Taobao তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাই করা তথ্যের ধরন দুটি (ইমেইল ঠিকানা ও পাসওয়ার্ড। সাধারণ পাঠ্যরূপে সংরক্ষিত পাসওয়ার্ড বড় ধরনের ঝুঁকি তৈরি করে, কারণ কোনো হ্যাশ ভাঙার প্রয়োজন ছাড়াই সেগুলো সরাসরি ব্যবহার করে লগইনের চেষ্টা করা যায়। একই পাসওয়ার্ড ইমেইল, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম বা অন্য কোনো সেবায় আবার ব্যবহার করা হয়ে থাকলে, আক্রমণকারী সেসব অ্যাকাউন্টে ক্রেডেনশিয়াল স্টাফিংয়ের চেষ্টা করতে পারে। ইমেইল ঠিকানা ও পাসওয়ার্ডের জোড়া ব্যবহার করে অর্ডার, অর্থ পরিশোধ, অ্যাকাউন্ট যাচাই বা পাসওয়ার্ড রিসেটের ভুয়া বার্তাও আরও বিশ্বাসযোগ্য করে তোলা যায়। ডেটাসেটটির উৎস Taobao কি না, তা অনিশ্চিত হওয়ায় ঝুঁকি মূল্যায়নের সময় কিছু তথ্য আপাতদৃষ্টিতে প্রকৃত বলে মনে হওয়া এবং তথ্যের উৎস নিয়ে অনিশ্চয়তা) দুটিই বিবেচনায় রাখতে হবে।

নথিভুক্ত 1 জানুয়ারি 2012 তারিখটি আক্রমণের সুনির্দিষ্ট তারিখ নয়; এটি বছরভিত্তিক একটি নির্দেশক, যা বোঝায় ঘটনাটি আনুমানিক 2012 সালের বলে বিবেচনা করা হয়েছে। ডেটাসেটটি 2,11,49,008টি অ্যাকাউন্ট রেকর্ডের সঙ্গে যুক্ত ছিল এবং ইমেইল-পাসওয়ার্ডের জোড়াগুলোতে প্রকৃত ব্যবহারকারীর তথ্য থাকার লক্ষণ দেখা গেছে। ভাষা, ডোমেইন নাম ও স্থানীয় সেবার প্রেক্ষাপট এবং ক্ষতিগ্রস্ত ব্যক্তিদের কাছ থেকে পরস্পর সামঞ্জস্যপূর্ণ নিশ্চিত তথ্য পাওয়ার অসুবিধার কারণে উৎসটি চূড়ান্তভাবে প্রতিষ্ঠা করা যায়নি। তাই রেকর্ডটি অযাচাইকৃত হিসেবে প্রকাশ করা হয়েছে: ডেটাসেটটিকে বানানো বলে সরাসরি বাতিল করা যায় না, তবে এটি Taobao-এর সিস্টেম থেকে এসেছে বলেও প্রমাণিত হয়নি। 2,11,49,008 সংখ্যাটি ডেটাসেটে থাকা অ্যাকাউন্টের হিসাব; উৎস ও সদৃশ রেকর্ড বাদ দেওয়ার পদ্ধতি পুরোপুরি জানা না থাকায় এটিকে স্বতন্ত্র ব্যক্তির সঠিক সংখ্যা হিসেবে ধরা উচিত নয়। এটি 2020 সালের স্ক্র্যাপিংয়ের ঘটনা নয়।

যাঁরা 2012 সালের দিকে Taobao ব্যবহার করেছেন এবং অন্য কোনো সেবায় একই পাসওয়ার্ড আবার ব্যবহার করেছেন, তাঁদের বাস্তব ঝুঁকি সবচেয়ে স্পষ্ট। পুরোনো অ্যাকাউন্ট বন্ধ হয়ে গেলেও বা সেটির কথা ভুলে গেলেও, সাধারণ পাঠ্যরূপে থাকা সেই পাসওয়ার্ড পরে ইমেইল, কেনাকাটা বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে আবার ব্যবহার করা হয়ে থাকতে পারে। যাঁরা একই মূল পাসওয়ার্ডে ছোটখাটো পরিবর্তন করে ব্যবহার করেছেন, তাঁদেরও সতর্ক থাকা উচিত, কারণ পুরোনো ধরন দেখে আক্রমণকারী নতুন লগইন তথ্য অনুমান করতে পারে। উৎস যাচাই করা হয়নি, তাই কোনো ইমেইল ঠিকানা মিলে গেলেই প্রমাণ হয় না যে সেই ব্যক্তির অবশ্যই Taobao অ্যাকাউন্ট ছিল। ঠিকানাটি অন্য কোনো সেবা, একাধিক উৎস মিলিয়ে তৈরি সংগ্রহ বা ভুল নামে চিহ্নিত কোনো উৎস থেকেও আসতে পারে। এই অনিশ্চয়তার অর্থ এই নয় যে নিরাপত্তামূলক ব্যবস্থা নেওয়ার প্রয়োজন নেই; এটি শুধু কোন প্রতিষ্ঠানের কাছ থেকে তথ্য এসেছে, সে বিষয়ে নিশ্চিত দাবি করতে বাধা দেয়। যাঁদের Taobao ব্যবহারের কথা মনে নেই, তাঁদের যাচাই করা উচিত তালিকাভুক্ত পাসওয়ার্ডটি তাঁদের ছিল কি না এবং সে সময় তাঁরা কোথায় সেটি ব্যবহার করেছিলেন।

আপনি পুরোনো পাসওয়ার্ডটি অন্য কোথাও আবার ব্যবহার করে থাকলে, সংশ্লিষ্ট প্রতিটি অ্যাকাউন্টের পাসওয়ার্ড অবিলম্বে বদলান। প্রথমে ইমেইলের নিরাপত্তা নিশ্চিত করুন, কারণ ইমেইলে প্রবেশাধিকার থাকলে অন্য অনেক সেবার পাসওয়ার্ড রিসেট করা যায়। প্রতিটি অ্যাকাউন্টের জন্য দীর্ঘ ও আলাদা পাসওয়ার্ড তৈরি করুন, সেটি বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করুন এবং যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন। Taobao অ্যাকাউন্টটি এখনও ব্যবহার করলে, নিজে অফিসিয়াল ঠিকানা লিখে সেখানে গিয়ে পাসওয়ার্ড বদলান, তারপর সক্রিয় সেশন ও অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করুন। অপ্রত্যাশিত অর্ডার, টাকা ফেরত, পণ্য সরবরাহ, অর্থ পরিশোধ বা অ্যাকাউন্ট যাচাইয়ের বার্তায় থাকা লিংকে যাবেন না; অফিসিয়াল অ্যাপ্লিকেশন বা ডোমেইনের মাধ্যমে লেনদেন যাচাই করুন। পুরোনো পাসওয়ার্ডের সামান্য পরিবর্তিত কোনো রূপ এখনও ব্যবহার করলে, শুধু হুবহু মিলে যাওয়া পাসওয়ার্ডটি বদলাবেন না, একই ধরন থেকে তৈরি অন্য পাসওয়ার্ডগুলোও বদলান। উৎস নিয়ে অনিশ্চয়তা থাকলেও সাধারণ পাঠ্যরূপে পাসওয়ার্ড ফাঁস হওয়া নিশ্চিত হলে ব্যবস্থা নেওয়ার প্রয়োজন কমে যায় না।

পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা এলোমেলো পাসওয়ার্ড রাখা সহজ হয়। এতে একটি ডেটাসেটে সাধারণ পাঠ্যরূপে থাকা লগইন তথ্য অন্য অ্যাকাউন্টে ঢোকার চাবি হয়ে উঠতে পারে না। ইমেইলে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু রাখুন, অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ রাখুন এবং নতুন সেশনের সতর্কতা চালু রাখুন। পুরোনো অ্যাকাউন্ট নিয়মিত পর্যালোচনা করুন, আর ব্যবহার করেন না এমন কেনাকাটা ও ফোরামের প্রোফাইল বন্ধ করুন এবং অপ্রয়োজনীয় সংরক্ষিত পেমেন্ট পদ্ধতি সরিয়ে দিন। একটি মূল শব্দের সঙ্গে সাইটের নাম বা বছর যোগ করে পাসওয়ার্ড তৈরি করা নিরাপদ নয়, কারণ আক্রমণকারীরা এই ধরন অনুমান করতে পারে। ফিশিং বার্তায় প্রদর্শিত প্রেরকের নাম বিশ্বাস না করে প্রকৃত ডোমেইন, লিংকের গন্তব্য এবং অনুরোধটি স্বাভাবিক কি না, তা যাচাই করুন। নিয়মিত পর্যালোচনায় নিষ্ক্রিয় কেনাকাটার প্রোফাইল এবং বহু বছর ধরে হালনাগাদ না করা পুনরুদ্ধারের ঠিকানাও অন্তর্ভুক্ত করা উচিত। ডেটাসেটের উৎস অনিশ্চিত থাকলেও, অনুমাননির্ভরভাবে কোনো প্রতিষ্ঠানকে উৎস হিসেবে দাবি করার চেয়ে যাচাইয়ে নিশ্চিত হওয়া পাসওয়ার্ড ফাঁসের ওপর গুরুত্ব দেওয়া বেশি কার্যকর।

LeakData দিয়ে আপনার ইমেইল ঠিকানা যাচাই করুন এবং দেখুন সেটি Taobao 2012 রেকর্ড বা অন্য কোনো পরিচিত তথ্য ফাঁসের রেকর্ডের সঙ্গে মেলে কি না। মিলে যাওয়ার অর্থ এই নয় যে Taobao প্রকাশ্যে ঘটনাটি নিশ্চিত করেছে বা ঠিকানাটি অবশ্যই সেই সেবা থেকে এসেছে; এর অর্থ, ঠিকানাটি এমন একটি ডেটাসেটে রয়েছে, যেটিকে Taobao-এর বলে উল্লেখ করা হলেও সেই উৎস যাচাই করা হয়নি। ব্যবস্থা নেওয়ার সময় উৎসের অনিশ্চয়তা এবং সাধারণ পাঠ্যরূপে পাসওয়ার্ড পাওয়ার বিষয়, দুটিই বিবেচনা করুন। ঠিকানা মিলে গেলে, পুরোনো পাসওয়ার্ডটি যেসব অ্যাকাউন্টে ব্যবহার করা হয়েছিল, তার সবগুলো শনাক্ত করুন এবং আগে ইমেইল, আর্থিক ও কেনাকাটার সেবাগুলোর নিরাপত্তা নিশ্চিত করুন। আপনার Taobao অ্যাকাউন্ট ছিল বলে মনে না হলে, উৎস নিয়ে অনুমান না করে পাসওয়ার্ডটি আপনার ছিল কি না এবং অন্য কোনো সেবায় সেটি ব্যবহার করেছিলেন কি না, তা নির্ধারণ করুন। নিয়মিত সুরক্ষার অংশ হিসেবে আলাদা পাসওয়ার্ড, পাসওয়ার্ড ম্যানেজার ও বহু-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করুন।