Nitro: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, পূর্ণ নামের তথ্য এবং পাসওয়ার্ড। পাসওয়ার্ডগুলো bcrypt হ্যাশ মান হিসেবে থাকার অর্থ এই নয় যে আক্রমণকারী সরাসরি পাঠযোগ্য পাসওয়ার্ড পেয়েছে; তবে এই হ্যাশ মানগুলো ব্যবহার করে অফলাইনে পাসওয়ার্ড অনুমানের চেষ্টা করা যেতে পারে। ইমেইল ঠিকানার সঙ্গে নামের তথ্য মিলিয়ে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টা আরও কার্যকর করা যায়। এর মধ্যে ভুয়া ফাইল শেয়ারিং, স্বাক্ষরের অনুরোধ, সাবস্ক্রিপশন নবায়নের সতর্কবার্তা বা পাসওয়ার্ড রিসেটের বার্তা থাকতে পারে। Nitro সেবাটি ব্যবসায়িক নথি নিয়ে নিয়মিত কাজ করার একটি উপকরণ হওয়ায় প্রতিষ্ঠানের ইমেইল ডোমেইন ও নথি-সংক্রান্ত কাজের প্রক্রিয়ার অপব্যবহারের সুযোগও তৈরি হতে পারে। তাই ব্যক্তিগত অ্যাকাউন্টের নিরাপত্তা এবং ব্যবসায়িক পরিবেশের নিরাপত্তা, দুই দিক থেকেই এই ঝুঁকি মোকাবিলা করা উচিত।

নিরাপত্তা লঙ্ঘনের তারিখ 28 সেপ্টেম্বর 2020 এবং তালিকাভুক্তির তারিখ 19 জানুয়ারি 2021 বলে নিশ্চিত করা হয়েছে। LeakData-এর অনুসন্ধান ফলাফলে ব্যবহৃত প্রধান পরিসংখ্যান হলো 7,71,59,696টি স্বতন্ত্র ইমেইল ঠিকানা। ঘটনা সম্পর্কে কিছু প্রতিবেদনে রূপান্তরিত নথির শিরোনাম এবং সেবার লগজাতীয় অতিরিক্ত তথ্যের উল্লেখ রয়েছে; তবে এই পৃষ্ঠায় অনুসন্ধান করা যায় এমন যাচাইকৃত তথ্যের ধরন ইমেইল ঠিকানা, নাম এবং পাসওয়ার্ডের হ্যাশ মানের মধ্যেই সীমাবদ্ধ। ব্যবহারকারীর সামনে অতিরঞ্জিত দাবি তুলে না ধরে অ্যাকাউন্টের নিরাপত্তার প্রকৃত ঝুঁকি স্পষ্টভাবে বোঝাতে এই পার্থক্যটি গুরুত্বপূর্ণ। ঘটনাটি Nitro PDF সেবার সঙ্গে সম্পর্কিত; অন্য Nitro ব্র্যান্ড বা একই ধরনের নামের পণ্যকে এই পরিসরের বাইরে রাখতে হবে।

2020 সালের আগে Nitro সেবা ব্যবহার করেছেন, অনলাইনে PDF রূপান্তর বা নথি শেয়ার করার জন্য ইমেইল ঠিকানা দিয়েছেন, প্রতিষ্ঠানের ডোমেইন ব্যবহার করে লেনদেন করেছেন এবং অন্য সেবাতেও একই পাসওয়ার্ড ব্যবহার করেছেন (এমন ব্যক্তিদের ঝুঁকি সবচেয়ে বেশি। কর্মস্থলের ইমেইল দিয়ে নিবন্ধন করা ব্যবহারকারীদের নথিতে স্বাক্ষর, চুক্তি, চালান, মূল্যপ্রস্তাব, মানবসম্পদ-সংক্রান্ত ফাইল বা পাসওয়ার্ড রিসেটের বিষয় নিয়ে আসা ভুয়া বার্তার ব্যাপারে আরও সতর্ক থাকা উচিত। একই ইমেইল ঠিকানা ক্লাউড স্টোরেজ, অফিস সফটওয়্যার, গ্রাহক পোর্টাল বা পেমেন্ট অ্যাকাউন্টেও ব্যবহার করা হলে আক্রমণকারীরা অ্যাকাউন্ট দখলের চেষ্টায় এসব তথ্য একত্রে কাজে লাগাতে পারে। পুরোনো Nitro অ্যাকাউন্ট আর ব্যবহার করেন না) এমন ব্যক্তিদেরও ঝুঁকিমুক্ত ভাবা উচিত নয়, কারণ ফাঁস হওয়া ইমেইল ও নামের তথ্য বহু বছর পরেও প্রতারণামূলক বার্তায় ব্যবহার করা যেতে পারে।

Nitro অ্যাকাউন্ট এবং একই পাসওয়ার্ড দিয়ে খোলা অন্য যেকোনো অ্যাকাউন্টের পাসওয়ার্ড অবিলম্বে পরিবর্তন করা উচিত। প্রতিটি সেবার জন্য আলাদা, দীর্ঘ ও এলোমেলো পাসওয়ার্ড বেছে নেওয়া, পাসওয়ার্ড ম্যানেজার ব্যবহার করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। কর্মস্থলের ইমেইল ব্যবহারকারীদের ফাইল শেয়ারিং ও ই-স্বাক্ষরসংক্রান্ত বার্তায় প্রেরকের ডোমেইনও যাচাই করা উচিত। পাসওয়ার্ড রিসেটের জন্য বার্তার ভেতরের লিংক থেকে না গিয়ে পরিচিত অফিসিয়াল ওয়েব ঠিকানা নিজে টাইপ করে সাইটে যেতে হবে। অপ্রত্যাশিত কোনো নথির আমন্ত্রণ, চালান, পেমেন্ট নিশ্চিতকরণ বা স্বাক্ষরের অনুরোধ পেলে সংযুক্ত ফাইল খোলার আগে অন্য কোনো মাধ্যমে সংশ্লিষ্ট পক্ষের পরিচয় যাচাই করা উচিত। প্রাতিষ্ঠানিক ব্যবহারকারীদের একই ডোমেইনের অন্য কর্মীরা প্রভাবিত হয়েছেন কি না, তা নিরাপত্তা দলকে জানানো উচিত।

এ ধরনের নথিসেবায় নিরাপত্তা লঙ্ঘনের স্থায়ী ঝুঁকি তৈরি হয় ইমেইল ঠিকানার সঙ্গে ব্যবসায়িক সম্পর্কের তথ্য ও পাসওয়ার্ডের তালিকা মিলিয়ে ব্যবহার করার মাধ্যমে। ব্যবহারকারীদের পুরোনো অ্যাকাউন্টের তালিকা তৈরি করা, অব্যবহৃত সেবা বন্ধ করা, ইমেইল অ্যাকাউন্টের সেশনের ইতিহাস নিয়মিত পর্যালোচনা করা এবং অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ রাখা উচিত। প্রতিষ্ঠানগুলোর উচিত নথি রূপান্তর ও ফাইল শেয়ারিং সেবার জন্য সিঙ্গেল সাইন-অন, বহু-উপাদানভিত্তিক প্রমাণীকরণ, বাইরের অ্যাপ্লিকেশনের অনুমতি নিয়ন্ত্রণ এবং ডোমেইন পর্যবেক্ষণের প্রক্রিয়া আরও শক্তিশালী করা। পাসওয়ার্ডের হ্যাশ মান শক্তিশালী অ্যালগরিদম দিয়ে সংরক্ষিত হলেও একাধিক সেবায় একই দুর্বল পাসওয়ার্ড ব্যবহার করলে সুরক্ষা দুর্বল হয়। তাই একই পাসওয়ার্ডের পুনর্ব্যবহার কমানোর নিয়ম, কর্মীদের প্রশিক্ষণ এবং অস্বাভাবিক লগইন চেষ্টার জন্য সতর্কবার্তার ব্যবস্থা একসঙ্গে কার্যকর করা উচিত।

LeakData-তে আপনার ইমেইল ঠিকানা দিয়ে অনুসন্ধান করে দেখতে পারেন, সেটি Nitro-এর তথ্য ফাঁসের রেকর্ডের সঙ্গে মেলে কি না। মিল পাওয়া গেলে প্রথমে আপনার Nitro অ্যাকাউন্ট এবং একই ইমেইল ঠিকানা দিয়ে ব্যবহার করা অন্য অ্যাকাউন্টগুলো সুরক্ষিত করুন। পুরোনো পাসওয়ার্ড আবার ব্যবহার করবেন না, আপনার লগইনের ইতিহাস পর্যালোচনা করুন এবং সন্দেহজনক পাসওয়ার্ড রিসেটের বার্তা আর্কাইভ করে না রেখে সেবাটির নিরাপত্তা-সংক্রান্ত স্ক্রিনে গিয়ে যাচাই করুন। আপনার কর্মস্থলের অ্যাকাউন্ট প্রভাবিত হয়েছে বলে মনে হলে তারিখ, সেবার নাম এবং দৃশ্যমান তথ্যের ধরনসহ নিরাপত্তা দলকে জানান। এসব পদক্ষেপ 2020 সালের তথ্য আজ ফিশিং, পাসওয়ার্ড অনুমানের আক্রমণ ও ব্যবসায়িক ইমেইল প্রতারণায় আবার ব্যবহৃত হওয়ার সম্ভাবনা কমায়।