Sito del Ciclismo: তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাইয়ের মূল্যায়নে 2018 সালের আগস্টের ঘটনা হিসেবে cytodelciclismo.com ডোমেইনটি যাচাই করা হয়েছে। একই ঘটনায় 12,375 ব্যবহারকারী এবং ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের ফিল্ডের পক্ষে সমর্থনকারী প্রমাণ পাওয়া গেছে। পুরোনো ফোরাম, খেলাধুলার আর্কাইভ, গেমিং কমিউনিটি, স্বাস্থ্যপণ্যের দোকান ও বিশেষ আগ্রহভিত্তিক কমিউনিটিতে নিবন্ধনের ক্ষেত্রে এই পদ্ধতি বিশেষভাবে গুরুত্বপূর্ণ। কারণ, কাছাকাছি নামের সাইট, বন্ধ ডোমেইন বা অন্য ঠিকানায় পাঠিয়ে দেওয়া ডোমেইনকে একই ঘটনার অংশ বলে মনে হতে পারে। Sito del Ciclismo-এর রেকর্ড তৈরির সময় নাম, ডোমেইনের নাম, রেকর্ডের সংখ্যা, ঘটনার সময় ও তথ্যের শ্রেণি একসঙ্গে মূল্যায়ন করা হয়েছে।

পাসওয়ার্ড প্লেইন টেক্সটে সংরক্ষিত থাকার পক্ষে প্রমাণ থাকায় একই পাসওয়ার্ড আবার ব্যবহার করা হলে অ্যাকাউন্ট দখলের ঝুঁকি সরাসরি ও উচ্চ। খেলাধুলার আর্কাইভের ব্যবহারকারীরা ফোরাম, সামাজিক যোগাযোগমাধ্যম ও ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করলে একটির পর একটি অ্যাকাউন্ট দখলের ঝুঁকি তৈরি হয়। তাই এই রেকর্ডে শুধু ঘটনার নাম দেওয়া হয়নি; কোন পাসওয়ার্ড বদলাতে হবে, কোন অ্যাকাউন্ট পরীক্ষা করতে হবে এবং কোন সন্দেহজনক বার্তার দিকে নজর দিতে হবে, তা বুঝতে ব্যবহারকারীকে সাহায্য করার জন্য বিস্তারিত লেখা হয়েছে।

এই ঘটনায় দেখানো তথ্যের শ্রেণি কেবল ইমেইল ঠিকানা ও পাসওয়ার্ডের মধ্যে সীমিত। ক্রীড়াবিদদের আর্কাইভের বিষয়বস্তু, ব্যক্তিগত বার্তা, অর্থপ্রদানের তথ্য বা ফোন নম্বর রেকর্ডে রাখা হয়নি, কারণ এগুলোর পক্ষে সমর্থনকারী প্রমাণ ছিল না। এই সীমা সচেতনভাবে নির্ধারণ করা হয়েছে: তথ্য ফাঁসের রেকর্ডে পরিসর বাড়িয়ে দেখালে ব্যবহারকারী ভুল করে কোনো অ্যাকাউন্টকে ঝুঁকিপূর্ণ মনে করতে পারেন, অথবা সত্যিই ঝুঁকিতে থাকা পাসওয়ার্ডের বিষয়টি এড়িয়ে যেতে পারেন।

বর্তমান যাচাইয়ে sitodelciclismo.com ডোমেইনটিকে নির্ভরযোগ্যভাবে চলমান সক্রিয় সেবা হিসেবে নিশ্চিত করা যায়নি, অথবা এটিকে আগের ব্র্যান্ড-পরিচয় থেকে বিচ্ছিন্ন বলে মনে হয়েছে। তাই রেকর্ডে সেবাটিকে বন্ধ হয়ে যাওয়া বা প্রবেশ করা যায় না এমন সেবা হিসেবে রাখা হয়েছে। ওয়েবসাইটের বর্তমান অবস্থা ঘটনার সময়কার নিরাপত্তাগত প্রভাব মুছে দেয় না। পুরোনো ডোমেইনটি আজ অন্য পাতায় পাঠিয়ে দিলেও, পার্ক করা অবস্থায় দেখা গেলেও বা সেবাটি বদলে গেলেও, পাসওয়ার্ড পুনর্ব্যবহারের কারণে ফাঁস হওয়া লগইন তথ্য বহু বছর পরও স্বয়ংক্রিয়ভাবে বারবার লগইনের চেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীর প্রথমে দেখা দরকার, Sito del Ciclismo-এর সঙ্গে যুক্ত ইমেইল ঠিকানা অন্য সেবাতেও ব্যবহার করা হয়েছে কি না। অন্য সাইটে একই ইমেইল ও পাসওয়ার্ডের জোড়া ব্যবহার করা হলে ঝুঁকি একটি অ্যাকাউন্টে সীমাবদ্ধ থাকে না। বিশেষ করে ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেম, ফোরাম, চাকরির আবেদন ও প্রতিষ্ঠানের পোর্টালের অ্যাকাউন্টে একই পাসওয়ার্ড থাকলে ধারাবাহিকভাবে একাধিক অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে।

নিশ্চিত করুন, পুরোনো শখভিত্তিক সাইটের পাসওয়ার্ড সামাজিক যোগাযোগমাধ্যম, ইমেইল ও কেনাকাটার অ্যাকাউন্টে আবার ব্যবহার করা হচ্ছে না। পাসওয়ার্ড বদলানোর সময় সামান্য পরিবর্তন যথেষ্ট নয়। যেমন, পুরোনো পাসওয়ার্ডের শেষে কোনো বছর, বিস্ময়চিহ্ন বা সাইটের নাম যোগ করলে স্বয়ংক্রিয় আক্রমণের টুল সহজেই সেগুলো চেষ্টা করতে পারে। সবচেয়ে ভালো পদ্ধতি হলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা, যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা এবং পুরোনো পুনরুদ্ধার ইমেইল ঠিকানাগুলো পর্যালোচনা করা।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে এর মধ্যে রয়েছে পাসওয়ার্ড নীতি, ব্যাকআপে প্রবেশাধিকার এবং পুরোনো CMS প্লাগইনের নিয়মিত নিরীক্ষা, এমনকি কম ব্যবহারকারী আসে এমন কমিউনিটি আর্কাইভেও। তথ্য ফাঁসের প্রভাব শুধু ব্যবহারকারীদের তথ্যের টেবিল ফাঁস হওয়াতেই শেষ হয় না। একই পাসওয়ার্ড VPN, অ্যাডমিন প্যানেল, গ্রাহক পোর্টাল, CMS, ক্লাউড স্টোরেজ বা ইমেইল অ্যাকাউন্টে ব্যবহার করা হলে ঘটনাটি নেটওয়ার্কের এক সিস্টেম থেকে অন্য সিস্টেমে আক্রমণকারীর অগ্রসর হওয়া (ল্যাটারাল মুভমেন্ট) এবং অননুমোদিত প্রবেশের ঝুঁকিতে রূপ নিতে পারে।

Sito del Ciclismo-এর ঝুঁকি মূল্যায়নে পাসওয়ার্ড সংরক্ষণের ধরনও বিবেচনা করা হয়েছে: প্লেইন টেক্সট পাসওয়ার্ড। প্লেইন টেক্সট পাসওয়ার্ড ব্যবহারিক দিক থেকে সর্বোচ্চ ঝুঁকি তৈরি করে, কারণ সেগুলো সরাসরি ব্যবহার করা যায়। MD5, পুরোনো ফোরাম সফটওয়্যারের হ্যাশ বা সল্টের তথ্যসহ টেবিল প্লেইন টেক্সট না হলেও আধুনিক হার্ডওয়্যার দিয়ে পরীক্ষা করা যায়। তাই শুধু পাসওয়ার্ড হ্যাশ করা হয়েছে বলেই ব্যবহারকারীর জন্য সেটিকে নিরাপদ ধরে নেওয়া উচিত নয়।

Sito del Ciclismo-এর তথ্য ফাঁস, ইতালীয় সাইক্লিং সাইটের তথ্য ফাঁস, খেলাধুলার আর্কাইভের পাসওয়ার্ডের নিরাপত্তা এবং সাইক্লিং অ্যাকাউন্টের তথ্য ফাঁসের মতো বিভিন্ন নামের মাধ্যমে ঘটনাটির পরিসর বোঝাতে এই রেকর্ডটি সম্পাদনা করা হয়েছে। উদ্দেশ্য হলো, Sito del Ciclismo-এর তথ্য ফাঁসের মুখোমুখি হওয়া ব্যক্তি যেন স্পষ্টভাবে বুঝতে পারেন কী ঘটেছে, কোন ধরনের তথ্য যাচাই করা হয়েছে, কোন ফিল্ড বাদ দেওয়া হয়েছে এবং কী নিরাপত্তামূলক পদক্ষেপ নিতে হবে।

ভুল মিল কমাতে কাছাকাছি নামের রেকর্ডগুলো আলাদা রাখা হয়েছে। cytodelciclismo.com-এর সঙ্গে সম্পর্কহীন সাধারণ তথ্যসংকলন, অন্য ব্র্যান্ডের কাছাকাছি নামের ডেটাবেস বা কেবল এক লাইনের দাবিতে সীমাবদ্ধ রেকর্ড এই ঘটনার সঙ্গে এক করা হয়নি। এই পার্থক্য একই তথ্য ফাঁসের পুনরাবৃত্ত নথিভুক্তি ঠেকায় এবং তালিকায় ব্যবহারকারী যেন প্রাসঙ্গিক ডোমেইনের নামই দেখতে পান, তা নিশ্চিত করে।

ঘটনাটি যে অতীতের, সেটিও গুরুত্বপূর্ণ। 2018 সালের আগস্টে নিরাপত্তা কাঠামো, পাসওয়ার্ড সংরক্ষণের মান এবং ফোরাম বা ওয়েব অ্যাপ্লিকেশন রক্ষণাবেক্ষণের চর্চা আজকের প্রত্যাশা থেকে ভিন্ন হতে পারে। তবে এতে পুরোনো রেকর্ডের প্রভাব কমে না। পুরোনো তথ্য ফাঁস থেকে পাওয়া ইমেইল ও পাসওয়ার্ডের জোড়া নতুন সেবায় চেষ্টা করে এখনও অ্যাকাউন্ট দখলের প্রচেষ্টায় ব্যবহার করা যেতে পারে।

Sito del Ciclismo-এর রেকর্ডে ব্যবহারকারীর জন্য দেখানো সংখ্যা 12,375 রাখা হয়েছে। নিবন্ধনের সংখ্যা যে প্রকৃত ব্যবহারকারীর সংখ্যার হুবহু সমান হবে, তা নয়। কিছু ডেটাসেটে একই সারি একাধিকবার থাকতে পারে, পরীক্ষামূলক অ্যাকাউন্ট থাকতে পারে বা কিছু ফিল্ডের তথ্য অনুপস্থিত থাকতে পারে। তা সত্ত্বেও, নিশ্চিত করা মোট সংখ্যাটি ঘটনার ব্যাপকতা এবং ব্যবহারকারীর নিরাপত্তার ক্ষেত্রে কতটা অগ্রাধিকার দেওয়া উচিত, তা বোঝানোর জন্য যথেষ্ট নির্দেশক।

নিরাপত্তা সম্পর্কে সচেতনতা তৈরির উদ্দেশ্যে এই রেকর্ড প্রস্তুত করা হয়েছে। ব্যবহারকারীদের ফাঁস হওয়া তথ্য খুঁজতে, ডাউনলোড করতে বা শেয়ার করতে উৎসাহিত করা হচ্ছে না। করণীয় হলো সংশ্লিষ্ট অ্যাকাউন্টগুলোর নিরাপত্তা বাড়ানো, একই পাসওয়ার্ডের ব্যবহার বন্ধ করা, সন্দেহজনক সেশন বন্ধ করা, পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা এবং সম্ভব হলে পাসওয়ার্ড ম্যানেজারের সাহায্যে সব অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা।

Sito del Ciclismo-এর ঘটনায় তথ্যের ধরন সীমিত মনে হলেও, আক্রমণকারীর জন্য শুধু ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডই যথেষ্ট হতে পারে। ইমেইল ঠিকানা পরিচয় শনাক্ত করা, পাসওয়ার্ড রিসেটের চেষ্টা, ভুয়া বিজ্ঞপ্তি, প্রচারমূলক ইমেইল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণামূলক প্ররোচনার কাজে ব্যবহার করা যেতে পারে। পাসওয়ার্ড অন্যত্রও ব্যবহার করা হলে তা দিয়ে সরাসরি লগইনের চেষ্টা করা যায়।

অ্যাকাউন্টধারীদের ব্যবহারিক যাচাইতালিকা হলো: সংশ্লিষ্ট সেবায় ব্যবহৃত পুরোনো পাসওয়ার্ড মনে করুন, একই বা কাছাকাছি পাসওয়ার্ড থাকা সব অ্যাকাউন্টের পাসওয়ার্ড বদলান, মূল ইমেইল অ্যাকাউন্টের লগইনের ইতিহাস দেখুন, দুই-ধাপের যাচাইকরণ চালু করুন এবং কোনো সেবায় পুরোনো পাসওয়ার্ডটি পুনরায় ব্যবহার করবেন না। প্রতিষ্ঠানের জন্য যাচাইতালিকা হলো ব্যবহারকারীদের তথ্যের পুরোনো টেবিলগুলোতে প্রবেশাধিকার বন্ধ করা, পাসওয়ার্ড হ্যাশের নীতি নিরীক্ষা করা এবং ফাঁস হওয়া লগইন তথ্য দিয়ে ব্যাপকভাবে লগইনের চেষ্টা শনাক্ত করতে সতর্কসংকেতের ব্যবস্থা করা।

এই লেখা তৈরির সময় ঘটনার বাইরের ব্র্যান্ড, সাধারণ তথ্যসংকলন এবং প্রমাণিত নয় এমন তথ্যের ফিল্ড ইচ্ছাকৃতভাবে বিবরণে অন্তর্ভুক্ত করা হয়নি। Sito del Ciclismo-এর রেকর্ডের উদ্দেশ্য হলো স্বতন্ত্র তথ্য ফাঁসের ঘটনাটি স্পষ্ট করা, sitodelciclismo.com-এর সঙ্গে যুক্ত ব্যবহারকারীদের কী পরীক্ষা করতে হবে তা দেখানো এবং অপ্রয়োজনীয় উৎস-উল্লেখের বদলে তথ্য ফাঁসের পাতায় যাচাইকৃত ডোমেইনগুলো তুলে ধরা।

Sito del Ciclismo-এর ক্ষেত্রে ঝুঁকির দ্বিতীয় স্তর হলো ফাঁস হওয়া লগইন তথ্যের সঙ্গে অন্য ডেটাসেটের তথ্য মিলে যাওয়া। একই ইমেইল ঠিকানা আগে কোনো ফোরাম, কেনাকাটা, চাকরির আবেদন, গেমিং বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে আক্রমণকারী শুধু পাসওয়ার্ড নয়, ব্যক্তির আগ্রহ ও অ্যাকাউন্ট ব্যবহারের অভ্যাসও অনুমান করতে পারেন। তাই ঘটনাটি ছোট বা পুরোনো মনে হওয়া নিরাপত্তামূলক পদক্ষেপ পিছিয়ে দেওয়ার যথেষ্ট কারণ নয়।

sitodelciclismo.com ডোমেইনের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানোর পর ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও মুছে ফেলতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করা হলে যেসব রেকর্ডে একই পাসওয়ার্ড রয়েছে, সেগুলো খুঁজে প্রতিটিতে আলাদা পাসওয়ার্ড দিতে হবে। বিশেষ করে প্লেইন টেক্সট বা দুর্বল হ্যাশের ক্ষেত্রে আক্রমণকারী অনুমান না করেই সরাসরি পাসওয়ার্ডটি দিয়ে চেষ্টা করতে পারেন।

নিরাপত্তা দলগুলোর জন্য এই রেকর্ডটি ফাঁস হওয়া লগইন তথ্য শনাক্ত ও অনুসরণ করার কাজে ডোমেইনভিত্তিক মিল যাচাইয়ের প্রয়োজনীয়তা তুলে ধরে। শুধু প্রতিষ্ঠানের নাম দিয়ে খোঁজা যথেষ্ট নাও হতে পারে। পুরোনো ডোমেইনের নাম, www-এর ব্যবহার, বর্তমানে যে ডোমেইনে পাঠানো হচ্ছে তার নাম এবং ব্যবহারকারীদের ইমেইল ঠিকানার শেষাংশ একসঙ্গে পরীক্ষা করা উচিত। এভাবে প্রকৃত ঝুঁকি শনাক্ত করা যায় এবং কাছাকাছি নামের হলেও সম্পর্কহীন রেকর্ড ভুল করে এক হয়ে যায় না।

এই রেকর্ডে তথ্যের শ্রেণি বোঝানোর ভাষা ইচ্ছাকৃতভাবে সহজ রাখা হয়েছে: ইমেইল ঠিকানা ও পাসওয়ার্ড। প্রযুক্তিগত খুঁটিনাটিতে আটকে না গিয়ে ব্যবহারকারীর বোঝা দরকার কোন তথ্য প্রকাশ হয়ে গেছে। পাশাপাশি পাসওয়ার্ড সংরক্ষণের পদ্ধতিও উল্লেখ করা হয়েছে, কারণ সেটিই ঘটনার ব্যবহারিক প্রভাব নির্ধারণ করেছে। প্লেইন টেক্সট পাসওয়ার্ডের উল্লেখ বোঝায় যে ঘটনাটি শুধু ইমেইল ঠিকানার তালিকা ফাঁস নয়; অ্যাকাউন্টের নিরাপত্তার দিক থেকেও এটি মূল্যায়ন করা উচিত।

এই ঘটনা সম্পর্কে তথ্য খুঁজছেন যাঁরা, তাঁদের জন্য মূল কথা হলো: একটি তথ্য ফাঁসের রেকর্ড পুরো অ্যাকাউন্টের নিরাপত্তার ইতিহাস আবার পর্যালোচনা করার সুযোগ। পুরোনো সেবায় ব্যবহৃত পাসওয়ার্ড প্রায়ই ভুলে যাওয়া হয়, কিন্তু ফাঁস হওয়া ডেটাসেট হারিয়ে যায় না। তাই পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রতিটি পাসওয়ার্ড আলাদা করা এবং মূল ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখাকে অগ্রাধিকার দিতে হবে।

রেকর্ডের কাঠামো পরিচ্ছন্ন রাখা হয়েছে: ওয়েবসাইটের ঘরে শুধু ডোমেইনের নাম ব্যবহার করা হয়েছে, লোগোর ছবি রেকর্ডের সঙ্গে মিলিয়ে নেওয়া হয়েছে, বিবরণ ঘটনার পরিসরে সীমিত রাখা হয়েছে এবং একক রেকর্ডের কাঠামোর মাধ্যমে একই ঘটনার একাধিক নিবন্ধনের ঝুঁকি কমানো হয়েছে। সর্বজনীন রেকর্ডের পাতায় ভুল লিংক দেখানো এড়াতে এবং ভিন্ন URL-এর অধীনে একই ঘটনার পুনরাবৃত্তি ঠেকাতে এই বিন্যাস গুরুত্বপূর্ণ।

সারসংক্ষেপে, Sito del Ciclismo-এর তথ্য ফাঁস (2018 সালের আগস্টে 12,375 রেকর্ড, ইমেইল ঠিকানা, পাসওয়ার্ড এবং প্লেইন টেক্সট পাসওয়ার্ড) অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত এমন একটি ঘটনা, যা প্রেক্ষাপট বিবেচনা করে মোকাবিলা করতে হবে। ঘটনার অস্তিত্ব অতিরঞ্জিত না করে, যাচাই না করা দাবি না যোগ করে এবং একই ঘটনার একাধিক রেকর্ড তৈরি না করে ব্যবহারকারী যেন দ্রুত পদক্ষেপ নিতে পারেন, সেই উদ্দেশ্যে এই পাতা প্রস্তুত করা হয়েছে।