The Botting Network-এর 2012 সালের তথ্য ফাঁস

পুরোনো ফোরামের তথ্য ফাঁসের ঘটনায় সবচেয়ে বড় ভুল হলো, ঘটনা পুরোনো বলে সেটি আর গুরুত্বপূর্ণ নয় ধরে নেওয়া। ব্যবহারকারীরা বছরের পর বছর বিভিন্ন অ্যাকাউন্টে একই ধরনের পাসওয়ার্ড ব্যবহার করে থাকতে পারেন। কোনো আক্রমণকারী পুরোনো সল্টযুক্ত MD5 হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করার চেষ্টা করতে পারে অথবা অন্য সেবায় একই ধরনের পাসওয়ার্ড পরীক্ষা করতে পারে। তাই শুধু একই পাসওয়ার্ড নয়, একই রকম শব্দ ও সংখ্যার সমন্বয়ে তৈরি পাসওয়ার্ডও বদলানো প্রয়োজন।

ব্যবহারকারীর নাম ও ইমেইলের সঙ্গে জন্মতারিখের তথ্য যুক্ত হলে পরিচয় মিলিয়ে শনাক্ত করার ঝুঁকি বাড়ে। কিছু পুরোনো ফোরাম ও অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়ায় পরিচয় যাচাইয়ের জন্য জন্মতারিখ ব্যবহার করা হতে পারে। ক্ষতিগ্রস্ত ব্যবহারকারীরা অন্য কোনো সেবায় নিরাপত্তামূলক প্রশ্নের উত্তর হিসেবে বা সহায়তা সেবার মাধ্যমে পরিচয় যাচাইয়ের জন্য জন্মতারিখ ব্যবহার করলে তাঁদের বিকল্প যাচাই পদ্ধতি বেছে নেওয়া উচিত।

The Botting Network-এর প্রেক্ষাপট সুনাম ক্ষুণ্ন হওয়ার আলাদা ঝুঁকিও তৈরি করতে পারে। কোনো ব্যবহারকারীকে এমন একটি ফোরামের সঙ্গে যুক্ত করে দেখানোই সেখানে তাঁর সক্রিয়তার মাত্রা বা উদ্দেশ্য প্রমাণ করে না; তবে সামাজিক কৌশলে প্রতারণা বা হুমকিমূলক বার্তায় ফোরামের নাম ব্যবহার করা হতে পারে। পুরোনো অ্যাকাউন্ট, ফোরামে আগের কার্যকলাপ, সদস্যপদের প্রমাণ বা তথ্য মুছে দেওয়ার অনুরোধের প্রসঙ্গ তুলে ব্যবহারকারীর সঙ্গে যোগাযোগ করা হতে পারে। এমন বার্তার পরিপ্রেক্ষিতে কোনো অর্থ দেওয়া বা অতিরিক্ত তথ্য শেয়ার করা উচিত নয়।

একই ব্যবহারকারীর নাম বিভিন্ন ফোরাম, গেমিং অ্যাকাউন্ট, মেসেজিং চ্যানেল ও সামাজিক প্ল্যাটফর্মে ব্যবহার করা হয়ে থাকতে পারে। অন্য অ্যাকাউন্টে সেই একই ছদ্মনামের সঙ্গে প্রকৃত পরিচয় বা যোগাযোগের তথ্য যুক্ত থাকলে, পুরোনো ফোরামের রেকর্ডটি আরও বিস্তৃত একটি ডিজিটাল প্রোফাইলের সঙ্গে মিলিয়ে দেখা সম্ভব হতে পারে। ক্ষতিগ্রস্ত ব্যক্তিদের প্রকাশ্য প্রোফাইলে থাকা অপ্রয়োজনীয় ব্যক্তিগত তথ্য কমানো উচিত।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে এই ঘটনা বন্ধ হয়ে যাওয়া ফোরাম ও পুরোনো কমিউনিটি ব্যবস্থার তথ্যের জীবনচক্রের ঝুঁকি তুলে ধরে। অব্যবহৃত ব্যবস্থায় থাকা পাসওয়ার্ড হ্যাশ ও প্রোফাইলের তথ্য বছরের পর বছর ছড়িয়ে থাকতে পারে। পুরোনো vBulletin-ভিত্তিক কমিউনিটিতে পাসওয়ার্ড সংরক্ষণ, ব্যাকআপ আর্কাইভ এবং ব্যবহারকারীর তথ্য মুছে ফেলার প্রক্রিয়ায় বিশেষ মনোযোগ প্রয়োজন।

ক্ষতিগ্রস্ত ব্যবহারকারীদের পুরোনো পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড ব্যবহার করা, প্রধান ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা এবং একই ব্যবহারকারীর নাম ব্যবহার করা অন্য অ্যাকাউন্টগুলো পর্যালোচনা করা উচিত। রেকর্ডটি পুরোনো হলেও জন্মতারিখ, ব্যবহারকারীর নাম ও পাসওয়ার্ড হ্যাশের কারণে এটি বর্তমান অ্যাকাউন্টের নিরাপত্তার জন্য এখনও উল্লেখযোগ্য ঝুঁকি তৈরি করে।

এই রেকর্ড থেকে আরও বোঝা যায়, পুরোনো কমিউনিটি অ্যাকাউন্টে ব্যবহৃত জন্মতারিখের তথ্য ভবিষ্যতে অন্য অ্যাকাউন্টের সঙ্গে মিলিয়ে দেখা সম্ভব হতে পারে। কোনো ব্যবহারকারী 2012 সালের কাছাকাছি সময়ে গেম, ফোরাম বা সফটওয়্যার কমিউনিটিতে একই ছদ্মনাম ব্যবহার করে থাকলে, এই পুরোনো রেকর্ডটি বর্তমান প্রোফাইলের সঙ্গে যুক্ত করা হতে পারে। জন্মতারিখের তথ্যও এই মিলকে আরও জোরালো করতে পারে। তাই পুরোনো ছদ্মনাম ও প্রকাশ্য প্রোফাইলগুলো পর্যালোচনা করা উচিত।

বটিংয়ের প্রেক্ষাপটের কারণে ব্যবহারকারীদের ভুয়া সতর্কবার্তা কিংবা পুরোনো সদস্যপদ, অ্যাকাউন্ট বন্ধ করা বা তথ্য মুছে দেওয়া নিয়ে বার্তা পাঠিয়ে নিশানা করা হতে পারে। এসব বার্তায় ব্যবহারকারীর আগে ব্যবহৃত ফোরামের নাম থাকলে সেগুলো আরও বিশ্বাসযোগ্য মনে হয়। অতীত আচরণ নিয়ে চাপ সৃষ্টি করে এমন বার্তায় ব্যবহারকারীদের তাড়াহুড়ো করে সাড়া দেওয়া, অর্থ প্রদান করা বা অতিরিক্ত ব্যক্তিগত তথ্য শেয়ার করা উচিত নয়।

প্রতিষ্ঠানের জন্য এই ঘটনা দেখায় যে পুরোনো ফোরামের ব্যাকআপ ও ব্যবহারকারী তথ্যের টেবিল বছরের পর বছর ঝুঁকি তৈরি করতে পারে। ব্যবহারকারীর তথ্য থাকা পুরোনো ব্যবস্থা স্থায়ীভাবে বন্ধ করার সময় শুধু সাইটটি অফলাইনে নেওয়াই যথেষ্ট নয়; ব্যাকআপ, পাসওয়ার্ড হ্যাশ ও প্রোফাইলের তথ্যও নিরাপদভাবে মুছে ফেলতে হবে।

ক্ষতিগ্রস্ত ব্যক্তিদের প্রধান ইমেইল অ্যাকাউন্টে লগইনের ইতিহাস, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা এবং সংযুক্ত অ্যাপ্লিকেশনগুলো যাচাই করা উচিত। পুরোনো ফোরামের তথ্য ফাঁস সরাসরি বর্তমান অ্যাকাউন্টে প্রবেশের সুযোগ না দিলেও, একই পাসওয়ার্ড পুনরায় ব্যবহার এবং জন্মতারিখের ব্যবহারের কারণে তা নতুন আক্রমণের পথ তৈরি করতে পারে।

এই রেকর্ডের সঙ্গে আপনার ইমেইল ঠিকানা মিলে গেলে, তালিকাভুক্ত তথ্যের ধরনগুলো একে একে বিবেচনা করে আপনার অ্যাকাউন্টগুলো যাচাই করুন। ঘটনাটি পুরোনো হলেও ইমেইল, পাসওয়ার্ড, ফোন, ঠিকানা বা পরিচয়-সম্পর্কিত তথ্য অন্য ডেটাসেটের সঙ্গে মিলিয়ে পরে লক্ষ্যভিত্তিক প্রতারণায় ব্যবহার করা হতে পারে।

অগ্রাধিকার হলো একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো, গুরুত্বপূর্ণ অ্যাকাউন্টে দুই-ধাপে যাচাই চালু করা, অপ্রত্যাশিত সেশন থেকে লগআউট করা এবং ভুয়া বিজ্ঞপ্তি এড়াতে লিংকের বদলে পরিচিত লগইন পৃষ্ঠা ব্যবহার করা। রেকর্ডে পাসওয়ার্ড না থাকলেও ইমেইল ও প্রোফাইলের তথ্য ফিশিংয়ের জন্য যথেষ্ট হতে পারে।