ShockGore: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, লিঙ্গ সম্পর্কিত তথ্য, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা ও ব্যবহারকারীর নাম। নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তার প্রধান যোগাযোগমাধ্যম হলো ইমেইল ঠিকানা। অন্য কমিউনিটিতেও একই ডাকনাম ব্যবহার করা হলে ব্যবহারকারীর নামের সাহায্যে বিভিন্ন অনলাইন পরিচয় মিলিয়ে নেওয়ার ঝুঁকি বাড়ে। IP ঠিকানা থেকে আনুমানিক অবস্থান, ইন্টারনেট সেবাদাতা ও ইন্টারনেট ব্যবহারের অভ্যাস সম্পর্কে ধারণা করা যেতে পারে। লিঙ্গ সম্পর্কিত তথ্য ও ব্যক্তিগত বার্তা গোপনীয়তার ওপর প্রভাব আরও বাড়ায়।

সল্টবিহীন SHA-1 হ্যাশ দিয়ে পাসওয়ার্ডের তথ্য সংরক্ষণ করা একটি উল্লেখযোগ্য প্রযুক্তিগত দুর্বলতা। সল্ট না থাকলে একই পাসওয়ার্ড থেকে একই হ্যাশ মান তৈরি হয়। এতে আগে থেকে তৈরি তালিকা ব্যবহার করে সম্ভাব্য পাসওয়ার্ড পরীক্ষা করা আক্রমণকারীদের জন্য সহজ হয়। SHA-1 পাসওয়ার্ড সংরক্ষণের আধুনিক মান নয়; ছোট, বারবার ব্যবহৃত বা অভিধানের শব্দভিত্তিক পাসওয়ার্ড অনুমান করা সহজতর। একই পাসওয়ার্ড অন্য অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে ঝুঁকি ইমেইল, সামাজিক যোগাযোগমাধ্যম, গেমিং, ক্লাউড বা আর্থিক সেবার অ্যাকাউন্টেও ছড়িয়ে পড়তে পারে।

উৎসগুলো তুলনা করে নিশ্চিত করা হয়েছে যে ShockGore-এর ঘটনাটি ঘটেছে 11 আগস্ট 2020-এ, রেকর্ডটি যুক্ত করা হয়েছে 20 জানুয়ারি 2022-এ এবং ক্ষতিগ্রস্ত ইমেইল ঠিকানার সংখ্যা 73,944। যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, লিঙ্গ সম্পর্কিত তথ্য, IP ঠিকানা, পাসওয়ার্ড, ব্যক্তিগত বার্তা ও ব্যবহারকারীর নাম। পাসওয়ার্ডের তথ্য সল্টবিহীন SHA-1 হ্যাশ হিসেবে উল্লেখ করা হয়েছে। ফোন নম্বর, বসবাসের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, আসল নাম, জন্মতারিখ, ছবি, কেনাকাটার তথ্য বা অবস্থানের ইতিহাস এই ঘটনার যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে নেই।

ব্যবহারকারীদের ঝুঁকি সম্পর্কে সঠিক ধারণা দিতে এই সীমা বজায় রাখা প্রয়োজন। সাইটের বিষয়বস্তু এবং ব্যক্তিগত বার্তা প্রকাশ (উভয় কারণেই রেকর্ডটি সংবেদনশীল শ্রেণিতে পড়ে। এমন একটি সেবার সঙ্গে কোনো ব্যক্তির সংশ্লিষ্টতার তথ্য তৃতীয় পক্ষ অপব্যবহার করতে পারে। যাচাই করা হয়নি এমন তথ্যের ক্ষেত্র যোগ করলে অযথা আতঙ্ক সৃষ্টি হয়। অন্যদিকে, ইমেইল, IP ঠিকানা, ব্যবহারকারীর নাম, লিঙ্গ সম্পর্কিত তথ্য, ব্যক্তিগত বার্তা এবং সল্টবিহীন SHA-1 পাসওয়ার্ড হ্যাশ) এসব ক্ষেত্রের জন্য সরাসরি ব্যবস্থা নেওয়া প্রয়োজন।

যাঁরা ShockGore অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। পুরোনো পাসওয়ার্ড বদলানো হলেও বিভিন্ন অ্যাকাউন্টে একই ধরনের পাসওয়ার্ড তৈরির ধারা বজায় থাকলে ঝুঁকি থেকে যায়। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে সেই পরিচয়গুলো মিলিয়ে নেওয়া সহজ হয়। ইমেইল ঠিকানাটি ব্যক্তিগত, কর্মক্ষেত্রের বা পারিবারিক যোগাযোগের সঙ্গে যুক্ত থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

যেসব ব্যবহারকারীর ব্যক্তিগত বার্তা রয়েছে, তাঁরাও ঝুঁকিতে আছেন। বার্তার বিষয়বস্তু, অনুরোধ করা উপকরণ, লিংক বা ব্যক্তিগত বক্তব্য তৃতীয় পক্ষ হুমকি দেওয়া বা বিব্রত করার উদ্দেশ্যে ব্যবহার করতে পারে। ব্যবহারকারীর নামের সঙ্গে IP ঠিকানা ও লিঙ্গ সম্পর্কিত তথ্য মিলিয়ে আক্রমণকারী নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বার্তা উপস্থাপন করতে পারে। তাই শুধু পাসওয়ার্ড নয়, আপনার ইমেইল অ্যাকাউন্ট, একই ডাকনামের সঙ্গে যুক্ত অন্যান্য অ্যাকাউন্ট এবং ব্যক্তিগত বার্তায় উল্লেখ করা অ্যাকাউন্টগুলোও পরীক্ষা করা উচিত।

প্রথম পদক্ষেপ হলো নিশ্চিত করা যে ShockGore অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে এখনো চালু নেই। একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয় এমন প্রতিটি সেবার জন্য নতুন, স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড বেছে নেওয়া উচিত। ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিতে হবে, কারণ পাসওয়ার্ড রিসেটের লিংক ও নিরাপত্তা সতর্কতা সাধারণত ইমেইল ইনবক্সেই আসে। ইমেইল অ্যাকাউন্টে দুই-ফ্যাক্টর প্রমাণীকরণ চালু করা উচিত এবং অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা ও সাম্প্রতিক সেশনগুলো পর্যালোচনা করা উচিত।

সাইটের নাম, আগের ব্যবহারকারীর নাম বা ব্যক্তিগত বার্তার বিষয়বস্তু উল্লেখ করে আসা হুমকি, অ্যাকাউন্ট-সংক্রান্ত সতর্কতা, অর্থ পরিশোধের অনুরোধ বা ব্ল্যাকমেইলের বার্তা সম্পর্কে আপনার সতর্ক থাকা উচিত। বার্তায় প্রকৃত ইমেইল ঠিকানা, IP-সংশ্লিষ্ট অঞ্চল, লিঙ্গ সম্পর্কিত তথ্য বা ব্যবহারকারীর নাম থাকলেই সেটি বিশ্বাসযোগ্য হয় না। ওই বার্তার লিংক দিয়ে লগইন করার চেষ্টা করবেন না, সংযুক্ত ফাইল খুলবেন না এবং চাওয়া তথ্য দেবেন না। প্রয়োজনে সংশ্লিষ্ট অ্যাকাউন্টের সব সেশন বন্ধ করুন এবং নিরাপত্তা বিজ্ঞপ্তি চালু রাখুন।

প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা দীর্ঘমেয়াদি নিরাপত্তার একটি মৌলিক নিয়ম। পুরোনো পাসওয়ার্ড কোথায় পুনরায় ব্যবহার করা হয়েছে তা খুঁজে বের করা এবং শক্তিশালী পাসওয়ার্ড নিরাপদে সংরক্ষণ করার জন্য পাসওয়ার্ড ম্যানেজার একটি কার্যকর সমাধান। সংবেদনশীল কমিউনিটির অ্যাকাউন্টে ব্যবহৃত ইমেইল ঠিকানা দৈনন্দিন কাজ ও পারিবারিক যোগাযোগ থেকে আলাদা রাখা সম্ভব হলে ঝুঁকি কমে। বছরের পর বছর বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে পরিচয় মিলিয়ে নেওয়া সহজ হয়; তাই নিরাপত্তা পরিকল্পনায় ছদ্মনাম ব্যবহারের বিষয়টিও রাখা উচিত।

পুরোনো ফোরাম ও কনটেন্টভিত্তিক কমিউনিটির সদস্যপদ নিয়মিত পর্যালোচনা করা, অপ্রয়োজনীয় অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলে দেওয়া তথ্য কমানো উচিত। ব্যক্তিগত বার্তা ফাঁস হলে শুধু পাসওয়ার্ড নয়, অতীতের যোগাযোগও ঝুঁকির অংশ হয়ে যায়। ইমেইলের সংরক্ষিত বার্তা, পুরোনো সদস্যপদ-সংক্রান্ত বিজ্ঞপ্তি এবং পাসওয়ার্ড রিসেটের বার্তা সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টায় ব্যবহার করা যেতে পারে। নিরাপত্তা পরিকল্পনায় পাসওয়ার্ড পরিবর্তন, ইমেইলের সুরক্ষা, মাল্টি-ফ্যাক্টর প্রমাণীকরণ এবং পুরোনো অ্যাকাউন্ট গুছিয়ে অপ্রয়োজনীয়গুলো সরিয়ে ফেলা, সবই একসঙ্গে অন্তর্ভুক্ত করা উচিত।

LeakData-তে ShockGore-এর ফলাফল দেখলে 11 আগস্ট 2020-এর ঘটনা এবং ক্ষতিগ্রস্ত 73,944টি অ্যাকাউন্টের বিষয়টি বিবেচনায় নিন। যাচাইকৃত ক্ষেত্রগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, লিঙ্গ সম্পর্কিত তথ্য, IP ঠিকানা, ব্যবহারকারীর নাম, ব্যক্তিগত বার্তা ও পাসওয়ার্ড। পাসওয়ার্ডের তথ্য সল্টবিহীন SHA-1 হ্যাশের সঙ্গে যুক্ত। আপনার অগ্রাধিকার হওয়া উচিত পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার বন্ধ করা, ইমেইল অ্যাকাউন্টের সুরক্ষা জোরদার করা, একই ডাকনাম ব্যবহার করা অন্যান্য অ্যাকাউন্ট পরীক্ষা করা এবং সংবেদনশীল প্রসঙ্গ উল্লেখ করে পাঠানো হুমকিমূলক বার্তা সম্পর্কে সতর্ক থাকা।

এই ঘটনায় ফোন নম্বর, বসবাসের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, আসল নাম, জন্মতারিখ, ছবি, কেনাকাটার তথ্য ও অবস্থানের ইতিহাস যাচাই করা হয়নি। তাই করণীয় পরিকল্পনা এসব তথ্যের ওপর ভিত্তি করে তৈরি করা উচিত নয়। অন্যদিকে, ইমেইল, IP ঠিকানা, লিঙ্গ সম্পর্কিত তথ্য, ব্যবহারকারীর নাম, ব্যক্তিগত বার্তা ও পাসওয়ার্ডের ক্ষেত্রগুলো বাস্তব ঝুঁকি বহন করে। স্বতন্ত্র পাসওয়ার্ড ব্যবহার, মাল্টি-ফ্যাক্টর প্রমাণীকরণ, সেশনের ইতিহাস পরীক্ষা এবং লিংক দিয়ে লগইন করার চেষ্টা না করার অভ্যাসের মাধ্যমে এই ঘটনার ঝুঁকি আপনার অন্য অ্যাকাউন্টে ছড়িয়ে পড়া সীমিত করা উচিত।