Star Sonata: তথ্য উন্মুক্ত হওয়ার অভিযোগ

Star Sonata-এর নথিটি তৈরি করার আগে বিদ্যমান নথিগুলোর শিরোনাম, ডোমেইন নাম, কাছাকাছি ব্র্যান্ডের নাম, ঘটনার তারিখ এবং রেকর্ডের সংখ্যার সঙ্গে মিল আছে কি না, তা যাচাই করা হয়েছে। একই ঘটনার প্রতিনিধিত্ব করে এমন কোনো নথি পাওয়া যায়নি বলে এটিকে আলাদা নথি হিসেবে রাখা হয়েছে। নাম কাছাকাছি হলেও ডোমেইন বা ঘটনা আলাদা, এমন নথিগুলো এই সিদ্ধান্তের বিবেচনা থেকে বাদ দেওয়া হয়েছে।

সংশ্লিষ্ট তালিকাগুলোতে থাকা রেকর্ডের সংখ্যা এবং যাচাই করা যায় এমন তথ্যের সংখ্যার মধ্যে পার্থক্য দেখা যেতে পারে। অপরিশোধিত ডেটার সারি, স্বতন্ত্র অ্যাকাউন্ট, পুনরাবৃত্ত ইমেইল, পরিশোধিত রেকর্ড, ফোরামের সারি, প্রোফাইলের সারি বা নতুনভাবে প্যাকেজ করা ডেটাসেটের পার্থক্যের কারণে এমনটি হতে পারে। এই পৃষ্ঠায় দেখানো সর্বোচ্চ সংখ্যার বদলে 22,941 সংখ্যাটিকে ভিত্তি ধরা হয়েছে, কারণ তথ্যের ধরনগুলোর পাশাপাশি এই সংখ্যাটিও ধারাবাহিকভাবে প্রমাণসমর্থিত।

Star Sonata একটি প্ল্যাটফর্ম, যা মহাকাশভিত্তিক অনলাইন গেমের প্রেক্ষাপটে বিবেচনা করা হয়েছে। গেমের অ্যাকাউন্টের সঙ্গে ব্যবহারকারীর নাম, ইমেইল এবং সংশ্লিষ্ট গেম IDs যুক্ত থাকতে পারে বলে এতে অ্যাকাউন্ট দখল এবং বিভিন্ন প্রোফাইলের মধ্যে মিল খুঁজে বের করার ঝুঁকি রয়েছে।

এই ঘটনায় ইমেইল ঠিকানা, ব্যবহারকারীর নাম এবং MD5 পাসওয়ার্ড হ্যাশ উন্মুক্ত হয়েছে। MD5 একটি দুর্বল হ্যাশ পদ্ধতি হওয়ায় একই পাসওয়ার্ড অন্য গেম বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টেও ব্যবহার করা হলে সেখানে সেটি দিয়ে প্রবেশের চেষ্টা করা হতে পারে।

Star Sonata-এর ঘটনায় MD5 হ্যাশ করা পাসওয়ার্ড পাওয়া গেছে বলে এর ঝুঁকি সাধারণ ইমেইল ফাঁসের চেয়ে বেশি। পাসওয়ার্ডের এই তথ্য আক্রমণকারীদের বারবার অনুমান করে চেষ্টা করার সময় কমিয়ে দেয়, একই পাসওয়ার্ড ব্যবহৃত হয় এমন অন্য সেবায় স্বয়ংক্রিয় লগইন চেষ্টাকে সহজ করে এবং পাসওয়ার্ড রিসেটের বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে।

শুধু একটি ইমেইল ঠিকানাকে সীমিত ব্যক্তিগত তথ্য মনে হতে পারে। তবে ব্যবহারকারীর নাম, IP ঠিকানা, ফোন নম্বর, পুরো নাম, জন্মতারিখ বা পাসওয়ার্ডের তথ্যের সঙ্গে যুক্ত হলে সেটি আক্রমণের কার্যকর উপায় হয়ে ওঠে। ব্যবহারকারী যদি কাজ, কেনাকাটা, ফোরাম, গেম, স্বাস্থ্য, আর্থিক সেবা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন, তাহলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মের বাইরেও ছড়িয়ে পড়তে পারে।

ঘটনাটি অতীতের হলেও নিরাপত্তার দিক থেকে এর গুরুত্ব এখনো রয়েছে। ব্যবহারকারীদের একটি উল্লেখযোগ্য অংশ পুরোনো পাসওয়ার্ডের ধরনে সামান্য পরিবর্তন এনে আবার ব্যবহার করেন। তাই Star Sonata-এর মতো পুরোনো তথ্য ফাঁসের ঘটনাও বহু বছর পরে পাসওয়ার্ড অনুমান, ফাঁস হওয়া লগইন তথ্য দিয়ে অন্য অ্যাকাউন্টে প্রবেশের চেষ্টা এবং লক্ষ্যভিত্তিক ফিশিংয়ের চেষ্টায় কাজে লাগানো হতে পারে।

ব্যবহারকারীদের প্রথম কাজ হলো, অতীতে Star Sonata বা www.starsonata.com-এ কোন ইমেইল ঠিকানা ও পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, তা মনে করার চেষ্টা করা। একই ধরনের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে শুধু সংশ্লিষ্ট সাইটে পাসওয়ার্ড বদলানো যথেষ্ট নয়; পুনর্ব্যবহৃত সব পাসওয়ার্ড বদলে প্রতিটির জন্য আলাদা ও দৈবভাবে তৈরি পাসওয়ার্ড ব্যবহার করতে হবে।

এই ঘটনার পর নেওয়া যেতে পারে এমন সবচেয়ে কার্যকর পদক্ষেপগুলোর একটি হলো পাসওয়ার্ড ম্যানেজার ব্যবহার করা। প্রতিটি সাইটের জন্য আলাদা পাসওয়ার্ড তৈরি করলে একটি তথ্য ফাঁসের প্রভাব ধারাবাহিকভাবে অন্য অ্যাকাউন্টে ছড়িয়ে পড়া ঠেকানো যায়। ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও পর্যালোচনা করা উচিত এবং দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ডগুলো সরিয়ে দেওয়া উচিত।

ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট এবং প্রশাসনিক প্যানেলের জন্য দুই-ফ্যাক্টর প্রমাণীকরণ চালু করা বিশেষভাবে অগ্রাধিকার পাওয়া উচিত। SMS-ভিত্তিক প্রমাণীকরণের তুলনায় অ্যাপভিত্তিক প্রমাণীকরণ বা হার্ডওয়্যার নিরাপত্তা চাবি আক্রমণের বিরুদ্ধে বেশি প্রতিরোধক্ষম সুরক্ষা দেয়।

ইমেইল অ্যাকাউন্টে ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ঠিকানা, সংযুক্ত অ্যাপ্লিকেশন, বিশ্বস্ত ডিভাইসের তালিকা এবং সাম্প্রতিক সেশনগুলো যাচাই করা উচিত। আক্রমণকারী সরাসরি Star Sonata অ্যাকাউন্টে প্রবেশ করতে না পারলেও ইমেইল অ্যাকাউন্টের মাধ্যমে অন্য সেবার পাসওয়ার্ড রিসেটের প্রক্রিয়াকে লক্ষ্যবস্তু করতে পারে।

ফিশিংয়ের ক্ষেত্রে পুরোনো সেবার নাম, ব্যবহারকারীর নাম, পেশাগত খাতের তথ্য, দেশ, শখ বা নিবন্ধনের তারিখ ব্যবহার করা হতে পারে। ব্যবহারকারীদের আসা লিংকে সরাসরি ক্লিক না করে নিজে ঠিকানা লিখে প্রবেশ করা উচিত, যাচাই না করে সংযুক্ত ফাইল খোলা উচিত নয় এবং জরুরি পদক্ষেপ নেওয়ার চাপ তৈরি করে এমন বার্তা সম্পর্কে সতর্ক থাকা উচিত।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রেও ঝুঁকি মূল্যায়ন করা উচিত। কোনো কর্মী আপাতদৃষ্টিতে ব্যক্তিগত একটি অ্যাকাউন্টে কর্মস্থলের ইমেইল ব্যবহার করে থাকলে প্রতিষ্ঠানের সিস্টেমে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করা সম্ভব। তাই ডোমেইনভিত্তিক নিরাপত্তা স্ক্যান, বহু-ফ্যাক্টর প্রমাণীকরণ এবং পাসওয়ার্ড পুনর্ব্যবহার শনাক্ত করার ব্যবস্থা গুরুত্বপূর্ণ।

সাইটের মালিকদের জন্য প্রধান শিক্ষাটি হলো পাসওয়ার্ড সংরক্ষণ ও তথ্য সংগ্রহ সীমিত রাখা। সরাসরি পাঠযোগ্য টেক্সট বা দ্রুত ভাঙা যায় এমন হ্যাশের ধরন ব্যবহারকারীর নিরাপত্তাকে সরাসরি দুর্বল করে। আধুনিক সিস্টেমে শক্তিশালী, সল্টযুক্ত ও ধীরগতির পাসওয়ার্ড ডেরিভেশন পদ্ধতি ব্যবহার করা উচিত এবং ব্যবহারকারীদের লগইনের সময় পুরোনো হ্যাশের ধরনগুলো ধীরে ধীরে হালনাগাদ করা উচিত।

ব্যাকআপ, পরীক্ষামূলক পরিবেশ, রপ্তানি করা ফাইল, পুরোনো ফোরাম সফটওয়্যার, প্রশাসনিক প্যানেল এবং অপ্রয়োজনীয় প্রবেশাধিকার নিয়মিত নিরীক্ষা করা উচিত। অনেক তথ্য ফাঁসের উৎস মূল অ্যাপ্লিকেশনের দৃশ্যমান অংশ নয়; বরং ভুলে যাওয়া সহায়ক সিস্টেম বা বিস্তৃত প্রবেশাধিকার থাকা অ্যাকাউন্ট।

ঘটনা মোকাবিলার পরিকল্পনা নেই এমন প্রতিষ্ঠানে ব্যবহারকারীদের জানানো, পাসওয়ার্ড রিসেট, লগ পর্যালোচনা এবং সংযুক্ত সিস্টেম যাচাই করতে দেরি হয়। কোন সিস্টেম পর্যবেক্ষণ করা হবে, কোন রেকর্ড রাখা হবে, কোন ব্যবহারকারীদের জানানো হবে এবং কোন ব্যাকআপ পর্যালোচনা করা হবে, তা আগেই নির্ধারণ করা উচিত।

প্রকাশ্য ঘোষণায় ক্ষতিগ্রস্ত ব্যবহারকারীর সংখ্যা আরও বেশি উল্লেখ করা হলেও কার্ডে প্রমাণসমর্থিত রেকর্ডের সংখ্যা 22,941 হওয়ায় এই সংখ্যাটিই ব্যবহার করা হয়েছে।

বর্তমান যাচাইয়ে Star Sonata থেকে 200 প্রতিক্রিয়া পাওয়া যাওয়ায় নথিতে এটিকে বন্ধ হয়ে যাওয়া সেবা হিসেবে চিহ্নিত করা হয়নি। নিজেদের অ্যাকাউন্টে প্রবেশ করতে পারলে ব্যবহারকারীদের পাসওয়ার্ড বদলানো উচিত।

গেমের অ্যাকাউন্টে Steam বা একই ধরনের সংযুক্ত পরিচয় সম্পর্কে সরাসরি পাঠযোগ্য টেক্সট আকারে তথ্য পাঠানো হলেও সেটিকে তথ্যের শ্রেণি হিসেবে যুক্ত করা হয়নি, কারণ তথ্যের ধরনের তালিকায় এর সরাসরি প্রমাণসমর্থন নেই।

গেমের ভেতরের সম্পদ বা পুরোনো অ্যাকাউন্ট প্রতারণামূলক বার্তায় ব্যবহার করা হতে পারে। ভুয়া সহায়তা ও নিরাপত্তা যাচাইয়ের বার্তা সম্পর্কে ব্যবহারকারীদের সতর্ক থাকা উচিত।

Star Sonata-এর লোগোর ছবিটি নথির সঙ্গে মিলিয়ে নেওয়া হয়েছে।

এই নথিতে যাচাই করা হয়নি এমন তথ্যের ধরনগুলো ইচ্ছাকৃতভাবে বাদ দেওয়া হয়েছে। তথ্যের শ্রেণির দীর্ঘ তালিকা তৈরির চেয়ে প্রমাণসমর্থিত ক্ষেত্রগুলো স্পষ্টভাবে দেখানো ব্যবহারকারীর আস্থার জন্য বেশি মূল্যবান। তথ্য ফাঁসের পৃষ্ঠাগুলোর উদ্দেশ্য ভয় দেখানো নয়; বরং ঘটনার সঠিক পরিসর এবং প্রযোজ্য নিরাপত্তা ব্যবস্থা স্পষ্টভাবে ব্যাখ্যা করা।

Star Sonata-এর তথ্য ফাঁস, www.starsonata.com-এর তথ্য ফাঁস, Star Sonata-এর পাসওয়ার্ড ফাঁস এবং Star Sonata-এর ব্যবহারকারীর তথ্যের মতো বিভিন্ন অনুসন্ধান-শব্দ সম্পর্কে সহজবোধ্য ও কাজে লাগানো যায় এমন তথ্য দেওয়ার জন্য এই পৃষ্ঠাটি প্রস্তুত করা হয়েছে। লেখাটিতে যাচাইকৃত বিষয় এবং বাস্তবসম্মত নিরাপত্তা পদক্ষেপ ব্যাখ্যা করা হয়েছে।

এই নথি দেখার পর ব্যবহারকারীদের শুধু সংশ্লিষ্ট প্ল্যাটফর্মের অ্যাকাউন্ট নয়, একই ইমেইল ঠিকানা দিয়ে খোলা অন্য অ্যাকাউন্টগুলোর অবস্থাও মূল্যায়ন করা উচিত। বিশেষ করে যেসব অ্যাকাউন্টে পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়েছে, সেগুলোই আক্রমণকারীদের প্রথম লক্ষ্য হয়। পুরোনো অ্যাকাউন্ট বন্ধ করলেও দীর্ঘমেয়াদে ঝুঁকি কমে।

পাসওয়ার্ডের পুনরাবৃত্তি কমাতে নতুন পাসওয়ার্ডে ব্র্যান্ডের নাম, জন্মসাল, ব্যবহারকারীর নাম, দলের নাম, শখ, শহর বা সহজে অনুমান করা যায় এমন বাড়তি অংশ রাখা উচিত নয়। পাসওয়ার্ডের শেষে ছোট একটি সংখ্যা বা বিশেষ চিহ্ন যোগ করলেই সেটি নিরাপদ হয় না; আক্রমণকারীদের টুল এসব ধরন দ্রুত পরীক্ষা করে।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ের তালিকা স্পষ্ট: পুরোনো পাসওয়ার্ড বদলান, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করুন, দুই-ফ্যাক্টর প্রমাণীকরণ চালু করুন, ইমেইল পুনরুদ্ধারের তথ্য যাচাই করুন, অচেনা সেশন বন্ধ করুন এবং সন্দেহজনক বার্তার লিংক ব্যবহার না করে সরাসরি সাইটের ঠিকানায় যান।

নিরাপত্তা দলগুলোর উচিত কর্মীদের ইমেইল ডোমেইনের সঙ্গে মিলে যায় এমন ইমেইল ঠিকানার দিক থেকে এই নথি মূল্যায়ন করা। পুরোনো ফোরাম, কেনাকাটা, আর্থিক সেবা বা কমিউনিটি অ্যাকাউন্টে ব্যবহৃত প্রাতিষ্ঠানিক ইমেইল ঠিকানা আক্রমণকারীদের লক্ষ্যবস্তুর তালিকায় আরও তথ্য যোগ করতে পারে।

এ ধরনের ঘটনায় তথ্য সংগ্রহ ও সংরক্ষণ সীমিত রাখা অত্যন্ত গুরুত্বপূর্ণ। প্রোফাইলের অপ্রয়োজনীয় তথ্য সংগ্রহ করা উচিত নয়, যৌক্তিক সংরক্ষণ নীতির আওতায় নিষ্ক্রিয় অ্যাকাউন্ট সরিয়ে দেওয়া উচিত, সংবেদনশীল তথ্যের ক্ষেত্রে প্রবেশাধিকার সীমিত রাখা উচিত এবং তথ্য রপ্তানির কার্যক্রম বাড়তি পর্যবেক্ষণে রাখা উচিত।

আতঙ্কিত না হয়ে ব্যবহারকারীদের অ্যাকাউন্ট সুরক্ষার নিয়মিত পরিচর্যার কাজগুলো সম্পন্ন করতে হবে। পুরোনো ও ভুলে যাওয়া অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় সদস্যপদ মুছে ফেলা, পুনরুদ্ধারের ঠিকানা হালনাগাদ করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে লগইনের বিজ্ঞপ্তি চালু করা স্থায়ী সুরক্ষা দেয়।

প্রভাবিত অ্যাকাউন্টের সংখ্যা, পাসওয়ার্ডের তথ্যের ধরন, অ্যাকাউন্ট দখলে তথ্যের শ্রেণিগুলোর সম্ভাব্য ভূমিকা এবং ঘটনায় পুনর্ব্যবহারযোগ্য লগইন তথ্য ছিল কি না, এসব বিবেচনায় এই পৃষ্ঠার ঝুঁকির মাত্রা সংকটজনক নির্ধারণ করা হয়েছে। সংকটজনক মাত্রা নিশ্চিত অপব্যবহার বোঝায় না; বরং ব্যবহারকারীকে দ্রুত পদক্ষেপ নিতে হবে, তা নির্দেশ করে।

সব মিলিয়ে, Star Sonata-এর এই নথিটি 2018 সালের ডিসেম্বরের সময়কালে 22,941টি অ্যাকাউন্টকে প্রভাবিত করা একটি একক তথ্য ফাঁসের নথি। এতে ইমেইল ঠিকানা, ব্যবহারকারীর নাম এবং MD5 পাসওয়ার্ড হ্যাশের ক্ষেত্র রয়েছে। ব্যবহারকারীদের প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, দুই-ধাপের যাচাইকরণ চালু, ইমেইলের নিরাপত্তা সেটিংস পরীক্ষা এবং সন্দেহজনক লগইনের সতর্কবার্তা পর্যবেক্ষণের পরামর্শ দেওয়া হচ্ছে।

Star Sonata-এর নথিতে সংখ্যাগত মান, শিরোনাম ও ডোমেইন একসঙ্গে মূল্যায়ন করা হয়েছে বলে একই নামে প্রচলিত তালিকার অস্পষ্ট আইটেমগুলো এই পৃষ্ঠায় আনা হয়নি। ব্যবহারকারী যে নথি দেখছেন, তা যাচাইকৃত ডোমেইন ও ঘটনার সময়কালের মধ্যেই সীমিত।

তথ্যের শ্রেণিগুলো সরল রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ প্রমাণসমর্থিত নয় এমন ক্ষেত্র যোগ করলে ব্যবহারকারীর ঝুঁকি মূল্যায়ন ব্যাহত হয়। তাই এই নথিতে ইমেইল ঠিকানা, ব্যবহারকারীর নাম এবং MD5 পাসওয়ার্ড হ্যাশ ছাড়া অন্য দাবিগুলোকে প্রমাণিত তথ্যের ক্ষেত্র হিসেবে উপস্থাপন করা হয়নি।

www.starsonata.com ডোমেইন-সংশ্লিষ্ট পুরোনো সদস্যপদের কথা ব্যবহারকারীরা ভুলে গিয়ে থাকতে পারেন। ভুলে যাওয়া অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো সম্ভব না হলে একই পাসওয়ার্ড ব্যবহার করা হয়েছিল এমন অন্য সেবাগুলো খুঁজে বের করে সেগুলো সুরক্ষিত করাকে অগ্রাধিকার দেওয়া বেশি বাস্তবসম্মত।

ব্যবহারকারীর নাম, ইমেইল বা ফোনের তথ্য অন্য তথ্য ফাঁসের সঙ্গে মিলিয়ে নিলে আক্রমণকারীদের পক্ষে কোনো ব্যক্তির আগ্রহ, দেশ, পেশাগত খাত বা অতীতে কোন ধরনের সেবায় সদস্যপদ ছিল, তা অনুমান করা সহজ হয়। তাই একটি তথ্য ফাঁসের ঘটনা ছোট মনে হলেও সম্মিলিত ঝুঁকি বেশি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের ব্যক্তিগত সদস্যপদে কর্মস্থলের ইমেইল ব্যবহারের বিষয়টি নিয়মিত সচেতনতামূলক প্রশিক্ষণে আলোচনা করা উচিত। এ ধরনের নথি পাসওয়ার্ড পুনর্ব্যবহার এবং ব্যক্তিগত প্ল্যাটফর্মে প্রাতিষ্ঠানিক পরিচয় কতটা দৃশ্যমান, তা মূল্যায়নের জন্য সতর্কসংকেত দেয়।

ব্যবহারকারী এই নথিতে নিজের ইমেইল দেখতে পেলে তাঁর উচিত প্রথমে সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করা: ইমেইল ইনবক্স, ব্যাংক বা বিনিয়োগ অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, ক্লাউড স্টোরেজ, সামাজিক যোগাযোগমাধ্যম এবং নিয়মিত ব্যবহৃত কেনাকাটার অ্যাকাউন্ট।

অ্যাকাউন্ট বন্ধ করার সুযোগ থাকলে অপ্রয়োজনীয় পুরোনো সদস্যপদ বন্ধ করাও একটি ভালো পদক্ষেপ। যেসব অ্যাকাউন্ট বন্ধ করা যায় না, সেগুলোতে অন্তত আলাদা পাসওয়ার্ড ব্যবহার করা উচিত, প্রোফাইলের তথ্য সীমিত রাখা উচিত এবং লগইনের বিজ্ঞপ্তি চালু করা উচিত।