PingPong তথ্য উন্মুক্ত হওয়ার অভিযোগ

PingPong রেকর্ডটি প্রস্তুত করার সময় একই ডোমেইন নামে পাওয়া বিদ্যমান রেকর্ড, ঘটনার তারিখ, রেকর্ডের সংখ্যা, ডেটার ধরন, ডোমেইনের বর্তমান অবস্থা এবং কাছাকাছি নামের রেকর্ডগুলো একে একে যাচাই করা হয়েছে। এর উদ্দেশ্য হলো, ব্যবহারকারীরা যেন অনুসন্ধানে প্রকৃত ঘটনাটি খুঁজে পান এবং একই ডেটার জন্য ডেটা ফাঁসের একাধিক রেকর্ড তৈরি না হয়। ডোমেইন থেকে 410 রেসপন্স পাওয়ায় রেকর্ডে প্ল্যাটফর্মটিকে কার্যক্রম বন্ধ করা প্ল্যাটফর্ম হিসেবে চিহ্নিত করা হয়েছে।

সংশ্লিষ্ট তালিকায় 57,958টি সারি দেখা গেলেও, প্রত্যক্ষ তথ্যপ্রমাণসমর্থিত প্রকাশ্য রেকর্ডে 48,978টি রেকর্ডের সমর্থন পাওয়া গেছে। বিভিন্ন তালিকার মধ্যে এই অমিলের কারণ হতে পারে অপরিশোধিত ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট এবং পরিশোধিত রেকর্ড গণনার পার্থক্য। তাই এখানে সর্বোচ্চ সংখ্যাটি নয়, বরং যে সংখ্যাটি প্রত্যক্ষ তথ্যপ্রমাণে সমর্থিত এবং ডেটার ধরনগুলোর সঙ্গে মিলিয়ে বোঝা যায়, সেটিকেই ভিত্তি হিসেবে নেওয়া হয়েছে।

এই ঘটনার প্রধান ঝুঁকি হলো, ইমেইল ঠিকানা বা ব্যবহারকারীর নামের মতো শনাক্তকারী তথ্যের সঙ্গে MD5 ও প্লেইনটেক্সট পাসওয়ার্ডের তথ্য পাওয়া গেছে। ব্যবহারকারী অন্য সেবায় একই পাসওয়ার্ড ব্যবহার করে থাকলে আক্রমণকারীরা স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা, পাসওয়ার্ড রিসেটের ওপর আক্রমণ এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং বার্তা পাঠানোর প্রস্তুতি নিতে পারে।

যাঁরা খেলাধুলার কমিউনিটি বা টেবিল টেনিসকে কেন্দ্র করে অ্যাকাউন্ট খুলেছেন, তাঁদের কাছে এটি পুরোনো অ্যাকাউন্ট বলে মনে হলেও এই রেকর্ড গুরুত্বপূর্ণ। ইমেইল, ব্যবহারকারীর নাম, ব্যক্তির নাম, IP ঠিকানা বা প্রোফাইলের তথ্যের মতো ফিল্ড সময়ের সঙ্গে মূল্য হারায় না। অন্য ডেটাসেটের সঙ্গে মেলানো হলে এগুলো একজন ব্যক্তির ডিজিটাল ইতিহাস আরও স্পষ্ট করে তুলতে পারে।

PingPong-এর প্রেক্ষাপটে খেলাধুলার কমিউনিটির সদস্যপদ সাধারণত ফোরাম ব্যবহারের অভ্যাস ও পুরোনো ইমেইল ঠিকানার সঙ্গে যুক্ত। এর প্রভাব শুধু সংশ্লিষ্ট সাইটে সীমাবদ্ধ নাও থাকতে পারে। কাজ, গেমিং, সামাজিক যোগাযোগমাধ্যম, ফোরাম বা পেমেন্ট অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করা হলে একটির সঙ্গে আরেকটির যোগসূত্রের কারণে আক্রমণের সুযোগ বাড়ে।

শুধু ইমেইল ঠিকানাকে কম ঝুঁকির তথ্য হিসেবে বিবেচনা করা হলেও, পাসওয়ার্ড বা ব্যবহারকারীর নামের সঙ্গে যুক্ত হলে তা আক্রমণের শক্তিশালী মাধ্যম হয়ে উঠতে পারে। আক্রমণকারীরা লগইনের চেষ্টা, ভুয়া বিজ্ঞপ্তি, পুরোনো সদস্যপদের কথা মনে করিয়ে দেওয়া বার্তা বা নিরাপত্তা সতর্কতা বলে মনে হয় এমন বার্তায় এই ঠিকানাগুলো ব্যবহার করতে পারে।

পাসওয়ার্ড ফিল্ড থাকার কারণে PingPong রেকর্ডটিকে অতি গুরুতর ঝুঁকির রেকর্ড হিসেবে বিবেচনা করা হয়েছে। MD5 ও প্লেইনটেক্সট পাসওয়ার্ডের তথ্য থাকা কোনো ঘটনার ক্ষেত্রে ব্যবহারকারীদের প্রথম কাজ হলো পুরোনো পাসওয়ার্ডটি এবং সেটি ব্যবহার করা অন্য অ্যাকাউন্টগুলো শনাক্ত করা। সামান্য পরিবর্তন করে ওই পাসওয়ার্ড আবার ব্যবহার করা উচিত নয়।

ব্যবহারকারীর নাম থাকা রেকর্ডগুলোতে বিভিন্ন প্রোফাইলের মধ্যে যোগসূত্র খুঁজে পাওয়ার ঝুঁকি বাড়ে। বিভিন্ন ফোরাম, গেম অ্যাকাউন্ট বা সামাজিক প্ল্যাটফর্মে একই ডাকনাম ব্যবহার করা হলে আক্রমণকারীরা ব্যক্তির প্রোফাইলগুলো একত্র করতে পারে। তাই ব্যবহারকারীর নামকেও ব্যক্তিগত ডেটার ঝুঁকির অংশ হিসেবে বিবেচনা করা উচিত।

যেসব ঘটনায় এই তথ্যগুলো থাকার প্রমাণ রয়েছে, সেখানে IP ঠিকানা, নাম বা প্রোফাইলের তথ্য আক্রমণকারীর কাছে ব্যক্তির সম্পর্কে আরও প্রাসঙ্গিক তথ্য তুলে ধরে। IP তথ্য থেকে আনুমানিক অবস্থান ও সংযোগ ব্যবহারের অভ্যাসের ইঙ্গিত পাওয়া যেতে পারে। অন্যদিকে, নাম বা প্রোফাইল ফিল্ড আরও ব্যক্তিকেন্দ্রিক ও বিশ্বাসযোগ্য বার্তা তৈরি করতে সাহায্য করতে পারে।

খেলাধুলার কমিউনিটির ছোট ফোরামগুলো দীর্ঘদিন আপডেট না করা হলে পুরোনো পাসওয়ার্ড সংরক্ষণ পদ্ধতি গুরুতর ঝুঁকি তৈরি করে। প্রাতিষ্ঠানিক দিক থেকে এই ঘটনা পুরোনো সফটওয়্যার উপাদান, দুর্বল পাসওয়ার্ড সংরক্ষণ, অপ্রয়োজনীয় ডেটা রেখে দেওয়া এবং অপর্যাপ্ত প্রবেশাধিকার নিয়ন্ত্রণের দীর্ঘমেয়াদি প্রভাব তুলে ধরে। কোনো ডেটাবেস ফাঁস হয়ে গেলে সেই ডেটার প্রচলন সম্পূর্ণ বন্ধ করা কার্যত অসম্ভব।

ব্যবহারকারীদের প্রথমে সেই ইমেইল ঠিকানা ও পাসওয়ার্ডগুলোর তালিকা করা উচিত, যেগুলো তাঁরা PingPong বা pingpong.su-তে ব্যবহার করে থাকতে পারেন। এরপর একই ধরনের পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টে নতুন ও আলাদা পাসওয়ার্ড সেট করতে হবে, সক্রিয় সেশনগুলো বন্ধ করতে হবে এবং অচেনা ডিভাইস সরিয়ে দিতে হবে।

দ্বিতীয় গুরুত্বপূর্ণ পদক্ষেপ হলো দুই-ফ্যাক্টর প্রমাণীকরণ। SMS-এর তুলনায় অ্যাপভিত্তিক যাচাইকরণ বা নিরাপত্তা চাবি আক্রমণ প্রতিরোধে বেশি কার্যকর সুরক্ষা দেয়। সুরক্ষার ক্ষেত্রে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল এবং গেমিং অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, সংযুক্ত অ্যাপ্লিকেশন, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা এবং বিশ্বস্ত ডিভাইসের তালিকা পরীক্ষা করা উচিত। আক্রমণকারী সংশ্লিষ্ট সেবায় সরাসরি প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে পাসওয়ার্ড রিসেটের প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিং বার্তায় পুরোনো ব্যবহারকারীর নাম, ডোমেইন নাম, সেবার ধরন বা আগ্রহের বিষয় ব্যবহার করা হতে পারে। ব্যবহারকারীদের সরাসরি লিংকে ক্লিক না করে নিজেরা ঠিকানা লিখে সংশ্লিষ্ট সাইটে যাওয়া উচিত, যাচাই না করে সংযুক্ত ফাইল খোলা উচিত নয় এবং জরুরি পদক্ষেপ নেওয়ার চাপের ব্যাপারে সতর্ক থাকা উচিত।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর পদক্ষেপগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। এলোমেলোভাবে তৈরি ও প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড একটি ফাঁসের প্রভাব অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকায়। ব্যবহারকারীদের ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও পর্যালোচনা করা উচিত।

সাইটের মালিকদের জন্য পাসওয়ার্ড সংরক্ষণের পদ্ধতি অত্যন্ত গুরুত্বপূর্ণ। সাধারণ পাঠ্যরূপে পাসওয়ার্ড রাখা বা দ্রুত ভাঙা যায় এমন হ্যাশ ফরম্যাট ব্যবহার করা সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক অ্যাপ্লিকেশনে শক্তিশালী, ধীরগতির ও সল্টযুক্ত পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত। ব্যবহারকারীরা লগইন করার সময় পুরোনো হ্যাশগুলো ধাপে ধাপে হালনাগাদ করা উচিত।

অ্যাডমিন প্যানেল, ব্যাকআপ ফাইল, এক্সপোর্ট টুল, পরীক্ষার পরিবেশ এবং পুরোনো প্লাগইন নিয়মিত নিরীক্ষা করা উচিত। ডেটা ফাঁসের একটি উল্লেখযোগ্য অংশ মূল অ্যাপ্লিকেশন থেকে নয়, বরং ব্যবহারের পরিবেশে ভুলে যাওয়া উপাদান বা প্রয়োজনের চেয়ে বেশি অনুমতি পাওয়া অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তা ঘটনার প্রতিক্রিয়া পরিকল্পনা নেই, সেখানে ব্যবহারকারীদের জানানো এবং পাসওয়ার্ড রিসেট করতে দেরি হয়। কোন সিস্টেম পরীক্ষা করা হবে, কোন লগ সংরক্ষণ করা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন সংযুক্ত উপাদান পরীক্ষা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

খেলাধুলার কমিউনিটি ও ফোরামের সদস্যপদের ক্ষেত্রে ব্যবহারকারীদের তাঁদের পুরোনো সদস্যপদকে তুচ্ছ মনে করা উচিত নয়। বিশেষ কোনো আগ্রহের কমিউনিটি, বিনোদন সাইট, তথ্যভিত্তিক প্ল্যাটফর্ম বা ব্যবসায়িক ডিরেক্টরির অ্যাকাউন্ট আজ গুরুত্বহীন মনে হতে পারে। কিন্তু একই ইমেইল ও পাসওয়ার্ড ব্যবহারের অভ্যাস অন্য কোথাও আরও গুরুতর পরিণতি ডেকে আনতে পারে।

একই ঘটনা বিভিন্ন তালিকায় ভিন্ন নামে দেখানোর সম্ভাবনা এড়াতে প্রকৃত ডোমেইন নাম ও প্রত্যক্ষ তথ্যপ্রমাণসমর্থিত ঘটনার তারিখ অনুযায়ী এই রেকর্ডের সদৃশ এন্ট্রি বাদ দেওয়া হয়েছে। বিদ্যমান যাচাইকৃত রেকর্ডগুলো অক্ষুণ্ণ রাখা হয়েছে এবং তথ্যের পরিসর মিলে যায় এমন ক্ষেত্রে নতুন রেকর্ড তৈরি করা হয়নি।

PingPong ডেটা ফাঁস, pingpong.su ডেটা ফাঁস, PingPong পাসওয়ার্ড ফাঁস এবং PingPong ব্যবহারকারীর ডেটার মতো বিভিন্ন নামে ঘটনাটি খুঁজলে সহজবোধ্য ও কাজে লাগানো যায় এমন তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি প্রস্তুত করা হয়েছে। লেখায় যাচাইকৃত বিষয়গুলো ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখার পর ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলো আক্রমণকারীদের প্রথম লক্ষ্য হয়ে থাকে।

প্রতিষ্ঠানগুলোর জন্য একটি মৌলিক শিক্ষা হলো প্রয়োজনের বাইরে ডেটা সংগ্রহ ও সংরক্ষণ না করা। অপ্রয়োজনীয় প্রোফাইল ফিল্ড সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতি অনুযায়ী পুরোনো ও নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল ফিল্ডে প্রবেশাধিকার সীমিত করা উচিত এবং ডেটা এক্সপোর্টের কার্যক্রম আলাদাভাবে পর্যবেক্ষণ করা উচিত।

ঘটনাটি অতীতের হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। একই পাসওয়ার্ড পুনরায় ব্যবহারের ওপর নির্ভরশীল আক্রমণ বহু বছর পরও সফল হতে পারে, কারণ ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ বিভিন্ন সেবায় পুরোনো পাসওয়ার্ডের ধরন বজায় রাখেন। তাই পুরোনো ডেটা ফাঁসের রেকর্ডকেও বর্তমান ঝুঁকির সংকেত হিসেবে বিবেচনা করা উচিত।

PingPong-এর জন্য ব্যবহারিক করণীয় তালিকা হলো: পুরোনো পাসওয়ার্ড পরিবর্তন করা, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করা, দুই-ধাপে যাচাইকরণ চালু করা, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করা, অচেনা সেশন বন্ধ করা এবং সন্দেহজনক বার্তার ক্ষেত্রে লিংক ব্যবহার না করে সরাসরি সাইটের ঠিকানা ব্যবহার করা।

নিরাপত্তা দলগুলোর উচিত প্রতিষ্ঠানের ডোমেইন নাম ব্যবহার করে নিবন্ধন করা ব্যবহারকারীদেরও মূল্যায়ন করা। কোনো কর্মী পুরোনো কমিউনিটি বা সেবা সাইটে কর্মস্থলের ইমেইল ব্যবহার করে থাকলে, একই পাসওয়ার্ড পুনরায় ব্যবহারের ঝুঁকি প্রতিষ্ঠানের সিস্টেমেও ছড়িয়ে পড়তে পারে। পরিচয় ও প্রবেশাধিকার ব্যবস্থাপনার সতর্কবার্তার মাধ্যমে এই পরিস্থিতি পর্যবেক্ষণ করা উচিত।

যাচাই করা হয়নি এমন ডেটার ধরন এই রেকর্ড থেকে সচেতনভাবে বাদ দেওয়া হয়েছে। দীর্ঘতর তালিকা তৈরির চেয়ে তথ্যপ্রমাণসমর্থিত ফিল্ডগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। ডেটা ফাঁসের পৃষ্ঠায় গুরুত্বপূর্ণ হলো সঠিক পরিসর তুলে ধরা ও কার্যকর পরামর্শ দেওয়া, নিশ্চয়তার অনুভূতি তৈরি করা নয়।

PingPong-এর ডোমেইন নামের বর্তমান অবস্থাও আলাদাভাবে মূল্যায়ন করা হয়েছে। নিষ্ক্রিয়, অন্য ঠিকানায় পাঠিয়ে দেয় বা ত্রুটি দেখায় এমন সাইটে ব্যবহারকারীরা তাঁদের পুরোনো অ্যাকাউন্টে প্রবেশ করতে না-ও পারেন। তবু পুরোনো পাসওয়ার্ড অন্য সেবায় ব্যবহার করা হয়ে থাকলে ঝুঁকি থেকে যায়। সক্রিয় সাইটে ব্যবহারকারীদের সরাসরি অ্যাকাউন্টের সেটিংস ও সাম্প্রতিক সেশন পরীক্ষা করাই বেশি উপযুক্ত।

পাসওয়ার্ড ফাঁসের ক্ষেত্রে শুধু প্রযুক্তিগতভাবে পাসওয়ার্ড পরিবর্তন নয়, আচরণগত পরিবর্তনও প্রয়োজন। ব্যবহারকারী একই ধরন বজায় রাখলে পুরোনো ফাঁস হওয়া তথ্য থেকে নতুন পাসওয়ার্ড অনুমান করা যেতে পারে। তাই পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, দলের নাম, খাবারের পছন্দ, ব্যবহারকারীর নাম বা সহজে অনুমান করা যায় এমন সংযোজন ব্যবহার করা উচিত নয়।

অতীতে কর্মস্থলের ইমেইল দিয়ে PingPong অ্যাকাউন্ট খোলা হয়ে থাকলে প্রতিষ্ঠানের পক্ষ থেকে ঝুঁকিটি আরও সতর্কভাবে বিবেচনা করা উচিত। কর্মী ব্যক্তিগত সাইটে যে পাসওয়ার্ড ব্যবহার করেছিলেন, সেটি দিয়ে প্রতিষ্ঠানের সিস্টেমেও প্রবেশের চেষ্টা করা হতে পারে। তাই একই পাসওয়ার্ড পুনরায় ব্যবহার শনাক্ত করতে পারে এমন নিরাপত্তা নিয়ন্ত্রণ এবং বহু-ফ্যাক্টর প্রমাণীকরণ নীতি গুরুত্বপূর্ণ।

ব্যবহারকারীদের কাছে এ ধরনের রেকর্ড দেখা আতঙ্কের কারণ না হয়ে অ্যাকাউন্ট সুরক্ষার প্রয়োজনীয় কাজগুলো সম্পন্ন করার সুযোগ হওয়া উচিত। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা দীর্ঘস্থায়ী সুরক্ষা দেয়।

সারসংক্ষেপে, PingPong ডেটা ফাঁস একটি উল্লেখযোগ্য নিরাপত্তা রেকর্ড। 2016 সালের জুলাই মাসে ঘটনাটি 48,978টি অ্যাকাউন্টে প্রভাব ফেলেছিল এবং এতে ইমেইল ঠিকানা ও পাসওয়ার্ডের তথ্যের ফিল্ড রয়েছে। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার, দুই-ফ্যাক্টর প্রমাণীকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।