Retina-X তথ্য ফাঁস

যাচাইকৃত ডেটার ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। একটি ইমেইল ঠিকানাকে ভিত্তি করে ফিশিং বার্তা পাঠানো, অ্যাকাউন্ট পুনরুদ্ধারের চেষ্টা এবং বিভিন্ন সেবায় থাকা অ্যাকাউন্টের যোগসূত্র খোঁজা সম্ভব। কোনো ইমেইল ঠিকানা Retina-X-এর মতো ডিভাইস ট্র্যাকিং সফটওয়্যারের সঙ্গে যুক্ত দেখলে হামলাকারী সেই তথ্য ব্যবহার করে বার্তাটি আরও ব্যক্তিনির্দিষ্ট করতে পারে। অন্যদিকে, পাসওয়ার্ডের ডেটা আরও বিস্তৃতভাবে অ্যাকাউন্ট দখলের ঝুঁকি তৈরি করতে পারে, বিশেষ করে ব্যবহারকারী যদি অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করে থাকেন।

পাসওয়ার্ড সল্টবিহীন MD5 হ্যাশ আকারে সংরক্ষণ করা একটি গুরুতর নিরাপত্তা দুর্বলতা। সল্ট ব্যবহার না করলে একই পাসওয়ার্ড থেকে একই হ্যাশ মান তৈরি হয়। ফলে আগে থেকে তৈরি তালিকা ব্যবহার করে পাসওয়ার্ড মেলানোর চেষ্টা হামলাকারীদের জন্য সহজ হয়ে যায়। MD5 একটি পুরোনো পদ্ধতিও, যার গণনা দ্রুত করা যায়; ছোট, অভিধানের শব্দভিত্তিক বা পুনরাবৃত্তিমূলক পাসওয়ার্ড আরও সহজে অনুমান করা যায়। তাই Retina-X অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ড যদি অন্য কোনো ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড, ফোন বা কর্মক্ষেত্রের অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকে, তাহলে ঝুঁকি শুধু এই সেবার মধ্যে সীমিত থাকে না।

বিভিন্ন উৎসের তথ্য মিলিয়ে নিশ্চিত করা হয়েছে যে Retina-X-এর ঘটনাটি ঘটে 23 ফেব্রুয়ারি 2017 তারিখে, এটি যুক্ত করা হয় 30 এপ্রিল 2017 তারিখে এবং এতে 71,153টি অ্যাকাউন্ট প্রভাবিত হয়। যাচাইকৃত ডেটা ফিল্ড হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। পাসওয়ার্ডের তথ্য সল্টবিহীন MD5 হ্যাশ হিসেবে উল্লেখ করা হয়েছে। ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, IP ঠিকানা, ব্যবহারকারীর নাম, ব্যক্তিগত বার্তা, অবস্থানের ইতিহাস, ডিভাইসের কনটেন্ট বা ছবি ফাঁস এই ঘটনার যাচাইকৃত ডেটার ধরনের মধ্যে নেই।

সংবেদনশীল শ্রেণিতে রাখার কারণ ডেটা ফিল্ডের চেয়ে সেবাটি ব্যবহারের প্রেক্ষাপটের সঙ্গে বেশি সম্পর্কিত। ডিভাইস ট্র্যাকিং সফটওয়্যারের সঙ্গে কারও যোগসূত্র প্রকাশ পেলে পরিবারের নিরাপত্তা, ব্যবসায়িক সম্পর্ক বা ব্যক্তিগত গোপনীয়তার ওপর নেতিবাচক প্রভাব পড়তে পারে। তাই ব্যবহারকারীকে ঝুঁকির বিষয়ে তথ্য জানানোর ভাষা সংযত ও স্পষ্ট হওয়া উচিত। যাচাই করা হয়নি এমন ব্যক্তির সংখ্যা, ডেটা ফিল্ড এবং হামলাকারীদের দাবি ঘটনাটির প্রকাশ্য বিবরণে অন্তর্ভুক্ত পরিসরের অংশ হিসেবে ধরা হয় না।

যাঁরা Retina-X অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেছেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। পুরোনো পাসওয়ার্ডটি বহু বছর আগে বেছে নেওয়া হলেও ফাঁস হওয়া হ্যাশ দীর্ঘদিন ছড়িয়ে থাকতে পারে এবং নতুন করে অ্যাকাউন্টে ঢোকার চেষ্টায় আবার ব্যবহার করা হতে পারে। একই ইমেইল ঠিকানা ব্যক্তিগত যোগাযোগ, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম বা ফোন অ্যাকাউন্টের সঙ্গে যুক্ত থাকলে হামলাকারীরা বিভিন্ন সেবায় সেই ঠিকানা দিয়ে চেষ্টা করতে পারে। ডিভাইস ট্র্যাকিং সফটওয়্যারের প্রেক্ষাপটে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

গোপনীয়তার ঝুঁকিও আলাদাভাবে মূল্যায়ন করা উচিত। ডিভাইস ট্র্যাকিং সফটওয়্যার ব্যবহার করেন বা এই সেবার সঙ্গে যুক্ত এমন ব্যক্তিরা পরিবার, কর্মক্ষেত্র বা ব্যক্তিগত নিরাপত্তার দিক থেকে সংবেদনশীল পরিস্থিতিতে থাকতে পারেন। হামলাকারীরা পুরোনো ঘটনার নাম, ইমেইল ঠিকানা বা পাসওয়ার্ড পুনর্ব্যবহারের তথ্য কাজে লাগিয়ে হুমকি, ব্ল্যাকমেইল বা অ্যাকাউন্ট সতর্কতার বার্তা পাঠাতে পারে। তাই ব্যবহারকারীর শুধু পাসওয়ার্ড নয়, ইমেইল অ্যাকাউন্টের লগইন ইতিহাস এবং এর সঙ্গে যুক্ত পুনরুদ্ধারের পদ্ধতিগুলোও পরীক্ষা করা উচিত।

প্রথম কাজ হলো নিশ্চিত করা যে Retina-X অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে এখনো ব্যবহার হচ্ছে না। একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা প্রতিটি অ্যাকাউন্টের জন্য নতুন, স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড বেছে নিতে হবে। ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিতে হবে, কারণ পাসওয়ার্ড রিসেটের লিংক ও নিরাপত্তা সতর্কতা বেশির ভাগ ক্ষেত্রে ইমেইল ইনবক্সেই আসে। ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে এবং পুনরুদ্ধারের ইমেইল ঠিকানা, ফরওয়ার্ডিং নিয়ম ও সাম্প্রতিক সেশনগুলো পর্যালোচনা করতে হবে।

Retina-X বা ডিভাইস ট্র্যাকিং সফটওয়্যারের প্রসঙ্গ তুলে পাঠানো হুমকি, অ্যাকাউন্ট সতর্কতা, অর্থ চাওয়া বা পাসওয়ার্ড রিসেটের বার্তার বিষয়ে ব্যবহারকারীর সতর্ক থাকা উচিত। বার্তায় শুধু পুরোনো কোনো সেবার নাম বা ইমেইল ঠিকানা থাকলেই সেটি বিশ্বাসযোগ্য বলে ধরে নেওয়া যায় না। বার্তার লিংক দিয়ে লগইনের চেষ্টা করা, সংযুক্তি খোলা বা চাওয়া তথ্য শেয়ার করা উচিত নয়। প্রয়োজনে সংশ্লিষ্ট অ্যাকাউন্টগুলোর সব সেশন বন্ধ করতে হবে এবং নিরাপত্তা বিজ্ঞপ্তি চালু রাখতে হবে।

দীর্ঘমেয়াদে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা নিরাপত্তার একটি মৌলিক নিয়ম। পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করা এবং শক্তিশালী পাসওয়ার্ড নিরাপদে সংরক্ষণের জন্য পাসওয়ার্ড ম্যানেজার একটি কার্যকর সমাধান। বিশেষ করে ইমেইল, ক্লাউড স্টোরেজ, ফোন অ্যাকাউন্ট ও সামাজিক যোগাযোগমাধ্যমের মতো গুরুত্বপূর্ণ অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণকে অগ্রাধিকার দেওয়া উচিত। আগে ব্যবহৃত পাসওয়ার্ডের ডেটা যদি MD5-এর মতো দুর্বল হ্যাশ পদ্ধতিতে ফাঁস হয়ে থাকে, তাহলে একই ধরনের পাসওয়ার্ড তৈরির অভ্যাসও বাদ দিতে হবে।

ডিভাইস ট্র্যাকিং ও নজরদারি সফটওয়্যারের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর গোপনীয়তা সেটিংসও পর্যালোচনা করা উচিত। ব্যবহার হয় না এমন অ্যাকাউন্ট বন্ধ করতে হবে এবং পুরোনো ইমেইল বিজ্ঞপ্তি ও রেকর্ডের চিহ্ন কমিয়ে আনতে হবে। ব্যক্তিগত নিরাপত্তার ঝুঁকিতে থাকা ব্যবহারকারীদের ফোন ও ইমেইল অ্যাকাউন্টে সেশন সতর্কতা চালু রাখা, অচেনা ডিভাইস সরিয়ে দেওয়া এবং পুনরুদ্ধারের পদ্ধতিগুলো হালনাগাদ রাখা উচিত। এই ঘটনা দেখায় যে ট্র্যাকিং সফটওয়্যারের পুরোনো অ্যাকাউন্টও বর্তমান নিরাপত্তাব্যবস্থার দুর্বল যোগসূত্র হতে পারে।

আপনি যদি LeakData-তে Retina-X-এর ফলাফল দেখেন, তাহলে 23 ফেব্রুয়ারি 2017 তারিখের ঘটনাটি এবং এতে প্রভাবিত 71,153টি অ্যাকাউন্টের তথ্য বিবেচনায় রাখুন। যাচাইকৃত ফিল্ড হলো ইমেইল ঠিকানা ও পাসওয়ার্ড; পাসওয়ার্ডের ডেটা সল্টবিহীন MD5 হ্যাশের সঙ্গে সম্পর্কিত। আপনার অগ্রাধিকার হওয়া উচিত পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা, ইমেইল অ্যাকাউন্টের নিরাপত্তা বাড়ানো এবং ডিভাইস বা ক্লাউড অ্যাকাউন্টে অপ্রত্যাশিত সেশন আছে কি না পরীক্ষা করা।

এই ঘটনায় ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, IP ঠিকানা, ব্যবহারকারীর নাম, ব্যক্তিগত বার্তা, অবস্থানের ইতিহাস, ডিভাইসের কনটেন্ট ও ছবির ফিল্ড যাচাই করা হয়নি। তাই করণীয় পরিকল্পনা এই ডেটার ভিত্তিতে নির্ধারণ করা উচিত নয়। অন্যদিকে, ইমেইল ও পাসওয়ার্ডের ফিল্ড নিশ্চিতভাবেই ঝুঁকি তৈরি করে। স্বতন্ত্র পাসওয়ার্ড ব্যবহার, বহু-উপাদানভিত্তিক প্রমাণীকরণ, লগইন ইতিহাস পরীক্ষা এবং বার্তার লিংক দিয়ে লগইন এড়িয়ে চলার মাধ্যমে ব্যবহারকারীর উচিত এই ঘটনা যেন অন্য অ্যাকাউন্টকে প্রভাবিত না করে, তা নিশ্চিত করা।