R2 (2017 সালের ফোরামের তথ্য ফাঁস)

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, পাসওয়ার্ড, ব্যবহারকারীর নাম ও সাইটে কার্যকলাপ। পাসওয়ার্ডগুলো সল্ট ছাড়া MD5 হ্যাশ হিসেবে সংরক্ষণ করা হয়েছিল বলে মূল্যায়ন করা হয়েছিল; এটি একটি দুর্বল সুরক্ষাপদ্ধতি। যাচাই না হওয়া পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যক্তিগত বার্তা, স্বাস্থ্যসংক্রান্ত রেকর্ড বা প্রোফাইলের অতিরিক্ত তথ্যের ঘরগুলো তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি; শুধু প্রমাণসমর্থিত ঘরগুলো রাখা হয়েছিল।

সাইটে কার্যকলাপ ও ব্যবহারকারীর নামের মাধ্যমে একজন খেলোয়াড়ের কমিউনিটিতে আচরণের সঙ্গে তাঁর ইমেইল ঠিকানা মিলিয়ে দেখা সম্ভব। শুধু ইমেইল ঠিকানাই স্প্যামের ঝুঁকি তৈরি করে; এর সঙ্গে ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ, পাসওয়ার্ড, সরকারি পরিচয়পত্র, সহায়তা-সংক্রান্ত রেকর্ড, যানবাহনের তথ্য বা কোনো বাস্তব স্থানের ঠিকানা যুক্ত হলে আক্রমণকারীর পক্ষে ব্যবহারকারীকে লক্ষ্য করে বার্তা তৈরি করা সহজ হয়। এই সম্মিলিত প্রভাবের ভিত্তিতে ঝুঁকি মূল্যায়ন করা হয়েছিল।

এর আওতা 2017 সালের শুরুর দিকে ঘটে যাওয়া R2 Games ফোরামের ঘটনাটির মধ্যেই সীমিত। নিশ্চিত হওয়া দিকগুলো রাখা হয়েছিল, আর যেসব দিক নিশ্চিত করা যায়নি, সেগুলো বাদ দেওয়া হয়েছিল। একই ধরনের নামের তথ্যসমষ্টি, একই কোম্পানির ভিন্ন সময়ের ঘটনা বা ভুল শিল্পখাতের উল্লেখের সঙ্গে এই ঘটনাকে এক করা হয়নি।

একই ডোমেইন নামের অধীনে থাকা 2015 সালের বৃহত্তর R2Games রেকর্ডটি এই রেকর্ডের সঙ্গে এক করা হয়নি। ডোমেইন নাম, কোম্পানির নাম ও শিল্পখাতের তথ্য সঠিক প্রেক্ষাপট বজায় রেখে যতটা সম্ভব সীমিত পরিসরে রাখা হয়েছিল। অনিশ্চয়তা থাকা ক্ষেত্রগুলোতে যাচাইকৃত অবস্থার ফ্ল্যাগ বা ওয়েবসাইটের ঘরগুলো সেই অনুযায়ী নির্ধারণ করা হয়েছিল; ফলে ব্র্যান্ডের দায় সম্পর্কে অনিশ্চিত তথ্য ব্যবহারকারীকে দেখানো হয়নি।

2017 সালের এই ঘটনায় ঝুঁকিতে থাকা ব্যবহারকারীদের মধ্যে R2 Games ফোরামে অ্যাকাউন্ট থাকা খেলোয়াড় এবং বিভিন্ন গেমে একই ব্যবহারকারীর নাম ব্যবহার করা ব্যক্তিরা থাকতে পারেন। যাঁদের তথ্যের সঙ্গে এই রেকর্ডের মিল পাওয়া যায়, তাঁদের সংশ্লিষ্ট সেবার বাইরেও যেসব অ্যাকাউন্টে একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা একই ধরনের পাসওয়ার্ড ব্যবহার করেছেন, সেগুলোর ঝুঁকি মূল্যায়ন করা উচিত।

পুরোনো ফোরামের পাসওয়ার্ড কোনো গেম স্টোর বা ইমেইল অ্যাকাউন্টে আবার ব্যবহার করা হলে ঝুঁকি বর্তমান অ্যাকাউন্টগুলোতেও পৌঁছায়। করপোরেট ইমেইল, গেম ফোরাম, মোটরসাইকেলের গ্রাহক নিবন্ধন, শপিং মলের অ্যাপ্লিকেশন, সহায়তার অনুরোধ, ভাড়া-সংক্রান্ত অ্যাকাউন্ট, বিপণনের তালিকা বা ম্যালওয়্যার-সংক্রান্ত প্রেক্ষাপট থাকলে সামাজিক প্রকৌশলের ঝুঁকি বাড়তে পারে। কিছু তথ্য আলাদাভাবে সঠিক মনে হলেই তা বিশ্বাসযোগ্যতার প্রমাণ নয়।

আক্রান্ত ব্যবহারকারীদের R2 Games ফোরামের পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। যেসব রেকর্ডে পাসওয়ার্ডের ঘর রয়েছে, সেগুলোর ক্ষেত্রে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত; আর যেসব রেকর্ডে পাসওয়ার্ডের ঘর নেই, সেগুলোর ক্ষেত্রে ইমেইল, ফোন, ভুয়া বিজ্ঞপ্তি, গোপনীয়তা ও পরিচয়-সংক্রান্ত তথ্য মেলানোর ঝুঁকির দিকে নজর দেওয়া উচিত।

বার্তায় থাকা লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা উচিত, অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত রেকর্ড ব্যবহার করা উচিত। চালান, অ্যাকাউন্টের সতর্কবার্তা, গেমের পুরস্কার, সহায়তা, পণ্য পাঠানো, গ্রাহকসেবা, রক্ষণাবেক্ষণের জন্য নির্ধারিত সময়, গণবিজ্ঞপ্তি বা সাবস্ক্রিপশন নবায়নের বার্তা স্বাধীন কোনো মাধ্যমে যাচাই না করে গ্রহণ করা উচিত নয়।

গেমিং ফোরামের জন্য স্বতন্ত্র পাসওয়ার্ড ও আলাদা ব্যবহারকারীর নাম বেছে নেওয়া এবং দুই ধাপে যাচাইকরণের অভ্যাস গড়ে তোলা উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট, প্রোফাইলের অপ্রয়োজনীয় তথ্য, পুনরাবৃত্ত ব্যবহারকারীর নাম এবং পুরোনো ফোন নম্বর ও ঠিকানার তথ্য পরিষ্কার করা উচিত। প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড এবং যেখানে সম্ভব দুই ধাপে যাচাইকরণ ব্যবহার করাই মৌলিক নিয়ম হওয়া উচিত।

সেবাদাতাদের দিক থেকে তথ্যের পরিমাণ ন্যূনতম রাখা, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, প্রবেশের লগ পর্যবেক্ষণ, অপ্রয়োজনীয় তথ্যের ঘর মুছে ফেলা এবং ব্যবহারকারীদের জানানোর প্রক্রিয়া প্রস্তুত রাখা প্রয়োজন। একই ডোমেইনে ঘটে যাওয়া ভিন্ন ঘটনাগুলোর আওতা আলাদাভাবে ব্যবহারকারীকে বোঝানো উচিত। আওতা সঠিকভাবে ব্যাখ্যা করাও নিরাপত্তার কাজের অংশ; অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

আপনার ইমেইল ঠিকানা দিয়ে প্রথমে এই রেকর্ডে মিল আছে কি না যাচাই করা উচিত। মিল পাওয়া গেলে ধরে নেওয়া উচিত যে সাইটে কার্যকলাপ, ব্যবহারকারীর নাম ও দুর্বল পাসওয়ার্ড হ্যাশ ঝুঁকিতে থাকতে পারে। মিল না পেলেও ভিন্ন ইমেইল ব্যবহারের বা পুরোনো পাসওয়ার্ড পুনর্ব্যবহারের সম্ভাবনা পুরোপুরি নাকচ হয় না; গুরুত্বপূর্ণ অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত।

এই রেকর্ডের যাচাইকৃত অবস্থা বহাল ছিল; এটিকে 2015 সালের R2Games রেকর্ডের অনুলিপি করা হয়নি। এই বিন্যাসে তথ্যের ঘরগুলো ইংরেজি ভাষার মান্য শ্রেণিনাম হিসেবে রাখা হয়েছিল, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছিল, যাচাই না হওয়া ঘর যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতার ফ্ল্যাগ ব্যবহার করা হয়েছিল।