QIP-এর 2011 সালের তথ্য ফাঁস

ইমেইল ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম একসঙ্গে থাকলে অসৎ উদ্দেশ্যে কাজ করা ব্যক্তিরা অ্যাকাউন্টের মধ্যে মিল খোঁজা, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং এবং পুনর্ব্যবহৃত লগইন তথ্য দিয়ে প্রবেশের চেষ্টার জন্য সহায়ক তথ্য পায়। সেই সময়ের একটি নিরাপত্তা প্রতিবেদনে বলা হয়েছিল, আর্কাইভের পাসওয়ার্ডগুলো প্লেইনটেক্সটে দেখা গেছে। প্লেইনটেক্সট পাসওয়ার্ড একমুখী প্রক্রিয়ায় সুরক্ষিত কোনো মান নয়; একই পাসওয়ার্ড অন্য কোনো সেবায় অপরিবর্তিতভাবে ব্যবহার করা হয়ে থাকলে, সেটি দিয়ে সরাসরি সেই অ্যাকাউন্টে প্রবেশের চেষ্টা করা যায়। যাচাইকৃত তথ্যে ওয়েবসাইটের কার্যকলাপের শ্রেণিটি রয়েছে, তবে এর নির্দিষ্ট অর্থ সংজ্ঞায়িত করা হয়নি। এর ভিত্তিতে ওয়েবসাইটে ভিজিট, বার্তা, যোগাযোগের তালিকা, প্রোফাইলের পছন্দ-সংক্রান্ত সেটিংস, পেমেন্ট, IP ঠিকানা বা অন্য ব্যক্তিগত তথ্য সম্পর্কে কোনো দাবি করা উচিত নয়।

তথ্য ফাঁসের সময় হিসেবে 2011 সালের জুন মাস উল্লেখ করা হয়েছে। 2016 সালে প্রকাশিত একটি প্রতিবেদনে আলাদা একটি আর্কাইভের কথা বলা হয়, যাতে 3,33,83,392টি অপরিশোধিত ডেটা সারি ছিল এবং যা প্রকাশ্যে এসেছিল। তবে যাচাইকৃত ঘটনায় স্বতন্ত্র অ্যাকাউন্টের সংখ্যা 2,61,83,992টিই রয়েছে। এই সংখ্যাগুলো ভিন্ন বিষয় পরিমাপ করে, তাই এগুলো যোগ করা বা একটির বদলে অন্যটি ব্যবহার করা উচিত নয়। এই পার্থক্যের কারণ একই সারির পুনরাবৃত্তি, তথ্যের একাধিক ভিউ বা ভিন্ন গণনাপদ্ধতি হতে পারে, তবে উপলব্ধ প্রমাণ থেকে সঠিক কারণটি নিশ্চিত করা যায় না। নিশ্চিত তথ্যের মধ্যে রয়েছে QIP সেবার সঙ্গে ঘটনার সম্পর্ক, সময়কাল, অ্যাকাউন্টের সংখ্যা এবং ফাঁস হওয়া তথ্যের চারটি শ্রেণি। অনুপ্রবেশের পথ, ক্ষতিগ্রস্ত সিস্টেম, অবহিত করার সময় এবং সংশোধনমূলক পদক্ষেপ সম্পর্কে নিশ্চিত তথ্য প্রতিষ্ঠিত হয়নি।

2011 সালের জুন মাস নাগাদ যাঁদের QIP অ্যাকাউন্ট ছিল, তাঁরাই প্রধান ক্ষতিগ্রস্ত গোষ্ঠী। যাঁরা একই পাসওয়ার্ড ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, গেমিং সেবা বা কাজের কোনো টুলে ব্যবহার করেছেন, তাঁদের ঝুঁকি বেশি। প্রকাশ্যে দেখা যায় এমন ব্যবহারকারীর নামের সাহায্যে সম্পর্কহীন বিভিন্ন সাইটে একই ছদ্মনাম খুঁজে বের করা বা একই ব্যক্তির হতে পারে এমন অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র স্থাপন করাও সহজ হতে পারে। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে থাকলে প্রতারণামূলক সাইন-ইন বিজ্ঞপ্তি ও অ্যাকাউন্ট পুনরুদ্ধারের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। আর্কাইভটি পুরোনো হওয়া থেকে প্রমাণিত হয় না যে বর্তমানে কোনো অ্যাকাউন্টে প্রবেশ করা হয়েছে। তবু দীর্ঘদিন ধরে একই পাসওয়ার্ড পুনর্ব্যবহার করা হলে পুরোনো লগইন তথ্যকে বর্তমান অ্যাকাউন্টের নিরাপত্তার জন্য অপ্রাসঙ্গিক ধরে নেওয়া উচিত নয়।

QIP-এর পাসওয়ার্ড অন্য কোনো সেবায় পুনরায় ব্যবহার করে থাকলে, প্রথমে সেখানে সেটি বদলে দীর্ঘ ও অনন্য একটি পাসওয়ার্ড দিন। ইমেইল অ্যাকাউন্টে বিশেষ নজর দেওয়া প্রয়োজন, কারণ পাসওয়ার্ড রিসেটের বার্তা সাধারণত সেখানেই আসে। একই লগইন তথ্য ব্যবহার করা অ্যাকাউন্টগুলোর সক্রিয় সেশন শেষ করুন, পুনরুদ্ধারের ইমেইল ঠিকানা ও ফোন নম্বর পর্যালোচনা করুন এবং যেসব সেবায় সুবিধাটি আছে, সেখানে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন। অপ্রত্যাশিতভাবে তথ্য ফাঁসের কোনো বিজ্ঞপ্তি বা সাইন-ইন লিংক এলে, বার্তার লিংকে না গিয়ে সেবাটির পরিচিত ঠিকানা দিয়ে সেটি খুলুন। পুরোনো QIP অ্যাকাউন্টে আর প্রবেশ করা না গেলেও, সংশ্লিষ্ট ইমেইল ঠিকানা এবং অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করা হয়েছে কি না, তা পর্যালোচনা করা জরুরি।

প্রতিটি অনলাইন সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করলে একটি পুরোনো আর্কাইভের তথ্য দিয়ে অন্য অ্যাকাউন্টে প্রবেশের চেষ্টা হওয়ার সম্ভাবনা অনেক কমে যায়। পাসওয়ার্ড ম্যানেজার দীর্ঘ ও এলোমেলো পাসওয়ার্ড ব্যবহার করা সহজ করে, আর যেখানে সুবিধা আছে, সেখানে পাসকি বা বহু-উপাদানভিত্তিক প্রমাণীকরণ বাড়তি সুরক্ষা দেয়। প্রতিটি সেবায় হুবহু একই পুরোনো ব্যবহারকারীর নাম ব্যবহার না করলে ফাঁস হওয়া ছদ্মনামের ভিত্তিতে বিভিন্ন প্রোফাইলের মধ্যে মিল খোঁজার সুযোগ সীমিত হতে পারে। নিয়মিত সক্রিয় সেশন, পুনরুদ্ধারের বিকল্প এবং সংযুক্ত অ্যাপের অনুমতি পর্যালোচনা করলেও ভুলে যাওয়া অ্যাকাউন্টের কারণে ক্ষতির আশঙ্কা কমে। ব্যবহার না করা পুরোনো অ্যাকাউন্টের ক্ষেত্রে, সত্যিই প্রয়োজন এমন তথ্য সংরক্ষণ করে অ্যাকাউন্টটি বন্ধ করার কথা বিবেচনা করুন; এতে ভবিষ্যতে তথ্য ফাঁসের ঝুঁকি কমতে পারে।

এই পৃষ্ঠার ইমেইল ঠিকানা যাচাইয়ের সুবিধা ব্যবহার করে আপনার নিয়ন্ত্রণে থাকা কোনো ঠিকানা QIP-এর ঘটনায় অন্তর্ভুক্ত আছে কি না, তা নির্ধারণে সহায়তা পেতে পারেন। শুধু আপনার নিজের ইমেইল ঠিকানা দিন; কখনো পাসওয়ার্ড, পরিচয়পত্রের নম্বর বা অন্য কোনো সংবেদনশীল তথ্য দেবেন না। মিল পাওয়ার অর্থ হলো, উল্লিখিত তথ্যের ধরনগুলো সেই পুরোনো ঘটনার সঙ্গে সংশ্লিষ্ট ছিল। শুধু এই মিল থেকে বর্তমানে কোনো অ্যাকাউন্টে প্রবেশ করা হয়েছে বলে প্রমাণিত হয় না, কিংবা ক্ষতিগ্রস্ত প্রত্যেক ব্যক্তির ক্ষেত্রে প্রতিটি তথ্যক্ষেত্র উপস্থিত ছিল বলেও বোঝা যায় না। মিল পাওয়া গেলে একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার বন্ধ করুন, ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করুন এবং অপ্রত্যাশিত বার্তার ক্ষেত্রে আরও সতর্ক থাকুন। মিল না পাওয়া মানে অন্য উৎস থেকে আসা ঝুঁকি নেই, এমন নয়। তাই অ্যাকাউন্ট সুরক্ষার ভালো অভ্যাস বজায় রাখা গুরুত্বপূর্ণ।