Stadgenoot: তথ্য ফাঁস

স্টেডিয়াম সঙ্গী নিবন্ধনের রেকর্ড খোলার আগে বিদ্যমান রেকর্ডগুলোর শিরোনাম, ডোমেইন নাম, অনুরূপ ব্র্যান্ডের নাম, ঘটনার তারিখ এবং নিবন্ধনের সংখ্যার মিল যাচাই করা হয়েছিল। একই ঘটনার প্রতিনিধিত্ব করে এমন কোনো রেকর্ড পাওয়া যায়নি বলে এটিকে আলাদা রেকর্ড হিসেবে রাখা হয়েছে। নাম কাছাকাছি হলেও ডোমেইন বা ঘটনা ভিন্ন, এমন রেকর্ডগুলো এই সিদ্ধান্তের ক্ষেত্রে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন তথ্যের সংখ্যার মধ্যে পার্থক্য থাকতে পারে। অপরিশোধিত ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিষ্কার করা রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুন করে সাজানো ডেটাসেটের পার্থক্য এর কারণ হতে পারে। এই পৃষ্ঠায় দেখা সর্বোচ্চ সংখ্যাটি নয়, বরং তথ্যের ধরনগুলোর পাশাপাশি ধারাবাহিকভাবে সমর্থিত 33,250 সংখ্যাটিকে ভিত্তি হিসেবে নেওয়া হয়েছে।

Stadgenoot আমস্টারডামে অবস্থিত একটি প্রতিষ্ঠান, যাকে আবাসন ও সম্পত্তি ব্যবস্থাপনার প্রেক্ষাপটে মূল্যায়ন করা হয়েছে। আবাসনসংক্রান্ত অ্যাকাউন্টে পুরো নাম, জন্মতারিখ ও ফোন নম্বরের মতো ব্যক্তিগত তথ্য থাকলে সামাজিক কৌশলে প্রতারণার ঝুঁকি বাড়ে।

এই ঘটনায় ইমেইল, নাম, লিঙ্গ, জন্মতারিখ, ফোন নম্বর এবং পাসওয়ার্ড হ্যাশ ফাঁস হয়েছে। প্রকাশ্যে দেওয়া বিবরণে আরও কিছু সংবেদনশীল তথ্যের ক্ষেত্রের উল্লেখ থাকলেও তথ্যের ধরনের তালিকায় সরাসরি উল্লেখ করা হয়নি, এমন ক্ষেত্রগুলো এই রেকর্ডে অন্তর্ভুক্ত করা হয়নি।

Stadgenoot-এর ঘটনায় হ্যাশ করা পাসওয়ার্ডের তথ্য পাওয়া গেছে বলে ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ডের তথ্য আক্রমণকারীদের বারবার চেষ্টা করে মিল খুঁজে পাওয়ার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহার করা অন্য সেবায় স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। কিন্তু ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পুরো নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে যুক্ত হলে তা আক্রমণের শক্তিশালী মাধ্যম হয়ে ওঠে। আপনি যদি কাজ, কেনাকাটা, ফোরাম, গেম, স্বাস্থ্য, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়াতে পারে।

ঘটনাটি অতীতের হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ সামান্য পরিবর্তন করে পুরোনো পাসওয়ার্ডের ধরন আবার ব্যবহার করেন। তাই Stadgenoot-এর মতো পুরোনো তথ্য ফাঁসের ঘটনা বহু বছর পরও পাসওয়ার্ড অনুমান, ফাঁস হওয়া লগইন তথ্য দিয়ে একাধিক সেবায় প্রবেশের চেষ্টা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের চেষ্টায় কাজে লাগতে পারে।

প্রথমে মনে করার চেষ্টা করুন, অতীতে Stadgenoot বা www.stadgenoot.nl-এ আপনি কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন। একই ধরনের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করে থাকলে শুধু সংশ্লিষ্ট সাইটে তা বদলানো যথেষ্ট নয়; পুনরায় ব্যবহার করা সব পাসওয়ার্ডের বদলে স্বতন্ত্র ও এলোমেলো পাসওয়ার্ড দিতে হবে।

এই ঘটনার পর নেওয়া সবচেয়ে কার্যকর পদক্ষেপগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডগুলোও পর্যালোচনা করা উচিত এবং দুর্বল বা একাধিক জায়গায় ব্যবহার করা পাসওয়ার্ডগুলো বদলে ফেলা উচিত।

ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট এবং অ্যাডমিন প্যানেলের জন্য দুই-ধাপের পরিচয় যাচাই বিশেষ অগ্রাধিকার পায়। SMS-ভিত্তিক পরিচয় যাচাইয়ের তুলনায় অ্যাপভিত্তিক পরিচয় যাচাই বা হার্ডওয়্যার সিকিউরিটি কি আক্রমণের বিরুদ্ধে আরও শক্ত সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ্লিকেশন, বিশ্বস্ত ডিভাইসের তালিকা এবং সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। আক্রমণকারী সরাসরি Stadgenoot অ্যাকাউন্টে ঢুকতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেট প্রক্রিয়াকে লক্ষ্য করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, খাতসংক্রান্ত তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ কাজে লাগানো হতে পারে। আসা লিংকে সরাসরি ক্লিক না করে ঠিকানা নিজে লিখুন, যাচাই না করে সংযুক্ত ফাইল খুলবেন না এবং জরুরি কিছু করার চাপ তৈরি করে এমন বার্তা সম্পর্কে সতর্ক থাকুন।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ঝুঁকিও মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত একটি অ্যাকাউন্টে অফিসের ইমেইল ব্যবহার করে থাকলে, প্রতিষ্ঠানের সিস্টেমেও একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-ফ্যাক্টরভিত্তিক পরিচয় যাচাই এবং পাসওয়ার্ডের পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য প্রধান শিক্ষা হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ সীমিত রাখা। সাধারণ পাঠ্যরূপে পাসওয়ার্ড রাখা বা দ্রুত ভাঙা যায় এমন হ্যাশ ফরম্যাট ব্যবহার করা সরাসরি ব্যবহারকারীর নিরাপত্তা দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত এবং ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত। ব্যবহারকারী লগইন করার সময় পুরোনো হ্যাশ ফরম্যাটগুলো ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, এক্সপোর্ট ফাইল, পুরোনো ফোরাম সফটওয়্যার, অ্যাডমিন প্যানেল এবং অপ্রয়োজনীয় প্রবেশাধিকার নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁসের উৎস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ নয়, বরং ভুলে যাওয়া সহায়ক সিস্টেম বা ব্যাপক প্রবেশাধিকার থাকা অ্যাকাউন্ট।

ঘটনা মোকাবিলার পরিকল্পনা নেই এমন প্রতিষ্ঠানে ব্যবহারকারীকে জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা এবং সংযুক্ত সিস্টেম পরীক্ষা করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগে থেকেই নির্ধারণ করা উচিত।

Stadgenoot-সংক্রান্ত তালিকার লাইনে সরাসরি সমর্থিত সংখ্যাটি প্রায় একই হওয়ায় 33,250 সংখ্যাটি ব্যবহার করা হয়েছে।

আবাসনসংক্রান্ত প্রেক্ষাপটের কারণে ভাড়া, আবেদন, অর্থ পরিশোধ, নথি হালনাগাদ বা সাক্ষাতের সময় নিয়ে ভুয়া বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। আপনার উচিত প্রতিষ্ঠানের আনুষ্ঠানিক যোগাযোগমাধ্যম দিয়ে যাচাই করা।

অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়ায় জন্মতারিখ ও ফোন নম্বর ব্যবহার করা যেতে পারে বলে ইমেইলের নিরাপত্তায় আপনার বিশেষ মনোযোগ দেওয়া উচিত।

সর্বশেষ পরীক্ষায় সাইটটি 200 ফেরত দিয়েছিল বলে রেকর্ডটিকে ‘নিষ্ক্রিয়’ হিসেবে চিহ্নিত করা হয়নি।

লোগোর ছবিটি Stadgenoot-এর রেকর্ডের সঙ্গে মিলিয়ে নেওয়া হয়েছে।

এই রেকর্ডে যাচাই না হওয়া তথ্যের ধরনগুলো ইচ্ছাকৃতভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে সমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর উদ্দেশ্য ভীতিকর কিছু দেখানো নয়, বরং সঠিক পরিসর ও প্রযোজ্য নিরাপত্তা ব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

Stadgenoot তথ্য ফাঁসের ঘটনা, www.stadgenoot.nl-এর তথ্য ফাঁস, Stadgenoot-এর পাসওয়ার্ড ফাঁস এবং Stadgenoot-এর ব্যবহারকারীর তথ্যের মতো বিভিন্ন বিষয় সম্পর্কে সহজবোধ্য ও কাজে লাগানো যায় এমন তথ্য দিতে এই পৃষ্ঠাটি তৈরি করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয় এবং বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই রেকর্ডটি দেখলে শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোও মূল্যায়ন করুন। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলোই আক্রমণকারীদের প্রথম লক্ষ্য। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদি ঝুঁকি কমে।

পাসওয়ার্ডের পুনর্ব্যবহার কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন সংযোজন রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট একটি সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই তা নিরাপদ হয় না; আক্রমণকারীদের ব্যবহৃত টুল দ্রুত এসব ধরন পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-ধাপের পরিচয় যাচাই চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য পরীক্ষা করুন, অপরিচিত সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংকের বদলে সরাসরি সাইটের ঠিকানা ব্যবহার করুন।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যায় এমন ইমেইল ঠিকানাগুলো বিবেচনায় নিয়ে এই রেকর্ড মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহার করা প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ সীমিত রাখা অত্যন্ত গুরুত্বপূর্ণ। অপ্রয়োজনীয় প্রোফাইল তথ্য সংগ্রহ করা উচিত নয়, যুক্তিসংগত তথ্য সংরক্ষণ নীতি অনুসারে নিষ্ক্রিয় অ্যাকাউন্ট মুছে ফেলা উচিত, সংবেদনশীল তথ্যের ক্ষেত্রে প্রবেশাধিকার সীমিত করা উচিত এবং তথ্য এক্সপোর্টের কার্যক্রমে বাড়তি নজরদারি রাখা উচিত।

আতঙ্কিত না হয়ে অ্যাকাউন্টগুলো নিরাপদ রাখার প্রয়োজনীয় কাজ সম্পন্ন করুন। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইন বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, বিভিন্ন শ্রেণির তথ্য ব্যবহার করে অ্যাকাউন্ট দখলের সম্ভাবনা এবং ঘটনায় আবার ব্যবহার করা যায় এমন লগইন তথ্য ছিল কি না, এসব বিবেচনা করে এই পৃষ্ঠায় ঝুঁকির মাত্রা অতি গুরুতর নির্ধারণ করা হয়েছে। অতি গুরুতর মাত্রার অর্থ এই নয় যে অপব্যবহার নিশ্চিতভাবে হয়েছে; বরং ব্যবহারকারীর দ্রুত পদক্ষেপ নেওয়া প্রয়োজন।

সারসংক্ষেপে, Stadgenoot-এর এই রেকর্ডটি ফেব্রুয়ারি 2021 সময়কালের একটি একক তথ্য ফাঁসের নথি, যা 33,250টি অ্যাকাউন্টকে প্রভাবিত করেছে। এতে ইমেইল ঠিকানা, নাম ও পদবি, লিঙ্গসংক্রান্ত তথ্য, জন্মতারিখ, ফোন নম্বর এবং পাসওয়ার্ড হ্যাশের মতো ক্ষেত্র রয়েছে। আপনাকে স্বতন্ত্র পাসওয়ার্ড ব্যবহার, দুই-ধাপের পরিচয় যাচাই চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তায় নজর রাখার পরামর্শ দেওয়া হচ্ছে।

Stadgenoot-এর রেকর্ডে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচলিত তালিকার অস্পষ্ট এন্ট্রিগুলো এই পৃষ্ঠায় যুক্ত করা হয়নি। ব্যবহারকারী যে রেকর্ড দেখেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যে সীমিত।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ সমর্থনহীন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই ইমেইল ঠিকানা, পুরো নামের তথ্য, লিঙ্গসংক্রান্ত তথ্য, জন্মতারিখ, ফোন নম্বর এবং পাসওয়ার্ড হ্যাশ ছাড়া অন্য দাবিগুলোকে এই রেকর্ডে প্রমাণিত তথ্যের ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

www.stadgenoot.nl ডোমেইনের সঙ্গে যুক্ত পুরোনো সদস্যপদের কথা আপনি ভুলে গিয়ে থাকতে পারেন। ভুলে যাওয়া অ্যাকাউন্টের পাসওয়ার্ড বদলানো না গেলে, একই পাসওয়ার্ড ব্যবহার করা অন্য সেবাগুলো খুঁজে বের করে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য ফাঁস হওয়া তথ্যের সঙ্গে যুক্ত হলে আক্রমণকারীদের জন্য কোনো ব্যক্তির আগ্রহ, দেশ, খাত বা আগের সদস্যপদ নেওয়ার অভ্যাস অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁস ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে অফিসের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের রেকর্ড পাসওয়ার্ডের পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা পরিমাপের জন্য সতর্কসংকেত দেয়।

এই রেকর্ডে নিজের ইমেইল দেখতে পেলে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগ অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহার করা কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করার সুযোগ থাকলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত স্বতন্ত্র পাসওয়ার্ড দিন, প্রোফাইলের তথ্য যতটা সম্ভব কমিয়ে রাখুন এবং লগইন বিজ্ঞপ্তি চালু করুন।