Nafham Education-এর 2021 সালের তথ্য ফাঁস

Nafham-এর ডেটাবেসে ইমেইল ঠিকানা, পূর্ণ নাম ও পাসওয়ার্ড হ্যাশ একসঙ্গে থাকা সবচেয়ে গুরুত্বপূর্ণ ঝুঁকির বিষয়। Bcrypt পাসওয়ার্ড সংরক্ষণের একটি শক্তিশালী পদ্ধতি হলেও দুর্বল বা বহুল ব্যবহৃত পাসওয়ার্ড সময়ের সঙ্গে ভেঙে উদ্ধার করা সম্ভব হতে পারে। ইমেইল, সামাজিক যোগাযোগমাধ্যম, স্কুল, কেনাকাটা বা অন্য শিক্ষা-সংক্রান্ত অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হলে আক্রমণকারীরা বিভিন্ন সেবায় এই তথ্য দিয়ে লগইনের চেষ্টা করতে পারে। পূর্ণ নাম ও ইমেইল একসঙ্গে থাকলে ভুয়া সহায়তা বিজ্ঞপ্তি, অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত বার্তা বা কোর্সের বিষয়বস্তু নিয়ে প্রতারণামূলক বার্তাও আরও বিশ্বাসযোগ্য মনে হতে পারে।

কিছু তথ্যসূচিতে ফোন নম্বর, নিবন্ধনের তারিখ, সর্বশেষ লগইনের তারিখ এবং শিক্ষাগত প্রোফাইলের তথ্যক্ষেত্রগুলোকে আলাদা ঝুঁকির বিষয় হিসেবে দেখানো হয়েছে। প্রতিটি সারিতে এসব তথ্য সম্পূর্ণ আছে, এমন ধারণা না করেই এগুলো বিবেচনা করা উচিত। তারপরও যাঁর তথ্য রেকর্ডের সঙ্গে মিলে গেছে, তাঁর ফোনকল, টেক্সট মেসেজ, অ্যাকাউন্ট যাচাইয়ের অনুরোধ বা শিক্ষার্থী ও অভিভাবককেন্দ্রিক বিজ্ঞপ্তির বিষয়ে সতর্ক থাকা উচিত। শিক্ষামূলক প্ল্যাটফর্মের প্রেক্ষাপট থেকে ব্যবহারকারীর বয়সসীমা, শিক্ষার স্তর বা শেখার উদ্দেশ্য সম্পর্কে অনুমান করা সম্ভব হতে পারে।

এই রেকর্ডের জন্য সবচেয়ে নির্ভরযোগ্য সময় হলো নভেম্বর 2021। ঘটনাটি মিশরভিত্তিক Nafham Education সেবার সঙ্গে সম্পর্কিত, এবং মূল রেকর্ডের সংখ্যা 4,15,744 হিসেবেই রাখা হয়েছে। বিভিন্ন সূচিতে একই ডেটাসেট পরিষ্কার করা, সদৃশ রেকর্ড বাদ দেওয়া বা সারি গণনার পদ্ধতি আলাদা হওয়ায় বেশি সংখ্যা দেখা যেতে পারে। তাই ব্যবহারকারীদের এমন কোনো বিবরণ দেওয়া হচ্ছে না, যাতে মনে হয় রেকর্ডের সংখ্যা মিলিয়নের ঘরে; বাস্তবসম্মত পরিসর হলো প্রায় 416 হাজার ব্যবহারকারী।

তথ্যের বিভাগগুলো ইমেইল ঠিকানা, পূর্ণ নাম, পাসওয়ার্ড হ্যাশ, ফোন নম্বর, অ্যাকাউন্ট তৈরির তারিখ, সর্বশেষ লগইনের তারিখ ও শিক্ষাগত বিবরণেই সীমিত। পাসওয়ার্ডের তথ্যক্ষেত্রকে bcrypt হ্যাশ হিসেবে বিবেচনা করতে হবে, সরাসরি পাঠযোগ্য পাসওয়ার্ড হিসেবে নয়। ব্যবহারকারীর নামের তথ্যক্ষেত্রটি স্বতন্ত্রভাবে ও ধারাবাহিকভাবে যাচাই করা যায়নি বলে সেটি মূল তথ্যের বিভাগ থেকে বাদ দেওয়া হয়েছে। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র, বাসার ঠিকানা বা ব্যক্তিগত বার্তার বিষয়বস্তু অন্তর্ভুক্ত করা হয়নি, কারণ এই রেকর্ডের ক্ষেত্রে সেগুলো নির্ভরযোগ্যভাবে যাচাই করা যায় না।

যাঁরা Nafham অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। শিক্ষামূলক প্ল্যাটফর্মের অ্যাকাউন্টটি পুরোনো হলেও একই ইমেইল ও পাসওয়ার্ড অন্য কোথাও এখনো সক্রিয় থাকতে পারে। শিক্ষার্থী, অভিভাবক, শিক্ষক এবং আরবি শিক্ষামূলক বিষয়বস্তু ব্যবহার করেন এমন ব্যক্তিদের লক্ষ্য করে অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত ভুয়া বার্তা, পাঠে প্রবেশের বিজ্ঞপ্তি, সনদের লিংক বা অর্থ পরিশোধের অনুরোধ পাঠানো হতে পারে।

যেসব ব্যবহারকারীর ফোন নম্বর বা শিক্ষাগত প্রোফাইলের তথ্যক্ষেত্র মিলে যায়, তাঁদের ঝুঁকি শুধু ইমেইল ইনবক্সে সীমিত নয়। SMS, ফোনকল বা মেসেজিং অ্যাপের মাধ্যমে ভুয়া সহায়তা দেওয়ার ব্যবস্থা সাজানো হতে পারে। নামের প্রথম ও শেষ অংশ এবং শিক্ষা-সংক্রান্ত প্রেক্ষাপট থাকলে বার্তাগুলো ব্যক্তিগতভাবে পাঠানো বলে মনে হয়। প্রাতিষ্ঠানিক ইমেইল ব্যবহারকারী শিক্ষক বা শিক্ষাকর্মীদের ক্ষেত্রে একই তথ্য দিয়ে স্কুলের অভ্যন্তরীণ যোগাযোগের মতো দেখতে ফিশিংয়ের চেষ্টা করা যেতে পারে।

আপনার তথ্য রেকর্ডের সঙ্গে মিলে গেলে প্রথমেই নিশ্চিত করুন, Nafham অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে আর কার্যকর নেই। অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করে থাকলে অবিলম্বে প্রতিটির জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড বেছে নিন। ইমেইল, সামাজিক যোগাযোগমাধ্যম, স্কুলের সেবা এবং অর্থ লেনদেনের সঙ্গে যুক্ত অ্যাকাউন্টে একাধিক স্বতন্ত্র উপাদান দিয়ে পরিচয় যাচাই চালু করুন। পুরোনো পাসওয়ার্ড মনে না থাকলেও পাসওয়ার্ড ম্যানেজার ব্যবহার করে নতুন ও আলাদা পাসওয়ার্ডে পরিবর্তন করা বেশি উপযুক্ত সুরক্ষামূলক ব্যবস্থা।

Nafham, কোর্সে প্রবেশ, শিক্ষার্থীর প্রোফাইল, অ্যাকাউন্ট যাচাই বা নিরাপত্তা বিজ্ঞপ্তি নিয়ে কোনো বার্তা এলে লিংকে ক্লিক করার আগে ডোমেইন নিজে যাচাই করুন। ফোনে যাচাইকরণ কোড চাওয়া, জরুরি সহায়তার বার্তা এবং অ্যাকাউন্ট বন্ধ করে দেওয়ার হুমকি ভুয়া হতে পারে। আপনার পুনরুদ্ধার ইমেইল, নিবন্ধিত ফোন নম্বর ও সক্রিয় সেশনগুলো পরীক্ষা করুন। অপ্রত্যাশিত কোনো লগইন বিজ্ঞপ্তি দেখলে সংশ্লিষ্ট সেবার পরিচিত লগইন পৃষ্ঠা থেকেই প্রয়োজনীয় পদক্ষেপ শুরু করুন।

শিক্ষামূলক প্ল্যাটফর্মে ব্যবহৃত অ্যাকাউন্টকে সাধারণত কম ঝুঁকির বলে ধরা হয়। কিন্তু পূর্ণ নাম, ইমেইল ও পাসওয়ার্ড হ্যাশ একসঙ্গে ফাঁস হলে ঝুঁকি দীর্ঘদিন থেকে যায়। স্কুল, কোর্স, অনুশীলনী পরীক্ষা, ভিডিওভিত্তিক প্রশিক্ষণ ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করবেন না। শিশু বা অভিভাবকের অ্যাকাউন্ট জড়িত থাকলে যোগাযোগের তথ্য এবং প্রোফাইল কারা দেখতে পারবেন, তা আরও সতর্কভাবে নিয়ন্ত্রণ করুন। অব্যবহৃত শিক্ষামূলক অ্যাকাউন্ট বন্ধ করুন, অথবা আলাদা পাসওয়ার্ড দিয়ে অন্য অ্যাকাউন্টগুলো থেকে পৃথক রাখুন।

সেবা পরিচালনাকারীদের জন্য মূল শিক্ষা হলো, শিক্ষা-সংক্রান্ত তথ্যও পরিচয়-সংক্রান্ত তথ্যের মতোই সংবেদনশীল। পাসওয়ার্ড হ্যাশ শক্তিশালী অ্যালগরিদম দিয়ে সংরক্ষণ করা হলেও প্রবেশাধিকার নিয়ন্ত্রণ, সেশনের নিরাপত্তা এবং তথ্য সংরক্ষণের মেয়াদ নিয়মিত পর্যালোচনা করা উচিত। ফোন নম্বর, স্কুল, শ্রেণি, অভিভাবকের সঙ্গে সম্পর্ক ও অধ্যয়নের বিষয়ের মতো প্রোফাইলের তথ্য কেবল যতদিন প্রয়োজন ততদিনই রাখা উচিত। ব্যবহারকারীদের অ্যাকাউন্ট মুছে ফেলা ও তথ্য হালনাগাদ করার সুযোগও স্পষ্টভাবে দেওয়া উচিত।

তথ্য মিলে যাওয়ার ফলাফল ইমেইল, পূর্ণ নাম, bcrypt পাসওয়ার্ড হ্যাশ এবং কিছু উৎসের ক্ষেত্রে ফোন নম্বর, নিবন্ধনের তারিখ, সর্বশেষ লগইনের তারিখ ও শিক্ষাগত প্রোফাইলের তথ্যক্ষেত্রের সঙ্গে সম্পর্কিত ঝুঁকি নির্দেশ করে। তথ্য না মেলার ফলাফল শুধু দেখায় যে এই নির্দিষ্ট ডেটাসেটে কোনো মিল পাওয়া যায়নি; এটি প্রমাণ করে না যে ওই ব্যক্তি অন্য কোনো শিক্ষা-সংক্রান্ত বা অ্যাকাউন্টের তথ্য ফাঁসের ঘটনায় জড়িত নন।

সঠিক পদক্ষেপ হলো পুরোনো পাসওয়ার্ডের ব্যবহার পুরোপুরি বন্ধ করা, একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড বদলানো, ইমেইল ও স্কুলের অ্যাকাউন্টে একাধিক স্বতন্ত্র উপাদান দিয়ে পরিচয় যাচাই ব্যবহার করা, ফোনে আসা যাচাইয়ের অনুরোধ স্বাধীন কোনো মাধ্যম দিয়ে যাচাই করা এবং শিক্ষামূলক প্ল্যাটফর্মের নামে পাঠানো লিংকের বিষয়ে সতর্ক থাকা।