকানা, ব্যক্তিগত বার্তা কিংবা ডিভাইসে থাকা বিষয়বস্তু ফাঁস হয়েছে বলে নিশ্চিত দাবি করা ঠিক নয়। myRepoSpace এমন একটি সেবা ছিল যেখানে বিভিন্ন ব্যবহারকারী নিজেদের Cydia রিপোজিটরি হোস্ট করতেন। তবে এই রেকর্ডে শুধু অ্যাকাউন্টের তথ্যের ফিল্ডগুলো অন্তর্ভুক্ত রয়েছে। কনটেন্ট ফাইল, প্যাকেজের বিস্তারিত তথ্য বা ডিভাইসের ভেতরের তথ্যকে যাচাইকৃত তথ্যের ফিল্ডের তালিকায় যোগ করা উচিত নয়।

ঝুঁকিতে থাকা প্রথম গোষ্ঠী হলো Cydia ও জেলব্রেক কমিউনিটির সেই ব্যবহারকারীরা, যাঁরা 2015 সালের আগে বা ওই সময়ের কাছাকাছি myrepospace.com-এ অ্যাকাউন্ট খুলেছিলেন। তাঁরা হয়তো বহু বছর ধরে অ্যাকাউন্টটি ব্যবহার করেননি। তবে তাঁদের পুরোনো ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডের সমন্বয় অন্য সেবায় পুনর্ব্যবহার করা হয়ে থাকলে ঝুঁকি থেকে যায়। বিশেষ করে ডেভেলপার, থিম নির্মাতা, প্যাকেজ রিপোজিটরি ব্যবস্থাপক বা প্রযুক্তিবিষয়ক ফোরামের ব্যবহারকারীদের একই ব্যবহারকারীর নাম একাধিক প্ল্যাটফর্মের সঙ্গে যুক্ত থাকতে পারে।

দ্বিতীয় গোষ্ঠী হলো সেই ব্যবহারকারীরা, যাঁরা ইমেইল অ্যাকাউন্ট বা ডেভেলপার সেবার মতো আরও গুরুত্বপূর্ণ অ্যাকাউন্টেও একই পাসওয়ার্ড পুনর্ব্যবহার করেন। ইমেইল অ্যাকাউন্টের নিয়ন্ত্রণ হাতছাড়া হলে অন্য সেবাগুলোর পাসওয়ার্ড রিসেটের ধারাবাহিক প্রক্রিয়া শুরু হতে পারে। তৃতীয় গোষ্ঠীতে রয়েছেন তাঁরা, যাঁরা ব্যক্তিগত ব্যবহারের প্রযুক্তিভিত্তিক কমিউনিটির সেবায় প্রতিষ্ঠানের বা শিক্ষাপ্রতিষ্ঠানের ইমেইল দিয়ে নিবন্ধন করেন। শুধু এই মিল থাকার অর্থ প্রতিষ্ঠানের সিস্টেমে প্রবেশাধিকার পাওয়া নয়। তবে এটি আক্রমণকারীকে ব্যক্তিকে মাথায় রেখে, কারিগরি পরিভাষা ব্যবহার করে আরও বিশ্বাসযোগ্য মনে হয় এমন বার্তা তৈরি করতে সাহায্য করতে পারে।

myRepoSpace রেকর্ডে থাকা ব্যবহারকারীদের প্রথমে নিশ্চিত হওয়া উচিত যে তাঁরা এই সেবার কোনো অ্যাকাউন্টে তাঁদের পুরোনো পাসওয়ার্ড ব্যবহার করেননি। একই পাসওয়ার্ড বা তার সঙ্গে খুব মিল আছে এমন পরিবর্তিত পাসওয়ার্ড এখনো ব্যবহার করা হলে, ইমেইল, ডেভেলপার অ্যাকাউন্ট, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম, ফোরাম এবং প্যাকেজ রিপোজিটরি প্রোফাইলের জন্য আলাদা পাসওয়ার্ড নির্ধারণ করা উচিত। পাসওয়ার্ডের শেষে একটি বছর, প্রতীক বা ছোট অংশ যোগ করাই যথেষ্ট নয়। নিরাপদ পছন্দ হলো নতুন, দীর্ঘ ও এলোমেলো পাসওয়ার্ড, যা পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করা হবে।

ইমেইল অ্যাকাউন্ট অবশ্যই আলাদাভাবে সুরক্ষিত করতে হবে। বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করা, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও ফোনের তথ্য পরীক্ষা করা, অপরিচিত সেশন বন্ধ করা এবং স্বয়ংক্রিয় ফরওয়ার্ডিংয়ের নিয়মগুলো পর্যালোচনা করা উচিত। প্রযুক্তিভিত্তিক কমিউনিটির সঙ্গে সম্পর্কিত ভুয়া নিরাপত্তা সতর্কতা, প্যাকেজ রিপোজিটরি হালনাগাদের বার্তা বা পুরোনো অ্যাকাউন্টের বিজ্ঞপ্তির মতো বার্তার ক্ষেত্রে সতর্ক থাকতে হবে। লিংকে ক্লিক না করে পরিচিত ঠিকানা দিয়ে সেবাটিতে প্রবেশ করাই ভালো।

myRepoSpace-এর ঘটনা দেখায় যে আপাতদৃষ্টিতে ছোট প্রযুক্তিভিত্তিক কমিউনিটির অ্যাকাউন্টও দীর্ঘস্থায়ী ঝুঁকি তৈরি করতে পারে। ব্যবহারকারীদের প্রতিটি ফোরাম, রিপোজিটরি, ডেভেলপার টুল এবং সামাজিক যোগাযোগমাধ্যমের সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। বিভিন্ন পরিচয়ের ক্ষেত্রে একই ব্যবহারকারীর নাম বারবার ব্যবহার করলে গোপনীয়তার ওপর কী প্রভাব পড়তে পারে, তাও মূল্যায়ন করা উচিত। পুরোনো অ্যাকাউন্ট নিয়মিত পর্যালোচনা করা, অব্যবহৃত প্রোফাইল বন্ধ করা এবং অ্যাকাউন্ট পুনরুদ্ধারের তথ্য হালনাগাদ রাখা উচিত।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীরা তাঁদের ব্যক্তিগত প্রযুক্তিভিত্তিক কমিউনিটির অ্যাকাউন্টে প্রতিষ্ঠানের ইমেইল ব্যবহার করলে যে লক্ষ্যভিত্তিক ফিশিংয়ের ঝুঁকি তৈরি হয়, এই রেকর্ড তা তুলে ধরে। নিরাপত্তা দলগুলোর উচিত ফাঁস হওয়া পাসওয়ার্ড পরীক্ষা, বহু-উপাদানভিত্তিক পরিচয় যাচাই, ঝুঁকিপূর্ণ সেশনের সতর্কতা এবং কর্মীদের সচেতনতামূলক প্রশিক্ষণ সমন্বিতভাবে পরিচালনা করা। ডেভেলপার বা প্রযুক্তি দলের পুরোনো পাসওয়ার্ড ব্যবহারের অভ্যাস বিশেষভাবে গুরুত্বপূর্ণ, কারণ একই পাসওয়ার্ড ডেভেলপার টুল, প্যাকেজ রিপোজিটরি বা সোর্স কোড প্ল্যাটফর্মেও ব্যবহার করা হয়ে থাকতে পারে।

LeakData-তে myRepoSpace-এর ফলাফল দেখলে ব্যবহারকারীর উচিত এই রেকর্ডকে 2015 সালের অ্যাকাউন্টের তথ্য ফাঁসের একটি যাচাইকৃত সতর্কতা হিসেবে দেখা। ফলাফলে 2,52,751টি অ্যাকাউন্টের ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড এবং ব্যবহারকারীর নাম রয়েছে। এই রেকর্ডের অর্থ এই নয় যে ডিভাইসের নিরাপত্তা লঙ্ঘিত হয়েছে বা ব্যক্তিগত ফাইল ফাঁস হয়েছে। মূল ঝুঁকি হলো পুরোনো অ্যাকাউন্টের তথ্য দিয়ে অন্য সেবায় প্রবেশের চেষ্টা করা এবং ব্যবহারকারীর নামের ভিত্তিতে বিভিন্ন প্রোফাইলের মধ্যে মিল খুঁজে বের করা।

বাস্তব করণীয়ের ক্রম স্পষ্ট: প্রথমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করতে হবে, তারপর একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে এমন সব সেবায় পাসওয়ার্ড বদলাতে হবে, এরপর একই ব্যবহারকারীর নাম দিয়ে খোলা ফোরাম ও ডেভেলপার প্রোফাইলগুলো পরীক্ষা করতে হবে। পুরোনো myRepoSpace অ্যাকাউন্টে আর প্রবেশ করা না গেলেও, ওই পাসওয়ার্ড এবং একই মূল অংশ থেকে তৈরি সব পাসওয়ার্ডের ব্যবহার সম্পূর্ণ বন্ধ করা উচিত। প্রতিষ্ঠানের ইমেইল দিয়ে নিবন্ধন করা হয়ে থাকলে ফলাফলটি নিরাপত্তা দলকে জানানো উচিত। সম্ভাব্য লক্ষ্যভিত্তিক বার্তা ও অজানা সেশনের ওপর নজরদারি বাড়াতে হবে।