RatHack তথ্য উন্মুক্ত হওয়ার অভিযোগ

যেসব তথ্যক্ষেত্র থাকার পক্ষে প্রমাণ রয়েছে, সেগুলো হলো IP ঠিকানা, ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড এবং পাসওয়ার্ড হ্যাশের ধরনসংক্রান্ত তথ্য। পাসওয়ার্ডের মান MD5 হ্যাশ আকারে থাকলে সরাসরি পাঠযোগ্য পাসওয়ার্ডের তুলনায় তাৎক্ষণিক লগইনের ঝুঁকি কম হতে পারে। তবে MD5 পুরোনো একটি অ্যালগরিদম এবং এটি দিয়ে দ্রুত পরীক্ষা চালানো যায় বলে দুর্বল পাসওয়ার্ড সহজেই ভাঙা সম্ভব। IP ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে থাকলে আক্রমণকারীরা কোনো অ্যাকাউন্টের প্রযুক্তিগত ফোরাম পরিচয়কে তার নেটওয়ার্কের অবস্থান ও ইমেইল ঠিকানার সঙ্গে মেলাতে পারে। এতে বিশেষ করে নিরাপত্তা, হ্যাকিং বা ফোরাম কমিউনিটিতে একই ছদ্মনাম ব্যবহার করা ব্যক্তিদের লক্ষ্যবস্তু হওয়ার বাড়তি ঝুঁকি তৈরি হয়।

এই ঘটনার মূল তথ্যভান্ডারে প্রকৃত নাম, পেমেন্টের তথ্য, ফোন নম্বর, বাসা বা কর্মস্থলের ঠিকানা বা পরিচয়পত্রের মতো তথ্য থাকার নির্ভরযোগ্য প্রমাণ পাওয়া যায়নি। কিছু বিকল্প রেকর্ডে ফোরামের বিস্তারিত তথ্য বা ব্যক্তিগত বিবরণের ক্ষেত্র থাকলেও সেগুলোর ভিত্তিতে মূল তথ্যের বিভাগগুলো বাড়ানো হয়নি। ব্যবহারকারীর জন্য সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো, একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার করা হচ্ছে কি না। MD5 হ্যাশ ভেঙে পাসওয়ার্ড উদ্ধার করা গেলে একই ইমেইল ও পাসওয়ার্ডের জোড়া দিয়ে ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ডেভেলপার টুল, গেমের অ্যাকাউন্ট বা কর্মক্ষেত্রের লগইনের মতো বিভিন্ন পরিষেবায় ঢোকার চেষ্টা করা হতে পারে।

মূল পরিসর হলো 10,259টি রেকর্ড। ঘটনাটি 2016 সালের জানুয়ারির; সংযোজনের তারিখ হিসেবে 25 জুলাই 2022 ব্যবহার করা হয়েছে। বড় তালিকাগুলোতে 11,509 ও 11,997টি রেকর্ড দেখা যাওয়া থেকে ধারণা করা যায়, RatHack-এর তথ্য একাধিক কপি বা পরিষ্কার করা সংস্করণে ছড়িয়ে রয়েছে। তাই বেশি সংখ্যাটি সরাসরি মূল প্রদর্শনে নেওয়া হয়নি। কোন রেকর্ডগুলো সদৃশ সারি, ফোরামের সংযুক্তি, ব্যক্তিগত মন্তব্য বা একই তথ্যসমষ্টির ভিন্ন এক্সপোর্ট, তা নিশ্চিত করা সম্ভব নয়। এ কারণে ব্যবহারকারীর সামনে সবচেয়ে বিস্তারিত ও সামঞ্জস্যপূর্ণ পরিসরটি তুলে ধরা হয়েছে।

কোম্পানির কোনো আনুষ্ঠানিক বিজ্ঞপ্তি বা কোনো সংস্থার সরাসরি নিশ্চিতকরণ না থাকায় ঘটনাটিকে যাচাইকৃত হিসেবে চিহ্নিত করা হয়নি। বর্তমান ডোমেইন নামটি DNS-এর মাধ্যমে রিজলভ করা যায়নি বলে রেকর্ডটি বন্ধ পরিষেবার শ্রেণিতে রাখা হয়েছিল। এর অর্থ এই নয় যে অতীতে তথ্য ফাঁস হয়নি; এর মাধ্যমে শুধু বোঝানো হয়, আজ ডোমেইনটিকে নির্ভরযোগ্য সচল পরিষেবা হিসেবে পরীক্ষা করা যায় না। প্রকাশ্য বিবরণে কেবল প্রমাণসমর্থিত বিষয়গুলোই রাখা হয়েছে এবং অতিরিক্ত ধরনের তথ্যকে নিশ্চিত তথ্য হিসেবে উপস্থাপন করা হয়নি। এতে মিল পাওয়া ব্যবহারকারী ঝুঁকির সঠিক অগ্রাধিকার অনুযায়ী পদক্ষেপ নিতে পারবেন, অযথা বিস্তৃত ভুল দাবির কারণে বিভ্রান্ত হবেন না।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা RatHack অ্যাকাউন্টের পাসওয়ার্ড ইমেইল অ্যাকাউন্ট, নিরাপত্তাবিষয়ক ফোরাম, ডেভেলপার পরিষেবা, দূরবর্তী সার্ভারে প্রবেশ, গেমিং প্ল্যাটফর্ম বা কর্মক্ষেত্রের সেশনে পুনরায় ব্যবহার করেন। হ্যাকিং ফোরামের প্রেক্ষাপটের কারণে আক্রান্ত ব্যক্তিদের প্রযুক্তিগত টুল, ফোরাম পরিচয় বা নিরাপত্তাবিষয়ক কমিউনিটির অন্য অ্যাকাউন্টের সঙ্গে যুক্ত করা হতে পারে। ব্যবহারকারীর নাম, IP ঠিকানা ও ইমেইল ঠিকানা একসঙ্গে থাকলে আক্রমণকারীরা বিভিন্ন প্ল্যাটফর্মে একই ব্যক্তিকে শনাক্ত করে মেলানোর চেষ্টা করতে পারে।

দুর্বল পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টের জন্য MD5 হ্যাশ গুরুতর ঝুঁকি তৈরি করে। ছোট, অভিধানের শব্দভিত্তিক, পুরোনো ছদ্মনাম থেকে তৈরি বা শেষে অল্প কয়েকটি চিহ্ন যোগ করা পাসওয়ার্ড দ্রুত ভাঙা যেতে পারে। IP ঠিকানার তথ্য থেকেও ব্যবহারকারীর অতীত নেটওয়ার্ক অবস্থান সম্পর্কে ধারণা পাওয়া যায়। এই তথ্য লক্ষ্যভিত্তিক ফিশিং, ফোরামে হুমকি, ছদ্মনামকরণ বা সামাজিক চাপ প্রয়োগের চেষ্টায় ব্যবহার করা হতে পারে। পুরোনো ফোরামের পাসওয়ার্ড গুরুত্বহীন মনে হলেও অন্য কোথাও একই পাসওয়ার্ড রেখে দিলে ঝুঁকি আজও থেকে যায়।

প্রথম কাজ হলো যেসব অ্যাকাউন্টে আপনি RatHack-এ ব্যবহৃত পাসওয়ার্ডটি বা তার কাছাকাছি কোনো পাসওয়ার্ড ব্যবহার করেছেন, সেগুলো শনাক্ত করে সেগুলোর পাসওয়ার্ড বদলানো। ইমেইল অ্যাকাউন্ট, ডেভেলপার পরিষেবা, ক্লাউড অ্যাকাউন্ট, দূরবর্তী সার্ভারের প্যানেল, ফোরাম ও কর্মক্ষেত্রের সেশনকে অগ্রাধিকার দিতে হবে। প্রতিটি পরিষেবার জন্য আলাদা, দীর্ঘ ও এলোমেলো পাসওয়ার্ড বেছে নিতে হবে। পাসওয়ার্ড ম্যানেজারের সাহায্যে এমন পুরোনো অ্যাকাউন্টগুলো খুঁজুন, যেখানে আপনি একই পাসওয়ার্ড আবার ব্যবহার করেছেন। ইমেইল ও কর্মক্ষেত্রের অ্যাকাউন্টে একাধিক স্বতন্ত্র উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে। অ্যাপভিত্তিক কোড, হার্ডওয়্যার কী বা পাসকির মতো শক্তিশালী বিকল্পকে অগ্রাধিকার দিতে হবে।

লগইনের ইতিহাস, সংযুক্ত ডিভাইস, ব্যর্থ লগইনের চেষ্টা এবং অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা পরীক্ষা করতে হবে। RatHack, হ্যাকিং ফোরাম, নিরাপত্তা টুল, ফোরামের সদস্যপদ বা অ্যাকাউন্ট যাচাইয়ের বিষয় নিয়ে আসা বার্তার ক্ষেত্রে আপনাকে সতর্ক থাকতে হবে। লিংক দিয়ে কোনো কাজ করার বদলে সংশ্লিষ্ট পরিষেবার ঠিকানা নিজে লিখে সেখানে গিয়ে যাচাই করতে হবে। ব্যবসায়িক ব্যবস্থায় একই পাসওয়ার্ড ব্যবহার করা হলে প্রতিষ্ঠানের নিরাপত্তা দলকে জানাতে হবে। IP ঠিকানা ও ব্যবহারকারীর নাম মিলিয়ে পরিচয় যুক্ত করার ঝুঁকির কারণে একই ছদ্মনাম ব্যবহার করা অন্য ফোরামগুলোও পরীক্ষা করতে হবে।

স্থায়ী সুরক্ষার জন্য প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করতে হবে। পুরোনো ফোরাম, নিরাপত্তাবিষয়ক কমিউনিটি, গেম, সফটওয়্যার ও ফাইল শেয়ারিং অ্যাকাউন্ট নিয়মিত পর্যালোচনা করতে হবে। অব্যবহৃত অ্যাকাউন্ট বন্ধ করে দিতে হবে অথবা শক্তিশালী, স্বতন্ত্র পাসওয়ার্ড দিয়ে আলাদা রাখতে হবে। পুরোনো পুনরাবৃত্ত পাসওয়ার্ড খুঁজে বের করা এবং এলোমেলো শক্তিশালী পাসওয়ার্ড তৈরির প্রধান হাতিয়ার হওয়া উচিত পাসওয়ার্ড ম্যানেজার। MD5-এর মতো পুরোনো হ্যাশ বহু বছর পরেও ভাঙা যায়, তাই তথ্য ফাঁসের তারিখ পুরোনো হলেই ঝুঁকি দূর হয় না।

প্রযুক্তিবিষয়ক কমিউনিটিতে দীর্ঘদিন একই ডাকনাম ব্যবহার করলে পরিচয়ের সঙ্গে সেটিকে যুক্ত করার ঝুঁকি বাড়ে। গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল, আলাদা পাসওয়ার্ড ও একাধিক স্বতন্ত্র উপাদানভিত্তিক প্রমাণীকরণকে অগ্রাধিকার দিতে হবে। প্রতিষ্ঠানের ক্ষেত্রে কর্মীদের কর্মক্ষেত্রের অ্যাকাউন্টে ব্যক্তিগত ফোরামের পাসওয়ার্ড ব্যবহার ঠেকানোর ব্যবস্থা, পাসওয়ার্ড ম্যানেজারের ব্যবহার এবং প্রশিক্ষণ গুরুত্বপূর্ণ। পুরোনো ফোরামের তথ্য নতুন সংগ্রহে আবার ছড়িয়ে পড়তে পারে। তাই পাসওয়ার্ড পরিবর্তন এককালীন কাজ না হয়ে ডিজিটাল পরিচয় রক্ষণাবেক্ষণের নিয়মিত অংশ হওয়া উচিত।

LeakData-তে RatHack-এর ফলাফল দেখলে সেটিকে কোনো সংস্থার আনুষ্ঠানিক বিজ্ঞপ্তি হিসেবে নয়, বরং প্রকাশ্য তথ্য ফাঁসের তালিকায় দেখা একটি অযাচাইকৃত ঝুঁকির সংকেত হিসেবে বিবেচনা করতে হবে। দেখানো মূল পরিসর হলো 10,259টি রেকর্ড। তথ্যক্ষেত্রগুলো হলো IP ঠিকানা, ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড এবং পাসওয়ার্ড হ্যাশের ধরনসংক্রান্ত তথ্য। বেশি রেকর্ডসংখ্যার সংস্করণগুলোর তারিখ ও পরিসর ভিন্ন হওয়ায় সেগুলো মূল উপস্থাপনা বদলায়নি। এই মিলকে বিশেষভাবে একই পাসওয়ার্ডের পুনর্ব্যবহার ও পুরোনো ফোরাম পরিচয়ের সঙ্গে সংযোগ যাচাইয়ের কাজে ব্যবহার করতে হবে।

আপনার তথ্যের সঙ্গে মিল পাওয়া গেলে প্রথমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন। এরপর একই পাসওয়ার্ড ব্যবহৃত হয়ে থাকতে পারে এমন প্রযুক্তিসংশ্লিষ্ট ও ব্যক্তিগত অ্যাকাউন্টগুলোর পাসওয়ার্ড হালনাগাদ করুন। পাসওয়ার্ড ম্যানেজারে পুনরাবৃত্ত পাসওয়ার্ড খুঁজতে হবে এবং পুরোনো ফোরাম অ্যাকাউন্টগুলো একে একে পরীক্ষা করতে হবে। অপরিচিত সেশন বন্ধ করতে হবে, একাধিক স্বতন্ত্র উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে এবং নিরাপত্তাবিষয়ক ফোরামের প্রসঙ্গ নিয়ে আসা অপ্রত্যাশিত বার্তা বিশ্বাস করা যাবে না। একই ছদ্মনামে ব্যবহৃত অন্য প্ল্যাটফর্মগুলোকেও ঝুঁকিপূর্ণ হিসেবে বিবেচনা করতে হবে এবং সে অনুযায়ী অ্যাকাউন্টগুলো আলাদা রাখার ব্যবস্থা আরও জোরদার করতে হবে।