R2Games তথ্য ফাঁস

এই ঘটনার নথিতে ইমেইল ঠিকানা, ব্যবহারকারীর নাম, IP ঠিকানা ও পাসওয়ার্ড হ্যাশ রয়েছে। ইমেইল ঠিকানার সঙ্গে ব্যবহারকারীর নাম মিলিয়ে আক্রমণকারী প্রকৃত R2Games অ্যাকাউন্ট শনাক্ত করতে এবং বিশ্বাসযোগ্য মনে হয় এমন পাসওয়ার্ড রিসেট, গেমের পুরস্কার বা সহায়তাসংক্রান্ত বার্তা তৈরি করতে পারে। IP ঠিকানা দিয়ে কারও বাসা বা ব্যক্তিগত অবস্থান সুনির্দিষ্টভাবে প্রমাণ করা যায় না। তবে এটি আনুমানিক অঞ্চল ও ইন্টারনেট সেবাদাতা সম্পর্কে ধারণা দিতে পারে, যা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে। পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য অবস্থায় তালিকাভুক্ত ছিল না। তবু জানা গিয়েছিল যে সল্টযুক্ত হ্যাশিং পদ্ধতির বাস্তবায়ন এতটাই দুর্বল ছিল যে অনেক পাসওয়ার্ড দ্রুত ক্র্যাক করা সম্ভব ছিল। ঝুঁকি শুধু পুরোনো R2Games অ্যাকাউন্টে সীমাবদ্ধ নয়: একই পাসওয়ার্ড অন্য কোনো গেম, ইমেইল অ্যাকাউন্ট বা সামাজিক যোগাযোগমাধ্যমে ব্যবহার করা হলে ক্রেডেনশিয়াল স্টাফিংয়ের চেষ্টা ওই সেবাগুলোতেও প্রভাব ফেলতে পারে।

নথিভুক্ত তারিখটি শুধু 2015 সালের নভেম্বর মাসকে নির্দেশ করে; অনুপ্রবেশের প্রতিটি অংশের জন্য একটি সুনির্দিষ্ট দিন প্রকাশ্যে পাওয়া প্রমাণ থেকে নির্ধারণ করা যায় না। প্রথম বিশ্লেষণে প্রায় 21 লাখ ফোরাম রেকর্ড শনাক্ত করা হয়। 2016 সালের মার্চে আনুমানিক আরও 1 কোটি 10 লাখ অ্যাকাউন্ট এবং 2016 সালের জুলাইয়ে আরও 90 লাখ অ্যাকাউন্ট একই ঘটনার অন্তর্ভুক্ত করা হয়। এতে যাচাইকৃত মোট অ্যাকাউন্টের সংখ্যা দাঁড়ায় 2,22,81,337। ধাপে ধাপে সংখ্যা বাড়ার অর্থ কোম্পানিতে তিনটি আলাদা তথ্য ফাঁসের ঘটনা ঘটেছিল, এমন নয়; বরং সংশ্লিষ্ট R2Games ডেটাসেটগুলো বিভিন্ন সময়ে পাওয়া ও যাচাই করা হয়েছিল। ক্ষতিগ্রস্ত ফোরামের অবকাঠামোতে vBulletin ব্যবহৃত হতো, যেখানে IP ঠিকানা ও পাসওয়ার্ড ছিল। দুর্বল বাস্তবায়নের কারণে সল্টযুক্ত পাসওয়ার্ড হ্যাশগুলো দ্রুত ক্র্যাক করা সম্ভব ছিল বলে জানানো হয়েছিল। কোম্পানি এসব দাবি অস্বীকার করেছিল; যাচাইয়ের ভিত্তি হলো ডেটাসেটের স্বাধীন পরীক্ষা। 2017 সালে রিপোর্ট হওয়া ফোরামের দ্বিতীয় তথ্য ফাঁসের ঘটনাটি আলাদা, এবং তার 10,23,466টি অ্যাকাউন্ট এই মোট সংখ্যার সঙ্গে যোগ করা হয়নি।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই খেলোয়াড়েরা, যাঁরা 2015–2016 সালে R2Games পোর্টাল বা ফোরামে অ্যাকাউন্ট খুলেছিলেন এবং একই পাসওয়ার্ড অন্য কোনো সেবায়ও ব্যবহার করেছিলেন। দীর্ঘদিন ব্যবহার না করা গেমিং অ্যাকাউন্টকে গুরুত্বহীন মনে হতে পারে। কিন্তু পুরোনো ব্যবহারকারীর নাম, ইমেইল ঠিকানা এবং ক্র্যাক করা সম্ভব এমন পাসওয়ার্ড আক্রমণকারীকে বর্তমানে ব্যবহৃত অ্যাকাউন্টে পৌঁছানোর প্রাথমিক সূত্র দিতে পারে। যাঁরা একই ইমেইল দিয়ে একাধিক গেমিং সেবায় নিবন্ধন করেছেন, গেমের মধ্যে কেনাকাটা করেছেন, ফোরামে প্রকাশ্য প্রোফাইল রেখেছেন বা ইমেইলে মাল্টি-ফ্যাক্টর অথেনটিকেশন নিষ্ক্রিয় রেখেছেন, তাঁদের বিশেষ সতর্ক থাকা উচিত। পুরোনো অ্যাকাউন্টে অন্যত্রও ব্যবহৃত পাসওয়ার্ড ও হালনাগাদ নয় এমন পুনরুদ্ধার ঠিকানা থাকতে পারে। R2Games-এর কথা মনে না থাকলেও পুরোনো ফোরাম সদস্যপদ বা বহু বছর আগে ব্যবহৃত বিকল্প ইমেইল ঠিকানার কারণে কারও তথ্য এই নথিতে থাকতে পারে।

আপনার পুরোনো R2Games পাসওয়ার্ড অন্য কোথাও ব্যবহার করে থাকলে, সেই অ্যাকাউন্টগুলোর পাসওয়ার্ড অবিলম্বে বদলে ফেলুন। প্রতিটি সেবার জন্য দীর্ঘ ও আলাদা পাসওয়ার্ড তৈরি করুন এবং সম্ভব হলে নির্ভরযোগ্য পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করুন। প্রথমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন, কারণ ইমেইলে প্রবেশাধিকার থাকলে আরও অনেক অ্যাকাউন্টের পাসওয়ার্ড রিসেট করা যায়। R2Games অ্যাকাউন্ট এখনও সক্রিয় থাকলে এর পাসওয়ার্ড বদলান এবং সেশন ও অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করুন। অ্যাকাউন্টটি আর প্রয়োজন না হলে অফিসিয়াল সহায়তা চ্যানেলের মাধ্যমে সেটি মুছে ফেলার অনুরোধ করার কথা বিবেচনা করুন। ইমেইল, গেমিং স্টোর ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন। সুযোগ থাকলে SMS-এর বদলে অথেনটিকেটর অ্যাপ বা সিকিউরিটি কী বেছে নিন। বিনা মূল্যে গেমের মুদ্রা দেওয়ার প্রতিশ্রুতি, অ্যাকাউন্ট স্থগিত করার সতর্কতা বা টাকা ফেরত দেওয়ার প্রস্তাবসহ জরুরি পদক্ষেপ নিতে বলা লিংকে যাবেন না। সেবার ঠিকানা নিজে টাইপ করুন এবং শুধু r2games.com ডোমেইন ও অফিসিয়াল সহায়তা চ্যানেলের ওপর নির্ভর করুন।

এই ঘটনা দেখায়, পুরোনো ফোরাম অ্যাকাউন্টও বহু বছর পর একজনের নিরাপত্তা ব্যবস্থার দুর্বল অংশ হয়ে থাকতে পারে। গেমিং, ফোরাম ও কমিউনিটি সাইটে খোলা অ্যাকাউন্টগুলোর তালিকা রাখুন। যেগুলো আর দরকার নেই, সেগুলো বন্ধ করুন এবং ব্যবহার না করা প্রোফাইলে বর্তমানে ব্যবহৃত প্রধান ইমেইল ঠিকানা যুক্ত রাখা এড়িয়ে চলুন। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড রাখা সহজ হয়। এতে একটি হ্যাশ ক্র্যাক হলেও তা দিয়ে অন্য সেবায় প্রবেশ করা যায় না। যে ইমেইল অ্যাকাউন্টের মাধ্যমে পাসওয়ার্ড রিসেট করা হয়, সেটিতে মাল্টি-ফ্যাক্টর অথেনটিকেশন ও সেশন-সংক্রান্ত সতর্কতা চালু রাখুন এবং পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ রাখুন। পর্যালোচনার সময় শুধু প্রতিদিন ব্যবহৃত সেবা নয়, পুরোনো ফোরাম সদস্যপদ ও আগে ব্যবহৃত ব্যবহারকারীর নামও বিবেচনায় নিন। প্রেরকের প্রদর্শিত নাম বিশ্বাস না করে আসল ডোমেইন, লিংকের গন্তব্য এবং অনুরোধটি স্বাভাবিক কি না, তা পরীক্ষা করুন। আলাদা পাসওয়ার্ড, মাল্টি-ফ্যাক্টর অথেনটিকেশন ও সেশন পর্যবেক্ষণ ফাঁস হওয়া শনাক্তকারী তথ্য ব্যবহার করে অ্যাকাউন্ট দখলের আশঙ্কা কমায়।

LeakData-তে আপনার ইমেইল ঠিকানা যাচাই করুন এবং দেখুন সেটি R2Games-এর নথি বা অন্য কোনো পরিচিত তথ্য ফাঁসের ঘটনার সঙ্গে মেলে কি না। মিল পাওয়ার অর্থ এই নয় যে অ্যাকাউন্টটি বর্তমানে অন্য কারও নিয়ন্ত্রণে রয়েছে বা পুরোনো IP ঠিকানা আপনার বর্তমান অবস্থান প্রকাশ করছে। এর অর্থ হলো, ঠিকানাটি যাচাইকৃত একটি তথ্য ফাঁসের ডেটাসেটে রয়েছে। ফলাফল বোঝার সময় ঘটনার তারিখ, তালিকাভুক্ত তথ্যের ধরন এবং সে সময় আপনার পাসওয়ার্ড ব্যবহারের অভ্যাস বিবেচনায় নিন। মিল পাওয়া গেলে, পুরোনো পাসওয়ার্ডটি কোন কোন সেবায় ব্যবহার করা হয়ে থাকতে পারে তা শনাক্ত করুন। প্রথমে ইমেইল ও অর্থ পরিশোধের ব্যবস্থার সঙ্গে যুক্ত অ্যাকাউন্টগুলো সুরক্ষিত করুন, তারপর ফোরাম ও গেমিং প্রোফাইল পর্যালোচনা করুন। মিল না পাওয়া নিরাপত্তার পূর্ণ নিশ্চয়তা নয়, কারণ সব ডেটাসেট প্রকাশ্যে আসে না বা যাচাই করা যায় না। আলাদা পাসওয়ার্ড ও মাল্টি-ফ্যাক্টর অথেনটিকেশন শুধু সতর্কবার্তা পাওয়ার পর নেওয়া ব্যবস্থা নয়; এগুলো নিয়মিত সুরক্ষাব্যবস্থা হিসেবে বজায় রাখা উচিত।