NetEase তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাই করা তথ্যের ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। লক্ষ্যবস্তু ব্যবহারকারীকে শনাক্ত করতে এবং অন্য প্ল্যাটফর্মে একই পরিচয় খুঁজতে আক্রমণকারীরা প্রধান শনাক্তকারী হিসেবে ইমেইল ঠিকানা ব্যবহার করে। পাসওয়ার্ড সরাসরি ঝুঁকির মাত্রা বাড়ায়; বিশেষ করে প্লেইন টেক্সটে বা সহজে ভাঙা যায় এমন রূপে সংরক্ষিত পাসওয়ার্ড স্বয়ংক্রিয়ভাবে অ্যাকাউন্ট দখলের চেষ্টায় ব্যবহার করা যেতে পারে। কোনো ব্যবহারকারী যদি ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট, কেনাকাটার সাইট, ক্লাউড স্টোরেজ বা কাজের সেবায় একই পাসওয়ার্ড পুনর্ব্যবহার করে থাকেন, তাহলে একটি ফাঁসের ঝুঁকি অনেক অ্যাকাউন্টে ছড়িয়ে পড়তে পারে। তাই NetEase-এর ডেটা ফাঁস শুধু একটি পুরোনো ইমেইল সেবার সমস্যা নয়; এটি পাসওয়ার্ড পুনর্ব্যবহারের দীর্ঘমেয়াদি পরিণতি তুলে ধরা একটি গুরুত্বপূর্ণ নিরাপত্তা ঘটনা।

ইমেইল ও পাসওয়ার্ডের যুগল ক্রেডেনশিয়াল স্টাফিং আক্রমণের জন্য সবচেয়ে সুবিধাজনক সমন্বয়গুলোর একটি। আক্রমণকারীরা বিভিন্ন প্ল্যাটফর্মে একই তথ্য দিয়ে লগইনের চেষ্টা করে দেখতে পারে কোন অ্যাকাউন্টগুলোতে এখনো প্রবেশ করা যায়। সফল চেষ্টার পর ইমেইল ইনবক্সের নিয়ন্ত্রণ আক্রমণকারীর হাতে গেলে, পাসওয়ার্ড রিসেটের লিংকের মাধ্যমে অন্য অ্যাকাউন্টে প্রবেশের ঝুঁকিও থাকে। ইমেইল ঠিকানাটি আর সক্রিয় না থাকলেও, বছরের পর বছর ধরে বিভিন্ন সেবায় নিবন্ধনের জন্য একই ঠিকানা ব্যবহার করা হয়ে থাকতে পারে। এতে পুরোনো ফাঁসের প্রভাব কমে না; বরং ভুলে যাওয়া অ্যাকাউন্ট, দুর্বল পাসওয়ার্ড এবং দীর্ঘদিন অপরিবর্তিত থাকা লগইন তথ্যের কারণে ঝুঁকি থেকে যায়।

এই নথি 23,48,42,089টি অ্যাকাউন্টের সঙ্গে সম্পর্কিত, এবং ঘটনার তারিখ হিসেবে 19 অক্টোবর 2015 নথিভুক্ত করা হয়েছে। নথিটি যোগ করার তারিখ 9 অক্টোবর 2016। তথ্যের ক্ষেত্রগুলো ইমেইল ঠিকানা ও পাসওয়ার্ডেই সীমিত; পূর্ণ নাম, ফোন নম্বর, ঠিকানা (বাসস্থান বা অন্য কোনো স্থানের), পেমেন্টের তথ্য বা সরকারি পরিচয়পত্রের মতো অতিরিক্ত ব্যক্তিগত তথ্যের ক্ষেত্র এই ঘটনায় যাচাই করা হয়নি। যাচাইয়ের মাত্রা সীমিত হওয়ায়, ব্যবহারকারীর সংখ্যা ও পুরো ডেটাসেটকে প্রতিষ্ঠানের নিশ্চিত আনুষ্ঠানিক প্রকাশ হিসেবে উপস্থাপন করা উচিত নয়। তবু প্রকৃত ব্যবহারকারীদের বহু পাসওয়ার্ড মিলে যাওয়ার ইঙ্গিত দেখায় যে ব্যবহারকারীদের এই ঘটনা উপেক্ষা করা উচিত নয়। পাসওয়ার্ডের তথ্য থাকা কোনো ফাঁসের যাচাই সীমিত হলেও, সুরক্ষামূলক পদক্ষেপ নেওয়া পিছিয়ে দেওয়া উচিত নয়।

সীমাবদ্ধতাগুলো সঠিকভাবে বোঝা জরুরি। NetEase বা 163.com ডোমেইন নামের সঙ্গে যুক্ত লগইন তথ্যের ভিত্তিতে এই ডেটাসেট মূল্যায়ন করা উচিত। ইমেইল ও পাসওয়ার্ড ছাড়া ডেটাসেটে অন্য কোনো তথ্যের ক্ষেত্র রয়েছে বলে নির্ভরযোগ্য যাচাই না থাকায়, বিবরণে অতিরিক্ত কোনো তথ্যের ধরন যোগ করা হয়নি। নথিটিকে সংবেদনশীল তথ্য হিসেবে চিহ্নিত করা হয়নি; তবে পাসওয়ার্ড থাকায় নিরাপত্তার ওপর এর প্রভাব গুরুতর। ব্যবহারকারীর দৃষ্টিকোণ থেকে সবচেয়ে গুরুত্বপূর্ণ প্রশ্ন হলো, এই পাসওয়ার্ড আর কোথায় পুনর্ব্যবহার করা হয়েছে। বিভিন্ন সেবায় একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, বহু বছর পরও এই ফাঁস ঝুঁকি তৈরি করতে পারে।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা NetEase বা 163.com অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও পুনর্ব্যবহার করেন। একই ইমেইল ও পাসওয়ার্ডের যুগল অন্য প্ল্যাটফর্মেও কার্যকর থাকলে, আক্রমণকারীরা দ্রুত পরীক্ষা চালানোর সরঞ্জাম দিয়ে বিভিন্ন অ্যাকাউন্টের বিরুদ্ধে এই তথ্য ব্যবহার করতে পারে। পুরোনো চীনভিত্তিক ইমেইল সেবার ব্যবহারকারী, আন্তর্জাতিক গেম ও ফোরাম অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করা ব্যক্তি, দীর্ঘদিন পাসওয়ার্ড পরিবর্তন না করা অ্যাকাউন্টধারী এবং পুরোনো অ্যাকাউন্টের কথা ভুলে যাওয়া ব্যক্তিদের বিশেষভাবে সতর্ক থাকা উচিত। কোনো পাসওয়ার্ড বহু বছর আগে ফাঁস হয়েছে মানেই সেটি এখন নিরাপদ নয়; খুব পুরোনো ডেটাসেটও ক্রেডেনশিয়াল স্টাফিংয়ের তালিকায় ঘুরতে থাকতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো তাঁরা, যাঁরা একই ইমেইল ঠিকানা অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা হিসেবে ব্যবহার করেন। কোনো আক্রমণকারী ইমেইল অ্যাকাউন্টে প্রবেশ করতে পারলে, সেটির সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড রিসেট প্রক্রিয়ার অপব্যবহার করতে পারে। এ ছাড়া, একই ইমেইল ঠিকানা দিয়ে অনেক সেবায় নিবন্ধন করা থাকলে ব্যবহারকারীর অনলাইন কার্যকলাপের ছাপগুলো একত্র করা সহজ হয়। ব্যক্তিগত সেবায় প্রাতিষ্ঠানিক ইমেইল ঠিকানা ব্যবহার করা ব্যক্তিদের ঝুঁকি বেশি; ব্যক্তিগত তথ্য ফাঁসের একটি ঘটনা কাজের অ্যাকাউন্টে ফিশিংয়ের চেষ্টার পথ তৈরি করতে পারে। তাই ব্যবহারকারীদের শুধু NetEase-এর পাসওয়ার্ড নয়, একই ইমেইল ঠিকানার সঙ্গে যুক্ত সব অ্যাকাউন্ট এবং প্রতিটিতে আগে কোন পাসওয়ার্ড ব্যবহার করা হয়েছে, তা আলাদাভাবে মূল্যায়ন করা দরকার।

প্রথম পদক্ষেপ হলো নিশ্চিত করা যে NetEase বা 163.com অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড আর কোনো অ্যাকাউন্টে ব্যবহার করা হচ্ছে না। অন্য সেবায় একই পাসওয়ার্ড পুনর্ব্যবহার করা হয়ে থাকলে, সংশ্লিষ্ট প্রতিটি অ্যাকাউন্টে শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড নির্ধারণ করতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে দীর্ঘ ও এলোমেলো পাসওয়ার্ড নিরাপদে সংরক্ষণ করা সহজ হয়। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, ক্লাউড স্টোরেজ, আর্থিক সেবা ও কাজের অ্যাকাউন্টের মতো গুরুত্বপূর্ণ অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা উচিত। পাসওয়ার্ড রিসেটের বিকল্প, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা এবং সংযুক্ত ফোনগুলোও পরীক্ষা করা উচিত।

দ্বিতীয় পদক্ষেপ হলো লগইনের ইতিহাসে সন্দেহজনক কার্যকলাপ আছে কি না দেখা এবং নিরাপত্তা বিজ্ঞপ্তি পর্যালোচনা করা। অপরিচিত ডিভাইস, অপ্রত্যাশিত লগইন এবং অস্বাভাবিক পাসওয়ার্ড রিসেট ইমেইলের দিকে ব্যবহারকারীদের নজর রাখা উচিত। ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, স্বয়ংক্রিয় ফিল্টার ও পুনরুদ্ধার সেটিংস পরীক্ষা করা উচিত; আক্রমণকারীরা যেসব অ্যাকাউন্টে প্রবেশ করেছে, সেগুলোতে স্থায়ী চিহ্ন না রেখে বার্তা অন্যত্র পাঠানোর চেষ্টা করতে পারে। NetEase অ্যাকাউন্ট আর ব্যবহার করা না হলে, সেটি বন্ধ করা বা অ্যাকাউন্টে প্রবেশের তথ্য হালনাগাদ করার বিকল্পগুলো বিবেচনা করা উচিত। যেসব পুরোনো অ্যাকাউন্ট আর ব্যবহার করা যায় না, সেগুলোর ক্ষেত্রে সবচেয়ে জরুরি পদক্ষেপ হলো একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হচ্ছে না, তা নিশ্চিত করা।

NetEase-এর ঘটনা দেখায়, পাসওয়ার্ড পুনর্ব্যবহার কীভাবে বহু বছর পরও নিরাপত্তার দুর্বলতা হয়ে দাঁড়াতে পারে। দীর্ঘমেয়াদি সুরক্ষার জন্য প্রতিটি সেবায় স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা উচিত, যেসব অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করার সুবিধা আছে সেগুলোতে তা চালু করা উচিত এবং গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর সেশনের ইতিহাস নিয়মিত পর্যালোচনা করা উচিত। ব্যবহারের উদ্দেশ্য অনুযায়ী ইমেইল ঠিকানাও আলাদা রাখা যেতে পারে; ব্যক্তিগত সেবার নিবন্ধন, কাজের অ্যাকাউন্ট ও আর্থিক অ্যাকাউন্ট একই ইমেইল ঠিকানার সঙ্গে যুক্ত থাকলে একটি ফাঁসের প্রভাব আরও বিস্তৃত হয়। বিশেষ করে ইমেইল অ্যাকাউন্টে সবচেয়ে শক্তিশালী সুরক্ষা থাকা উচিত, কারণ এটি অন্যান্য অ্যাকাউন্ট পুনরুদ্ধারের প্রধান মাধ্যম হিসেবে কাজ করে।

ব্যবহারকারীদের পুরোনো ডেটা ফাঁসকে শুধু অতীতের তথ্য হিসেবে দেখা উচিত নয়। পুরোনো ডেটাসেট নতুন আক্রমণে ব্যবহারের জন্য তথ্যের উৎস হতে পারে। আক্রমণকারীরা বহু বছর আগে ফাঁস হওয়া ইমেইল ও পাসওয়ার্ড দিয়ে নতুন প্ল্যাটফর্মে লগইনের চেষ্টা করতে পারে, অথবা ফিশিং বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। তাই পাসওয়ার্ড ম্যানেজার, স্বতন্ত্র পাসওয়ার্ড ব্যবহারের নীতি, নিরাপত্তা কী বা অথেনটিকেশন অ্যাপ, পুরোনো অ্যাকাউন্ট গুছিয়ে নেওয়া এবং নিয়মিত অ্যাকাউন্ট পরীক্ষা একটি স্থায়ী নিরাপত্তা রুটিনের অংশ হওয়া উচিত। একই পাসওয়ার্ড পুনর্ব্যবহারের ধারা পুরোপুরি বন্ধ করা হলে, এ ধরনের পুরোনো ফাঁসের প্রভাব লক্ষণীয়ভাবে কমে যায়।

LeakData-তে NetEase-এর নথি পরীক্ষা করে আপনি দেখতে পারেন, আপনার ইমেইল ঠিকানা এই ডেটা ফাঁসের সঙ্গে যুক্ত কি না। ফলাফলে সংশ্লিষ্টতা পাওয়া গেলে, প্রথমে যেসব অ্যাকাউন্টে আপনি একই পাসওয়ার্ড ব্যবহার করেছেন সেগুলো শনাক্ত করুন এবং প্রতিটির জন্য স্বতন্ত্র পাসওয়ার্ড তৈরি করুন। আপনার ইমেইল অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন, পুনরুদ্ধারের বিকল্পগুলো পরীক্ষা করুন এবং অপরিচিত সেশনগুলো বন্ধ করুন। একই ইমেইল ঠিকানা দিয়ে খোলা পুরোনো ফোরাম, গেমিং, কেনাকাটা বা ক্লাউড অ্যাকাউন্টগুলোও পর্যালোচনা করুন। আর ব্যবহার করেন না এমন অ্যাকাউন্ট বন্ধ করা বা সেগুলোর পাসওয়ার্ড হালনাগাদ করা হলে, পুরোনো ফাঁসকে কাজে লাগিয়ে নতুন আক্রমণ চালানো কঠিন হয়।

এই ফাঁসে আপনার ইমেইল ঠিকানা না পাওয়া গেলেও, আপনি দীর্ঘদিন একই পাসওয়ার্ড ব্যবহার করে থাকলে অন্য ডেটাসেট থেকে একই ধরনের ঝুঁকি আসতে পারে। তাই একটি পরীক্ষার ফলাফলের ওপর নির্ভর না করে, পাসওয়ার্ড পুনর্ব্যবহার পুরোপুরি বন্ধ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টগুলো নিয়মিত পর্যালোচনা করা জরুরি। NetEase-এর ডেটা ফাঁসের যাচাই কেবল নথির পর্যায়ে সীমিত থাকলেও, ইমেইল ও পাসওয়ার্ডের যুগল থাকা ব্যবহারকারীর জন্য যথেষ্ট গুরুতর সতর্কসংকেত। সবচেয়ে যথাযথ পদক্ষেপ হলো সব অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা, মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা এবং সন্দেহজনক বার্তার লিংকের বদলে আনুষ্ঠানিক লগইন পৃষ্ঠা ব্যবহার করা।