MySpace: 2008 সালের তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। শুধু ইমেইল ঠিকানা দিয়েই ব্যাপক পরিসরে মানুষকে লক্ষ্যবস্তু করা যায়। আর ব্যবহারকারীর নাম বিভিন্ন প্ল্যাটফর্মে ছড়িয়ে থাকা কোনো ব্যক্তির পুরোনো প্রোফাইলের চিহ্ন মিলিয়ে শনাক্ত করতে সহায়তা করতে পারে। পাসওয়ার্ড ফিল্ডটি পুরোনো SHA-1-ভিত্তিক, সল্টবিহীন এবং প্রথম 10টি অক্ষরসংবলিত বিন্যাসে সংরক্ষিত ছিল বলে জানানো হয়েছে। বর্তমান মানদণ্ড অনুযায়ী এ ধরনের সংরক্ষণপদ্ধতি দুর্বল। বিশেষ করে ছোট, অভিধানের শব্দভিত্তিক বা অন্য অ্যাকাউন্ট থেকে পুনরায় ব্যবহার করা পাসওয়ার্ড ভেঙে বের করার ঝুঁকি এতে বেড়ে যায়।

এই তথ্যসমষ্টির প্রভাব শুধু MySpace অ্যাকাউন্টে প্রবেশের সম্ভাবনার মধ্যে সীমাবদ্ধ নয়। অধিকাংশ ব্যবহারকারী বছরের পর বছর ইমেইল, ফোরাম, গেম, কেনাকাটা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করে থাকতে পারেন। আক্রমণকারীরা সফলভাবে লগইন করার আশায় বিভিন্ন সেবায় একই ইমেইল ও পাসওয়ার্ডের জোড়া পরীক্ষা করতে পারে। ব্যবহারকারীর নামের তথ্য লক্ষ্যবস্তুর অতীত অনলাইন পরিচয় খুঁজে বের করতে, ভুয়া সহায়তা বার্তা লিখতে বা পুরোনো প্রোফাইলের লিংক ব্যবহার করে নিজেদের বিশ্বাসযোগ্য দেখাতেও সহায়তা করতে পারে।

সিস্টেমে তথ্য ফাঁসের তারিখ 1 জুলাই 2008 হিসেবে নথিভুক্ত আছে। তথ্যসমষ্টিটি 2016 সালের মে মাসে বিক্রির জন্য ছাড়া হয় এবং একই সময়ে যাচাইকৃত অনুসন্ধানব্যবস্থাগুলোতে যুক্ত করা হয়। যাচাইকৃত তথ্য হিসেবে যুক্ত করা এবং সর্বশেষ সংশোধনের তারিখ 31 মে 2016। প্রভাবিত অ্যাকাউন্টের সংখ্যা 35,94,20,698 ধরা হয়েছে। বিভিন্ন প্রতিবেদনে কাঁচা ডেটায় গণনা করা পাসওয়ার্ডের সংখ্যা এর চেয়ে বেশি দেখা যেতে পারে, কারণ কিছু অ্যাকাউন্টে একাধিক পাসওয়ার্ড ফিল্ড থাকতে পারে। মূল্যায়নে বলা হয়েছে, রেকর্ডের সংখ্যা ও পাসওয়ার্ডের সংখ্যা এক নয়।

ব্যবহারকারীদের দেওয়া আনুষ্ঠানিক বিজ্ঞপ্তিতে বলা হয়েছে, কোনো ক্রেডিট কার্ড বা আর্থিক তথ্য সংগ্রহ করা হয় না এবং এ ধরনের আর্থিক তথ্য এই ঘটনার সঙ্গে জড়িত নয়। তাই ঘটনাটিকে পেমেন্ট কার্ড বা ব্যাংকের তথ্য ফাঁস হিসেবে উপস্থাপন করা উচিত নয়। স্বাস্থ্যসংক্রান্ত তথ্য, ব্যক্তিগত বার্তার বিষয়বস্তু, পরিচয়পত্রের নম্বর বা ফোন নম্বরও যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে নেই। নির্ভরযোগ্য মূল্যায়নের জন্য পরিসরটি ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডের মধ্যেই সীমিত রাখা হয়েছে। ব্যবহারকারীর মধ্যে অপ্রয়োজনীয় আতঙ্ক তৈরি করতে পারে, এমন অতিরিক্ত তথ্যের ধরন যোগ করা হয়নি।

যাঁরা 2013 সালের আগে MySpace অ্যাকাউন্ট তৈরি করেছিলেন এবং অন্য সেবায় একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করেছিলেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। যাঁরা এখনও পুরোনো ইমেইল ঠিকানা সক্রিয় রেখেছেন, সেই ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোতে পাসওয়ার্ড পরীক্ষা করে প্রবেশের চেষ্টা দেখা যেতে পারে। যাঁরা বিভিন্ন প্ল্যাটফর্মে পুরোনো ব্যবহারকারীর নাম ব্যবহার করেছেন, তাঁদের পরিচয় মিলিয়ে শনাক্ত করার ঝুঁকি বাড়ে। বিশেষ করে সংগীত, ফোরাম, গেমিং ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই নিকনেম ধরে রাখা ব্যবহারকারীদের আরও সহজে লক্ষ্যবস্তু করা যায়।

ঝুঁকি শুধু সক্রিয়ভাবে অ্যাকাউন্ট ব্যবহার করা ব্যক্তিদের ক্ষেত্রেই প্রযোজ্য নয়। পরিত্যক্ত অ্যাকাউন্ট, ভুলে যাওয়া ইমেইল ঠিকানা ও পুরোনো পাসওয়ার্ড আক্রমণকারীদের স্বয়ংক্রিয়ভাবে পরীক্ষা করার তালিকায় থাকতে পারে। ইমেইল অ্যাকাউন্টে এখনও প্রবেশ করা গেলে, পুরোনো MySpace পাসওয়ার্ডের মতো পাসওয়ার্ড অন্য অ্যাকাউন্টেও পরীক্ষা করা হতে পারে। অতীতে ব্যক্তিগত সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে কর্মস্থলের ইমেইল ব্যবহার করেছেন, এমন ব্যক্তিদের প্রাতিষ্ঠানিক পরিচয়ও লক্ষ্যবস্তু হতে পারে। তথ্য পুরোনো হয়ে গেলেই ঝুঁকি দূর হয় না; পাসওয়ার্ড পুনরায় ব্যবহার এমন একটি নিরাপত্তা দুর্বলতা, যা বছরের পর বছর থেকে যেতে পারে।

প্রথম কাজ হলো MySpace অ্যাকাউন্টে ব্যবহার করা সব পাসওয়ার্ড বা সেগুলোর মতো পাসওয়ার্ড এখনও অন্য সেবায় ব্যবহার হচ্ছে কি না, তা যাচাই করা। একই বা কাছাকাছি ধরনের পাসওয়ার্ড পাওয়া যায়, এমন প্রতিটি অ্যাকাউন্টে আলাদা ও শক্তিশালী পাসওয়ার্ড দিতে হবে। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, আর্থিক সেবা ও কর্মস্থলের অ্যাকাউন্ট আগে যাচাই করা উচিত। অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও ফোন নম্বর হালনাগাদ রাখতে হবে, অপরিচিত সেশন বন্ধ করতে হবে এবং যেখানে সম্ভব টু-ফ্যাক্টর প্রমাণীকরণ চালু করতে হবে।

পুরোনো MySpace অ্যাকাউন্টে প্রবেশ করা গেলে পাসওয়ার্ড নতুন করে সেট করা, প্রোফাইলে থাকা অপ্রয়োজনীয় ব্যক্তিগত তথ্য কমানো এবং অব্যবহৃত সংযোগ সরিয়ে ফেলা উচিত। প্রবেশ করা না গেলে একই ইমেইল ঠিকানার সঙ্গে যুক্ত গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর নিরাপত্তার ইতিহাস পরীক্ষা করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করা সহজ হয়। ইনবক্সে পুরোনো MySpace অ্যাকাউন্ট বা একই ব্যবহারকারীর নামকে লক্ষ্য করে পাঠানো বার্তা দেখা গেলে, সেগুলোর লিংকে ক্লিক না করে আনুষ্ঠানিক লগইন পৃষ্ঠা থেকে আলাদাভাবে যাচাই করার পরামর্শ দেওয়া হয়।

এই ঘটনা দেখায়, সামাজিক যোগাযোগমাধ্যমের পুরোনো অ্যাকাউন্ট বহু বছর পরও নিরাপত্তার ঝুঁকি তৈরি করতে পারে। অব্যবহৃত অ্যাকাউন্ট বন্ধ করা উচিত, অথবা অন্তত আলাদা পাসওয়ার্ড ও টু-ফ্যাক্টর প্রমাণীকরণ দিয়ে সুরক্ষিত রাখা উচিত। একই ইমেইল ঠিকানা দিয়ে অনেক পুরোনো অ্যাকাউন্ট খোলা হয়ে থাকলে গুরুত্বপূর্ণ সেবার জন্য আলাদা ইমেইল ঠিকানা বা ইমেইল অ্যালিয়াস ব্যবহার করা যেতে পারে। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে পরিচয় মিলিয়ে শনাক্ত করা সহজ হয়। তাই সংবেদনশীল বা পেশাগত অ্যাকাউন্টে নাম বেছে নেওয়ার ভিন্ন কৌশল নিরাপদ।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে ধরে নেওয়া উচিত যে সামাজিক যোগাযোগমাধ্যমের পুরোনো পাসওয়ার্ড কর্মীদের অ্যাকাউন্টেও ব্যবহৃত হয়ে থাকতে পারে। নিরাপত্তা দলগুলোর উচিত পাসওয়ার্ড পুনরায় ব্যবহার শনাক্ত করতে ধারাবাহিক স্ক্যানিং, শক্তিশালী পাসওয়ার্ড নীতি, বাধ্যতামূলক টু-ফ্যাক্টর প্রমাণীকরণ এবং সন্দেহজনক লগইন প্রচেষ্টার নজরদারি চালু করা। ব্যক্তিগত ব্যবহারকারীদেরও পুরোনো অ্যাকাউন্টের তালিকা রাখা, গুরুত্বপূর্ণ অ্যাকাউন্টে সেশনের ইতিহাস নিয়মিত পর্যালোচনা করা এবং শুধু তথ্য ফাঁসের পর নয়, নিয়মিত নিরাপত্তা রক্ষণাবেক্ষণের অংশ হিসেবেও পাসওয়ার্ড পরিবর্তন করা উচিত। পুরোনো পাসওয়ার্ড মনে করা কঠিন হতে পারে, তবে পাসওয়ার্ড ম্যানেজারের সাহায্যে নতুন ও আলাদা পাসওয়ার্ড ব্যবহার করলে ঝুঁকি স্থায়ীভাবে কমে।

যাচাইয়ে মিল পাওয়া গেলে এর অর্থ হলো, আপনার MySpace অ্যাকাউন্টের সঙ্গে সংশ্লিষ্ট ইমেইল ঠিকানা, ব্যবহারকারীর নাম বা পাসওয়ার্ড যাচাইকৃত তথ্যসমষ্টিতে রয়েছে। এই ফলের অর্থ এই নয় যে আপনার আর্থিক তথ্য বা ব্যক্তিগত বার্তা ফাঁস হয়েছে। প্রধান করণীয় হলো অন্য সেবায় একই পাসওয়ার্ড ব্যবহার হয়ে থাকার সম্ভাবনা দূর করা। প্রথমে আপনার ইমেইল অ্যাকাউন্ট ও গুরুত্বপূর্ণ সেবাগুলো সুরক্ষিত করুন, তারপর পুরোনো সামাজিক যোগাযোগমাধ্যম ও ফোরামের অ্যাকাউন্টগুলো পর্যালোচনা করুন।

যাচাইয়ে মিল না পাওয়া গেলে এর অর্থ শুধু এই তথ্যসমষ্টিতে কোনো মিল পাওয়া যায়নি; অতীতের অন্য ঘটনাগুলোর ঝুঁকি পুরোপুরি দূর হয়ে যায় না। একই ইমেইল ঠিকানা দিয়ে অনেক পুরোনো অ্যাকাউন্ট খুলে থাকলে, তবুও প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ও টু-ফ্যাক্টর প্রমাণীকরণ ব্যবহারকে নিয়মিত অভ্যাস করুন। MySpace-এর ঘটনা দেখিয়েছে যে ভুলে যাওয়া অ্যাকাউন্টও বহু বছর পরে পরিচয় ও পাসওয়ার্ডের নিরাপত্তায় প্রভাব ফেলতে পারে। তাই সবচেয়ে যথাযথ পদ্ধতি হলো কোনো গুরুত্বপূর্ণ সেবায় পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করা হচ্ছে না, তা নিশ্চিত করা।