PKMN.NET: তথ্য উন্মুক্ত হওয়ার অভিযোগ

PKMN.NET-এর রেকর্ড তৈরি করার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইন নাম, অনুরূপ ব্র্যান্ড নাম, ঘটনার তারিখ ও নিবন্ধনের সংখ্যার সঙ্গে মিল আছে কি না, তা পরীক্ষা করা হয়েছিল। একই ঘটনার কোনো রেকর্ড পাওয়া যায়নি বলে এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। এই সিদ্ধান্ত নেওয়ার ক্ষেত্রে কাছাকাছি নাম থাকলেও ভিন্ন ডোমেইন বা ভিন্ন ঘটনার রেকর্ডগুলো বিবেচনার বাইরে রাখা হয়েছে।

সংশ্লিষ্ট তালিকায় থাকা রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন তথ্যের সংখ্যায় সামান্য পার্থক্য দেখা যেতে পারে। মূল ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিশোধিত রেকর্ড বা নতুনভাবে সাজানো ডেটাসেটের পার্থক্যের কারণে এমনটি হতে পারে। এই পৃষ্ঠায় সর্বোচ্চ যে সংখ্যাটি দেখা গেছে তা নয়, বরং তথ্যের ধরনগুলোর পাশাপাশি ধারাবাহিকভাবে সমর্থন পাওয়া 52,497 সংখ্যাটিকে ভিত্তি ধরা হয়েছে।

PKMN.NET-এর ঘটনাটি গেমিং কমিউনিটি ও ভক্তদের ফোরামের অ্যাকাউন্টের সঙ্গে সম্পর্কিত হওয়ায় ইউজারনেম মিলিয়ে পরিচয় শনাক্ত করার ঝুঁকি বিশেষ গুরুত্ব পায়। ফোরামের ইউজারনেম বছরের পর বছর একই থাকতে পারে এবং বিভিন্ন গেম, সামাজিক যোগাযোগমাধ্যম বা কমিউনিটির অ্যাকাউন্টেও আবার ব্যবহার করা হতে পারে।

এই ঘটনায় পাসওয়ার্ড সাধারণ পাঠ্য হিসেবে নয়, হ্যাশ আকারে তালিকাভুক্ত হয়েছে। তবু দুর্বল অ্যালগরিদম বা স্বল্প খরচে হ্যাশ ভাঙার চেষ্টার কারণে পুরোনো ফোরামের হ্যাশ ঝুঁকি তৈরি করতে পারে। ইউজারনেম ও ইমেইলের সঙ্গে মিলিয়ে ব্যবহার করা হলে বিভিন্ন প্রোফাইলের মধ্যে যোগসূত্র খুঁজে পাওয়ার সম্ভাবনা বাড়ে।

PKMN.NET-এর ঘটনায় ফোরাম সফটওয়্যারের পাসওয়ার্ড হ্যাশ-সংক্রান্ত তথ্য পাওয়া গেছে বলে ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের বারবার অনুমান করে পরীক্ষা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয় লগইনের চেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। তবে ইউজারনেম, IP ঠিকানা, পাসওয়ার্ড বা প্রোফাইলের তথ্যের সঙ্গে যুক্ত হলে এটি আক্রমণের শক্তিশালী মাধ্যম হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেম, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়িয়ে পড়তে পারে।

ঘটনাটি অতীতের হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধাঁচ আবার ব্যবহার করেন। তাই PKMN.NET-এর মতো পুরোনো তথ্য ফাঁসও বহু বছর পরে পাসওয়ার্ড অনুমান, ফাঁস হওয়া লগইন তথ্য দিয়ে অন্য অ্যাকাউন্টে প্রবেশের চেষ্টা এবং নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় কাজে লাগানো হতে পারে।

আপনার প্রথম করণীয় হলো, অতীতে PKMN.NET বা pkmn.net-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। একই ধাঁচের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করে থাকলে শুধু সংশ্লিষ্ট সাইটের পাসওয়ার্ড বদলানো যথেষ্ট নয়; পুনরায় ব্যবহৃত সব পাসওয়ার্ডের বদলে প্রতিটি অ্যাকাউন্টে আলাদা ও এলোমেলোভাবে তৈরি পাসওয়ার্ড দিতে হবে।

এই ঘটনার পরে নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর পদক্ষেপগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা বারবার ব্যবহৃত পাসওয়ার্ড বদলে ফেলা উচিত।

বিশেষ করে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট ও অ্যাডমিন প্যানেলে দুই-ফ্যাক্টর প্রমাণীকরণকে অগ্রাধিকার দেওয়া হয়। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা কী আক্রমণের বিরুদ্ধে আরও শক্ত সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশন পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি PKMN.NET অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্যবস্তু করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ইউজারনেম, খাত-সংক্রান্ত তথ্য বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। আপনার কাছে আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লিখে সাইটে যান, যাচাই না করে সংযুক্ত ফাইল খুলবেন না এবং দ্রুত পদক্ষেপ নেওয়ার চাপ সৃষ্টি করে এমন বার্তার ব্যাপারে সতর্ক থাকুন।

করপোরেট ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত একটি অ্যাকাউন্টে কাজের ইমেইল ব্যবহার করে থাকলে, কোম্পানির সিস্টেমে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-ফ্যাক্টর প্রমাণীকরণ এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য মূল শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ ন্যূনতম রাখা। সাধারণ পাঠ্য বা দ্রুত ভাঙা যায় এমন হ্যাশ আকারে পাসওয়ার্ড রাখা ব্যবহারকারীর নিরাপত্তাকে সরাসরি দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীরা লগইন করার সময় পুরোনো হ্যাশের ধরন ধাপে ধাপে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, এক্সপোর্ট ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং নজরের বাইরে পড়ে থাকা সহায়ক সিস্টেম বা ব্যাপক অনুমতিসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

নিরাপত্তা ঘটনার প্রতিক্রিয়া পরিকল্পনা নেই এমন প্রতিষ্ঠানে ব্যবহারকারীদের জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

PKMN.NET সাইটটি এখনো সাড়া দেয় বলে আপনি পুরোনো অ্যাকাউন্টের কথা মনে করতে পারলে সরাসরি সাইটে গিয়ে পাসওয়ার্ড বদলান এবং প্রোফাইল পরীক্ষা করুন। সাইটটি সক্রিয় থাকায় দ্রুত পদক্ষেপ নেওয়া আরও গুরুত্বপূর্ণ, যাতে পুরোনো ফোরাম অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য সেবাতেও ব্যবহৃত না থাকে।

গেমিং কমিউনিটিতে ব্যবহারকারীরা টুর্নামেন্ট, ফোরাম, মেসেজিং গ্রুপ ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইলে একই ডাকনাম ব্যবহার করতে পারেন। তাই অনুসন্ধান ও মিল খোঁজার ক্ষেত্রে শুধু ইমেইল নয়, ইউজারনেমকেও ব্যক্তিগত তথ্য হিসেবে বিবেচনা করা উচিত।

ফোরাম অ্যাকাউন্টে ব্যক্তিগত বার্তার ইতিহাস, স্বাক্ষরের ক্ষেত্র, প্রোফাইলের লিংক বা পুরোনো সামাজিক সংযোগ থাকতে পারে। এই রেকর্ডে এসব ক্ষেত্রকে সরাসরি তথ্যের শ্রেণি হিসেবে যোগ করা হয়নি, তবে আপনার পুরোনো প্রোফাইলের সেটিংস পর্যালোচনা করা নিরাপত্তার জন্য ভালো পদক্ষেপ।

ভক্তদের কমিউনিটিতে বিভিন্ন বয়সের ব্যবহারকারী থাকতে পারেন। যারা শৈশবে পুরোনো অ্যাকাউন্ট খুলেছিলেন, তারা আজ একই ইমেইল বা ইউজারনেম দিয়ে আরও গুরুত্বপূর্ণ সেবা ব্যবহার করতে পারেন; এতে পুরোনো তথ্য ফাঁসের বর্তমান প্রভাবও বাড়ে।

PKMN.NET-এর লোগোটি সক্রিয় সাইটের আনুষ্ঠানিক ছবি থেকে নিয়ে স্থানীয়ভাবে সংরক্ষণ করা হয়েছে। ফলে বাইরের উৎসে বিঘ্ন ঘটলেও তার ওপর নির্ভর না করে সেবার ভেতর থেকেই রেকর্ডের ছবি দেখানো হয় এবং ডোমেইন নাম প্রোটোকল ছাড়া রাখা হয়।

এই রেকর্ডে যাচাই করা হয়নি এমন তথ্যের ধরন ইচ্ছাকৃতভাবে বাদ রাখা হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর লক্ষ্য ভয় দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তা ব্যবস্থা পরিষ্কারভাবে ব্যাখ্যা করা।

PKMN.NET-এর তথ্য ফাঁস, pkmn.net-এর ডেটা ফাঁস, PKMN.NET-এর পাসওয়ার্ড ফাঁস এবং PKMN.NET-এর ব্যবহারকারীর তথ্যের মতো বিভিন্ন নামে সহজবোধ্য ও কার্যকর করণীয়সহ তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি তৈরি করা হয়েছে। লেখাটি যাচাই করা ক্ষেত্র ও বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করে।

এই রেকর্ড দেখলে শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করুন। যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলো বিশেষভাবে আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করাও দীর্ঘমেয়াদে ঝুঁকি কমায়।

পাসওয়ার্ডের পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ইউজারনেম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন বাড়তি অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে একটি ছোট সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই সেটি নিরাপদ হয় না; আক্রমণকারীদের সরঞ্জাম দ্রুত এসব ধাঁচ পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই ধাপে যাচাইকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অচেনা সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলের উচিত কর্মীদের প্রতিষ্ঠানের ডোমেইন নামের সঙ্গে মেলে এমন ইমেইল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটির অ্যাকাউন্টে ব্যবহৃত করপোরেট ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। প্রোফাইলের অপ্রয়োজনীয় তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতি অনুযায়ী নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যের ক্ষেত্রগুলোতে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য এক্সপোর্টের কার্যক্রমে বাড়তি নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে আপনার অ্যাকাউন্টগুলো নিরাপদ রাখার প্রয়োজনীয় কাজগুলো সম্পন্ন করা দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা দীর্ঘস্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে তথ্যের শ্রেণিগুলোর সম্ভাব্য ভূমিকা এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠার ঝুঁকির মাত্রা অতি গুরুতর হিসেবে নির্ধারণ করা হয়েছে। অতি গুরুতর মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; বরং ব্যবহারকারীর দ্রুত পদক্ষেপ নেওয়া প্রয়োজন, তা নির্দেশ করে।

সারসংক্ষেপে, PKMN.NET-এর এই রেকর্ডটি আগস্ট 2019-এর একটি একক তথ্য ফাঁসের এন্ট্রি, যা 52,497টি অ্যাকাউন্টকে প্রভাবিত করেছে এবং এতে ইমেইল ঠিকানা, ইউজারনেম ও পাসওয়ার্ড হ্যাশের ক্ষেত্র রয়েছে। আপনাকে প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই-ফ্যাক্টর প্রমাণীকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণের পরামর্শ দেওয়া হচ্ছে।

PKMN.NET-এর রেকর্ডে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচলিত অস্পষ্ট তালিকার আইটেম এই পৃষ্ঠায় যোগ করা হয়নি। আপনি যে রেকর্ডটি দেখছেন, তা যাচাই করা ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমিত।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণসমর্থিত নয় এমন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা, ইউজারনেম ও পাসওয়ার্ড হ্যাশ ছাড়া অন্য কোনো দাবিকে যাচাই করা তথ্যের ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

pkmn.net ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা ভুলে যাওয়া হতে পারে। ভুলে যাওয়া অ্যাকাউন্টের পাসওয়ার্ড বদলানো সম্ভব না হলে, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবা খুঁজে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ইউজারনেম বা ইমেইল ঠিকানা অন্য ফাঁস হওয়া তথ্যের সঙ্গে মিলিয়ে ব্যবহার করলে আক্রমণকারীদের পক্ষে কোনো ব্যক্তির আগ্রহ, দেশ, কর্মক্ষেত্রের খাত বা অতীতের সদস্যপদের ধরন অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁস ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কাজের ইমেইল ব্যবহার করার বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে করপোরেট পরিচয়ের দৃশ্যমানতা পরিমাপের জন্য সতর্কসংকেত দেয়।

এই রেকর্ডে নিজের ইমেইল দেখলে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোর ক্ষেত্রে অন্তত আলাদা পাসওয়ার্ড দিন, প্রোফাইলের তথ্য ন্যূনতম রাখুন এবং লগইনের বিজ্ঞপ্তি চালু করুন।