SawasdeeKappom: তথ্য উন্মুক্ত হওয়ার অভিযোগ

প্রমাণসমর্থিত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড। আক্রমণকারীরা সবচেয়ে দ্রুত অপব্যবহার করতে পারে এমন তথ্যের একটি হলো প্লেইন টেক্সট পাসওয়ার্ড। এগুলো ভাঙতে আলাদা কোনো প্রক্রিয়ার প্রয়োজন হয় না, আর একই ইমেইল ও পাসওয়ার্ডের জোড়া অন্য সেবায় ব্যবহার করে প্রবেশের চেষ্টা করা যায়। সামাজিক যোগাযোগমাধ্যম ও বন্ধুত্বের প্রেক্ষাপটও ঝুঁকি বাড়ায়। কোনো ব্যবহারকারীর পুরোনো ডেটিং সাইটে অ্যাকাউন্ট থাকলে তা তাঁর ব্যক্তিগত পছন্দ, ভাষাগত পরিবেশ বা আঞ্চলিক যোগাযোগ সম্পর্কে ধারণা দিতে পারে। তাই ঘটনাটিকে শুধু পাসওয়ার্ডের নিরাপত্তার দিক থেকেই নয়, গোপনীয়তা ও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার দিক থেকেও সংবেদনশীল হিসেবে বিবেচনা করা হয়।

মূল পরিসরে ফোন নম্বর, পেমেন্ট কার্ড, পূর্ণ ঠিকানা, প্রকৃত নাম, পরিচয়পত্র বা বার্তার বিষয়বস্তুর মতো অতিরিক্ত ব্যক্তিগত তথ্য থাকার পক্ষে নির্ভরযোগ্য সমর্থন পাওয়া যায়নি। তাই তথ্যের শ্রেণিগুলো আর বাড়ানো হয়নি। সবচেয়ে বড় ঝুঁকি হলো, একই বা কাছাকাছি ধরনের পাসওয়ার্ড ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, আর্থিক অ্যাকাউন্ট, গেমের অ্যাকাউন্ট বা কর্মক্ষেত্রের সেশনেও ব্যবহৃত হতে পারে। পুরোনো সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টটি আর ব্যবহার করা না হলেও, অন্য সেবায় সেই পাসওয়ার্ড অপরিবর্তিত থাকলে তথ্য ফাঁসের প্রভাব থেকে যায়।

মূল পরিসর হলো 33,216টি অ্যাকাউন্ট। ঘটনার তারিখ হিসেবে 26 আগস্ট 2018 এবং সূচিতে অন্তর্ভুক্তির তারিখ হিসেবে 12 সেপ্টেম্বর 2025 ধরা হয়েছে। ডোমেইনের নাম, নিবন্ধনের সংখ্যা, থাইল্যান্ডের সঙ্গে সংযোগ, সামাজিক যোগাযোগমাধ্যম ও বন্ধুত্বের শ্রেণি এবং ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের ক্ষেত্রগুলো পরস্পরের সঙ্গে সামঞ্জস্যপূর্ণ হওয়ায় এই পরিসর বজায় রাখা হয়েছে। কিছু উৎসে শুধু মাসের উল্লেখ থাকলেও, ঘটনার আরও বিস্তারিত বিবরণে একই সময়কালের ব্যাপক তথ্য ফাঁসের দিনটি উল্লেখ করা হয়েছে। তাই ব্যবহারকারীকে স্পষ্টভাবে জানানো হয় যে ঘটনাটি 2018 সালের এবং সূচিতে অন্তর্ভুক্তির বছর 2025।

কোনো প্রতিষ্ঠানের আনুষ্ঠানিক প্রতিবেদনে সমর্থন না থাকায় ঘটনাটিকে যাচাইকৃত হিসেবে চিহ্নিত করা হয়নি। ডোমেইনের বর্তমান HTTPS পরীক্ষায় সার্টিফিকেটের ত্রুটি এবং HTTP-তে স্বাভাবিক বিষয়বস্তুর অভাব, কোনোটিই নিজে থেকে অতীতের ঘটনাটি প্রমাণ করে না। এগুলো শুধু ইঙ্গিত দেয় যে সেবাটির বর্তমান অবস্থা ভালো নয়। প্রকাশ্য বিবরণে শুধু প্রমাণসমর্থিত সংখ্যা ও তথ্যের ক্ষেত্রগুলোই উল্লেখ করা হয়। অতিরিক্ত কোনো তথ্যের ধরন নিশ্চিত না হলে তা ব্যবহারকারীর সামনে উপস্থাপন করা হয় না। এই সীমা ভুলভাবে তথ্য ফাঁস শনাক্ত করার ঝুঁকি কমায় এবং যার তথ্যের সঙ্গে মিল পাওয়া গেছে, তাঁকে সঠিক নিরাপত্তা পদক্ষেপ বেছে নিতে সাহায্য করে।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা SawasdeeKappom অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ডটি ব্যক্তিগত ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, বার্তা আদান-প্রদানের সেবা, আর্থিক অ্যাকাউন্ট, ক্লাউড স্টোরেজ বা কর্মক্ষেত্রের অ্যাকাউন্টেও ব্যবহার করেন। প্ল্যাটফর্মটি থাই ও জাপানি বন্ধুত্বের পরিসরকে গুরুত্ব দেওয়ায় এসব অঞ্চলের সঙ্গে সম্পর্কিত ইমেইল ঠিকানা, ভাষার ব্যবহার ও সামাজিক যোগাযোগের ভিত্তিতে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বার্তা তৈরি করা বিশেষভাবে সহজ হতে পারে। পাসওয়ার্ড প্লেইন টেক্সটে পাওয়া যাওয়ায় আক্রমণকারীরা দুর্বল পাসওয়ার্ড অনুমান করতে সময় নষ্ট না করে সরাসরি লগইনের চেষ্টার জন্য তালিকা তৈরি করতে পারে।

এ ধরনের ক্ষেত্রে পুরোনো ও ভুলে যাওয়া অ্যাকাউন্টগুলো আলাদা ঝুঁকি তৈরি করে। ব্যবহারকারী হয়তো বহু বছর আগে সাইটটি ব্যবহার করা ছেড়ে দিয়েছেন, কিন্তু অন্য কোনো অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করলে ঝুঁকি শেষ হয় না। গোপনীয়তা নিয়ে উদ্বেগের কারণে ব্যবহারকারীরা বন্ধুত্ব বা ডেটিং-সংক্রান্ত পুরোনো অ্যাকাউন্ট উপেক্ষা করতে পারেন; এতেও পাসওয়ার্ড পরিবর্তন করতে দেরি হয়। যাঁরা বহু বছর ধরে একই ইমেইল ঠিকানা ব্যবহার করছেন, পাসওয়ার্ড ম্যানেজার ব্যবহার করেন না বা একই পাসওয়ার্ডে সামান্য কিছু যোগ করে ব্যবহার করে চলেছেন, তাঁরা বেশি ঝুঁকিতে আছেন। যাঁরা প্রতিষ্ঠানের ইমেইল দিয়ে নিবন্ধন করেছিলেন, তাঁদের কর্মক্ষেত্রের অ্যাকাউন্টও আলাদাভাবে নিরাপত্তা পরীক্ষা করা উচিত।

প্রথম পদক্ষেপ হলো SawasdeeKappom-এ ব্যবহৃত পাসওয়ার্ডের সঙ্গে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট শনাক্ত করে সেগুলোর পাসওয়ার্ড পরিবর্তন করা। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, বার্তা আদান-প্রদানের সেবা, আর্থিক সেবা, ক্লাউড স্টোরেজ ও কর্মক্ষেত্রের সেশনগুলোকে অগ্রাধিকার দেওয়া উচিত। প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও এলোমেলো পাসওয়ার্ড বেছে নিতে হবে। পুরোনো পাসওয়ার্ড কোথাও পুনরায় ব্যবহার করা হয়েছে কি না, তা পাসওয়ার্ড ম্যানেজার দিয়ে পরীক্ষা করা উচিত। ইমেইল ও গুরুত্বপূর্ণ অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। অ্যাপভিত্তিক কোড, হার্ডওয়্যার কী বা পাসকি SMS কোডের চেয়ে শক্তিশালী সুরক্ষা দেয়।

সন্দেহজনক লগইনের বিজ্ঞপ্তি, অপ্রত্যাশিত পাসওয়ার্ড রিসেটের বার্তা, বন্ধুত্ব বা সামাজিক যোগাযোগমাধ্যমকে কেন্দ্র করে তৈরি ভুয়া সতর্কবার্তা, আঞ্চলিক ভাষায় পাঠানো লিংক এবং অর্থ পরিশোধের অনুরোধ থাকা বার্তা সতর্কভাবে পরীক্ষা করা উচিত। লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে লিখে যাচাই করা ভালো। পুরোনো ফোরাম, কেনাকাটা, গেমিং ও ফাইল শেয়ারিংয়ের অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে, এটি ভুলে যাওয়া উচিত নয়। প্রতিষ্ঠানের ইমেইল বা কর্মক্ষেত্রের পাসওয়ার্ডের সঙ্গে কোনো সম্পর্ক থাকলে নিরাপত্তা দলকে জানানো উচিত এবং সংশ্লিষ্ট সেশনগুলো আলাদাভাবে পর্যবেক্ষণ করা উচিত।

স্থায়ী সুরক্ষার জন্য প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। পুরোনো সামাজিক যোগাযোগমাধ্যম, বন্ধুত্ব, ফোরাম, গেমিং ও কেনাকাটার অ্যাকাউন্টগুলো নিয়মিত পর্যালোচনা করা উচিত। অব্যবহৃত অ্যাকাউন্ট বন্ধ করতে হবে, অথবা শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড দিয়ে অন্য অ্যাকাউন্টগুলো থেকে আলাদা রাখতে হবে। পুনর্ব্যবহৃত পাসওয়ার্ড খুঁজে বের করা এবং এলোমেলো শক্তিশালী পাসওয়ার্ড তৈরির জন্য পাসওয়ার্ড ম্যানেজারই প্রধান সরঞ্জাম হওয়া উচিত। কোনো পাসওয়ার্ড একবার প্লেইন টেক্সটে ছড়িয়ে পড়লে সেটিকে আর নিরাপদ মনে করা উচিত নয়। ঘটনাটি পুরোনো হলেও, অন্য কোথাও পাসওয়ার্ড অপরিবর্তিত থাকলে ঝুঁকি আজও থেকে যায়।

গোপনীয়তার দিক থেকে সংবেদনশীল প্ল্যাটফর্মে আলাদা ইমেইল ব্যবহার করলে ঝুঁকি কমতে পারে। তবে শুধু আলাদা ইমেইল যথেষ্ট নয়; স্বতন্ত্র পাসওয়ার্ড ও বহু-উপাদানভিত্তিক প্রমাণীকরণ হলো সুরক্ষার মৌলিক স্তর। ব্যবহারকারীদের মনে রাখা উচিত যে পুরোনো ও ছোট পরিসরের সেবার ফাঁস হওয়া তথ্য বহু বছর পর বড় সংগ্রহে যুক্ত হতে পারে। তাই পাসওয়ার্ডের নিরাপত্তা নিয়মিত পর্যালোচনা করা উচিত এবং বিভিন্ন সাইটে একই পাসওয়ার্ড রেখে দেওয়া উচিত নয়। দীর্ঘমেয়াদে সবচেয়ে গুরুত্বপূর্ণ লক্ষ্য হলো গুরুত্বপূর্ণ অ্যাকাউন্ট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোর মধ্যে পাসওয়ার্ডের কোনো মিল না রাখা।

LeakData-তে SawasdeeKappom-এর ফলাফল দেখলে সেটিকে কোম্পানির আনুষ্ঠানিক বিজ্ঞপ্তি হিসেবে নয়, বরং তথ্য ফাঁসের প্রকাশ্য সূচিগুলোতে পাওয়া অযাচাইকৃত ঝুঁকির সংকেত হিসেবে বিবেচনা করা উচিত। দেখানো মূল পরিসর হলো 33,216টি অ্যাকাউন্ট; তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড। ঘটনার তারিখ 26 আগস্ট 2018 এবং অন্তর্ভুক্তির তারিখ 12 সেপ্টেম্বর 2025 হিসেবে নথিভুক্ত রয়েছে। এই পার্থক্য ব্যবহারকারীকে বুঝতে সাহায্য করে যে তথ্য ফাঁসের ঘটনাটি পুরোনো হলেও তা পরে সূচিতে যুক্ত হয়েছে।

আপনি প্রভাবিত ব্যবহারকারীদের মধ্যে থাকলে প্রথমে আপনার ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন। এরপর যেসব সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, সেগুলোর পাসওয়ার্ড পরিবর্তন করুন। পাসওয়ার্ড ম্যানেজারে পুনর্ব্যবহৃত পাসওয়ার্ড খুঁজে দেখুন এবং পুরোনো সামাজিক যোগাযোগমাধ্যম ও ডেটিং অ্যাকাউন্টগুলোও পরীক্ষা করুন। অচেনা সেশন বন্ধ করুন, বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন এবং বন্ধুত্ব বা সামাজিক যোগাযোগমাধ্যম-সংক্রান্ত অপ্রত্যাশিত বার্তায় বিশ্বাস করবেন না। প্রতিটি অ্যাকাউন্টের পাসওয়ার্ড আলাদা হয়ে গেলে পুরোনো তথ্য ফাঁসের প্রভাব নতুন অ্যাকাউন্টে ছড়িয়ে পড়ার ঝুঁকি উল্লেখযোগ্যভাবে কমে যায়।