PPCGeeks তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটিকে সরাসরি পাঠযোগ্য পাসওয়ার্ড হিসেবে নয়, বরং সল্টযুক্ত MD5 হ্যাশ আকারে সংরক্ষিত পাসওয়ার্ডের তথ্য হিসেবে বিবেচনা করতে হবে। সল্ট ব্যবহার করলে হ্যাশ ভাঙা আরও কঠিন হয়; তবে বর্তমান সময়ে পাসওয়ার্ড সংরক্ষণের জন্য MD5-কে দুর্বল বলে বিবেচনা করা হয়। ছোট, সহজে অনুমানযোগ্য বা একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড আক্রমণকারীরা ভেঙে উদ্ধার করতে পারে। একই পাসওয়ার্ড যদি ইমেইল, ফোরাম, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা বা কাজের অ্যাকাউন্টেও কার্যকর থাকে, তাহলে পুরোনো একটি প্রযুক্তি ফোরামের তথ্যফাঁসের প্রভাব অন্য অ্যাকাউন্টেও ছড়াতে পারে।

জন্মতারিখ, IP ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে বিবেচনা করলে বিভিন্ন প্রোফাইলের মধ্যে মিল খুঁজে বের করা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং চালানোর ঝুঁকি বাড়ে। PPCGeeks-এর মতো ফোরামে বিভিন্ন প্রযুক্তি কমিউনিটিতে একই ডাকনাম ব্যবহার করা হয়ে থাকতে পারে। এতে আক্রমণকারীদের পক্ষে পুরোনো ফোরাম অ্যাকাউন্টের সঙ্গে অন্য অনলাইন প্রোফাইলের যোগসূত্র খুঁজে পাওয়া সহজ হয়। এই ঘটনায় যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, পেমেন্ট কার্ড, ব্যক্তিগত বার্তা, ডিভাইসের সিরিয়াল নম্বর, অপারেটরের অ্যাকাউন্ট কিংবা ফোরামের বাইরের কারিগরি সহায়তা-সংক্রান্ত তথ্য নেই। অন্য ক্ষেত্রে ঝুঁকি ছড়ানোর মূল্যায়ন কেবল প্রমাণিত তথ্যের ভিত্তিতেই করা উচিত।

PPCGeeks-এর ঘটনায় LeakData-তে প্রভাবিত অ্যাকাউন্টের পরিসর 4,92,518টি হিসেবেই রাখতে হবে। তথ্যফাঁসের তারিখ 19 আগস্ট 2016 এবং রেকর্ডে যুক্ত করার যাচাইকৃত তারিখ 18 জুলাই 2022 হিসেবে নথিভুক্ত রাখতে হবে। অপরিশোধিত রেকর্ডের কম সংখ্যা বা আগে আমদানি করা তথ্যের পুরোনো সংখ্যাকে প্রভাবিত অ্যাকাউন্টের প্রধান সংখ্যা হিসেবে ব্যবহারকারীর কাছে তুলে ধরা উচিত নয়। পরবর্তী লেনদেনের সময় ঘটনাটি ঘটে যাওয়ার বা যাচাই হওয়ার তারিখ নয়; পুরোনো ফোরামের এই ঘটনাকে তার নিজস্ব সময়রেখা অনুযায়ী মূল্যায়ন করতে হবে।

এই ঘটনার পরিসর PPCGeeks ফোরামের অ্যাকাউন্টের তথ্যেই সীমাবদ্ধ। vBulletin ফোরামে তথ্যফাঁস হওয়ার অর্থ এই নয় যে ব্যবহারকারীর অপারেটরের অ্যাকাউন্ট, ফোন ডিভাইস বা পেমেন্ট-সংক্রান্ত তথ্যও আক্রান্ত হয়েছে। যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ। যাচাই না করে পেমেন্ট-সংক্রান্ত তথ্য, সরকারি পরিচয়পত্র, বাসা বা অন্য স্থানের ঠিকানা, ফোন নম্বর, ব্যক্তিগত বার্তা ও ডিভাইসের তথ্য এই রেকর্ডে যোগ করা উচিত নয়। এই সীমা বজায় রাখলে ব্যবহারকারী প্রমাণভিত্তিক নিরাপত্তা মূল্যায়ন পান এবং অপ্রয়োজনীয় আতঙ্ক তৈরি হয় না।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা PPCGeeks ফোরামে ব্যবহৃত পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। প্রযুক্তি ফোরামের ব্যবহারকারীরা প্রায়ই বিভিন্ন ফোরাম, ফাইল শেয়ারিং সাইট, ডেভেলপার কমিউনিটি বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইলে একই ইমেইল ঠিকানা ও ব্যবহারকারীর নাম ব্যবহার করেন। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে থাকলে আক্রমণকারীরা লক্ষ্যবস্তু অ্যাকাউন্ট খুঁজে পাওয়ার সুযোগ পায়। পাসওয়ার্ড হ্যাশ ভেঙে পাসওয়ার্ড উদ্ধার করা গেলে এই তথ্য দিয়ে বিভিন্ন সেবায় প্রবেশের চেষ্টা করা হতে পারে।

জন্মতারিখ ও IP ঠিকানা আক্রমণকারীদের বাড়তি প্রাসঙ্গিক তথ্য দেয়, যা ব্যবহার করে তারা বার্তাকে আরও ব্যক্তিগত বলে মনে করাতে পারে। পুরোনো ফোরাম অ্যাকাউন্ট আর ব্যবহার না করলেও একই ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহারের অভ্যাস বহাল থাকলে ঝুঁকি থেকে যায়। আপনার তথ্য মিলে গেলে বিশেষ করে আপনার ইমেইল অ্যাকাউন্ট, পুরোনো প্রযুক্তি ফোরাম, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল ও কেনাকাটার অ্যাকাউন্টগুলো পরীক্ষা করা উচিত। ফোরাম অ্যাকাউন্ট পুরোনো হলেই তার তথ্য আক্রমণকারীদের কাছে মূল্যহীন হয়ে যায় না।

PPCGeeks-এর তথ্যে আপনার ইমেইল ঠিকানা থাকলে প্রথমেই নিশ্চিত করুন যে PPCGeeks অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে আর কার্যকর নেই। ইমেইল, ফোরাম, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা বা কাজের অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করে থাকলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও অনুমান করা কঠিন এমন পাসওয়ার্ড সেট করুন। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড আবার ব্যবহারের ঝুঁকি কমে। পুরোনো পাসওয়ার্ডের সামান্য অংশ বদলানো যথেষ্ট নয়; সেই পাসওয়ার্ড তৈরির ধরনটি পুরোপুরি বাদ দিতে হবে।

ইমেইল অ্যাকাউন্ট ও নিয়মিত ব্যবহৃত সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোতে মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করুন। অপ্রত্যাশিত কোনো পাসওয়ার্ড রিসেটের বার্তা, প্রযুক্তি ফোরামের আমন্ত্রণ, ROM বা অ্যাপ ডাউনলোডের লিংক, ডিভাইসের সহায়তা-সংক্রান্ত বিজ্ঞপ্তি কিংবা অ্যাকাউন্টের নিরাপত্তা সতর্কবার্তা পেলে লিংক ব্যবহার না করে সংশ্লিষ্ট সেবার আনুষ্ঠানিক ঠিকানায় সরাসরি যান। সন্দেহজনক কোনো সেশন দেখতে পেলে সেশনগুলো বন্ধ করুন, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানাগুলো হালনাগাদ করুন এবং একই ব্যবহারকারীর নাম দিয়ে খোলা পুরোনো ফোরাম প্রোফাইলগুলো পর্যালোচনা করুন।

PPCGeeks-এর তথ্যফাঁস দেখায় যে পুরোনো ফোরাম অ্যাকাউন্ট বহু বছর পরও অ্যাকাউন্টের নিরাপত্তার জন্য ঝুঁকি তৈরি করতে পারে। ফোরাম, ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা ও কাজের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা উচিত নয়। অব্যবহৃত ফোরাম অ্যাকাউন্ট বন্ধ করে দিন অথবা আলাদা একটি পাসওয়ার্ড দিয়ে অন্য অ্যাকাউন্ট থেকে বিচ্ছিন্ন রাখুন। বিভিন্ন প্রযুক্তি কমিউনিটিতে একই ব্যবহারকারীর নাম ব্যবহার করার সিদ্ধান্ত সচেতনভাবে নেওয়া উচিত, কারণ এতে প্রোফাইলের মধ্যে মিল খুঁজে বের করা সহজ হয়।

ফোরাম প্রশাসকদের জন্য মূল শিক্ষা হলো, vBulletin-এর মতো ফোরাম সফটওয়্যার নিয়মিত হালনাগাদ করতে হবে, আধুনিক ও বেশি গণনাশক্তি প্রয়োজন এমন অ্যালগরিদম দিয়ে পাসওয়ার্ড সংরক্ষণের পদ্ধতি আরও শক্তিশালী করতে হবে এবং ব্যাকআপ তথ্যে প্রবেশাধিকার কঠোরভাবে নিয়ন্ত্রণ করতে হবে। জন্মতারিখ ও IP ঠিকানার মতো অতিরিক্ত তথ্য প্রয়োজনের চেয়ে বেশি সময় ধরে সংরক্ষণ করা উচিত নয়। ঘটনার প্রতিবেদন দেওয়ার সময় স্পষ্ট করে জানাতে হবে কোন তথ্যের ক্ষেত্রগুলো প্রভাবিত হয়েছে, কোনগুলো যাচাই করা হয়নি এবং ফোরামের তথ্য যে অপারেটর বা ডিভাইসের অ্যাকাউন্টের তথ্য থেকে আলাদা।

PPCGeeks-এর তথ্যফাঁসের রেকর্ড যাচাইয়ের ফলাফল দেখায়, দেওয়া ইমেইল ঠিকানাটি এই যাচাইকৃত তথ্যসমষ্টিতে আছে কি না। তথ্য মিলে গেলে জন্মতারিখ, ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম এবং সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশ ঝুঁকিতে রয়েছে বলে বিবেচনা করতে হবে। তথ্য না মিললে তার অর্থ শুধু এই নির্দিষ্ট তথ্যসমষ্টিতে কোনো মিল পাওয়া যায়নি; এতে প্রমাণ হয় না যে সংশ্লিষ্ট ব্যক্তির তথ্য অন্য ফোরামে বা অন্য কোনো তথ্যফাঁসের ঘটনায় নেই। ঘটনার সময় ও পরবর্তী প্রক্রিয়াকরণের সময়ের মধ্যে বিভ্রান্তি এড়াতে তারিখগুলো সঠিক রাখা জরুরি।

সঠিক করণীয় হলো পুরোনো পাসওয়ার্ড পুরোপুরি বাদ দেওয়া, একাধিক অ্যাকাউন্টে ব্যবহৃত সব পাসওয়ার্ড বদলানো, ইমেইল অ্যাকাউন্টে মাল্টি-ফ্যাক্টর সুরক্ষা চালু করা এবং প্রযুক্তি ফোরাম-সংক্রান্ত ভুয়া লিংক সম্পর্কে সতর্ক থাকা। একই ইমেইল ঠিকানা ও ব্যবহারকারীর নাম দিয়ে খোলা পুরোনো ফোরাম, ডেভেলপার কমিউনিটি, সামাজিক যোগাযোগমাধ্যম ও কেনাকাটার অ্যাকাউন্টগুলোও পরীক্ষা করুন। এসব পদক্ষেপ 2016 সালের তথ্যফাঁসের ফলে আজ অ্যাকাউন্টের নিয়ন্ত্রণ বেহাত হওয়া বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং চালানোর ঝুঁকি কমায়।