তথ্যচোর ম্যালওয়্যারের লগ, জানুয়ারি 2025 তথ্যফাঁস

যাচাইকৃত তথ্যের ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। এই দুই ধরনের তথ্য একসঙ্গে পাওয়া গেলে ঝুঁকি বাড়ে, কারণ আক্রমণকারীরা বিভিন্ন সেবায় একই পাসওয়ার্ড দিয়ে চেষ্টা করতে পারে, পুরোনো পাসওয়ার্ড সামান্য বদলে পরীক্ষা করতে পারে, অথবা ব্যবহারকারী কোন কোন সেবা ব্যবহার করেন, সেই তথ্য কাজে লাগিয়ে সোশ্যাল ইঞ্জিনিয়ারিং করতে পারে। কাউকে লক্ষ্যবস্তু করা শুরু করতে শুধু একটি ইমেইল ঠিকানাই যথেষ্ট হলেও, পাসওয়ার্ডের তথ্য অ্যাকাউন্টের নিরাপত্তা ভঙ্গের সম্ভাবনা সরাসরি বাড়িয়ে দেয়। তাই রেকর্ডটির ঝুঁকির মাত্রা অতি গুরুতর হিসেবে মূল্যায়ন করা হয়েছে।

এই ঘটনায় পেমেন্ট কার্ড নম্বর, সরকারি পরিচয়পত্র, বাসা বা প্রতিষ্ঠানের ঠিকানা বা ফোন নম্বরকে যাচাইকৃত তথ্যের ধরন হিসেবে গণ্য করা হয়নি। মূল ঝুঁকি হলো ইমেইল ও পাসওয়ার্ডের জোড়ার অপব্যবহার। পাসওয়ার্ড আগে বদলানো হয়ে থাকলেও, অন্য অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড থাকলে বিপদ থেকে যেতে পারে। বিশেষ করে ইমেইল অ্যাকাউন্ট আক্রমণকারীদের প্রথম দিকের লক্ষ্যগুলোর একটি হতে পারে, কারণ পাসওয়ার্ড পুনর্নির্ধারণের বার্তা পাওয়ার ক্ষেত্রে এর কেন্দ্রীয় ভূমিকা রয়েছে।

ঘটনার পরিসর 7 কোটি 10 লাখের বেশি ইমেইল ঠিকানা এবং সেগুলোর সঙ্গে যুক্ত পাসওয়ার্ডের তথ্যে সীমাবদ্ধ। লগইন তথ্য সংগ্রহের প্রেক্ষাপট তথ্যচোর ম্যালওয়্যার এবং বিভিন্ন জায়গায় প্রচলিত সেই ম্যালওয়্যারের লগের সংগ্রহের সঙ্গে সম্পর্কিত। তাই এই ফলাফলকে কোনো নির্দিষ্ট ওয়েবসাইটের সব গ্রাহককে প্রভাবিত করা একটি একক তথ্যফাঁস হিসেবে দেখা উচিত নয়। একই ইমেইল ঠিকানা বিভিন্ন সেবায়, বিভিন্ন সময়ে বা পুনরায় প্রচারিত তালিকায় থাকতে পারে। এ কারণে ব্যবহারকারীর প্রতিটি সেবায় আলাদা নিরাপত্তা যাচাইয়ের ব্যবস্থা নেওয়া প্রয়োজন।

ঘটনাটি কোনো একটি প্রতিষ্ঠানের ডোমেইন নামের সঙ্গে যুক্ত নয় বলে ডোমেইন নামের ঘর খালি রাখা হয়েছে। কোনো নির্দিষ্ট প্রতিষ্ঠানের সদর দপ্তরের সঙ্গে সম্পর্কিত না হওয়ায় দেশের তথ্যও খালি রাখা হয়েছে। রেকর্ডটি যাচাইকৃত হিসেবে চিহ্নিত করা হয়েছে; তবে তথ্যচোর ম্যালওয়্যারের লগের প্রকৃতির কারণে তালিকায় কোনো সেবার সঙ্গে তথ্যের মিল পাওয়া গেলেই যে ব্যবহারকারী সত্যিই সংশ্লিষ্ট সাইটে গিয়েছিলেন, তা সব সময় প্রমাণিত হয় না। নির্ভরযোগ্যভাবে বলা যায়, অপরাধমূলক উদ্দেশ্যে সংকলিত পরিচয়-সংক্রান্ত তথ্যের সংগ্রহে ইমেইল ও পাসওয়ার্ডের তথ্য রয়েছে। তাই দেরি না করে অ্যাকাউন্টের নিরাপত্তা যাচাই সম্পন্ন করা উচিত।

যাঁরা একাধিক সেবায় একই পাসওয়ার্ড ব্যবহার করেন, তাঁরা সবচেয়ে বেশি ঝুঁকিতে আছেন। ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, গেমিং, কেনাকাটা, আর্থিক সেবা ও ব্যবসায়িক ব্যবস্থায় একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা হলে, আক্রমণকারীরা স্বয়ংক্রিয়ভাবে পাসওয়ার্ড অনুমান করে আক্রমণ চালাতে এই তথ্য ব্যবহার করতে পারে। বহু-উপাদানভিত্তিক প্রমাণীকরণ নেই এমন অ্যাকাউন্ট বেশি ঝুঁকিপূর্ণ। পুরোনো পাসওয়ার্ড সামান্য বদলে আবার ব্যবহার করলে ঝুঁকি কমে না; আক্রমণকারীরা প্রায়ই এ ধরনের পরিবর্তিত পাসওয়ার্ডও পরীক্ষা করে।

প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রে ঝুঁকি আরও বিস্তৃত। কর্মীদের ইমেইল ঠিকানা ও পাসওয়ার্ডের জোড়া দিয়ে দূরবর্তী প্রবেশের পোর্টাল, ব্যবসায়িক অ্যাপ্লিকেশন, গ্রাহক ড্যাশবোর্ড ও SaaS অ্যাকাউন্টে ঢোকার চেষ্টা করা হতে পারে। পাসওয়ার্ডটি প্রাতিষ্ঠানিক অ্যাকাউন্টের পাসওয়ার্ডের সঙ্গে না মিললেও হুমকি পুরোপুরি দূর হয় না; আক্রমণকারীরা একই ব্যক্তির ব্যক্তিগত অ্যাকাউন্ট থেকে তাঁর কর্মক্ষেত্রের ব্যবস্থায় প্রবেশের চেষ্টা করতে পারে। তাই প্রতিষ্ঠানগুলোর শুধু প্রভাবিত ইমেইল ঠিকানাই নয়, সংশ্লিষ্ট সেশন-সংক্রান্ত সতর্কতা ও অস্বাভাবিক লগইন প্রচেষ্টাও পরীক্ষা করা উচিত।

প্রথম পদক্ষেপ হলো সংশ্লিষ্ট ইমেইল ঠিকানা দিয়ে ব্যবহৃত সব গুরুত্বপূর্ণ অ্যাকাউন্টে আলাদা পাসওয়ার্ড নিশ্চিত করা। যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়েছে, সেগুলোর প্রতিটিতে আলাদা, দীর্ঘ ও এলোমেলো পাসওয়ার্ড বেছে নেওয়া উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড পুনরায় ব্যবহারের ঝুঁকি কমে এবং ভুল করে পুরোনো পাসওয়ার্ড আবার বেছে নেওয়া এড়ানো যায়। ইমেইল অ্যাকাউন্ট, আর্থিক অ্যাকাউন্ট, কাজের অ্যাকাউন্ট, ক্লাউড স্টোরেজ ও সামাজিক যোগাযোগমাধ্যম আগে যাচাই করা উচিত।

অবিলম্বে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। সম্ভব হলে SMS-এর বদলে প্রমাণীকরণ অ্যাপ, পাসকি বা হার্ডওয়্যার সিকিউরিটি কী বেছে নেওয়া উচিত। সক্রিয় সেশনগুলো পর্যালোচনা করা, অপরিচিত ডিভাইসে চালু থাকা সেশন বন্ধ করা এবং সাম্প্রতিক লগইনের ইতিহাস যাচাই করা দরকার। অপ্রত্যাশিত পাসওয়ার্ড পুনর্নির্ধারণের ইমেইল, অ্যাকাউন্ট লক হওয়ার বার্তা এবং জরুরি অর্থ পরিশোধের অনুরোধ সম্পর্কে ব্যবহারকারীর সতর্ক থাকা উচিত। হালনাগাদ নিরাপত্তা সফটওয়্যার দিয়ে ডিভাইসে পূর্ণাঙ্গ স্ক্যান চালানোও গুরুত্বপূর্ণ, কারণ তথ্যচোর ম্যালওয়্যারের লগের প্রেক্ষাপট ডিভাইস থেকে ঝুঁকি তৈরি হওয়ার সম্ভাবনা বাড়ায়।

দীর্ঘমেয়াদি মূল লক্ষ্য হলো কোনো পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করা সম্পূর্ণ বন্ধ করা। প্রতিটি সেবায় আলাদা পাসওয়ার্ড ব্যবহার, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং নিয়মিত সেশন যাচাইকে স্থায়ী অভ্যাসে পরিণত করা উচিত। গুরুত্বপূর্ণ অ্যাকাউন্টে ট্রানজিশন কী বা হার্ডওয়্যার সিকিউরিটি কী ব্যবহারের সুবিধা থাকলে সেগুলোকে অগ্রাধিকার দেওয়া উচিত। ইমেইল ঠিকানাটি পুরোনো এবং ব্যাপকভাবে ব্যবহৃত হলে, বেশি সংবেদনশীল সেবার জন্য ছদ্মনামে তৈরি ঠিকানা বা যোগাযোগের আলাদা ঠিকানা ব্যবহার করলে লক্ষ্যবস্তু হওয়ার ঝুঁকি কমতে পারে।

প্রতিষ্ঠানের জন্য স্থায়ী কৌশল হলো ফাঁস হওয়া পাসওয়ার্ডের ব্যবহার ঠেকানোর ব্যবস্থা, অস্বাভাবিক লগইনের সতর্কতা, ডিভাইসের নিরাপত্তাগত অবস্থা যাচাই এবং কর্মীদের প্রশিক্ষণ, সবগুলো একসঙ্গে কার্যকর রাখা। তথ্যচোর ম্যালওয়্যারের লগ থেকে তৈরি ঝুঁকি শুধু পাসওয়ার্ড বদলালেই শেষ নাও হতে পারে; একই ডিভাইসে ম্যালওয়্যার চলতে থাকলে তথ্য সংগ্রহ আবার শুরু হতে পারে। তাই এন্ডপয়েন্টের নিরাপত্তা, ব্রাউজার এক্সটেনশন, অনুমোদনহীন সফটওয়্যারের ব্যবহার এবং কর্মীদের ব্যক্তিগত ডিভাইস ব্যবহারের অভ্যাসও নিরাপত্তা কর্মসূচির অংশ হওয়া উচিত।

LeakData-তে এই ফলাফল দেখলে আপনার প্রথমে সংশ্লিষ্ট ইমেইল ঠিকানা দিয়ে ব্যবহৃত অ্যাকাউন্টগুলোর তালিকা করা উচিত। এরপর গুরুত্বপূর্ণ সেবাগুলো দিয়ে শুরু করে নিরাপত্তা যাচাই সম্পন্ন করা দরকার। শুধু একটি অ্যাকাউন্টের পাসওয়ার্ড বদলালে ঝুঁকি থেকে যায়; একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা প্রতিটি অ্যাকাউন্টের জন্য আলাদাভাবে ব্যবস্থা নিতে হবে। পাসওয়ার্ড ম্যানেজার দিয়ে এলোমেলো ও স্বতন্ত্র পাসওয়ার্ড তৈরি করলে একই ভুল আবার হওয়ার সম্ভাবনা অনেক কমে।

এই ঘটনায় ব্যবস্থা নিতে দেরি করা উচিত নয়, কারণ এটি ইমেইল ও পাসওয়ার্ড উন্মুক্ত হয়ে থাকতে পারে বলে ইঙ্গিত দেয়। আগে বদলে ফেলা পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে ব্যবহার করেছেন কি না, তা আপনার যাচাই করা উচিত। সক্রিয় সেশন বন্ধ করা, অপরিচিত লগইন পর্যালোচনা করা এবং বহু-উপাদানভিত্তিক প্রমাণীকরণ বাধ্যতামূলক করাও দরকার। পাশাপাশি, অন্য তথ্যফাঁসের ঘটনায় একই ইমেইল ঠিকানা কোন কোন ধরনের তথ্যের সঙ্গে পাওয়া গেছে, তা যাচাই করলে সামগ্রিক ঝুঁকি আরও নির্ভুলভাবে বোঝা যায়।