SPS Magazin: তথ্য উন্মুক্ত হওয়ার অভিযোগ

SPS Magazine-এর রেকর্ডটি প্রস্তুত করার সময় বিদ্যমান রেকর্ডে থাকা একই ধরনের নাম, একই ডোমেইন নামে পাওয়া পুরোনো রেকর্ড, ঘটনার তারিখ, রেকর্ডের সংখ্যা, তথ্যের ধরন এবং ডোমেইনের অবস্থা একসঙ্গে যাচাই করা হয়েছে। এর উদ্দেশ্য হলো একই ঘটনার জন্য দ্বিতীয়বার রেকর্ড তৈরি না করে ব্যবহারকারীর প্রকৃত ঝুঁকি স্পষ্ট করা। ডোমেইন থেকে সুরক্ষিত প্রবেশাধিকার-সংক্রান্ত সাড়া পাওয়া গেলেও, সেটিকে বন্ধ হয়ে গেছে বলে চিহ্নিত করা হয়নি, কারণ ডোমেইনটি সক্রিয় বলে মনে হয়েছে।

লক্ষ্য তালিকায় 68,644টি সারি দেখা গেলেও, সরাসরি প্রমাণসমর্থিত উন্মুক্ত রেকর্ডগুলো 58,896টি রেকর্ডের পক্ষে সমর্থন দিয়েছে। তাই লক্ষ্য তালিকার সর্বোচ্চ সংখ্যাটি স্বয়ংক্রিয়ভাবে এই রেকর্ডে ব্যবহার করা হয়নি; বরং যে সংখ্যার পক্ষে বেশি নির্ভরযোগ্য প্রমাণ রয়েছে, সেটিকে অগ্রাধিকার দেওয়া হয়েছে। তথ্য ফাঁসের ঘটনায় বিভিন্ন উৎসের হিসাবে পার্থক্য থাকা স্বাভাবিক, কারণ কোনো তালিকা মোট সারির সংখ্যার ওপর, কোনোটি স্বতন্ত্র রেকর্ডের সংখ্যার ওপর, আবার কোনোটি পরিশোধিত রেকর্ডের ওপর ভিত্তি করে তৈরি হয়।

এই ঘটনায় প্রধান যে ঝুঁকিটি তুলে ধরা হয়েছে, তা হলো ইমেইল বা ব্যবহারকারী নামের সঙ্গে সরল পাঠ্য বা দুর্বল হ্যাশ আকারে পাসওয়ার্ড-সংক্রান্ত তথ্যের উপস্থিতি। একই পাসওয়ার্ড বা তার কাছাকাছি কোনো রূপ বিভিন্ন সেবায় ব্যবহার করা হলে, আক্রমণকারীরা ফাঁস হওয়া লগইন তথ্য দিয়ে স্বয়ংক্রিয়ভাবে অন্য সেবায় প্রবেশের চেষ্টা, অ্যাকাউন্ট দখলের চেষ্টা এবং নির্দিষ্ট লক্ষ্যকে উদ্দেশ্য করে ফিশিং প্রচার চালাতে পারে। এই ঝুঁকি শুধু সংশ্লিষ্ট সাইটে সীমাবদ্ধ নয়; একই ইমেইল ঠিকানা ব্যবহৃত হয় এমন অন্য প্ল্যাটফর্মেও তা ছড়িয়ে পড়তে পারে।

অটোমেশন, উৎপাদন প্রযুক্তি ও প্রযুক্তিবিষয়ক প্রকাশনার সঙ্গে যুক্ত পেশাজীবীদের জন্য এই রেকর্ডটি দেখায়, পুরোনো বলে মনে হওয়া তথ্য ফাঁসের ঘটনাও কেন এখনও গুরুত্বপূর্ণ। পাসওয়ার্ড পরিবর্তন করা হলেও ইমেইল ঠিকানা, ব্যবহারকারী নাম, IP তথ্য বা জন্মতারিখের মতো তথ্য স্থায়ী শনাক্তকারী হিসেবে বিভিন্ন তথ্যসমষ্টির সঙ্গে মেলানো যেতে পারে। তাই ব্যবহারকারীদের শুধু পাসওয়ার্ড পরিবর্তন করাই যথেষ্ট নয়; অ্যাকাউন্টের নিরাপত্তা, সেশনের ইতিহাস এবং যোগাযোগের মাধ্যমগুলোও পর্যালোচনা করা উচিত।

SPS Magazine-এর প্রেক্ষাপটে কর্মক্ষেত্রের ইমেইল ব্যবহারের কারণে শিল্পখাতের পরিভাষা দিয়ে ফিশিং বার্তা তৈরি করা এবং কর্পোরেট প্রতিষ্ঠানকে লক্ষ্য হিসেবে বেছে নেওয়ার সুযোগ তৈরি হতে পারে। ফোরাম, কমিউনিটি, মার্কেটপ্লেস এবং বিশেষায়িত বিষয়বস্তুর সাইটে এ ধরনের সম্মিলিত ঝুঁকি বিশেষভাবে প্রকট। ব্যবহারকারীরা প্রায়ই বিভিন্ন জায়গায় একই ছদ্মনাম ব্যবহার করেন; এতে ফাঁস হওয়া ব্যবহারকারী নামকে সামাজিক যোগাযোগমাধ্যম, গেমিং, কেনাকাটা বা ইমেইল অ্যাকাউন্টের সঙ্গে যুক্ত করাও সহজ হয়।

শুধু ইমেইল ঠিকানাকে কম ঝুঁকিপূর্ণ মনে হলেও, পাসওয়ার্ড বা ব্যবহারকারী নামের সঙ্গে যুক্ত হলে তা আক্রমণের সুযোগ বাড়ায়। আক্রমণকারীরা এই তথ্য স্বয়ংক্রিয় পরীক্ষার সরঞ্জামে ব্যবহার করতে পারে, আসল সাইটের মতো দেখতে লগইন পৃষ্ঠা তৈরি করতে পারে, অথবা ব্যবহারকারীর আগের আগ্রহের ভিত্তিতে আরও বিশ্বাসযোগ্য বার্তা পাঠাতে পারে। তাই তথ্য ফাঁস বিশ্লেষণে ইমেইল ঠিকানার ক্ষেত্রটি অন্যতম প্রধান ঝুঁকি নির্দেশক।

SPS Magazin-এর রেকর্ডটিকে অত্যন্ত গুরুতর ঝুঁকির পর্যায়ে বিবেচনা করার প্রধান কারণ হলো পাসওয়ার্ডের ক্ষেত্রটি। পাসওয়ার্ড-সংক্রান্ত তথ্য সরল পাঠ্য বা দুর্বল হ্যাশ আকারে থাকলে, অন্য সেবায় একই পাসওয়ার্ড ব্যবহার করাই সবচেয়ে বড় দুর্বলতা হয়ে ওঠে। ব্যবহারকারীদের প্রতিটি প্ল্যাটফর্মের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা, পাসওয়ার্ড ম্যানেজার দিয়ে শক্তিশালী পাসওয়ার্ড তৈরি করা এবং পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার না করা উচিত।

যেসব রেকর্ডে IP ঠিকানা থাকে, সেখানে ঝুঁকি শুধু নেটওয়ার্কের অবস্থানের মধ্যে সীমাবদ্ধ নয়। সেশনের সময় বা ব্যবহারকারী নামের সঙ্গে IP তথ্য যুক্ত হলে তা অ্যাকাউন্টের কার্যকলাপ সম্পর্কে অনুমান করতে, অঞ্চলভিত্তিক লক্ষ্য নির্ধারণ করতে এবং সম্ভাব্য নিরাপত্তা প্রশ্নের ধারণা পেতে সাহায্য করতে পারে। এই রেকর্ডে IP ক্ষেত্রের উপস্থিতি প্রমাণসমর্থিত হলে, ব্যবহারকারীদের সেশনের ইতিহাস এবং অপরিচিত লগইন-সংক্রান্ত সতর্কতাও পর্যালোচনা করা উচিত।

জন্মতারিখ বা প্রোফাইল তৈরির তারিখের মতো স্থায়ী তথ্য থাকলে, সেগুলো পাসওয়ার্ড পুনর্নির্ধারণের চেষ্টা এবং সামাজিক প্রকৌশলভিত্তিক প্রতারণামূলক বার্তায় ব্যবহার করা যেতে পারে। এসব তথ্য পরিবর্তন করা যায় না বলে ঝুঁকিও দীর্ঘস্থায়ী হয়। ব্যবহারকারীদের নিরাপত্তা প্রশ্নের উত্তরে প্রকৃত ব্যক্তিগত তথ্য ব্যবহার না করা, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা হালনাগাদ করা এবং দুই ধাপে যাচাইকরণ যোগ করা গুরুত্বপূর্ণ।

B2B প্রকাশনা ও প্রযুক্তিবিষয়ক গণমাধ্যমের সাইটগুলোতে সাবস্ক্রিপশন ফর্ম, নিউজলেটার ব্যবস্থা এবং পুরোনো ব্যবহারকারীভিত্তির প্রতিটির নিরাপত্তা আলাদাভাবে নিরীক্ষা করা উচিত। প্রতিষ্ঠানের দৃষ্টিকোণ থেকে এই রেকর্ডটি পুরোনো ফোরাম ইঞ্জিন, প্লাগইন উপাদান, দুর্বল পাসওয়ার্ড সংরক্ষণ পদ্ধতি এবং নিরাপত্তা প্যাচ প্রয়োগ না করা অ্যাপ্লিকেশন স্তরের দীর্ঘমেয়াদি প্রভাবের কথা মনে করিয়ে দেয়। কোনো ঘটনা বহু বছর আগে ঘটলেও, ফাঁস হওয়া লগইন তথ্য বছরের পর বছর ছড়িয়ে থাকতে পারে এবং অন্য সেবায় আবারও ব্যবহার করে প্রবেশের চেষ্টা করা হতে পারে।

প্রথম পদক্ষেপ হিসেবে, ব্যবহারকারীদের SPS Magazin-এ ব্যবহৃত পুরোনো পাসওয়ার্ডটি শনাক্ত করে যেসব অ্যাকাউন্টে সেটি ব্যবহার করা হয়েছে, সেগুলোর পাসওয়ার্ড পরিবর্তন করা উচিত। একই মূল পাসওয়ার্ড থেকে বিভিন্ন পাসওয়ার্ড বানানোর চেয়ে পাসওয়ার্ড ম্যানেজার দিয়ে স্বতন্ত্র ও এলোমেলো পাসওয়ার্ড তৈরি করা বেশি নিরাপদ। পুরোনো পাসওয়ার্ড সামান্য পরিবর্তন করে পুনরায় ব্যবহার করা উচিত নয়।

দ্বিতীয় পদক্ষেপ হলো দুই-ফ্যাক্টর প্রমাণীকরণ চালু করা। SMS-ভিত্তিক পদ্ধতি কোনো সুরক্ষা না থাকার চেয়ে ভালো হলেও, অ্যাপ-ভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আক্রমণ প্রতিরোধে আরও কার্যকর সুরক্ষা দেয়। ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, পেমেন্ট অ্যাকাউন্ট এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইল সুরক্ষিত করাকে অগ্রাধিকার দেওয়া উচিত।

তৃতীয় পদক্ষেপ হলো ইমেইল ইনবক্সে সন্দেহজনক ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা এবং সংযুক্ত অ্যাপগুলো পরীক্ষা করা। তথ্য ফাঁসের পর আক্রমণকারীরা শুধু পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করে না; অ্যাকাউন্টে প্রবেশ করতে পারলে, ভবিষ্যতেও প্রবেশাধিকার বজায় রাখতে তারা ফরওয়ার্ডিং নিয়ম বা অ্যাপের অনুমতি যোগ করতে পারে। এসব বিষয় নিয়মিত পরীক্ষা করা উচিত।

চতুর্থ পদক্ষেপ হলো ফিশিংয়ের ঝুঁকি সম্পর্কে সতর্ক থাকা। SPS Magazine-এর সঙ্গে সম্পর্কিত বলে মনে হওয়া বার্তায় পুরোনো ব্যবহারকারী নাম বা ইমেইল ঠিকানা থাকলে তা আরও বিশ্বাসযোগ্য মনে হতে পারে। ব্যবহারকারীদের সরাসরি লিংকে ক্লিক না করে ব্রাউজার থেকে সংশ্লিষ্ট সেবায় যাওয়া, সংযুক্তি খোলার আগে উৎস যাচাই করা এবং জরুরি ভিত্তিতে কিছু করার চাপ সম্পর্কে সতর্ক থাকা উচিত।

পঞ্চম পদক্ষেপ হলো অ্যাকাউন্টের কার্যকলাপ ও বিজ্ঞপ্তি পর্যবেক্ষণ করা। অপরিচিত ডিভাইস, অপ্রত্যাশিত অবস্থান, ব্যর্থ লগইন চেষ্টা বা পাসওয়ার্ড পুনর্নির্ধারণের ইমেইল দেখা গেলে দ্রুত ব্যবস্থা নেওয়া উচিত। এ সময় ইমেইল সেবাদাতার নিরাপত্তা প্যানেল, সামাজিক যোগাযোগমাধ্যমের সেশন তালিকা এবং আর্থিক সেবার সতর্কতাগুলো একসঙ্গে পরীক্ষা করা উচিত।

সাইটের মালিকদের দৃষ্টিকোণ থেকে এই ঘটনা পাসওয়ার্ড সংরক্ষণ পদ্ধতি এবং ঘটনার পর যোগাযোগের গুরুত্ব দেখায়। পাসওয়ার্ড সরল পাঠ্য বা দুর্বল হ্যাশ আকারে সংরক্ষণ করা হলে, ডেটাবেস থেকে তথ্য ফাঁস সরাসরি অ্যাকাউন্ট দখলের ঝুঁকি তৈরি করে। আধুনিক অ্যাপ্লিকেশনে শক্তিশালী, গণনায় ধীর এবং সল্টযুক্ত পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত; পুরোনো অ্যালগরিদম পর্যায়ক্রমে বাদ দেওয়া উচিত।

লগ সংরক্ষণ ও পর্যবেক্ষণের ক্ষেত্রে অস্বাভাবিক পরিমাণে কুয়েরি, প্রশাসনিক প্যানেলে প্রবেশ, প্লাগইন ফাইলে পরিবর্তন এবং অপ্রত্যাশিত তথ্য রপ্তানি কার্যক্রম নিবিড়ভাবে নজরদারি করা উচিত। তথ্য ফাঁসের পর শুধু পাসওয়ার্ড পুনর্নির্ধারণ করাই যথেষ্ট নয়; আক্রমণকারী কীভাবে সিস্টেমে প্রবেশ করেছে, কোন তথ্যগুলোতে প্রবেশ করেছে এবং একই দুর্বলতা এখনও রয়েছে কি না, তা-ও যাচাই করতে হবে।

ব্যাকআপ ও নিরাপত্তা ঘটনায় সাড়া দেওয়ার পরিকল্পনাও অত্যন্ত গুরুত্বপূর্ণ। ডেটাবেসের ব্যাকআপ এনক্রিপ্ট করে রাখতে হবে, পৃথক অ্যাকাউন্টের মাধ্যমে প্রবেশাধিকার সীমিত করতে হবে এবং নিয়মিত পুনরুদ্ধার পরীক্ষা চালাতে হবে। তথ্য ফাঁসের ঘটনা ঘটলে কোন সিস্টেমগুলো বন্ধ করা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন যোগাযোগমাধ্যম ব্যবহার করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

এই রেকর্ডে বিষয়বস্তুকে গোপনীয় বা প্রাপ্তবয়স্কদের জন্য নির্ধারিত হিসেবে শ্রেণিবদ্ধ করা হয়নি; তবে এর অর্থ এই নয় যে ঝুঁকি কম। বেশির ভাগ ব্যবহারকারীর জন্য ইমেইল ও পাসওয়ার্ডের সমন্বয় সবচেয়ে ঝুঁকিপূর্ণ তথ্যের ধরনগুলোর একটি। কর্মক্ষেত্রের ইমেইল, ক্লাউড স্টোরেজ, গেমিং অ্যাকাউন্ট বা পেমেন্ট সেবায় একই পাসওয়ার্ড ব্যবহার করা হলে, প্রভাবের পরিধি দ্রুত বেড়ে যেতে পারে।

একই ঘটনা বিভিন্ন তালিকায় ভিন্ন নামে থাকতে পারে। তাই প্রকৃত ডোমেইন নাম, যাচাইকৃত রেকর্ডের সংখ্যা, ঘটনার সময়কাল এবং তথ্যের ধরনের ভিত্তিতে SPS Magazine-এর রেকর্ড থেকে পুনরাবৃত্তি দূর করা হয়েছে। একই তথ্যের প্রতিনিধিত্বকারী সারিগুলোর জন্য নতুন রেকর্ড তৈরি করা হয়নি; বিদ্যমান রেকর্ডের সঙ্গে মেলে না এমন নতুন ঘটনাগুলো আলাদাভাবে রাখা হয়েছে।

SPS Magazin-এর তথ্য ফাঁস, sps-magazin.de থেকে তথ্য ফাঁস, SPS Magazin-এর পাসওয়ার্ড ফাঁস এবং SPS Magazin-এর ব্যবহারকারীর তথ্য, এ ধরনের বিভিন্ন অনুসন্ধান শব্দের বিষয়ে ব্যবহারকারীদের সরাসরি, স্পষ্ট ও অতিরঞ্জনহীন তথ্য দিতে এই পৃষ্ঠাটি প্রস্তুত করা হয়েছে। লেখাটিতে শুধু যাচাইযোগ্য বিষয়গুলো অন্তর্ভুক্ত করা হয়েছে এবং অপ্রয়োজনীয় আতঙ্ক তৈরি না করে ব্যবহারকারীকে বাস্তবে নেওয়া যায় এমন নিরাপত্তা পদক্ষেপের দিকে নির্দেশনা দেওয়া হয়েছে।

এই রেকর্ডটি দেখার পর ব্যবহারকারীদের প্রথমে ভাবা উচিত, আগে SPS Magazine বা সংশ্লিষ্ট ডোমেইনগুলোতে তাঁরা কোন ইমেইল ঠিকানা ব্যবহার করেছিলেন। এরপর পুরোনো পাসওয়ার্ডের ধরন শনাক্ত করে একই ধরন ব্যবহৃত হয়েছে এমন অ্যাকাউন্টগুলোর পাসওয়ার্ড পরিবর্তন করা উচিত। ঝুঁকি মূল্যায়নের সময় শুধু তথ্য ফাঁস হওয়া সাইটের বর্তমান অবস্থা নয়, ফাঁস হওয়া তথ্য অন্য সেবার তথ্যের সঙ্গে মিলে যাওয়ার সম্ভাবনাও বিবেচনা করা উচিত।

কোম্পানি ও কমিউনিটি পরিচালকদের জন্য শিক্ষা স্পষ্ট: ব্যবহারকারীর তথ্য শুধু সংগ্রহের সময় নয়, যত দিন সংরক্ষিত থাকে, তত দিনই সুরক্ষিত রাখতে হবে। অপ্রয়োজনীয় তথ্যের ক্ষেত্র সংগ্রহ করা উচিত নয়, পুরোনো অ্যাকাউন্ট পরিষ্কার করা উচিত, যুক্তিসংগত সময়ের মধ্যে সেশন রেকর্ড মুছে ফেলা উচিত এবং পাসওয়ার্ড কখনোই এমনভাবে সংরক্ষণ করা উচিত নয়, যা থেকে মূল পাসওয়ার্ড ফিরিয়ে আনা যায়।

এই রেকর্ডে ব্যবহৃত তারিখ ও সংখ্যা শুধু সরাসরি প্রমাণসমর্থিত বিবরণের মধ্যে সীমিত রাখা হয়েছে; বেশি হলেও পরস্পরবিরোধী সংখ্যার দাবিকে বড় করে দেখানো হয়নি। এতে ব্যবহারকারী অনুসন্ধানযোগ্য একটি রেকর্ড পান, কিন্তু নিশ্চিততার ভ্রান্ত ধারণা তৈরি হয় না। তথ্য ফাঁসের ঘটনার তালিকা তৈরিতে সংখ্যার আকারের চেয়ে নির্ভরযোগ্যতা বেশি গুরুত্বপূর্ণ।

SPS Magazin-এর ঘটনায় সংশ্লিষ্ট ব্যবহারকারীদের এখন থেকে নতুন অ্যাকাউন্ট তৈরির সময় স্বতন্ত্র ইমেইল অ্যালিয়াস (বিকল্প ইমেইল ঠিকানা), পাসওয়ার্ড ম্যানেজার, দুই-ফ্যাক্টর প্রমাণীকরণ এবং নিয়মিত নিরাপত্তা পরীক্ষার মতো অভ্যাস গড়ে তোলা উচিত। এসব ব্যবস্থা অতীতে ফাঁস হওয়া তথ্য ফিরিয়ে নিতে পারে না; তবে একই তথ্য ভবিষ্যতে আরও বড় ক্ষতি করার সম্ভাবনা উল্লেখযোগ্যভাবে কমিয়ে দেয়।

সব মিলিয়ে, SPS Magazine-এর তথ্য ফাঁস একটি গুরুত্বপূর্ণ নিরাপত্তা ঘটনা, যা 2018 সালের আগস্ট মাসে 58,896টি অ্যাকাউন্টকে প্রভাবিত করেছিল এবং যাতে ইমেইল ঠিকানা ও পাসওয়ার্ড-সংক্রান্ত তথ্যের ক্ষেত্র অন্তর্ভুক্ত ছিল। ব্যবহারকারীদের একই পাসওয়ার্ড পুনরায় ব্যবহার বন্ধ করা, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য হালনাগাদ করা, সন্দেহজনক ইমেইল সম্পর্কে সতর্ক থাকা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে অতিরিক্ত যাচাইকরণ ব্যবহার করার পরামর্শ দেওয়া হচ্ছে। প্রতিষ্ঠানগুলোর জন্য এই ঘটনা দেখায় যে তথ্য সংগ্রহ ও সংরক্ষণ প্রয়োজনীয় সর্বনিম্ন পর্যায়ে রাখা, শক্তিশালী পাসওয়ার্ড সংরক্ষণ ব্যবস্থা এবং নিয়মিত নিরাপত্তা পর্যবেক্ষণ এমন মৌলিক নিয়ন্ত্রণ, যেগুলো পিছিয়ে দেওয়া যায় না।