Soft Flex Company: তথ্য উন্মুক্ত হওয়ার অভিযোগ

Soft Flex Company-এর জন্য রেকর্ড তৈরির আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ব্র্যান্ডের নাম, ডোমেইন নাম, ঘটনার তারিখ, রেকর্ডের সংখ্যা এবং কাছাকাছি বানানের বিভিন্ন রূপ পরীক্ষা করা হয়েছিল। একই ঘটনার প্রতিনিধিত্ব করে এমন কোনো রেকর্ড না পাওয়ায় এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। দেখতে মিল থাকলেও যেসব রেকর্ডের ডোমেইন বা ঘটনার সময়কাল ভিন্ন ছিল, অথবা যেগুলোতে যথেষ্ট সমর্থনকারী তথ্য ছিল না, সেগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

লক্ষ্যতালিকায় দেওয়া আনুমানিক রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন বিস্তারিত তথ্যের সংখ্যার মধ্যে পার্থক্য থাকতে পারে। অপ্রক্রিয়াজাত ডেটার সারি, স্বতন্ত্র ইমেইল ঠিকানা, ডুপ্লিকেট অ্যাকাউন্ট, পরিশোধিত রেকর্ড, ফোরাম প্রোফাইল, পুরোনো এক্সপোর্ট ফাইল বা নতুনভাবে প্যাকেজ করা ডেটাসেটের পার্থক্য এর কারণ হতে পারে। এই পৃষ্ঠায় দেখা সর্বোচ্চ সংখ্যাটি নয়, বরং ডেটার ধরনগুলোর পাশাপাশি ধারাবাহিকভাবে সমর্থন পাওয়া 31,600 সংখ্যাটিকেই ভিত্তি ধরা হয়েছে।

Soft Flex Company গয়নার উপকরণ, হস্তশিল্পের পণ্য ও অনলাইন কেনাকাটার সঙ্গে যুক্ত হওয়ায় এই ঘটনার প্রভাবকে কেবল পাসওয়ার্ডসংক্রান্ত একটি প্রযুক্তিগত সমস্যা হিসেবে দেখা উচিত নয়। এই প্ল্যাটফর্মে পুরোনো সদস্যপদের কথা ব্যবহারকারীর মনে না থাকলেও অন্য সেবায় একই ইমেইল ও একই ধরনের পাসওয়ার্ড ব্যবহারের অভ্যাস অব্যাহত থাকতে পারে।

এই ঘটনায় তথ্যপ্রমাণে সমর্থিত ডেটার ক্ষেত্রগুলো ইমেইল ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ডের মধ্যেই সীমিত ছিল। গয়না ও শখের পণ্য কেনাকাটার প্রেক্ষাপট ব্যবহারকারীদের আগের অর্ডার দেওয়ার অভ্যাস ও আগ্রহের ভিত্তিতে আরও বিশ্বাসযোগ্য ভুয়া প্রচারমূলক বার্তা পাঠানোর সুযোগ তৈরি করতে পারে।

এই ঘটনায় প্লেইনটেক্সট পাসওয়ার্ডের তথ্য থাকার পক্ষে সমর্থন পাওয়ায় ঝুঁকি একটি সাধারণ ইমেইল তালিকার চেয়ে বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের অনুমান করে পরীক্ষা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয় লগইন প্রচেষ্টা সহজ করে এবং ভুয়া অর্ডার বা কুপনের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

একটি ইমেইল ঠিকানা একা সীমিত ব্যক্তিগত তথ্য বলে মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, পূর্ণ নাম, নিবন্ধনের তারিখ, সাইটে আসার তারিখ, দেশ, আগ্রহ বা পাসওয়ার্ডের তথ্যের সঙ্গে যুক্ত হলে এটি আক্রমণের শক্তিশালী একটি মাধ্যম হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেমিং, স্বাস্থ্য, অর্থসংক্রান্ত সেবা, সামাজিক যোগাযোগমাধ্যম বা বিনোদনের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব রয়ে গেছে। ব্যবহারকারীদের উল্লেখযোগ্য একটি অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই Soft Flex Company-এর মতো পুরোনো ডেটা ফাঁসের তথ্য বহু বছর পরও পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং এবং নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে ফিশিংয়ের প্রচেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো, অতীতে Soft Flex Company বা softflexcompany.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টেও একই গোত্রের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়; পুনরায় ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি ডেটা ফাঁসের প্রভাব একের পর এক অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা বারবার ব্যবহৃত পাসওয়ার্ডগুলো সরিয়ে ফেলা উচিত।

ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট, গেমিং অ্যাকাউন্ট, কেনাকাটার অ্যাকাউন্ট ও অ্যাডমিন প্যানেলে দুই-উপাদানভিত্তিক প্রমাণীকরণ বিশেষভাবে অগ্রাধিকার পাওয়া উচিত। SMS-ভিত্তিক যাচাইয়ের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আক্রমণের বিরুদ্ধে আরও শক্ত সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ, বিশ্বস্ত ডিভাইসের তালিকা এবং সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি Soft Flex Company অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড পুনঃস্থাপনের প্রক্রিয়াকে লক্ষ্য করতে পারেন।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, সংশ্লিষ্ট খাতের তথ্য, দেশ, শখ, কেনাকাটার ইতিহাস, কমিউনিটির সদস্যপদ বা নিবন্ধনের তারিখ কাজে লাগানো হতে পারে। ব্যবহারকারীদের আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা টাইপ করা উচিত, যাচাই ছাড়া সংযুক্ত ফাইল খোলা উচিত নয় এবং জরুরি পদক্ষেপ নেওয়ার চাপ তৈরি করে এমন বার্তার ব্যাপারে সতর্ক থাকা উচিত।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী ব্যক্তিগত বলে মনে হয় এমন একটি অ্যাকাউন্টে কর্মস্থলের ইমেইল ব্যবহার করে থাকলে, প্রতিষ্ঠানের সিস্টেমেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য প্রধান শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ এবং ডেটা সংগ্রহ ও সংরক্ষণ সীমিত রাখা। প্লেইনটেক্সট বা দ্রুত ভাঙা যায় এমন হ্যাশ বিন্যাস সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত এবং গণনায় ধীর পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত। ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ বিন্যাসগুলো ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, এক্সপোর্ট ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল, প্লাগইন এবং অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক ডেটা ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা বিস্তৃত অনুমতিসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

নিরাপত্তা ঘটনায় সাড়া দেওয়ার পরিকল্পনা নেই এমন প্রতিষ্ঠানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড পুনঃস্থাপন, লগ পর্যালোচনা এবং সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করে রাখা উচিত।

বিস্তারিত তথ্য ও 2018 সালের আগস্টের সময়কালের ভিত্তিতে 31,600 রেকর্ডের পক্ষে সরাসরি সমর্থন পাওয়ায় এই সংখ্যাই ব্যবহার করা হয়েছে; লক্ষ্য সারিতে থাকা কাছাকাছি কিন্তু ভিন্ন সংখ্যাটি আর বাড়ানো হয়নি।

বর্তমান সরাসরি যাচাইয়ের সময় সাইটটি প্রবেশযোগ্য বলে মনে হওয়ায় রেকর্ডটিকে আর সক্রিয় নয় বলে চিহ্নিত করা হয়নি।

এই রেকর্ডটি সংবেদনশীল শ্রেণির বলে চিহ্নিত নয়; তবে প্লেইনটেক্সট পাসওয়ার্ড থাকায় অ্যাকাউন্টের নিরাপত্তা ঝুঁকি বেশি।

হস্তশিল্প ও কেনাকাটাসংক্রান্ত অ্যাকাউন্টের পুরোনো প্রচারমূলক বার্তার সাবস্ক্রিপশন, অর্ডারের বিজ্ঞপ্তি এবং গ্রাহক অ্যাকাউন্টের পাসওয়ার্ড একসঙ্গে বিবেচনা করলে, অন্য দোকানেও একই পাসওয়ার্ড ব্যবহার করা হচ্ছে কি না তা বিশেষভাবে পরীক্ষা করা উচিত।

একটি লোগোর ছবি Soft Flex Company-এর সঙ্গে মিলিয়ে নেওয়া হয়েছে এবং ওয়েবসাইটের ঠিকানা শুধু ডোমেইন নাম হিসেবে রাখা হয়েছে। পৃষ্ঠা তৈরির সময় লিংক ভুলভাবে দেখানো ঠেকাতে এটি বিশেষভাবে পরীক্ষা করা হয়েছে।

এই রেকর্ডে যাচাই করা হয়নি এমন ডেটার ধরনগুলো ইচ্ছাকৃতভাবে বাদ দেওয়া হয়েছে। ডেটার শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে তথ্যপ্রমাণে সমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। ডেটা ফাঁসের পৃষ্ঠার উদ্দেশ্য ভীতিকর দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তা ব্যবস্থা পরিষ্কারভাবে ব্যাখ্যা করা।

Soft Flex Company-এর ডেটা ফাঁস, softflexcompany.com-এর ডেটা ফাঁস, Soft Flex Company-এর পাসওয়ার্ড ফাঁস এবং Soft Flex Company-এর ব্যবহারকারীর ডেটা, এ ধরনের বিভিন্ন নামে সহজবোধ্য ও বাস্তবে কাজে লাগানো যায় এমন তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি প্রস্তুত করা হয়েছে। লেখায় যাচাইকৃত বিষয় ও ব্যবহারিক নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখার পর ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করা হয় এমন অ্যাকাউন্টগুলো বিশেষ করে আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ডের পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন অতিরিক্ত অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট একটি সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই সেটি নিরাপদ হয় না; আক্রমণকারীদের সরঞ্জাম দ্রুত এসব ধরন পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইতালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যাওয়া ইমেইল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, গণমাধ্যম, গেমিং, ডেটিং বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যতালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় ডেটা সংগ্রহ ও সংরক্ষণ সীমিত রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইল তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণ নীতির মাধ্যমে নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে ফেলা উচিত, সংবেদনশীল তথ্যক্ষেত্রে প্রবেশাধিকার সীমিত করা উচিত এবং ডেটা এক্সপোর্ট কার্যক্রমে অতিরিক্ত নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত পরিচর্যা সম্পন্ন করা দরকার। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে ডেটার শ্রেণিগুলো কাজে লাগানোর সম্ভাবনা এবং ঘটনায় পুনরায় ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠায় ঝুঁকির মাত্রা সংকটজনক নির্ধারণ করা হয়েছে। সংকটজনক মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; এটি বোঝায় যে ব্যবহারকারীর দ্রুত পদক্ষেপ নেওয়া প্রয়োজন।

সব মিলিয়ে, Soft Flex Company-এর এই রেকর্ডটি 2018 সালের আগস্টের একটি একক ডেটা ফাঁসের রেকর্ড, যা 31,600 অ্যাকাউন্টকে প্রভাবিত করেছে এবং এতে ইমেইল ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ডের তথ্যক্ষেত্র রয়েছে। ব্যবহারকারীদের আলাদা পাসওয়ার্ড ব্যবহার, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণের পরামর্শ দেওয়া হচ্ছে।

Soft Flex Company-এর রেকর্ডে সংখ্যা, শিরোনাম, ডোমেইন ও ডেটার শ্রেণিগুলো একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচলিত অস্পষ্ট তালিকাভুক্ত তথ্য এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারী যে রেকর্ডটি দেখেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমিত।

ডেটার শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ; কারণ তথ্যপ্রমাণে সমর্থিত নয় এমন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই রেকর্ডে ইমেইল ঠিকানা ও প্লেইনটেক্সট পাসওয়ার্ড ছাড়া অন্য কোনো দাবিকে প্রমাণিত ডেটার ক্ষেত্র হিসেবে দেখানো হয়নি।

softflexcompany.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা ভুলে যাওয়া হয়ে থাকতে পারে। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড বদলানো সম্ভব না হলে, অন্য কোন সেবায় একই পাসওয়ার্ড ব্যবহার করা হয়েছে তা খুঁজে বের করে সেগুলো নিরাপদ করাকে অগ্রাধিকার দেওয়াই বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা প্রোফাইলের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে মিলিয়ে নিলে আক্রমণকারীদের জন্য একজন ব্যক্তির আগ্রহ, দেশ, সংশ্লিষ্ট খাত বা আগের সদস্যপদের অভ্যাস অনুমান করা সহজ হয়। তাই একটি ডেটা ফাঁস ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কর্মস্থলের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা পরিমাপ করার জন্য একটি সতর্কসংকেত দেয়।

আপনি এই রেকর্ডে নিজের ইমেইল দেখতে পেলে প্রথমে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগের অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত আলাদা পাসওয়ার্ড দেওয়া, প্রোফাইলের তথ্য সীমিত রাখা এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।