piZap-এর 2017 সালের তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, লিঙ্গসংক্রান্ত তথ্য, ভৌগোলিক অবস্থান, নাম, পাসওয়ার্ড, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, ব্যবহারকারীর নাম এবং ওয়েবসাইটে কার্যকলাপ। এসব তথ্য একসঙ্গে থাকলে আক্রমণকারীরা শুধু পাসওয়ার্ড ব্যবহার করে প্রবেশের চেষ্টাই করতে পারে না, আরও ব্যক্তিগত বলে মনে হয় এমন ফিশিং বার্তাও তৈরি করতে পারে। ছবি সম্পাদনার সেবায় থাকা প্রোফাইলের তথ্য, সামাজিক যোগাযোগমাধ্যমের লিংক ও ব্যবহারকারীর নামের মতো তথ্য ব্যবহারকারীর অনলাইন পরিচয় মিলিয়ে শনাক্ত করা সহজ করে।

অ্যাকাউন্টের নিরাপত্তার দিক থেকে পাসওয়ার্ডের ঘরটিই সরাসরি সবচেয়ে গুরুত্বপূর্ণ। পাসওয়ার্ড সংরক্ষণের জন্য SHA-1 হ্যাশকে শক্তিশালী মান হিসেবে গণ্য করা হয় না; দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ড অনুমান করা সম্ভব। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেমিং বা ক্লাউড সেবায় একই পাসওয়ার্ড ব্যবহার করা হলে ঝুঁকি অনেক বেড়ে যায়। এই ঘটনায় পেমেন্ট কার্ড, সরকারি পরিচয়পত্রের নম্বর বা ব্যক্তিগত বার্তার বিষয়বস্তুকে যাচাইকৃত তথ্যের ধরনগুলোর অন্তর্ভুক্ত বলে ধরা উচিত নয়। লগইন পরিচয়তথ্য, প্রোফাইলের তথ্য এবং লক্ষ্যভিত্তিক সোশ্যাল ইঞ্জিনিয়ারিংয়ের সম্ভাবনার ওপর ভিত্তি করে ঝুঁকি মূল্যায়ন করা উচিত।

ঘটনাটির তারিখ হিসেবে 7 ডিসেম্বর 2017 ধরা হয় এবং রেকর্ড যুক্ত করার যাচাইকৃত তারিখ হলো 16 জুলাই 2019। এর পরিসর 4,18,17,893টি স্বতন্ত্র অ্যাকাউন্টে সীমাবদ্ধ। পরে অন্যান্য তথ্য ফাঁসের সংগ্রহের সঙ্গে এই তথ্য বিক্রি হওয়ায় ঘটনাটি আবিষ্কৃত হওয়া ও নজরে আসার সময়সীমা দীর্ঘ হয়েছে। তাই তথ্য ফাঁসের তারিখের বহু বছর পরও ব্যবহারকারীরা এর ফলাফল দেখতে পারেন। এর অর্থ এই নয় যে তথ্য নতুন করে ফাঁস হয়েছে; বরং পুরোনো একটি ঘটনা পরে যাচাই করা হয়েছে এবং সামনে এসেছে।

ডোমেইন নাম pizap.com হিসেবে যাচাই করা হয়েছে। কোম্পানিটি কোন দেশের, সে বিষয়ে নির্ভরযোগ্য ও সঙ্গতিপূর্ণ যাচাই না থাকায় দেশের ঘরটি ফাঁকা রাখা হয়েছে। রেকর্ডটি যাচাইকৃত অবস্থায় রয়েছে এবং সংবেদনশীল তথ্যের ফ্ল্যাগ বন্ধ রাখা হয়েছে, কারণ যাচাইকৃত তথ্যের ঘরগুলো আর্থিক তথ্য বা সরকারি পরিচয়সংক্রান্ত তথ্যের মতো বিশেষ শ্রেণিতে পড়ে না। তা সত্ত্বেও, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, ভৌগোলিক অবস্থান ও পাসওয়ার্ডের তথ্য একসঙ্গে থাকায় অ্যাকাউন্ট দখল ও লক্ষ্যভিত্তিক প্রতারণার ঝুঁকি বেশি।

সবচেয়ে বেশি ঝুঁকিতে আছেন যাঁরা piZap অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন। ছবি সম্পাদনার পুরোনো একটি অ্যাকাউন্টকে তেমন গুরুত্বপূর্ণ মনে না-ও হতে পারে। কিন্তু একই পাসওয়ার্ড আরও গুরুত্বপূর্ণ কোনো অ্যাকাউন্টে কার্যকর থাকলে আক্রমণকারীরা এই তথ্য কাজে লাগাতে পারে। যাঁরা সামাজিক যোগাযোগমাধ্যমের প্রোফাইল দিয়ে লগইন করেছেন, তাঁদের প্রোফাইলের লিংক আক্রমণকারীদের জন্য বিভিন্ন প্ল্যাটফর্মে একই ব্যক্তিকে শনাক্ত করা সহজ করতে পারে।

যাঁরা সৃজনশীল কাজ, সামাজিক যোগাযোগমাধ্যমের কনটেন্ট বা অনলাইন কমিউনিটিতে একই ব্যবহারকারীর নাম ব্যবহার করেন, তাঁদের লক্ষ্য করে বার্তা পাঠানোর ঝুঁকি বেড়ে যায়। ব্যবহারকারীর নাম ও ইমেইল মেলানো, অ্যাকাউন্টের নিরাপত্তা নিয়ে ভুয়া সতর্কতা, ছবিতে প্রবেশাধিকারের বিজ্ঞপ্তি, সামাজিক যোগাযোগমাধ্যমের সংযোগ যাচাই বা পাসওয়ার্ড নবায়নের প্রসঙ্গ তুলে এই সুযোগ কাজে লাগানো হতে পারে। করপোরেট ইমেইল ঠিকানা দিয়ে নিবন্ধিত ব্যবহারকারী থাকলে ব্যবসায়িক ব্যবস্থাগুলোতেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা হতে পারে।

প্রথমে যাচাই করতে হবে, piZap অ্যাকাউন্টে ব্যবহার করা হয়ে থাকতে পারে এমন পুরোনো পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করা হচ্ছে কি না। কোনো সেবায় এখনও একই বা কাছাকাছি ধরনের পাসওয়ার্ড কার্যকর থাকলে তা অবিলম্বে বদলে স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড দিতে হবে। ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, পেমেন্ট ও কাজের অ্যাকাউন্টগুলোকে অগ্রাধিকার দেওয়া উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড বারবার ব্যবহারের ঝুঁকি কমে।

সব গুরুত্বপূর্ণ অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ সমর্থিত হলে তা চালু করা উচিত। সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট দিয়ে লগইন করা হয়ে থাকলে সংযুক্ত অ্যাপ ও তৃতীয় পক্ষকে দেওয়া অনুমতিগুলোও পর্যালোচনা করা উচিত। অপরিচিত সক্রিয় সেশন বন্ধ করতে হবে, অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা সতর্কভাবে যাচাই করতে হবে এবং সন্দেহজনক লিংকে সরাসরি ক্লিক করা যাবে না। piZap বা ছবি সম্পাদনার প্রসঙ্গ তুলে পাঠানো ভুয়া বার্তা সম্পর্কেও ব্যবহারকারীকে সতর্ক থাকতে হবে।

দীর্ঘমেয়াদে একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার সম্পূর্ণভাবে বন্ধ করতে হবে। অতীতের তথ্য ফাঁস থেকে পাওয়া পাসওয়ার্ড হ্যাশ বহু বছর পরও ভাঙা বা অন্য ডেটাসেটের সঙ্গে মিলিয়ে ব্যবহার করা হতে পারে। তাই একবার পাসওয়ার্ড বদলানোই যথেষ্ট নয়; প্রতিটি সেবার জন্য স্বতন্ত্র পাসওয়ার্ড রাখা এবং নিয়মিত সেশন যাচাই করা স্থায়ী অভ্যাসে পরিণত করা উচিত। গুরুত্বপূর্ণ অ্যাকাউন্টে পাসকি বা হার্ডওয়্যার সিকিউরিটি কি সমর্থিত হলে সেগুলোকে অগ্রাধিকার দেওয়া উচিত।

সামাজিক যোগাযোগমাধ্যমের লিংক ও ব্যবহারকারীর নামও নিরাপত্তা পরিকল্পনার অংশ হওয়া উচিত। পুরোনো অ্যাকাউন্টে কী তথ্য শেয়ার করেছেন, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের সঙ্গে কোন সেবাগুলো যুক্ত আছে এবং কোন অ্যাপকে অনুমতি দিয়েছেন, তা ব্যবহারকারীদের নিয়মিত যাচাই করা উচিত। প্রোফাইলের তথ্য, ইমেইল ও পাসওয়ার্ডের তথ্য একসঙ্গে ফাঁস হলে আক্রমণকারীদের পক্ষে আরও বিশ্বাসযোগ্য বার্তা তৈরি করা সহজ হয়। তাই নিরাপত্তার ব্যবস্থা শুধু পাসওয়ার্ড বদলানোর মধ্যে সীমাবদ্ধ রাখা উচিত নয়।

আপনি LeakData-তে piZap-এর ফলাফল দেখলে প্রথমে এই সেবায় ব্যবহার করা পুরোনো ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড মনে করার চেষ্টা করুন। অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হচ্ছে কি না তা যাচাই করুন এবং যেখানে একই পাসওয়ার্ড আছে, সেখানেই তা বদলে দিন। সামাজিক যোগাযোগমাধ্যমের মাধ্যমে লগইন করে থাকলে সংযুক্ত অ্যাকাউন্টের অনুমতি এবং তৃতীয় পক্ষের অ্যাপের প্রবেশাধিকারও আলাদাভাবে যাচাই করুন।

সবচেয়ে যথাযথ করণীয় হলো ইমেইল অ্যাকাউন্ট থেকে শুরু করে সব গুরুত্বপূর্ণ অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা, বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা এবং অপরিচিত সেশন বন্ধ করা। একই ইমেইল ঠিকানা অন্য তথ্য ফাঁসের ঘটনায় কোন কোন ধরনের তথ্যের সঙ্গে পাওয়া গেছে, তা যাচাই করেও আপনি সামগ্রিক ঝুঁকি আরও নির্ভুলভাবে মূল্যায়ন করতে পারেন। এই পদ্ধতিতে বোঝা সহজ হয়, ছবি সম্পাদনার পুরোনো একটি প্ল্যাটফর্মের তথ্য ফাঁস কেন এখনও নিরাপত্তার ঝুঁকি তৈরি করতে পারে।