Spoutible তথ্য ফাঁস

এই ঘটনায় সবচেয়ে গুরুত্বপূর্ণ বিষয়টি শুধু ব্যবহারকারীর প্রোফাইল নয়, বরং অ্যাকাউন্ট দখল হয়ে যাওয়ার ঝুঁকি। bcrypt পাসওয়ার্ড হ্যাশ, 2FA-এর গোপন তথ্য ও ব্যাকআপ কোডের ফিল্ড এবং পাসওয়ার্ড রিসেট টোকেন একসঙ্গে পাওয়া গেলে আক্রমণকারীরা কিছু অ্যাকাউন্ট সরাসরি দখল করার বা পরিচয় যাচাইয়ের দ্বিতীয় ধাপ এড়িয়ে যাওয়ার সুযোগ পেতে পারে।

ইমেইল, নাম, ব্যবহারকারীর নাম, ফোন নম্বর ও IP ঠিকানা একসঙ্গে থাকলে সামাজিক যোগাযোগমাধ্যমে ব্যবহারকারীর পরিচয় সম্পর্কে আরও বিস্তারিত জানা যায়। রেকর্ডটিকে সংবেদনশীল হিসেবে চিহ্নিত করা হয়েছে, কারণ 2FA ও রিসেট টোকেনের ফিল্ডগুলো সাধারণ প্রোফাইল তথ্যের তুলনায় অনেক বেশি গুরুত্বপূর্ণ নিরাপত্তা উপকরণ। শুধু পাসওয়ার্ড পরিবর্তন করেই নিশ্চিন্ত হওয়া উচিত নয়।

ঘটনার তারিখ হিসেবে 31 জানুয়ারি 2024 নথিভুক্ত করা হয়েছে। ক্ষতিগ্রস্ত রেকর্ডের সংখ্যা 2,07,114। নির্ভরযোগ্য প্রযুক্তিগত বিশ্লেষণে নিশ্চিত হয়েছে যে Spoutible-এর সার্ভিস ইন্টারফেস প্রয়োজনের চেয়ে বেশি ব্যবহারকারীর তথ্য ফেরত দেয় এবং পাসওয়ার্ড হ্যাশের পাশাপাশি 2FA-এর গোপন তথ্য, ব্যাকআপ কোড ও রিসেট টোকেনের মতো ফিল্ডও দেখা যায়।

ঘটনার পরিধি ব্যাখ্যা করার সময় একে শুধু একটি ইমেইল তালিকা ফাঁসের মতো ঘটনায় সীমাবদ্ধ করা উচিত নয়। আবার সব ব্যবহারকারী তাঁদের ফোন নম্বর দিয়েছেন, এমনটিও ধরে নেওয়া উচিত নয়। এখানে মূল ঝুঁকি হলো প্রোফাইল তথ্য ও অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত উপকরণ একই সঙ্গে উন্মুক্ত হয়ে যাওয়া।

যাঁদের Spoutible অ্যাকাউন্ট রয়েছে এবং যাঁরা এই প্ল্যাটফর্মে একই ফোন নম্বর, 2FA বা পাসওয়ার্ড ব্যবহার করেন, তাঁরা ঝুঁকিতে আছেন। সামাজিক যোগাযোগমাধ্যমের কোনো অ্যাকাউন্টের নিরাপত্তা বিঘ্নিত হলে সুনাম, ব্যক্তিগত বার্তা ও সংযুক্ত অ্যাকাউন্টের ক্ষেত্রেও পরবর্তী ঝুঁকি তৈরি হতে পারে।

যাঁরা অন্যান্য সামাজিক যোগাযোগমাধ্যমে একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি বিশেষভাবে বেশি। 2FA-এর গোপন তথ্য বা ব্যাকআপ কোডের ফিল্ড ক্ষতিগ্রস্ত হলে পরিচয় যাচাইয়ের দ্বিতীয় ধাপ নতুন করে সেট আপ করতে হবে। পুরোনো কোডগুলো এখনও নির্ভরযোগ্য, এমনটি ধরে নেওয়া উচিত নয়।

আপনি ক্ষতিগ্রস্ত ব্যবহারকারীদের মধ্যে থাকলে Spoutible-এর পাসওয়ার্ড পরিবর্তন করুন, সব সেশন থেকে লগ আউট করুন এবং 2FA আবার চালু করুন। অন্য কোনো অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করলে সেগুলোর পাসওয়ার্ডও পরিবর্তন করুন। ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে সন্দেহজনক সেশন আছে কি না পরীক্ষা করুন।

আপনার কাছে আসা লিংক সরাসরি না খুলে সংশ্লিষ্ট সেবার পরিচিত ওয়েব ঠিকানা বা অফিসিয়াল অ্যাপ্লিকেশনের মাধ্যমে লগ ইন করুন। ফোন করা ব্যক্তি আপনার নাম, ইমেইল, ঠিকানা, অর্ডার বা প্রোফাইলের তথ্য জানলেই তা তাঁর বিশ্বাসযোগ্যতার প্রমাণ হয় না। সহায়তা-সংক্রান্ত কোনো কথোপকথনেই একবার ব্যবহারযোগ্য যাচাইকরণ কোড, পেমেন্ট কার্ডের তথ্য বা অ্যাকাউন্টের পাসওয়ার্ড জানাবেন না।

দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ও দুই ধাপে পরিচয় যাচাই ব্যবহারের অভ্যাস এবং অ্যাকাউন্ট থেকে অপ্রয়োজনীয় ব্যক্তিগত তথ্য সরিয়ে ফেলা ঝুঁকি কমায়। বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা ব্যবহার করলে একাধিক তথ্য ফাঁসের ঘটনা থেকে পাওয়া তথ্য একত্র করা সহজ হয়। গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা বিকল্প ইমেইল নাম ব্যবহার করার কথা বিবেচনা করতে পারেন।

সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের 2FA-এর গোপন তথ্য ও ব্যাকআপ কোড সুরক্ষিত ভল্টে সংরক্ষণ করা উচিত। প্ল্যাটফর্ম-সংশ্লিষ্ট নিরাপত্তা ঘটনার পর সেগুলো নতুন করে তৈরি করা উচিত। পাসওয়ার্ড ম্যানেজার ও হার্ডওয়্যার নিরাপত্তা কী-এর মতো আরও শক্তিশালী পদ্ধতি ব্যবহারের কথা বিবেচনা করতে পারেন।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি এই রেকর্ডে আছে কি না জানা যায়। মিল পাওয়া গেলেই যে সব তথ্যের ফিল্ড নিশ্চিতভাবে সেই ব্যবহারকারীর, তা নয়। তবে সতর্কতামূলক ব্যবস্থা নেওয়ার জন্য এই ফলাফল যথেষ্ট সতর্কসংকেত। মিল না পাওয়ার অর্থ শুধু এই ডেটাসেটে কোনো মিল নেই; অন্য কোনো তথ্য ফাঁসের ঘটনায় ঠিকানাটি থাকার সম্ভাবনা এতে নাকচ হয় না।

মিল পাওয়া গেলে অ্যাকাউন্ট দখল হয়ে যাওয়ার ঝুঁকি বিবেচনায় দ্রুত অগ্রাধিকার দিয়ে ব্যবস্থা নিতে হবে। মিল না পাওয়ার অর্থ এই রেকর্ডের মধ্যে কোনো মিল নেই। সামাজিক যোগাযোগমাধ্যমের অন্যান্য তথ্য ফাঁসের ঘটনায় একই ইমেইল ঠিকানা আছে কি না আলাদাভাবে যাচাই করা উচিত।

এই ঘটনায় 2FA ও রিসেট টোকেনের ফিল্ড থাকায় সাধারণ পাসওয়ার্ড ফাঁসের ঘটনার চেয়ে বেশি সতর্কতার সঙ্গে ব্যবস্থা নেওয়া প্রয়োজন। শুধু পাসওয়ার্ড পরিবর্তন করলেই হবে না; পুরোনো ব্যাকআপ কোড অকার্যকর করুন, নতুন করে দুই ধাপে পরিচয় যাচাই সেট আপ করুন এবং অ্যাকাউন্টের সক্রিয় সেশনগুলো বন্ধ করুন। একই ইমেইল ঠিকানার সঙ্গে যুক্ত অন্যান্য সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলোও পরীক্ষা করুন।