SpeedTrader তথ্য উন্মুক্ত হওয়ার অভিযোগ

SpeedTrader-এর রেকর্ড তৈরি করার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইন নাম, কাছাকাছি ব্র্যান্ডের নাম, ঘটনার তারিখ ও রেকর্ডের সংখ্যার সঙ্গে মিল আছে কি না, তা পরীক্ষা করা হয়েছিল। একই ঘটনার কোনো রেকর্ড না পাওয়ায় এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। কাছাকাছি নাম থাকলেও ডোমেইন বা ঘটনা ভিন্ন, এমন রেকর্ডগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

লক্ষ্য তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা ও যাচাই করা যায় এমন বিস্তারিত তথ্যের সংখ্যার মধ্যে সামান্য পার্থক্য দেখা যেতে পারে। অপরিশোধিত ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, একই ইমেইলের একাধিক উপস্থিতি, পরিশোধিত রেকর্ড বা নতুনভাবে প্যাকেজ করা ডেটাসেটের পার্থক্যের কারণে এমন হতে পারে। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার বদলে 49,579 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে, কারণ ডেটার ধরনগুলোর পাশাপাশি এই সংখ্যাটির পক্ষেও ধারাবাহিকভাবে সমর্থন পাওয়া যায়।

SpeedTrader আর্থিক সেবার সঙ্গে সম্পর্কিত হওয়ায় একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহারের ঝুঁকি এখানে আরও গুরুতর। ব্রোকারেজ বা ট্রেডিং প্ল্যাটফর্মে ব্যবহৃত ইমেইল ও ব্যবহারকারীর নাম বিনিয়োগসংক্রান্ত ফিশিং বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

এই ঘটনায় প্লেইন টেক্সট পাসওয়ার্ড ও ব্যবহারকারীর নাম একসঙ্গে থাকার সমর্থন পাওয়া যায়। তাই আক্রমণকারীরা শুধু সংশ্লিষ্ট প্ল্যাটফর্ম নয়, একই ব্যবহারকারীর নাম বা ইমেইল দিয়ে খোলা অন্য আর্থিক সেবার অ্যাকাউন্টগুলোকেও লক্ষ্য করতে পারে। এ ক্ষেত্রে আর্থিক বিষয়কে কেন্দ্র করে লগইনের চেষ্টা ও ভুয়া নিরাপত্তা সতর্কতা বিশেষভাবে উল্লেখযোগ্য।

SpeedTrader-এর ঘটনায় প্লেইন টেক্সট পাসওয়ার্ডের তথ্য পাওয়া যাওয়ায় এর ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের অনুমান করে বারবার চেষ্টা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত অন্য সেবায় স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য বলে মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, IP ঠিকানা, পাসওয়ার্ড বা প্রোফাইলের তথ্যের সঙ্গে যুক্ত হলে সেটি আক্রমণের শক্তিশালী মাধ্যম হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেম, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি পুরোনো হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই SpeedTrader-এর মতো পুরোনো ডেটা ফাঁসের তথ্য বহু বছর পরও পাসওয়ার্ড অনুমান, ক্রেডেনশিয়াল স্টাফিং এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো আগে SpeedTrader বা speedtrader.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। অন্য অ্যাকাউন্টেও একই ধরনের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পরিবর্তন করাই যথেষ্ট নয়; পুনরায় ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া যায় এমন সবচেয়ে কার্যকর ব্যবস্থাগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি ডেটা ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও পর্যালোচনা করা উচিত এবং দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড সরিয়ে দেওয়া উচিত।

বিশেষ করে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, গেমিং অ্যাকাউন্ট ও অ্যাডমিন প্যানেলে দুই-ফ্যাক্টর প্রমাণীকরণকে অগ্রাধিকার দেওয়া হয়। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা কী আক্রমণের বিরুদ্ধে আরও শক্ত সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরোয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ্লিকেশন, বিশ্বস্ত ডিভাইসের তালিকা ও সাম্প্রতিক সেশন পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি SpeedTrader অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, খাতসংক্রান্ত তথ্য বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের আসা বার্তার লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লিখতে হবে, যাচাই না করে সংযুক্ত ফাইল খোলা থেকে বিরত থাকতে হবে এবং দ্রুত ব্যবস্থা নেওয়ার তাগিদ তৈরি করে এমন বার্তার বিষয়ে সতর্ক থাকতে হবে।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ঝুঁকিও মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত একটি অ্যাকাউন্টে কাজের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের সিস্টেমেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-ফ্যাক্টর প্রমাণীকরণ এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য মূল শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও ডেটা সংগ্রহ সীমিত রাখা। প্লেইন টেক্সট বা দ্রুত ভাঙা যায় এমন হ্যাশ ফরম্যাট সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত এবং ইচ্ছাকৃতভাবে ধীর পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত। ব্যবহারকারীর লগইনের সময় পুরোনো হ্যাশ ফরম্যাটগুলো ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষার পরিবেশ, এক্সপোর্ট করা ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল ও অপ্রয়োজনীয় অনুমতি নিয়মিত নিরীক্ষা করা উচিত। অনেক ডেটা ফাঁস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ থেকে নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা ব্যাপক অনুমতিসম্পন্ন অ্যাকাউন্ট থেকে ঘটে।

যেসব প্রতিষ্ঠানে নিরাপত্তা ঘটনায় সাড়া দেওয়ার পরিকল্পনা নেই, সেখানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা ও সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

কিছু প্রকাশ্য রেকর্ডে SpeedTrader-এর জন্য অতিরিক্ত সংবেদনশীল ফিল্ডের উল্লেখ থাকলেও ডেটার শ্রেণির তালিকায় সরাসরি সমর্থিত ফিল্ডগুলো ইমেইল, ব্যবহারকারীর নাম ও পাসওয়ার্ডেই সীমিত। ব্যবহারকারীকে বিভ্রান্ত না করতে পরিচয়পত্র বা অন্য কোনো ফিল্ড এই রেকর্ডে ডেটার শ্রেণি হিসেবে যোগ করা হয়নি।

আর্থিক সেবার ব্যবহারকারীরা সাধারণত ব্যাংকিং, বিনিয়োগ, পেমেন্ট ও হিসাবরক্ষণের টুলে একই ইমেইল ঠিকানা ব্যবহার করেন। তাই পুরোনো কোনো ব্রোকারেজ পাসওয়ার্ড অন্য সেবায় ব্যবহার করে প্রবেশের চেষ্টা করা হলে তার প্রভাব আরও বড় হতে পারে।

আক্রমণকারীরা আর্থিক প্রসঙ্গ ব্যবহার করে মার্জিন সতর্কতা, অ্যাকাউন্ট যাচাই, লেনদেন বাতিল, করসংক্রান্ত নথি বা টাকা উত্তোলনে নিষেধাজ্ঞার মতো শিরোনামে বার্তা পাঠাতে পারে। এ ধরনের বার্তায় থাকা লিংক ব্যবহার না করে আনুষ্ঠানিক সাইটের ঠিকানা সরাসরি লিখতে হবে।

SpeedTrader সাইটটি বর্তমানে সাড়া দিচ্ছে। তাই সম্ভব হলে ব্যবহারকারীদের সরাসরি সাইটে গিয়ে অ্যাকাউন্টের সেটিংস, সেশনের ইতিহাস, সংযুক্ত ডিভাইস ও নিরাপত্তার বিকল্পগুলো পরীক্ষা করা উচিত। ব্রাউজার ও পাসওয়ার্ড ম্যানেজার থেকে পুরোনো পাসওয়ার্ড মুছে ফেলাও গুরুত্বপূর্ণ।

SpeedTrader-এর লোগোটি চালু ওয়েবসাইটে প্রদর্শিত ছবি থেকে ডাউনলোড করে স্থানীয়ভাবে রাখা হয়েছে। এতে ব্র্যান্ডের পৃষ্ঠায় ছবি অনুপস্থিত দেখানোর সমস্যা হয় না এবং বাইরের URL-এর বদলে স্থানীয় লোগোর ছবি ব্যবহার করে পৃষ্ঠাটি পরিবেশন করা হয়।

এই রেকর্ডে যাচাই করা হয়নি এমন ডেটার ধরন ইচ্ছাকৃতভাবে বাদ দেওয়া হয়েছে। ডেটার শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ফিল্ডগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। ডেটা ফাঁসের পৃষ্ঠাগুলোর উদ্দেশ্য ভীতিকর দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তা ব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

SpeedTrader ডেটা ফাঁস, speedtrader.com ডেটা ফাঁস, SpeedTrader পাসওয়ার্ড ফাঁস এবং SpeedTrader ব্যবহারকারীর ডেটা, এ ধরনের বিভিন্ন নামের মাধ্যমে সরল ও কাজে লাগানো যায় এমন তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি তৈরি করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয় ও বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ড দেখলে ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলো আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদি ঝুঁকি কমে।

পাসওয়ার্ডের পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমানযোগ্য কোনো সংযোজন রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট কোনো সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না; আক্রমণকারীদের টুল এসব ধরন দ্রুত চেষ্টা করে দেখে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকাটি স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-ফ্যাক্টর প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলের উচিত কর্মীদের ইমেইলের ডোমেইন নামের সঙ্গে মিলে যায় এমন ইমেইল ঠিকানার দিক থেকে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্য তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় ডেটা সংগ্রহ সীমিত রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইল ফিল্ড সংগ্রহ করা উচিত নয়, যুক্তিসংগত সংরক্ষণনীতির আওতায় নিষ্ক্রিয় অ্যাকাউন্ট অপসারণ করা উচিত, সংবেদনশীল ফিল্ডে প্রবেশাধিকার সীমিত রাখা উচিত এবং ডেটা এক্সপোর্টের কার্যক্রমে অতিরিক্ত নজরদারি করা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্টগুলো সুরক্ষিত ও পরিচ্ছন্ন রাখার কাজ সম্পন্ন করতে হবে। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, ডেটার শ্রেণিগুলো ব্যবহার করে অ্যাকাউন্ট দখলের সম্ভাবনা এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠার ঝুঁকির মাত্রা অতি গুরুতর হিসেবে নির্ধারণ করা হয়েছে। অতি গুরুতর মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; বরং ব্যবহারকারীর দ্রুত ব্যবস্থা নেওয়া প্রয়োজন বলে নির্দেশ করে।

সব মিলিয়ে, SpeedTrader-এর এই রেকর্ডটি 2017 সালের জানুয়ারিতে 49,579টি অ্যাকাউন্টকে প্রভাবিত করা একক ডেটা ফাঁসের রেকর্ড। এতে ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও প্লেইন টেক্সট পাসওয়ার্ডের মতো ফিল্ড রয়েছে। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই ধাপে যাচাইকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইন সতর্কতা পর্যবেক্ষণ করার পরামর্শ দেওয়া হচ্ছে।

SpeedTrader-এর রেকর্ডে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়। তাই একই নামে প্রচলিত তালিকাগুলোর অস্পষ্ট আইটেম এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারী যে রেকর্ড দেখেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালেই সীমিত।

ডেটার শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণসমর্থিত নয় এমন ফিল্ড যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও প্লেইন টেক্সট পাসওয়ার্ড ছাড়া অন্য দাবিগুলো এই রেকর্ডে যাচাইকৃত ডেটা ফিল্ড হিসেবে উপস্থাপন করা হয়নি।

speedtrader.com ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা ব্যবহারকারীরা ভুলে গিয়ে থাকতে পারেন। ভুলে যাওয়া অ্যাকাউন্টে পাসওয়ার্ড পরিবর্তন করা সম্ভব না হলে, একই পাসওয়ার্ড ব্যবহার করা অন্য সেবাগুলো খুঁজে বের করে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম বা ইমেইল ঠিকানা অন্য ফাঁস হওয়া তথ্যের সঙ্গে মিলিয়ে দেখলে আক্রমণকারীদের জন্য কোনো ব্যক্তির আগ্রহ, দেশ, পেশাগত খাত বা অতীতে কোথায় সদস্য ছিলেন, সেই ধরন অনুমান করা সহজ হয়। তাই একটি ডেটা ফাঁসের ঘটনা ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানগুলোর দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কাজের ইমেইল ব্যবহার করার বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার ও ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা মূল্যায়নের জন্য সতর্কসংকেত দেয়।

এই রেকর্ডে নিজের ইমেইল দেখতে পেলে ব্যবহারকারীর উচিত সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করা: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগ অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করা সম্ভব হলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত আলাদা পাসওয়ার্ড দিতে হবে, প্রোফাইলের তথ্য যতটা সম্ভব সীমিত রাখতে হবে এবং লগইনের বিজ্ঞপ্তি চালু করতে হবে।