Night Smiles: তথ্য উন্মুক্ত হওয়ার অভিযোগ

Night Smiles-এর রেকর্ড তৈরি করার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইনের নাম, কাছাকাছি ব্র্যান্ডের নাম, ঘটনার তারিখ ও রেকর্ডের সংখ্যার সঙ্গে মিল আছে কি না, তা যাচাই করা হয়েছে। একই ঘটনার প্রতিনিধিত্বকারী কোনো রেকর্ড পাওয়া যায়নি বলে এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। নাম কাছাকাছি হলেও ডোমেইন বা ঘটনা আলাদা, এমন রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে দেখানো রেকর্ডের সংখ্যা ও যাচাই করা যায় এমন বিস্তারিত তথ্যের সংখ্যার মধ্যে পার্থক্য দেখা যেতে পারে। কাঁচা ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে প্যাকেজ করা ডেটাসেটের পার্থক্যের কারণে এমন হতে পারে। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার পরিবর্তে 35,356 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে, কারণ তথ্যের ধরনগুলোর পাশাপাশি এই সংখ্যাটিরও ধারাবাহিক সমর্থন পাওয়া যায়।

Night Smiles-কে শিল্পীদের পরিচিতিমূলক লেখা ও কনসার্টের তালিকা প্রকাশকারী একটি পুরোনো সংগীতবিষয়ক সাইট হিসেবে মূল্যায়ন করা হয়েছে। সংগীত ও অনুষ্ঠানসংক্রান্ত অ্যাকাউন্টগুলো কম ঝুঁকিপূর্ণ মনে হলেও প্লেইন টেক্সট পাসওয়ার্ড পাওয়া গেলে তা অন্য সেবাগুলোর জন্য গুরুতর ঝুঁকি তৈরি করতে পারে।

এই ঘটনায় ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের উপস্থিতির সমর্থন পাওয়া গেছে। পুরোনো অ্যাকাউন্টের তথ্যের সঙ্গে মিলিয়ে অনুষ্ঠানসংক্রান্ত বার্তা, কনসার্টের ঘোষণা বা শিল্পীদের নিউজলেটারকে লক্ষ্যভিত্তিক ফিশিংয়ের কাজে ব্যবহার করা যেতে পারে।

Night Smiles-এর ঘটনায় প্লেইন টেক্সট পাসওয়ার্ডের তথ্য পাওয়া গেছে বলে ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের বারবার পরীক্ষা করে সঠিক পাসওয়ার্ড বের করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয় লগইনের চেষ্টা সহজ করে এবং পাসওয়ার্ড পুনঃনির্ধারণের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পূর্ণ নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে মিলিত হলে তা আক্রমণের শক্তিশালী মাধ্যম হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেম, স্বাস্থ্য, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়িয়ে পড়তে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ পুরোনো পাসওয়ার্ডের ধরনে সামান্য পরিবর্তন করে আবার ব্যবহার করেন। তাই Night Smiles-এর মতো পুরোনো তথ্যফাঁসও বহু বছর পর পাসওয়ার্ড অনুমান, ফাঁস হওয়া লগইন তথ্য দিয়ে অন্য অ্যাকাউন্টে ঢোকার চেষ্টা বা ক্রেডেনশিয়াল স্টাফিং এবং লক্ষ্যভিত্তিক ফিশিংয়ের চেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারী হিসেবে আপনার প্রথম কাজ হলো, আগে Night Smiles বা www.nightsmiles.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। একই ধরনের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়; পুনরায় ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য স্বতন্ত্র ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্যফাঁসের প্রভাব একের পর এক অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা পুনরায় ব্যবহৃত পাসওয়ার্ড সরিয়ে ফেলা উচিত।

ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট ও অ্যাডমিন প্যানেলের ক্ষেত্রে দ্বি-উপাদানভিত্তিক প্রমাণীকরণ বিশেষভাবে অগ্রাধিকার পাওয়া উচিত। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা কী আক্রমণ প্রতিরোধে বেশি কার্যকর সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। কোনো আক্রমণকারী সরাসরি Night Smiles অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড পুনঃনির্ধারণ প্রক্রিয়াকে লক্ষ্য করতে পারেন।

ফিশিংয়ের জন্য পুরোনো সেবার নাম, ব্যবহারকারীর নাম, শিল্পখাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। প্রাপ্ত বার্তার লিংকে সরাসরি ক্লিক না করে আপনার নিজে ঠিকানা লিখে প্রবেশ করা উচিত, যাচাই না করে সংযুক্তি খোলা উচিত নয় এবং জরুরি ভিত্তিতে পদক্ষেপ নেওয়ার চাপ তৈরি করে এমন বার্তার বিষয়ে সতর্ক থাকা উচিত।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ঝুঁকিও মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত একটি অ্যাকাউন্টে কর্মস্থলের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের সিস্টেমেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং পাসওয়ার্ড পুনর্ব্যবহার শনাক্তকারী নিয়ন্ত্রণ গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য মূল শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা। প্লেইন টেক্সট বা সহজে ভাঙা যায় এমন হ্যাশ বিন্যাস সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও গণনায় সময়সাপেক্ষ পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ বিন্যাস ধাপে ধাপে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, রপ্তানি করা ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় প্রবেশাধিকার নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্যফাঁসের উৎস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা ব্যাপক প্রবেশাধিকার থাকা অ্যাকাউন্ট।

ঘটনা মোকাবিলার পরিকল্পনা নেই এমন প্রতিষ্ঠানে ব্যবহারকারীদের জানানো, পাসওয়ার্ড পুনঃনির্ধারণ, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, এসব আগে থেকেই নির্ধারণ করা উচিত।

বিস্তারিত বিবরণে Night Smiles-কে সরাসরি আর সক্রিয় নয় এমন সাইট হিসেবে চিহ্নিত করা হয়েছে। বর্তমান TLS পরীক্ষায় স্বাভাবিক সাড়া না পাওয়ায় রেকর্ডটিকে অবসরপ্রাপ্ত হিসেবে চিহ্নিত করা হয়েছে।

সংশ্লিষ্ট সারিতে থাকা সংখ্যা ও সরাসরি সমর্থন পাওয়া 35,356 সংখ্যাটির মধ্যে সামান্য পার্থক্য পাওয়া গেছে; সরাসরি সমর্থন পাওয়া সংখ্যাটিই ব্যবহার করা হয়েছে।

প্লেইন টেক্সট পাসওয়ার্ড থাকার কারণে ইমেইল, সামাজিক যোগাযোগমাধ্যম, টিকিট কেনার বা সংগীতের প্ল্যাটফর্মে একই পাসওয়ার্ড ব্যবহার করছেন কি না, তা আপনার পরীক্ষা করা উচিত।

এই রেকর্ডে নাম, ফোন বা পেমেন্টের তথ্য যুক্ত করা হয়নি, কারণ এগুলোর সমর্থন পাওয়া যায়নি। সঠিক পরিসর শুধু ইমেইল ও প্লেইন টেক্সট পাসওয়ার্ডে সীমিত।

নিবন্ধন পৃষ্ঠায় সামঞ্জস্যপূর্ণভাবে দেখানোর জন্য Night Smiles-এর লোগোর ছবিটি মিলিয়ে নেওয়া হয়েছে।

এই রেকর্ডে অযাচাইকৃত তথ্যের ধরনগুলো সচেতনভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে সমর্থন পাওয়া ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্যফাঁসের পৃষ্ঠার উদ্দেশ্য ভয় দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তাব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

Night Smiles-এর তথ্য ফাঁস, www.nightsmiles.com-এর তথ্য ফাঁস, Night Smiles-এর পাসওয়ার্ড ফাঁস এবং Night Smiles-এর ব্যবহারকারীর তথ্যের মতো বিভিন্ন নামে সহজবোধ্য ও ব্যবহারিক তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি প্রস্তুত করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয় ও বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

আপনি এই রেকর্ডটি দেখলে শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করুন। পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করা হয়েছে এমন অ্যাকাউন্টগুলো বিশেষ করে আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ডের পুনরাবৃত্তি কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন বাড়তি অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে একটি ছোট সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না; আক্রমণকারীদের সরঞ্জাম এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের করণীয় স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দ্বি-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের পরিবর্তে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ডোমেইনের নামের সঙ্গে মেলে এমন ইমেইল ঠিকানার দিক থেকে এই রেকর্ডটি মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যের তালিকাকে আরও সমৃদ্ধ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইলের তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতি অনুযায়ী নিষ্ক্রিয় অ্যাকাউন্ট মুছে ফেলা উচিত, সংবেদনশীল তথ্যক্ষেত্রে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য রপ্তানির কার্যক্রমে অতিরিক্ত নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্ট সুরক্ষার প্রয়োজনীয় কাজগুলো সম্পন্ন করা দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে তথ্যের শ্রেণিগুলোর সম্ভাব্য ভূমিকা এবং ঘটনাটিতে পুনরায় ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠার ঝুঁকির মাত্রা অতিগুরুতর হিসেবে নির্ধারণ করা হয়েছে। অতিগুরুতর মাত্রা নিশ্চিত অপব্যবহার নির্দেশ করে না; বরং ব্যবহারকারীকে দ্রুত পদক্ষেপ নিতে হবে, তা বোঝায়।

সারসংক্ষেপে, Night Smiles-এর এই রেকর্ডটি 2018 সালের আগস্টের একটি একক তথ্যফাঁসের রেকর্ড, যা 35,356টি অ্যাকাউন্টকে প্রভাবিত করেছে এবং এতে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের ক্ষেত্র রয়েছে। ব্যবহারকারীদের স্বতন্ত্র পাসওয়ার্ড ব্যবহার, দ্বি-উপাদানভিত্তিক প্রমাণীকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কতা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।

Night Smiles-এর রেকর্ডে সংখ্যা, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচারিত তালিকার অস্পষ্ট এন্ট্রিগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারীর কাছে দৃশ্যমান রেকর্ডটি যাচাইকৃত ডোমেইন ও ঘটনার সময়কালে সীমিত।

তথ্যের শ্রেণিগুলো সীমিত ও স্পষ্ট রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ সমর্থনহীন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড ছাড়া অন্য কোনো দাবিকে প্রমাণিত তথ্যক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

www.nightsmiles.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা হয়তো ভুলে যাওয়া হয়েছে। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড বদলানো সম্ভব না হলে একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবা খুঁজে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে মেলালে আক্রমণকারীদের পক্ষে কোনো ব্যক্তির আগ্রহ, দেশ, খাত বা অতীতের সদস্যপদ নেওয়ার ধরন অনুমান করা সহজ হয়। তাই একটি তথ্যফাঁস ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কর্মস্থলের ইমেইল ব্যবহার করার বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। পাসওয়ার্ড পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয়ের দৃশ্যমানতা মূল্যায়নের জন্য এ ধরনের রেকর্ড একটি সতর্কসংকেত দেয়।

আপনি এই রেকর্ডে নিজের ইমেইল দেখতে পেলে প্রথমে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো নিয়ে কাজ শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত স্বতন্ত্র পাসওয়ার্ড দেওয়া, প্রোফাইলের তথ্য কমিয়ে আনা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।