Pokémon Creed তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, লিঙ্গসংক্রান্ত তথ্য, IP ঠিকানা, পাসওয়ার্ড, ইউজারনেম ও সাইটে কর্মকাণ্ড। পাসওয়ার্ডগুলো প্লেইন টেক্সটে রয়েছে বলে মূল্যায়ন করা হয়েছিল; একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হলে তা উচ্চ ঝুঁকি তৈরি করে। যাচাই করা হয়নি এমন পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যক্তিগত বার্তা, স্বাস্থ্যসংক্রান্ত নথি বা প্রোফাইলের অতিরিক্ত ঘরগুলো তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি; শুধু প্রমাণসমর্থিত ঘরগুলো রাখা হয়েছিল।

ইউজারনেম, সাইটে কর্মকাণ্ড ও IP-সংক্রান্ত তথ্যের সাহায্যে গেমের ID অন্য প্ল্যাটফর্মের পরিচয়ের সঙ্গে মিলিয়ে দেখা সম্ভব হতে পারে। শুধু একটি ইমেইল ঠিকানা থাকলেও অনাকাঙ্ক্ষিত বার্তা পাওয়ার ঝুঁকি থাকে; এর সঙ্গে ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ, পাসওয়ার্ড, ভ্রমণ পরিকল্পনা, কার্ডের আংশিক তথ্য বা ডিভাইসের তথ্য যুক্ত হলে আক্রমণকারীর পক্ষে ব্যবহারকারীকে লক্ষ্য করে ব্যক্তিগত তথ্যভিত্তিক বার্তা তৈরি করা সহজ হয়। এই সম্মিলিত প্রভাবের ভিত্তিতে ঝুঁকি মূল্যায়ন করা হয়েছিল।

2014 সালের আগস্টের 1,16,465টি অ্যাকাউন্টের ভিত্তিতে ঘটনার পরিসর যাচাই করা হয়েছিল। নিশ্চিত হওয়া অংশগুলো রাখা হয়েছিল, আর অনিশ্চিত অংশগুলো বাদ দেওয়া হয়েছিল। ঘটনাটিকে কাছাকাছি নামের ডেটাসেট, একই কোম্পানির ভিন্ন সময়ের ঘটনা বা ভুল খাতের উল্লেখের সঙ্গে মিলিয়ে ফেলা হয়নি।

এই নথিভুক্তি শুধু pokemoncreed.net ডোমেইনের মধ্যে সীমাবদ্ধ এবং এটিকে Pokémon ব্র্যান্ডের আনুষ্ঠানিক সিস্টেমের নিরাপত্তা লঙ্ঘন হিসেবে উপস্থাপন করা হয়নি। ডোমেইনের নাম, কোম্পানির নাম ও খাতের তথ্যকে যথাসম্ভব সুনির্দিষ্ট ও সীমিত সঠিক প্রেক্ষাপটে রাখা হয়েছিল। যেখানে অনিশ্চয়তা ছিল, সেখানে যাচাইকৃত হিসেবে চিহ্নিত করার সূচক বা ওয়েবসাইটের ডোমেইন সেই অনুযায়ী নির্ধারণ করা হয়েছিল; ফলে নিশ্চিত নয় এমন কোনো ব্র্যান্ডের দায় ব্যবহারকারীর কাছে তুলে ধরা হয়নি।

ঝুঁকিতে থাকা ব্যবহারকারীদের মধ্যে Pokémon Creed-এর খেলোয়াড়, অনুরাগীদের RPG কমিউনিটির সদস্য এবং অন্য গেমেও একই ইউজারনেম ব্যবহার করেন এমন ব্যক্তিরা থাকতে পারেন। যেসব ব্যবহারকারীর তথ্যের সঙ্গে এই রেকর্ডের তথ্য মিলে যায়, তাঁদের সংশ্লিষ্ট সেবার বাইরেও একই ইমেইল, ফোন নম্বর, ইউজারনেম বা পাসওয়ার্ডের ধরন ব্যবহার করা অন্য অ্যাকাউন্টগুলোর ঝুঁকি মূল্যায়ন করা উচিত।

অল্পবয়সী ব্যবহারকারীরা সামাজিক যোগাযোগমাধ্যম বা ইমেইল অ্যাকাউন্টে পুরোনো গেমের পাসওয়ার্ড আবার ব্যবহার করে থাকতে পারেন, এই সম্ভাবনা বিবেচনায় রাখা উচিত। করপোরেট ইমেইল, শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্ট, হোটেল বুকিং, টেলিকম সাবস্ক্রিপশন, গেমিং কমিউনিটি, ওপেন সোর্স প্রকল্পে অনুদান বা ট্র্যাকিং সফটওয়্যারের সঙ্গে সম্পর্কিত প্রেক্ষাপট থাকলে সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বাড়তে পারে। কোনো বার্তায় সঠিক বলে মনে হওয়া তথ্য থাকলেই সেটি বিশ্বাসযোগ্য হয় না।

ক্ষতিগ্রস্ত ব্যবহারকারীদের Pokémon Creed-এর পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা সব গেম, ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। যেসব রেকর্ডে পাসওয়ার্ডের ঘর রয়েছে, সেসব ক্ষেত্রে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা উচিত; আর যেসব রেকর্ডে পাসওয়ার্ডের ঘর নেই, সেসব ক্ষেত্রে ইমেইল, ফোন, ভুয়া বিজ্ঞপ্তি, গোপনীয়তা ও পরিচয় মিলিয়ে শনাক্ত করার ঝুঁকির ওপর গুরুত্ব দেওয়া উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা বা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত তথ্য ব্যবহার করা উচিত। পণ্য পাঠানো, অ্যাকাউন্ট সতর্কতা, গেমের পুরস্কার, সহায়তা, অনুদানদাতাদের বিজ্ঞপ্তি, ভ্রমণের বুকিং, নিরাপত্তা বিজ্ঞপ্তি বা সাবস্ক্রিপশন নবায়নসংক্রান্ত বার্তা আলাদা ও স্বাধীন কোনো মাধ্যমে যাচাই না করে গ্রহণ করা উচিত নয়।

ব্র্যান্ডের আনুষ্ঠানিক অ্যাকাউন্টের পাসওয়ার্ড অনুরাগীদের তৈরি গেমে ব্যবহার করা উচিত নয়; প্রতিটি গেমের জন্য আলাদা পাসওয়ার্ড ও ইউজারনেম বেছে নেওয়া উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট, প্রোফাইলের অপ্রয়োজনীয় তথ্য, একাধিক জায়গায় ব্যবহৃত একই ইউজারনেম এবং পুরোনো ফোন নম্বর ও ঠিকানা পর্যালোচনা করে অপ্রয়োজনীয় তথ্য সরানো বা হালনাগাদ করা উচিত। প্রতিটি সেবায় অনন্য পাসওয়ার্ড এবং যেখানে সম্ভব টু-ফ্যাক্টর অথেনটিকেশন ব্যবহার করাই মূল নিয়ম হওয়া উচিত।

সেবাদাতাদের ক্ষেত্রে তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, প্রবেশের লগ পর্যবেক্ষণ, অপ্রয়োজনীয় ঘর মুছে ফেলা এবং ব্যবহারকারীদের জানানোর প্রক্রিয়া প্রস্তুত রাখা প্রয়োজন। অনুরাগীদের গেম কমিউনিটির নিরাপত্তা বিজ্ঞপ্তি এমনভাবে দেওয়া উচিত, যাতে আনুষ্ঠানিক ব্র্যান্ডের সঙ্গে যুক্ত বলে মনে হওয়ার কারণে ব্যবহারকারীরা ভুলভাবে আস্থা না রাখেন। ঘটনার পরিসর সঠিকভাবে ব্যাখ্যা করাও নিরাপত্তার কাজের অংশ; অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

প্রথমে আপনার ইমেইল ঠিকানা দিয়ে এই রেকর্ডে তথ্য মেলে কি না যাচাই করুন। মিল পাওয়া গেলে ধরে নেওয়া উচিত যে প্লেইন টেক্সটে থাকা পাসওয়ার্ড, সাইটে কর্মকাণ্ড, ইউজারনেম ও IP-সংক্রান্ত তথ্য ঝুঁকিতে থাকতে পারে। মিল না পাওয়া মানেই অন্য ইমেইল ব্যবহার করা বা পুরোনো পাসওয়ার্ড আবার ব্যবহারের সম্ভাবনা পুরোপুরি বাদ যায় না; গুরুত্বপূর্ণ অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত।

এই রেকর্ড যাচাই করে সংবেদনশীল হিসেবে হালনাগাদ করা হয়েছে; একে ব্র্যান্ডের আনুষ্ঠানিক সিস্টেমের সঙ্গে গুলিয়ে ফেলা হয়নি। এই বিন্যাসে তথ্যের ঘরগুলো ইংরেজি ক্যানোনিক্যাল শ্রেণি হিসেবে রাখা হয়েছিল, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছিল, যাচাই করা হয়নি এমন ঘর যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই শুধু সংবেদনশীলতার সূচক ব্যবহার করা হয়েছিল।