Skoolkit তথ্য উন্মুক্ত হওয়ার অভিযোগ

Skoolkit রেকর্ডটি খোলার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইন নাম, কাছাকাছি ব্র্যান্ড নাম, ঘটনার তারিখ এবং রেকর্ডের সংখ্যায় মিল আছে কি না, তা পরীক্ষা করা হয়েছিল। একই ঘটনার কোনো রেকর্ড না থাকায় এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। নাম কাছাকাছি হলেও ভিন্ন ডোমেইন বা ভিন্ন ঘটনার রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন বিস্তারিত তথ্যের সংখ্যার মধ্যে পার্থক্য দেখা যেতে পারে। অপরিশোধিত সারি, স্বতন্ত্র অ্যাকাউন্ট, একই ইমেইলের একাধিক এন্ট্রি, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে সাজানো ডেটাসেটের পার্থক্যের কারণে এমন হতে পারে। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার বদলে 30,079 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে, কারণ তথ্যের ধরনগুলোর সঙ্গে এই সংখ্যাটির ধারাবাহিক সমর্থন পাওয়া যায়।

Skoolkit-কে স্কুলের ইউনিফর্ম কেনাকাটার একটি প্ল্যাটফর্ম হিসেবে মূল্যায়ন করা হয়েছে। অভিভাবক বা শিক্ষার্থীর অ্যাকাউন্ট কোনো ইমেইল ও পাসওয়ার্ডের সঙ্গে যুক্ত থাকলে, একই পাসওয়ার্ড অন্য কেনাকাটা ও ইমেইল অ্যাকাউন্টে ব্যবহার করে প্রবেশের চেষ্টা করার ঝুঁকি থাকে।

এই ঘটনায় ইমেইল ঠিকানা ও পাসওয়ার্ড হ্যাশ ফাঁস হয়েছে। হ্যাশের ধরন হিসেবে bcrypt ও MD5 দেখা যাওয়ায় সম্ভবত শক্তিশালী ও দুর্বল সংরক্ষণপদ্ধতি পাশাপাশি ব্যবহৃত হয়েছে। ব্যবহারকারীদের একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহৃত হয়েছে ধরে নিয়ে ব্যবস্থা নেওয়া উচিত।

Skoolkit-এর ঘটনায় সাধারণ ইমেইল ফাঁসের তুলনায় ঝুঁকি বেশি, কারণ bcrypt ও MD5 দিয়ে হ্যাশ করা পাসওয়ার্ডের তথ্য পাওয়া গেছে। পাসওয়ার্ডের তথ্য আক্রমণকারীদের বিভিন্ন সম্ভাবনা পরীক্ষা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত অন্য সেবায় স্বয়ংক্রিয়ভাবে লগইন করার চেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানা ব্যক্তিগত তথ্য হিসেবে সীমিত মনে হতে পারে। তবে ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পুরো নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে যুক্ত হলে সেটি আক্রমণের কার্যকর মাধ্যম হয়ে ওঠে। ব্যবহারকারী কাজ, কেনাকাটা, ফোরাম, গেম, স্বাস্থ্য, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনও রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই Skoolkit-এর মতো পুরোনো ডেটা ফাঁসের তথ্য বহু বছর পরেও পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো, অতীতে Skoolkit বা skoolkit.co.uk-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টেও একই ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়। পুনর্ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটির জন্য স্বতন্ত্র ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর পদক্ষেপগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি ডেটা ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও পর্যালোচনা করা উচিত এবং দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড বদলে ফেলা উচিত।

ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট এবং অ্যাডমিন প্যানেলে দুই-ফ্যাক্টর পরিচয় যাচাই চালু করা বিশেষভাবে অগ্রাধিকার পাওয়া উচিত। SMS-ভিত্তিক পরিচয় যাচাইয়ের তুলনায় অ্যাপভিত্তিক পরিচয় যাচাই বা হার্ডওয়্যার নিরাপত্তা কী আরও প্রতিরোধক্ষম সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিংয়ের নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা এবং সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি Skoolkit অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, সংশ্লিষ্ট খাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লিখে প্রবেশ করা উচিত, যাচাই না করে সংযুক্ত ফাইল খোলা উচিত নয় এবং জরুরি ব্যবস্থা নেওয়ার চাপ তৈরি করে এমন বার্তার ব্যাপারে সতর্ক থাকা উচিত।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী ব্যক্তিগত বলে মনে হয় এমন অ্যাকাউন্টে কাজের ইমেইল ব্যবহার করে থাকলে, প্রতিষ্ঠানের সিস্টেমে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-ফ্যাক্টর পরিচয় যাচাই এবং পাসওয়ার্ড পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য মূল শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ এবং তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা। সাধারণ পাঠ্য হিসেবে রাখা পাসওয়ার্ড বা দ্রুত ভাঙা যায় এমন হ্যাশের ধরন সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত এবং ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত। ব্যবহারকারী লগইন করার সময় পুরোনো হ্যাশের ধরনগুলো ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, রপ্তানি করা ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল এবং অপ্রয়োজনীয় প্রবেশাধিকার নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং নজরের বাইরে থাকা সহায়ক সিস্টেম বা ব্যাপক প্রবেশাধিকার থাকা অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তা ঘটনার প্রতিক্রিয়া পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট করা, লগ পর্যালোচনা এবং সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

Skoolkit-সংক্রান্ত তালিকার সারিতে প্রায় 35 হাজার রেকর্ড দেখা গেলেও সরাসরি প্রমাণসমর্থিত সংখ্যা 30,079-ই রাখা হয়েছে। অপরিশোধিত সারি ও স্বতন্ত্র অ্যাকাউন্টের সংখ্যার পার্থক্যের কারণে এই অমিল হতে পারে।

বর্তমান পরীক্ষায় সাইটটি 200 রেসপন্স দেওয়ায় রেকর্ডটিকে বন্ধ হয়ে যাওয়া সেবার রেকর্ড হিসেবে চিহ্নিত করা হয়নি। আপনি সাইটে প্রবেশ করতে পারলে সরাসরি আপনার অ্যাকাউন্টের সেটিংস ও পাসওয়ার্ড পরীক্ষা করুন।

স্কুলের ইউনিফর্ম ও কেনাকাটার প্রেক্ষাপটে ভুয়া অর্ডার, ডেলিভারি, পণ্য ফেরত বা অর্থ পরিশোধের বার্তা বেশি বিশ্বাসযোগ্য মনে হতে পারে। ব্যবহারকারীদের লিংকের বদলে সাইটের অফিসিয়াল ওয়েব ঠিকানা নিজে লিখে প্রবেশ করা উচিত।

এই রেকর্ডে নাম, ঠিকানা বা অর্থ পরিশোধের তথ্য যোগ করা হয়নি, কারণ সেগুলোর সরাসরি সমর্থন পাওয়া যায়নি। রেকর্ডটি শুধু ইমেইল ও পাসওয়ার্ড হ্যাশের মধ্যে সীমাবদ্ধ রাখা হয়েছে।

Skoolkit-এর জন্য স্থানীয়ভাবে সংরক্ষিত একটি সাধারণ SVG লোগো ব্যবহার করা হয়েছে, কারণ ছবিটি সাধারণ ধরনের। এর মাধ্যমে নিবন্ধন পৃষ্ঠায় ছবি না দেখানোর ঝুঁকিও দূর করা হয়েছে।

এই রেকর্ডে যাচাই না করা তথ্যের ধরনগুলো সচেতনভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। ডেটা ফাঁসের পৃষ্ঠার উদ্দেশ্য ভীতিকর দেখানো নয়, বরং সঠিক পরিধি ও প্রযোজ্য নিরাপত্তা ব্যবস্থা পরিষ্কারভাবে ব্যাখ্যা করা।

Skoolkit-এর ডেটা ফাঁস, skoolkit.co.uk-এর তথ্য ফাঁস, Skoolkit-এর পাসওয়ার্ড ফাঁস এবং Skoolkit-এর ব্যবহারকারীর তথ্যের মতো বিভিন্ন নামে সহজবোধ্য ও ব্যবহারিক তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি তৈরি করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয় ও বাস্তবে নেওয়া যায় এমন নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখার পর ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলো বিশেষভাবে আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ড পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহরের নাম বা সহজে অনুমানযোগ্য সংযোজন রাখা উচিত নয়। পাসওয়ার্ডের শেষে একটি ছোট সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না। আক্রমণকারীদের সরঞ্জাম এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-ফ্যাক্টর পরিচয় যাচাই চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যায় এমন ইমেইল ঠিকানার দিক থেকে নিরাপত্তা দলগুলোর এই রেকর্ড মূল্যায়ন করা উচিত। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইলের তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণনীতির আওতায় নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যের ক্ষেত্রে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য রপ্তানির কার্যক্রমে বাড়তি নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্ট সুরক্ষিত ও হালনাগাদ রাখার কাজগুলো সম্পন্ন করা দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, তথ্যের শ্রেণিগুলো ব্যবহার করে অ্যাকাউন্ট দখলের সম্ভাবনা এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠার ঝুঁকির মাত্রা সংকটজনক নির্ধারণ করা হয়েছে। সংকটজনক মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; বরং ব্যবহারকারীর দ্রুত ব্যবস্থা নেওয়া প্রয়োজন বোঝায়।

সারসংক্ষেপে, Skoolkit-এর এই রেকর্ডটি 2016 সালের জুনের একটি একক ডেটা ফাঁসের রেকর্ড, যা 30,079টি অ্যাকাউন্টকে প্রভাবিত করেছে এবং ইমেইল ঠিকানা ও পাসওয়ার্ড হ্যাশের ক্ষেত্র ধারণ করে। ব্যবহারকারীদের স্বতন্ত্র পাসওয়ার্ড ব্যবহার, দুই-ফ্যাক্টর পরিচয় যাচাই চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।

Skoolkit রেকর্ডে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়। তাই একই নামে প্রচলিত তালিকার অস্পষ্ট এন্ট্রিগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারী যে রেকর্ডটি দেখেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমাবদ্ধ।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণসমর্থিত নয় এমন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা ও পাসওয়ার্ড হ্যাশ ছাড়া অন্য কোনো দাবিকে প্রমাণিত তথ্যের ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

skoolkit.co.uk ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা ভুলে যাওয়া হয়ে থাকতে পারে। ভুলে যাওয়া অ্যাকাউন্টের পাসওয়ার্ড বদলানো সম্ভব না হলে, একই পাসওয়ার্ড ব্যবহার করা হয়েছে এমন অন্য সেবা খুঁজে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে যুক্ত হলে, আক্রমণকারীদের পক্ষে কোনো ব্যক্তির আগ্রহ, দেশ, কাজের খাত বা অতীতের সদস্যপদ নেওয়ার অভ্যাস অনুমান করা সহজ হয়। তাই একটি ডেটা ফাঁস ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কাজের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ড পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা মূল্যায়নের জন্য সতর্কসংকেত দেয়।

আপনি এই রেকর্ডে নিজের ইমেইল দেখলে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগ অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহার করা কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, অন্তত সেগুলোর পাসওয়ার্ড স্বতন্ত্র করা, প্রোফাইলের তথ্য ন্যূনতম রাখা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।