OGUsers (2020 সালের তথ্য ফাঁস)

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা এবং ব্যবহারকারীর নাম। নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং বার্তা পাঠানোর প্রধান যোগাযোগমাধ্যম হলো ইমেইল ঠিকানা। ব্যবহারকারীর নাম, বিশেষ করে ছোট বা মূল্যবান অ্যাকাউন্ট নামের সঙ্গে যুক্ত হলে, অন্য প্ল্যাটফর্মে কোনো ব্যক্তির উপস্থিতির সূত্রের সঙ্গে মিলিয়ে দেখা যেতে পারে। IP ঠিকানা থেকে আনুমানিক অবস্থান, সেবাদাতা এবং অ্যাক্সেসের অভ্যাস সম্পর্কে ধারণা পাওয়া যেতে পারে। ব্যক্তিগত বার্তার আলাদা ঝুঁকি রয়েছে, কারণ তাতে ফোরামে করা সমঝোতা, অ্যাকাউন্ট কেনাবেচা, লেনদেনের আলোচনা বা ব্যক্তিগত কথোপকথনের অংশ থাকতে পারে।

পাসওয়ার্ড সল্টযুক্ত MD5 হ্যাশ হিসেবে সংরক্ষিত থাকার বিষয়টিও গুরুত্ব দিয়ে দেখা দরকার। সল্ট যোগ করলে একই পাসওয়ার্ডের জন্য একই হ্যাশ তৈরি হওয়ার সম্ভাবনা কমে; তবে MD5 একটি পুরোনো পদ্ধতি, যার হিসাব দ্রুত করা যায় এবং যা আধুনিক পাসওয়ার্ড সংরক্ষণের মানদণ্ড হিসেবে গ্রহণযোগ্য নয়। ছোট, পুনরাবৃত্তিমূলক বা অভিধানের শব্দ দিয়ে তৈরি পাসওয়ার্ড অনুমান করা সহজ। অন্য সেবাতেও একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, OGUsers-এর 2020 সালের ফাঁস হওয়া তথ্য থেকে সামাজিক যোগাযোগমাধ্যম, ইমেইল, গেমিং, ক্রিপ্টোকারেন্সি বা ফোরাম অ্যাকাউন্টে প্রবেশের চেষ্টা চালানোর জন্য তালিকা তৈরি হতে পারে।

উৎসগুলো মিলিয়ে যাচাই করে নিশ্চিত করা হয়েছে যে OGUsers-এর 2020 সালের ঘটনাটি ঘটে 2 এপ্রিল 2020 তারিখে, রেকর্ডে যোগ করা হয় 4 এপ্রিল 2020 তারিখে এবং এতে 2,63,189টি ইমেইল ঠিকানা ক্ষতিগ্রস্ত হয়। এর পরিসর ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা এবং ব্যবহারকারীর নামের মধ্যেই সীমিত। এই ঘটনার যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, জন্মতারিখ, আসল নাম বা ছবি ফাঁসের তথ্য নেই। যাচাই না করা তথ্যের ক্ষেত্র যোগ করলে ব্যবহারকারীর কাছে ঝুঁকির বিভ্রান্তিকর চিত্র তুলে ধরা হয়।

স্থানীয় রেকর্ডে ঘটনাটি সংবেদনশীল হিসেবে চিহ্নিত হলেও, যাচাইকৃত উৎসের শ্রেণিবিন্যাসে সংবেদনশীলতার কোনো চিহ্ন দেখানো হয়নি। তা সত্ত্বেও, ব্যক্তিগত বার্তা ও অ্যাকাউন্ট দখলের প্রেক্ষাপটে ব্যবহারকারীর জন্য ঝুঁকির মাত্রা গুরুতর। এই পার্থক্যটি গুরুত্বপূর্ণ: সংবেদনশীল শ্রেণির লেবেল না থাকলেও কোনো রেকর্ডের কারণে ব্যবহারকারীর গোপনীয়তা ও অ্যাকাউন্টের নিরাপত্তা রক্ষায় সতর্কতামূলক ব্যবস্থা নেওয়ার প্রয়োজন হতে পারে। তাই অতিরঞ্জন না করে ব্যক্তিগত বার্তা, IP ঠিকানা এবং দুর্বল ধরনের পাসওয়ার্ড হ্যাশের মতো যাচাইকৃত তথ্যের ক্ষেত্রগুলো ব্যাখ্যায় গুরুত্ব দেওয়া উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা OGUsers অ্যাকাউন্টে ব্যবহৃত ইমেইল ঠিকানা ও পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন। ফোরামটির আলোচনার বিষয় মূলত অ্যাকাউন্টের নাম, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল ও অনলাইন পরিচয়কে ঘিরে। তাই বিভিন্ন জায়গায় একই ব্যবহারকারীর নাম রাখা বাড়তি ঝুঁকি তৈরি করে। ব্যক্তিগত বার্তায় উল্লেখ করা নাম, লেনদেনের বিবরণ বা পুরোনো যোগাযোগও পরিচয় মিলিয়ে দেখা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে হুমকিমূলক বার্তা পাঠানোর কাজে ব্যবহার করা যেতে পারে।

SIM সোয়াপিং, অ্যাকাউন্ট দখল এবং মূল্যবান ব্যবহারকারীর নামের বাজারের সঙ্গে সম্পর্কিত পরিবেশে যাঁরা যুক্ত, তাঁদের বিশেষ সতর্ক থাকা উচিত। আক্রমণকারীরা পুরোনো ফোরামের তথ্য ব্যবহার করে সামাজিক যোগাযোগমাধ্যম, ইমেইল বা ফোন সেবার অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়াকে লক্ষ্যবস্তু করতে পারে। IP ঠিকানা, ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একত্র করা হলে বার্তা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। তাই শুধু ফোরামের পাসওয়ার্ড পরিবর্তন করাই যথেষ্ট নয়; একই লগইন তথ্যের সঙ্গে যুক্ত সব অ্যাকাউন্টের নিরাপত্তা যাচাই করা দরকার।

প্রথম পদক্ষেপ হলো নিশ্চিত করা যে OGUsers অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে আর সক্রিয় নেই। একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়েছে, এমন সব সেবার জন্য নতুন, স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড বেছে নেওয়া উচিত। ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিতে হবে, কারণ পাসওয়ার্ড রিসেট ও অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়া সাধারণত ইমেইলের মাধ্যমেই চলে। ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। পাশাপাশি পুনরুদ্ধারের জন্য নির্ধারিত ঠিকানা, ইমেইল ফরওয়ার্ড করার নিয়ম এবং সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত।

ব্যক্তিগত বার্তা প্রকাশ হয়ে থাকলে, ফোরামের পুরোনো আলোচনায় উল্লেখ করা লিংক, অ্যাকাউন্টের নাম বা অর্থ পরিশোধের ব্যবস্থা পর্যালোচনা করা উচিত। অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের সতর্কতা, ফোন নম্বর অন্য অপারেটরে স্থানান্তরের বিজ্ঞপ্তি বা ক্রিপ্টোকারেন্সি অ্যাকাউন্টে লগইনের সতর্কতাকে গুরুত্ব দিয়ে দেখা উচিত। হুমকি বা চাপ রয়েছে এমন বার্তার জবাব দেওয়া উচিত নয়; এসব বার্তার লিংক দিয়ে লগইন করার চেষ্টা করা উচিত নয়। সংশ্লিষ্ট সেবার আনুষ্ঠানিক নিরাপত্তা কেন্দ্র থেকে সেশনগুলো বন্ধ করা উচিত।

দীর্ঘমেয়াদে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা একটি মৌলিক নিয়ম। পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করা এবং নতুন শক্তিশালী পাসওয়ার্ড নিরাপদে সংরক্ষণের জন্য পাসওয়ার্ড ম্যানেজার একটি কার্যকর সমাধান। যাঁদের সামাজিক যোগাযোগমাধ্যমে মূল্যবান নাম, গেমিং অ্যাকাউন্ট বা কমিউনিটি প্রোফাইল রয়েছে, তাঁদের শুধু ইমেইল নয়, এসব অ্যাকাউন্টেও বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। সম্ভব হলে SMS-ভিত্তিক যাচাইয়ের বদলে অ্যাপভিত্তিক প্রমাণীকরণ বা নিরাপত্তা চাবিকে অগ্রাধিকার দেওয়া উচিত।

বছরের পর বছর বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে পরিচয় মিলিয়ে দেখা সহজ হয়। ব্যবহারকারীদের নিয়মিত বিরতিতে পুরোনো ফোরামের সদস্যপদ, সংশ্লিষ্ট ইমেইল ঠিকানা এবং প্রোফাইলের বিবরণ পরীক্ষা করা উচিত। ব্যক্তিগত বার্তা ফাঁস হলে শুধু পাসওয়ার্ড নয়, অতীতের যোগাযোগও ঝুঁকির আওতায় আসে। তাই পুরোনো কথোপকথনে উল্লেখ করা অ্যাকাউন্ট, লিংক এবং অর্থ পরিশোধের মাধ্যমও নিরাপত্তা পরিকল্পনায় অন্তর্ভুক্ত করা উচিত।

LeakData-তে OGUsers-এর 2020 সালের ফলাফল দেখলে অন্য OGUsers রেকর্ডের সঙ্গে না গুলিয়ে ঘটনাটি মূল্যায়ন করা উচিত। এই ফলাফলটি 2 এপ্রিল 2020 তারিখের ঘটনা এবং 2,63,189টি ইমেইল ঠিকানার সঙ্গে সম্পর্কিত। যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা এবং ব্যবহারকারীর নাম। ব্যবহারকারীর অগ্রাধিকার হওয়া উচিত একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা, ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট সুরক্ষিত রাখা এবং ফোন লাইনের নিরাপত্তা পরীক্ষা করা।

এই ঘটনায় ফোন নম্বর, পেমেন্ট কার্ড, বাসা বা অন্য স্থানের ঠিকানা, সরকারি পরিচয়পত্র, জন্মতারিখ এবং ছবির তথ্য যাচাই করা হয়নি। তাই এসব তথ্যের ওপর ভিত্তি করে করণীয় নির্ধারণ করা উচিত নয়। অন্যদিকে ব্যক্তিগত বার্তা, IP ঠিকানা, ইমেইল ঠিকানা ও পাসওয়ার্ডের তথ্য বাস্তব ঝুঁকি তৈরি করে। একই ইমেইল ঠিকানা ও ব্যবহারকারীর নামের সঙ্গে যুক্ত সব অ্যাকাউন্টে শক্তিশালী পাসওয়ার্ড এবং বহু-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করা উচিত। পুরোনো ফোরাম পোস্টে উল্লেখ করা গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর নিরাপত্তা আলাদাভাবে যাচাই করা উচিত।