Onliner Spambot: স্প্যাম তথ্যের তালিকা

Onliner Spambot ঘটনায় ফাঁস হওয়া তথ্যের ধরন হিসেবে ইমেইল ঠিকানা ও পাসওয়ার্ড নিশ্চিত করা হয়েছে। ইমেইল ঠিকানা স্প্যাম পাঠানো, ফিশিং এবং আক্রমণের লক্ষ্য বাছাইয়ে ব্যবহার করা যেতে পারে। এর সঙ্গে পাসওয়ার্ডের তথ্য থাকলে ঝুঁকি আরও গুরুতর হয়, কারণ আক্রমণকারীরা একই ইমেইল ও পাসওয়ার্ডের জোড়া বিভিন্ন সেবায় ব্যবহার করে অ্যাকাউন্ট দখলের চেষ্টা করতে পারে। বিশেষ করে যাঁরা বিভিন্ন অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের জন্য এ ধরনের আক্রমণের ঝুঁকি বেশি। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেমিং, ক্লাউড স্টোরেজ এবং কাজের জন্য ব্যবহৃত টুল এই ঝুঁকির আওতায় পড়তে পারে।

এই ডেটাসেটে ফোন নম্বর, বাসা বা অফিসের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র নম্বর বা ব্যক্তিগত বার্তার মতো ফিল্ড যাচাইকৃত তথ্যের ধরন হিসেবে অন্তর্ভুক্ত নেই। মূল ঝুঁকি হলো ইমেইল ও পাসওয়ার্ডের জোড়া। প্রত্যেক ব্যবহারকারীর ক্ষেত্রে পাসওয়ার্ড প্লেইন টেক্সটে আছে, নাকি অন্য কোনো ফরম্যাটে আছে, তা আলাদাভাবে বোঝা নাও যেতে পারে। তবে পাসওয়ার্ডের ফিল্ড থাকায় একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড দ্রুত বদলানো জরুরি। পুরোনো পাসওয়ার্ড অন্য অ্যাকাউন্টে এখনও ব্যবহার করা হলে, ঘটনার বহু বছর পরও নিরাপত্তার ঝুঁকি থেকে যায়।

স্প্যামবটের এই প্রেক্ষাপটে আরেক ধরনের হুমকিও রয়েছে। অননুমোদিতভাবে দখল করা বা প্রবেশতথ্য অনুমান করা ইমেইল অ্যাকাউন্ট ক্ষতিকর বার্তা পাঠাতে ব্যবহার করা যেতে পারে। এতে শুধু অ্যাকাউন্টের মালিক নন, তাঁর কাছ থেকে ইমেইল পাওয়া বন্ধু, গ্রাহক বা সহকর্মীরাও প্রভাবিত হতে পারেন। পরিচিত ঠিকানা থেকে আসা ভুয়া চালান, পণ্য পাঠানোর বিজ্ঞপ্তি, সভার আমন্ত্রণ বা নিরাপত্তা সতর্কতা বেশি বিশ্বাসযোগ্য মনে হতে পারে। তাই Onliner Spambot-সংক্রান্ত ফলাফল শুধু একই পাসওয়ার্ড বারবার ব্যবহারের ঝুঁকিই নয়, ইমেইল অ্যাকাউন্টের সম্ভাব্য অপব্যবহারের বিষয়টিও তুলে ধরে।

যাচাইকৃত তথ্য অনুযায়ী, 28 আগস্ট 2017 তারিখের Onliner Spambot ডেটাসেট 71,14,77,622টি স্বতন্ত্র অ্যাকাউন্টকে প্রভাবিত করে। 29 আগস্ট 2017 তারিখে এটি যাচাইকৃত তথ্য ফাঁসের রেকর্ডে যুক্ত করা হয়, এবং ফাঁস হওয়া ফিল্ডগুলো হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। রেকর্ডটি একটি স্প্যাম তালিকার মতো; এটিকে কোনো নির্দিষ্ট প্রতিষ্ঠানের গ্রাহক ডেটাবেস হিসেবে বিবেচনা করা উচিত নয়। তাই ডোমেইন ও ওয়েবসাইটের ফিল্ড খালি থাকাই সঠিক। ঘটনাটিকে কোনো একক ব্র্যান্ড বা ব্যবহারকারী অ্যাকাউন্ট ব্যবস্থার সঙ্গে যুক্ত করা উচিত নয়।

এই ঘটনায় ব্যবহারকারীরা সংশ্লিষ্ট নামের কোনো ওয়েবসাইটে নিবন্ধন করেছেন, এমনটি ধরে নেওয়া উচিত নয়। ইমেইল ঠিকানাটি বিভিন্ন উৎসের তালিকায় থাকতে পারে এবং পরে কোনো স্প্যাম কার্যক্রমে ব্যবহার বা পরীক্ষা করা হয়ে থাকতে পারে। তাই ফলাফলের পর্দায় মিল পাওয়ার অর্থ এই নয় যে ব্যবহারকারী Onliner Spambot নামের কোনো সেবায় নিবন্ধন করেছেন। আরও যথাযথ ব্যাখ্যা হলো, বড় আকারের একটি ক্ষতিকর ইমেইল কার্যক্রমে ব্যবহৃত ডেটা ফাইলে ঠিকানাটি এবং পাসওয়ার্ডের তথ্য থাকলে সেটিও পাওয়া গেছে।

যাচাই না করা তথ্যের ফিল্ড তালিকায় যোগ করা উচিত নয়। এই ঘটনায় পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, স্বাস্থ্যসংক্রান্ত তথ্য, বাসা বা অফিসের ঠিকানা কিংবা ফোন নম্বর যাচাই করা হয়নি। তাই ব্যবহারকারীর কাছে এসব তথ্য ফাঁস হয়েছে বলে উপস্থাপন করা উচিত নয়। অন্যদিকে, ইমেইল ও পাসওয়ার্ডের ফিল্ড থাকায় অ্যাকাউন্টের নিরাপত্তা জোরদার করতে দৃঢ় পদক্ষেপ নেওয়া প্রয়োজন। পরিধি সীমিত কিন্তু নির্ভুল রাখলে অযথা আতঙ্ক তৈরি হয় না, আবার একই পাসওয়ার্ড বারবার ব্যবহারের প্রকৃত ঝুঁকিও উপেক্ষিত হয় না।

যাঁরা একাধিক সেবায় একই পাসওয়ার্ড ব্যবহার করেন, তাঁরা সবচেয়ে বেশি ঝুঁকিতে আছেন। কোনো পুরোনো ফোরাম, কেনাকাটার সাইট বা গেম অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড পরে ইমেইল, সামাজিক যোগাযোগমাধ্যম বা কাজের অ্যাকাউন্টেও ব্যবহার করা হলে, আক্রমণকারীরা এই তথ্য ব্যবহার করে অন্য সিস্টেমে লগইনের চেষ্টা করতে পারে। পাসওয়ার্ডটি কোথায় কোথায় ব্যবহার করা হয়েছে তা মনে না থাকলে, ব্যবহারকারীর উচিত গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করা এবং প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা। ইমেইল অ্যাকাউন্ট আগে সুরক্ষিত করা উচিত, কারণ পাসওয়ার্ড পুনর্নির্ধারণের প্রক্রিয়ায় এর কেন্দ্রীয় ভূমিকা রয়েছে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই কর্মীরা, যাঁদের প্রাতিষ্ঠানিক ইমেইল ঠিকানা ডেটাসেটে রয়েছে। কোনো কর্মীর ঠিকানা ও পাসওয়ার্ড এমন তালিকায় থাকলেই তা কোম্পানির সিস্টেমে সরাসরি প্রবেশের প্রমাণ হয় না। তবে এতে আক্রমণকারীরা চেষ্টা করে দেখার মতো প্রবেশতথ্য পায়। ব্যবস্থাপনা, অর্থ, মানবসম্পদ, সহায়তা ও প্রযুক্তি বিভাগের অ্যাকাউন্টগুলোর জন্য একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই এবং ব্যর্থ লগইন পর্যবেক্ষণ বিশেষভাবে গুরুত্বপূর্ণ। একই ডোমেইনের অনেক ঠিকানার মিল পাওয়া গেলে, প্রতিষ্ঠানের উচিত একসঙ্গে সংশ্লিষ্ট অ্যাকাউন্টগুলোর পাসওয়ার্ড পুনর্নির্ধারণ করা এবং সচেতনতামূলক বিজ্ঞপ্তি দেওয়া।

তৃতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো যাঁরা পুরোনো ইমেইল ঠিকানা বা পুরোনো পাসওয়ার্ডের ধরন এখনও ব্যবহার করছেন। তথ্য ফাঁসের ঘটনা পুরোনো হলেও ব্যবহারকারী বর্তমান অ্যাকাউন্টে একই ধরনের পাসওয়ার্ড ব্যবহার করে যেতে পারেন। আক্রমণকারীরা পুরোনো তালিকার সঙ্গে নতুন ডেটাসেট মিলিয়ে কার্যকর অ্যাকাউন্ট খোঁজার চেষ্টা করতে পারে। তাই শুধু 2017 সাল দেখে ঝুঁকিটি অতীতের বিষয় বলে ধরে নেওয়া ঠিক নয়। আসল প্রশ্ন হলো, একই তথ্য এখনও অন্য অ্যাকাউন্টে ব্যবহার করা হচ্ছে কি না।

Onliner Spambot-এর ফলাফলে যাঁদের অ্যাকাউন্ট দেখা যায়, তাঁদের প্রথমে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। ইমেইল অ্যাকাউন্ট, ব্যাংকিং, পেমেন্ট সেবা, সামাজিক যোগাযোগমাধ্যম, কাজের টুল, ক্লাউড স্টোরেজ এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত। নতুন পাসওয়ার্ডগুলো আলাদা ও দীর্ঘ হওয়া উচিত এবং পাসওয়ার্ড ম্যানেজারে সংরক্ষণযোগ্য হওয়া উচিত। পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন করে আবার ব্যবহার করলে পর্যাপ্ত নিরাপত্তা পাওয়া যায় না।

দ্বিতীয় পদক্ষেপ হলো একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা। অ্যাপভিত্তিক পরিচয় যাচাই বা হার্ডওয়্যার সিকিউরিটি কী পাসওয়ার্ড ফাঁস হয়ে গেলেও অ্যাকাউন্ট সুরক্ষিত রাখতে সহায়তা করে। অ্যাকাউন্টের সেটিংসে চালু থাকা সেশন, অচেনা ডিভাইস, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা এবং সাম্প্রতিক লগইন কার্যকলাপ পরীক্ষা করা উচিত। সন্দেহজনক সেশন বন্ধ করতে হবে, পুনরুদ্ধারের তথ্য হালনাগাদ করতে হবে এবং ইমেইল ফরওয়ার্ডিংয়ের নিয়ম পর্যালোচনা করতে হবে।

তৃতীয় পদক্ষেপ হলো স্প্যাম ও প্রতারণামূলক বার্তার ব্যাপারে সতর্ক থাকা। এই ঘটনার সঙ্গে সংশ্লিষ্ট ঠিকানাগুলো ক্ষতিকর ইমেইল কার্যক্রমে ব্যবহার করা যেতে পারে। তাই অপ্রত্যাশিত সংযুক্তি, চালানের লিংক, পণ্য পাঠানোর বিজ্ঞপ্তি এবং অ্যাকাউন্টের নিরাপত্তা সতর্কতার বিষয়ে ব্যবহারকারীদের সতর্ক থাকা উচিত। লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা ব্রাউজারে নিজে লিখতে হবে, এবং অপ্রত্যাশিতভাবে আসা যাচাইকরণ কোড কারও সঙ্গে শেয়ার করা যাবে না। প্রাতিষ্ঠানিক ব্যবহারকারীদের সন্দেহজনক বার্তা নিরাপত্তা দলকে জানানো উচিত।

দীর্ঘমেয়াদি সুরক্ষার মূল নিয়ম হলো প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা। পাসওয়ার্ড ম্যানেজার শত শত ভিন্ন অ্যাকাউন্টের শক্তিশালী ও এলোমেলোভাবে তৈরি পাসওয়ার্ড পরিচালনা সহজ করে। ব্যবহারকারীদের উচিত পুরোনো ও একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড বাদ দেওয়া, গুরুত্বপূর্ণ অ্যাকাউন্টের নিরাপত্তা বিজ্ঞপ্তি চালু রাখা এবং তথ্য ফাঁস হয়েছে কি না নিয়মিত যাচাই করার অভ্যাস গড়ে তোলা। এভাবে অন্য অ্যাকাউন্টে ঝুঁকি না ছড়িয়েই স্প্যামবটের তালিকায় থাকা তথ্য অকার্যকর করে দেওয়া যায়।

প্রতিষ্ঠানের জন্য স্থায়ী কৌশল হলো বাইরের ডেটাসেটে কর্মীদের ইমেইল ঠিকানা দেখা যাচ্ছে কি না তা নিয়মিত পর্যবেক্ষণ করা এবং বেশি প্রবেশাধিকারসম্পন্ন অ্যাকাউন্টগুলোকে অগ্রাধিকার দেওয়া। ব্যর্থ লগইনের চেষ্টা, অস্বাভাবিক অবস্থান, নতুন ডিভাইসের সেশন এবং ইমেইল ফরওয়ার্ডিংয়ে পরিবর্তন পর্যবেক্ষণ করা উচিত। একই পাসওয়ার্ড বারবার ব্যবহার কমানোর প্রশিক্ষণ, একাধিক উপাদানের মাধ্যমে বাধ্যতামূলক পরিচয় যাচাই, ঝুঁকিভিত্তিক লগইন নিয়ন্ত্রণ এবং সিকিউরিটি কী ব্যবহারের সুযোগ, এসব নিয়ে একসঙ্গে ব্যবস্থা নিলে অ্যাকাউন্ট দখলের সম্ভাবনা কমে।

এই ঘটনা ডিজিটাল পরিচয়ের ক্ষেত্রে ইমেইল অ্যাকাউন্টের কেন্দ্রীয় ভূমিকার কথাও মনে করিয়ে দেয়। ইমেইল অ্যাকাউন্টে অননুমোদিত প্রবেশ ঘটলে, আক্রমণকারী অনেক সেবায় পাসওয়ার্ড পুনর্নির্ধারণের প্রক্রিয়া শুরু করতে পারে। তাই ইমেইল অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, দুটি উপাদানের মাধ্যমে শক্তিশালী পরিচয় যাচাই, হালনাগাদ পুনরুদ্ধারের তথ্য এবং নিয়মিত সেশন পরীক্ষা অপরিহার্য। ব্যবহারকারীদের উচিত পুরোনো অ্যাকাউন্ট বন্ধ করা, আর ব্যবহার করেন না এমন ইমেইল ঠিকানা দিয়ে গুরুত্বপূর্ণ সেবায় প্রবেশ করা এড়িয়ে চলা এবং নিরাপত্তা সতর্কতাকে গুরুত্ব দেওয়া।

Onliner Spambot তথ্য ফাঁস-এর রেকর্ডে আপনার ইমেইল ঠিকানা দেখা গেলে, এর অর্থ আপনি কোনো নির্দিষ্ট ওয়েবসাইটে নিবন্ধন করেছিলেন, এমনটি ধরে নেবেন না। আরও যথাযথ ব্যাখ্যা হলো, ক্ষতিকর স্প্যাম কার্যক্রমে ব্যবহৃত ডেটাসেটে আপনার ইমেইল ঠিকানা এবং কিছু ক্ষেত্রে পাসওয়ার্ডের তথ্য পাওয়া গেছে। একই পাসওয়ার্ড অন্য অ্যাকাউন্টে ব্যবহার হচ্ছে কি না তা বোঝা এবং একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড দ্রুত বাদ দেওয়াই অগ্রাধিকার।

যাচাইয়ের ফলাফলে মিল পাওয়া গেলে, আপনার ইমেইল অ্যাকাউন্ট দিয়ে শুরু করে গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো উচিত। পাশাপাশি একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা, সক্রিয় সেশন পর্যালোচনা করা এবং সন্দেহজনক বার্তা পর্যবেক্ষণ করা উচিত। প্রাতিষ্ঠানিক ঠিকানার জন্য ডোমেইনভিত্তিক পর্যবেক্ষণ বেশি ঝুঁকিতে থাকা কর্মীদের অ্যাকাউন্টকে অগ্রাধিকার দেওয়া সহজ করে। নিয়মিত রেকর্ড যাচাই করলে নতুন আক্রমণে পুরোনো ডেটাসেট আবার ব্যবহারের কারণে তৈরি হওয়া ঝুঁকি আগেভাগে শনাক্ত করতে সুবিধা হয়।