Pemiblanc: তথ্য উন্মুক্ত হওয়ার অভিযোগ

Pemiblanc ডেটাসেটের প্রধান তথ্যক্ষেত্র হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। শুধু একটি ইমেইল ঠিকানাই স্প্যাম, ফিশিং, ভুয়া লগইন সতর্কতা এবং অ্যাকাউন্ট রিসেটের বার্তা পাঠাতে ব্যবহার করা যেতে পারে। তবে সবচেয়ে গুরুতর ঝুঁকি তৈরি করে পাসওয়ার্ডের তথ্য; একই পাসওয়ার্ড একাধিক সেবায় ব্যবহার করা হলে আক্রমণকারীরা স্বয়ংক্রিয় লগইন চেষ্টার মাধ্যমে বিভিন্ন সাইটের অ্যাকাউন্ট দখলের চেষ্টা করতে পারে। এ কারণে তালিকাটি কেবল যোগাযোগের তথ্য ফাঁস নয়, বরং এমন লগইন তথ্যের সংকলন, যা সরাসরি অ্যাকাউন্টে প্রবেশের ঝুঁকি তৈরি করে।

তথ্যের শ্রেণিগুলোর মধ্যে পেমেন্ট কার্ড, সরকারি পরিচয়সংক্রান্ত তথ্য, ব্যক্তিগত বার্তা, স্বাস্থ্যসংক্রান্ত তথ্য, বাসা বা অন্য স্থানের ঠিকানা কিংবা আর্থিক অ্যাকাউন্টের বিবরণ নেই। ঝুঁকি মূল্যায়নের ভিত্তি হওয়া উচিত ইমেইল ও পাসওয়ার্ডের জোড়া। বেশিরভাগ ব্যবহারকারী স্পষ্টভাবে জানতে পারেন না পাসওয়ার্ডগুলো কোন সেবা থেকে এসেছে। তাই একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা সব গুরুত্বপূর্ণ অ্যাকাউন্টই ঝুঁকির আওতায় পড়ে।

Pemiblanc-এর ঘটনার তারিখ 2 এপ্রিল 2018, রেকর্ড যুক্ত করার তারিখ 9 জুলাই 2018 এবং ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা 11,09,64,206 হিসেবে বিবেচনা করা উচিত। ডোমেইনটি pemiblanc.com হিসেবে নিবন্ধিত হলেও ঘটনাটিকে কোনো একটি ব্র্যান্ডের গ্রাহক ডেটাবেস থেকে তথ্য নেওয়ার একক ঘটনা হিসেবে বর্ণনা করা উচিত নয়। উপলব্ধ প্রমাণ থেকে দেখা যায়, তালিকাটি বিভিন্ন তথ্য ফাঁসের ঘটনা থেকে পাওয়া ইমেইল ও পাসওয়ার্ডের জোড়ার সংকলন, যা অ্যাকাউন্ট দখলের আক্রমণে ব্যবহার করা যেতে পারে।

অযাচাইকৃত শ্রেণির রেকর্ডগুলোকে ব্যর্থ হিসেবে গণ্য করা উচিত। এই শ্রেণিবিন্যাসের অর্থ এই নয় যে তালিকায় কোনো প্রকৃত ব্যক্তিগত তথ্য নেই; বরং সব সারির উৎস ও নির্ভুলতা চূড়ান্তভাবে প্রমাণ করা যায় না বলে আরও সতর্ক দৃষ্টিভঙ্গি গ্রহণ করা প্রয়োজন। তাই কোনো নির্দিষ্ট উৎসকে নিশ্চিত বলে দাবি না করে বা একটি কোম্পানির ওপর দায় না চাপিয়ে, এই বিবরণে ব্যবহারকারীর করণীয় নিরাপত্তা ব্যবস্থার ওপর গুরুত্ব দেওয়া হয়েছে।

যাঁরা একাধিক সাইটে একই ইমেইল ও পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। পুরোনো ফোরাম, গেমিং, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম বা ইমেইল অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে এই তালিকা আক্রমণকারীদের দ্রুত চেষ্টা চালানোর সুবিধা দেয়। যেসব কর্মী কর্মস্থলের ইমেইল ঠিকানা দিয়ে ব্যক্তিগত সেবায় নিবন্ধন করেন, তাঁরাও ঝুঁকিতে আছেন; কারণ একই পাসওয়ার্ড পুনর্ব্যবহার করলে কাজের অ্যাকাউন্ট, ক্লাউড সেবা বা অভ্যন্তরীণ পোর্টালে আক্রমণের সম্ভাবনা বেড়ে যায়।

দীর্ঘদিন পরিবর্তন না করা পাসওয়ার্ড, পরিবারের একাধিক সদস্যের যৌথভাবে ব্যবহৃত অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার ছাড়া সহজে মনে রাখা যায় এমন শব্দ দিয়ে তৈরি লগইন তথ্য এবং দুই-ফ্যাক্টর প্রমাণীকরণ বন্ধ থাকা অ্যাকাউন্ট আরও বেশি ঝুঁকিপূর্ণ। তালিকাটি পুরোনো হলেও ঝুঁকি শেষ হয়ে গেছে বলে ধরা যায় না; কারণ পুনর্ব্যবহৃত পাসওয়ার্ড বহু বছর পরেও বিভিন্ন সেবায় চেষ্টা করে দেখা যেতে পারে।

যেসব ব্যবহারকারীর তথ্যের সঙ্গে Pemiblanc তালিকার তথ্য মিলে যায়, তাঁদের প্রথমে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট শনাক্ত করে প্রতিটির জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড বেছে নেওয়া উচিত। বিশেষ করে ইমেইল অ্যাকাউন্ট, ব্যাংকিং ও পেমেন্ট সেবা, সামাজিক যোগাযোগমাধ্যম, কেনাকাটার সাইট, ক্লাউড স্টোরেজ এবং কাজের অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত। শুধু Pemiblanc-এর সঙ্গে সংশ্লিষ্ট সেবায় নয়, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টেই পাসওয়ার্ড পরিবর্তনের কথা বিবেচনা করা উচিত।

যেখানে সম্ভব দুই-ধাপের যাচাইকরণ চালু করা, সাম্প্রতিক সেশন ও সংযুক্ত ডিভাইস পর্যালোচনা করা এবং অপরিচিত সেশন বন্ধ করা উচিত। ইমেইল অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা ও ফোন নম্বর পরীক্ষা করা উচিত, আর অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তার দিকে নজর রাখা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড সংরক্ষণ করা সহজ হয়।

দীর্ঘমেয়াদে মূল প্রতিরক্ষা হলো একই পাসওয়ার্ড পুনর্ব্যবহার সম্পূর্ণ বন্ধ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে অতিরিক্ত যাচাইকরণ ব্যবহার করা। প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড বেছে নিলে ক্রেডেনশিয়াল স্টাফিং তালিকার প্রভাব অনেক কমে যায়; একটি সেবায় পুরোনো তথ্য ফাঁসের প্রভাব অন্য অ্যাকাউন্টে ছড়াতে পারে না। ব্যবহারকারীদের বিশেষভাবে তাঁদের ইমেইল অ্যাকাউন্টকে নিরাপত্তার মূল কেন্দ্র হিসেবে দেখা, এর পাসওয়ার্ড অন্য কোথাও ব্যবহার না করা এবং অতিরিক্ত যাচাইকরণ বাধ্যতামূলক করা উচিত।

প্রতিষ্ঠানের জন্য অতিরিক্ত ব্যবস্থা হলো পরিচিত লগইন তথ্যের তালিকায় কর্মীদের ইমেইল আছে কি না তা নজরদারি করা, পাসওয়ার্ডের পুনর্ব্যবহার কমায় এমন নীতি প্রয়োগ করা এবং উচ্চঝুঁকির অ্যাকাউন্টের সেশন-সংক্রান্ত আচরণ পরীক্ষা করা। পুরোনো পাসওয়ার্ডের তালিকাগুলো পুরোপুরি বিলুপ্ত হয়নি। তাই অতীতের তথ্য ফাঁসকে শুধু ঐতিহাসিক তথ্য হিসেবে নয়, বর্তমান অ্যাকাউন্টের নিরাপত্তার একটি সংকেত হিসেবেও বিবেচনা করা উচিত।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি Pemiblanc ডেটাসেটে আছে কি না দেখা যায়। মিল পাওয়া গেলে বোঝা যায় যে ইমেইল ঠিকানাটি একটি পাসওয়ার্ডসহ ক্রেডেনশিয়াল স্টাফিং তালিকায় রয়েছে। তবে শুধু এই ফলাফল থেকে পাসওয়ার্ডটি কোন সেবা থেকে এসেছে বা তালিকার প্রতিটি সারির সুনির্দিষ্ট উৎস কী, তা প্রমাণিত হয় না। এই সীমাবদ্ধতার কারণে ব্যবহারকারীর পদক্ষেপ সতর্ক কিন্তু দ্রুত হওয়া উচিত।

মিল না পাওয়ার অর্থ শুধু এই ডেটাসেটে কোনো মিল পাওয়া যায়নি; এতে অন্য তথ্য ফাঁসের ঘটনায় তথ্য থাকার সম্ভাবনা দূর হয় না। যেসব ব্যবহারকারীর তথ্যের মিল পাওয়া যায়, তাঁদের একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন, দুই-ফ্যাক্টর প্রমাণীকরণ চালু করা, সেশন পর্যবেক্ষণ এবং পাসওয়ার্ড ম্যানেজার ব্যবহারকে অগ্রাধিকার দেওয়া উচিত। সবচেয়ে যথাযথ পদ্ধতি হলো সব পুরোনো ও পুনর্ব্যবহৃত পাসওয়ার্ড ব্যবহার বন্ধ করা এবং প্রতিটি অ্যাকাউন্টের জন্য আলাদা লগইন তথ্য ব্যবহার করা।