Rosebutt Board তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং বার্তা পাঠানোর প্রধান যোগাযোগমাধ্যম হলো ইমেইল ঠিকানা। অন্য কমিউনিটি বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ব্যবহারকারীর নাম থাকলে পরিচয় মিলিয়ে নেওয়ার ঝুঁকি বাড়ে। IP ঠিকানা থেকে সরাসরি সুনির্দিষ্ট ঠিকানার তথ্য পাওয়া যায় না; তবে আনুমানিক অবস্থান, সেবাদাতা ও ইন্টারনেটে প্রবেশের অভ্যাস সম্পর্কে ধারণা করা যেতে পারে। এসব তথ্য একসঙ্গে বিশ্লেষণ করলে আক্রমণকারীর পক্ষে নির্দিষ্ট ব্যক্তির তথ্য অনুযায়ী সাজানো বার্তা তৈরি করা সহজ হয়।

সল্টযুক্ত MD5 হ্যাশ দিয়ে পাসওয়ার্ডের তথ্য সংরক্ষণ করা একটি গুরুতর নিরাপত্তা দুর্বলতা। সল্ট যোগ করলে হুবহু একই পাসওয়ার্ড থেকে একই হ্যাশ মান তৈরি হওয়ার সম্ভাবনা কমে; তবে MD5 একটি পুরোনো পদ্ধতি, যার হ্যাশ দ্রুত গণনা করা যায় এবং যেটিকে পাসওয়ার্ড সংরক্ষণের আধুনিক মানদণ্ড হিসেবে গণ্য করা হয় না। ছোট, অভিধানের শব্দভিত্তিক বা বারবার ব্যবহৃত পাসওয়ার্ড অনুমান করা তুলনামূলক সহজ। অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হলে ঝুঁকি ফোরাম অ্যাকাউন্ট থেকে ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড, গেমিং বা আর্থিক সেবার অ্যাকাউন্টে ছড়িয়ে পড়তে পারে।

বিভিন্ন উৎসের তথ্য তুলনা করে নিশ্চিত করা হয়েছে যে Rosebutt Board-এর ঘটনাটির তারিখ 9 মে 2016, রেকর্ড যুক্ত করার তারিখ 10 মে 2016 এবং ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা 1,07,303। যাচাইকৃত তথ্যের ঘরগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। পাসওয়ার্ডের ক্ষেত্রে সল্টযুক্ত MD5 হ্যাশের কথা উল্লেখ করা হয়েছে। ফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, প্রকৃত নাম, জন্মতারিখ, ব্যক্তিগত বার্তা, ছবি বা কেনাকাটার তথ্য এই ঘটনার যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে নেই।

ব্যবহারকারীর সামনে ঝুঁকির সঠিক চিত্র তুলে ধরতে এই সীমা বজায় রাখা জরুরি। ঘটনাটিকে সংবেদনশীল হিসেবে শ্রেণিবদ্ধ করার কারণ তথ্যের ঘরের সংখ্যার চেয়ে ফোরামের বিষয়বস্তু ও সদস্যপদের প্রেক্ষাপটের সঙ্গে বেশি সম্পর্কিত। কোনো ব্যক্তিকে এমন একটি ফোরামের সঙ্গে যুক্ত করার বিষয়টি তৃতীয় পক্ষ অপব্যবহার করতে পারে। অন্যদিকে, যাচাই করা হয়নি এমন তথ্যের ঘর যোগ করলে অমূলক আতঙ্ক তৈরি হয়। তাই ইমেইল, IP ঠিকানা, ব্যবহারকারীর নাম ও সল্টযুক্ত MD5 পাসওয়ার্ড হ্যাশের ভিত্তিতেই মূল্যায়ন করা উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা Rosebutt Board অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন। পুরোনো পাসওয়ার্ডটি কয়েক বছর আগে পরিবর্তন করা হলেও বিভিন্ন সেবায় একইভাবে পাসওয়ার্ড পুনর্ব্যবহার করতে থাকলে ঝুঁকি থেকে যায়। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করা ব্যক্তিদের পরিচয়ও তুলনামূলক সহজে মিলিয়ে নেওয়া যায়। ইমেইল ঠিকানাটি ব্যক্তিগত, কর্মক্ষেত্রের বা পারিবারিক যোগাযোগের সঙ্গে যুক্ত থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

গোপনীয়তার ঝুঁকিও গুরুত্বপূর্ণ। ফোরামের প্রাপ্তবয়স্কদের বিষয়বস্তু ও সংবেদনশীল বিষয় ব্যবহারকারীদের ব্ল্যাকমেইল, হুমকি, বিব্রতকর পরিস্থিতি বা সুনাম ক্ষুণ্ন করার চেষ্টার ঝুঁকিতে ফেলতে পারে। IP ঠিকানার সঙ্গে থাকা ইমেইল ও ব্যবহারকারীর নামের তথ্য ব্যবহার করে আক্রমণকারী তার বার্তায় ব্যবহারকারীর অবস্থান বা ইন্টারনেটে প্রবেশের অভ্যাসের সঙ্গে মিলে যায় এমন ইঙ্গিত দিতে পারে। তাই আপনার শুধু পাসওয়ার্ড নয়, ইমেইল অ্যাকাউন্ট এবং একই ডাকনামের সঙ্গে যুক্ত অন্য অ্যাকাউন্টগুলোও পরীক্ষা করা উচিত।

প্রথমেই নিশ্চিত করুন যে Rosebutt Board অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে এখনো ব্যবহার করা হচ্ছে না। যেসব সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়েছে, তার প্রতিটির জন্য নতুন, স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড বেছে নেওয়া উচিত। ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিতে হবে, কারণ পাসওয়ার্ড রিসেটের লিংক ও নিরাপত্তা সতর্কতা বেশির ভাগ ক্ষেত্রেই ইমেইল ইনবক্সে আসে। ইমেইল অ্যাকাউন্টে একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই (মাল্টি-ফ্যাক্টর অথেন্টিকেশন) চালু করা উচিত। পাশাপাশি, অ্যাকাউন্ট পুনরুদ্ধারের জন্য নির্ধারিত ঠিকানা ও সাম্প্রতিক সেশনগুলো পর্যালোচনা করা উচিত।

ফোরামের নাম বা আগের ব্যবহারকারীর নাম উল্লেখ করে পাঠানো হুমকি, অ্যাকাউন্ট-সংক্রান্ত সতর্কতা, অর্থ পরিশোধের অনুরোধ বা ব্ল্যাকমেইল বার্তা সম্পর্কে আপনার সতর্ক থাকা উচিত। বার্তায় প্রকৃত ইমেইল ঠিকানা, IP ঠিকানা সংশ্লিষ্ট অঞ্চল বা ব্যবহারকারীর নাম থাকলেই সেটি বিশ্বাসযোগ্য হয় না। ওই বার্তার লিংক দিয়ে লগইন করার চেষ্টা করবেন না, সংযুক্ত ফাইল খুলবেন না এবং চাওয়া তথ্য দেবেন না। প্রয়োজনে সংশ্লিষ্ট অ্যাকাউন্টগুলোর সব সেশন বন্ধ করা উচিত এবং নিরাপত্তা বিজ্ঞপ্তি চালু রাখা উচিত।

দীর্ঘমেয়াদে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা নিরাপত্তার একটি মৌলিক নিয়ম। আগে কোথায় একই পাসওয়ার্ড বারবার ব্যবহার করা হয়েছে তা খুঁজে বের করা এবং শক্তিশালী পাসওয়ার্ড নিরাপদে সংরক্ষণের জন্য পাসওয়ার্ড ম্যানেজার একটি কার্যকর সমাধান। সংবেদনশীল কমিউনিটির অ্যাকাউন্টে ব্যবহৃত ইমেইল ঠিকানা দৈনন্দিন কাজ ও পারিবারিক যোগাযোগ থেকে আলাদা রাখা গেলে ঝুঁকি কমে। বছরের পর বছর বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে পরিচয় মিলিয়ে নেওয়া সহজ হয়; তাই ছদ্মনাম ব্যবহারের বিষয়টিও নিরাপত্তা পরিকল্পনায় রাখা উচিত।

নিয়মিত বিরতিতে পুরোনো ফোরামের সদস্যপদ পর্যালোচনা করা, অপ্রয়োজনীয় অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলে থাকা তথ্য কমানো উচিত। সংবেদনশীল প্রেক্ষাপটের সেবায় ভুলে যাওয়া রেকর্ড নিরাপত্তাব্যবস্থার দুর্বল যোগসূত্র হয়ে উঠতে পারে। সংরক্ষিত পুরোনো ইমেইল, সদস্যপদের পুরোনো বিজ্ঞপ্তি ও পাসওয়ার্ড রিসেটের বার্তা সামাজিক প্রকৌশলভিত্তিক প্রতারণার চেষ্টায় ব্যবহার করা হতে পারে। নিরাপত্তা পরিকল্পনায় পাসওয়ার্ড পরিবর্তন, ইমেইলের সুরক্ষা, মাল্টি-ফ্যাক্টর অথেন্টিকেশন ও পুরোনো অ্যাকাউন্ট পরিষ্কার করার ব্যবস্থা একসঙ্গে রাখা উচিত।

LeakData-তে Rosebutt Board-এর ফলাফল দেখলে আপনার 9 মে 2016 তারিখের ঘটনা এবং 1,07,303টি ক্ষতিগ্রস্ত অ্যাকাউন্টের বিষয়টি বিবেচনায় নেওয়া উচিত। যাচাইকৃত তথ্যের ঘরগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ড। পাসওয়ার্ডের তথ্য সল্টযুক্ত MD5 হ্যাশের সঙ্গে সম্পর্কিত। আপনার অগ্রাধিকার হওয়া উচিত পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা, ইমেইল অ্যাকাউন্টের সুরক্ষা জোরদার করা, একই ব্যবহারকারীর নাম ব্যবহার করা অন্য অ্যাকাউন্টগুলো পরীক্ষা করা এবং সংবেদনশীল প্রেক্ষাপটকে কাজে লাগিয়ে পাঠানো হুমকিমূলক বার্তার বিষয়ে সতর্ক থাকা।

এই ঘটনায় ফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, প্রকৃত নাম, জন্মতারিখ, ব্যক্তিগত বার্তা, ছবি ও কেনাকাটার তথ্যের ভিত্তিতে করণীয় পরিকল্পনা করা উচিত নয়, কারণ এসব তথ্য যাচাই করা হয়নি। এর বিপরীতে ইমেইল, IP ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডের তথ্য বাস্তব ঝুঁকি তৈরি করে। স্বতন্ত্র পাসওয়ার্ড ব্যবহার, মাল্টি-ফ্যাক্টর অথেন্টিকেশন, সেশনের ইতিহাস পরীক্ষা এবং লিংকের মাধ্যমে লগইনের চেষ্টা না করার অভ্যাসের সাহায্যে অন্য অ্যাকাউন্টে এই ঘটনার প্রভাব ছড়িয়ে পড়া সীমিত রাখা উচিত।