The Club Penguin Experience: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: বয়সের শ্রেণি, ইমেইল ঠিকানা, পাসওয়ার্ডের ইঙ্গিত, পাসওয়ার্ড ও ব্যবহারকারীর নাম। পাসওয়ার্ড শক্তিশালী হ্যাশ মান দিয়ে সংরক্ষিত হলেও পাসওয়ার্ডের ইঙ্গিত সেগুলো অনুমান করা সহজ করে দিতে পারে। একই ব্যবহারকারীর একাধিক তথ্য একসঙ্গে যুক্ত করা গেলে ভুয়া বিজ্ঞপ্তি, অ্যাকাউন্ট পুনরুদ্ধার, সামাজিক প্রকৌশল বা পরিচয়সংক্রান্ত তথ্য মেলানোর মাধ্যমে আক্রমণকারীদের অপচেষ্টাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব।

পাসওয়ার্ডগুলো bcrypt হ্যাশ মান দিয়ে সংরক্ষণ করা হয়েছে বলে মনে হয়, আর কিছু রেকর্ডে পাসওয়ার্ডের ইঙ্গিত সরাসরি পাঠযোগ্য অবস্থায় রয়েছে। পাসওয়ার্ড, পাসওয়ার্ডের ইঙ্গিত, ব্যক্তিগত বার্তা, সরকারি পরিচয়, আর্থিক তথ্য, অবস্থান বা প্রোফাইলের ছবির মতো তথ্য থাকলে ঝুঁকি শুধু অবাঞ্ছিত ইমেইলের মধ্যে সীমাবদ্ধ থাকে না। এমনকি পাসওয়ার্ডবিহীন রেকর্ডেও ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ বা সামাজিক প্রোফাইলের তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে আক্রমণে ব্যবহার করা যেতে পারে।

এই রেকর্ডে thecpexperience.com ডোমেইনের সঙ্গে যুক্ত প্রায় 6,300 গ্রাহক অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে। ঘটনাটি যাচাইকৃত রেকর্ডের শ্রেণিভুক্ত। অ্যাকাউন্টের সংখ্যা, ডোমেইন, দেশ, খাত ও তথ্যের শ্রেণি আলাদাভাবে যাচাই করে এর পরিসর লেখা হয়েছে। তালিকায় নেই এমন তথ্যের ধরনকে উপস্থিত আছে বলে ব্যবহারকারীদের কাছে দেখানো হয়নি।

খাতটি সংশোধন করে অনুরাগীদের গেম ও ভার্চুয়াল জগৎ হিসেবে চিহ্নিত করা হয়েছে, খুচরা বিক্রয় হিসেবে নয়। কিছু ক্ষেত্রে কোম্পানির প্রতিক্রিয়া তৃতীয় পক্ষের সেবা, ফোরাম অ্যাকাউন্ট, মেইলিং তালিকা বা ব্যবহারকারীর প্রোফাইলের মতো ভিন্ন প্রেক্ষাপটে দেখা যায়। এসব রেকর্ড আলাদাভাবে পৃথক করা হয়েছে, সদৃশ রেকর্ড হিসেবে পুনরাবৃত্তি করা হয়নি এবং ঘটনাটি প্রকৃতপক্ষে যে সেবার সঙ্গে সম্পর্কিত, সেই প্রেক্ষাপট অক্ষুণ্ণ রাখা হয়েছে।

The Club Penguin Experience-এর ব্যবহারকারী, অন্য গেমেও একই ব্যবহারকারীর নাম ব্যবহার করেন এমন ব্যক্তি এবং পাসওয়ার্ডের ইঙ্গিত শেয়ার করা হয়েছে এমন অ্যাকাউন্টগুলো ঝুঁকিতে রয়েছে। এসব ব্যবহারকারীর প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্য অন্য প্ল্যাটফর্মে ব্যবহৃত তথ্যের সঙ্গে মেলানো যেতে পারে। বিভিন্ন অ্যাকাউন্টে একই ইমেইল, ব্যবহারকারীর নাম, ফোন নম্বর, IP, ঠিকানা বা পাসওয়ার্ড বারবার ব্যবহার করা হলে আক্রমণকারীরা এই অভিন্ন শনাক্তকারী তথ্যগুলো কাজে লাগাতে পারে।

ভুয়া সদস্যপদ নবায়ন, চরিত্রের আইটেম, অনুষ্ঠানের আমন্ত্রণ বা অ্যাকাউন্ট যাচাইসংক্রান্ত বার্তায় গেমের প্রসঙ্গ ব্যবহার করা যেতে পারে। ফোরাম, গেম, রান্নার রেসিপি, আবাসন, জ্বালানি, অনুষ্ঠানের টিকিট, নিউজলেটার, সামাজিক যোগাযোগমাধ্যম ও অর্থসংক্রান্ত সেবার মতো ভিন্ন প্রেক্ষাপট ভিন্ন ধরনের ঝুঁকি তৈরি করে। ব্যবহারকারীদের শুধু তথ্যের ধরন নয়, তথ্যগুলো কোন সেবার সঙ্গে যুক্ত, তা-ও বিবেচনা করা উচিত।

প্রভাবিত ব্যবহারকারীদের পাসওয়ার্ড ও পাসওয়ার্ডের ইঙ্গিত বদলানো উচিত। অন্য অ্যাকাউন্টেও একই ইঙ্গিত ব্যবহার করলে সেগুলোও হালনাগাদ করা উচিত। কোনো পাসওয়ার্ড বা পাসওয়ার্ডের ইঙ্গিত প্রকাশ হয়ে গেলে, যেসব অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়, সেগুলোর সবকটিতে প্রকাশ হয়ে যাওয়া পাসওয়ার্ড বা পাসওয়ার্ডের ইঙ্গিত বদলানো, প্রতিটি অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা এবং সম্ভব হলে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। ইমেইল অ্যাকাউন্টের নিরাপত্তাও পরীক্ষা করা উচিত।

রেকর্ডে ফোন নম্বর, ঠিকানা, অবস্থান, জন্মতারিখ, ব্যক্তিগত বার্তা, সামাজিক প্রোফাইল বা আর্থিক তথ্য থাকলে ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের বিকল্প, সেশনের ইতিহাস, ফরওয়ার্ডিংয়ের নিয়ম ও সন্দেহজনক বিজ্ঞপ্তি পরীক্ষা করা উচিত। যাদের প্রাতিষ্ঠানিক বা সবার জন্য উন্মুক্ত প্রোফাইল রয়েছে, তাদের নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা এবং সুনামের ক্ষতির ঝুঁকিও বিবেচনা করা উচিত।

অল্পবয়সী ব্যবহারকারী রয়েছে এমন গেমে অভিভাবকদের সচেতনতা, স্বতন্ত্র পাসওয়ার্ড এবং পাসওয়ার্ডের ইঙ্গিত ব্যবহার না করার অভ্যাস গুরুত্বপূর্ণ। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, স্বতন্ত্র পাসওয়ার্ড, একাধিক উপাদানভিত্তিক পরিচয় যাচাই, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলের অপ্রয়োজনীয় তথ্য কমানো হলো মৌলিক সুরক্ষা ব্যবস্থা। স্থায়ী ব্যক্তিগত তথ্য বদলানো যায় না বলে ব্যবহারকারীদের নিরাপত্তাসচেতন অভ্যাস ও অ্যাকাউন্টের সেটিংস জোরদার করা উচিত।

প্রতিষ্ঠানগুলোর জন্য এসব ঘটনা দেখায় যে ব্যাকআপ ফাইল অ্যাক্সেসের কার্যক্রম, ফোরাম অ্যাকাউন্টের অনুমতি, নিউজলেটার গ্রাহকদের তথ্য, গ্রাহকদের তথ্য সংরক্ষণের মেয়াদ এবং বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া নিয়মিত নিরীক্ষা করা দরকার। ব্যবহারকারীদের ক্ষেত্রে বিভিন্ন সেবায় একই পরিচয়সংক্রান্ত তথ্য বারবার ব্যবহার না করা এবং অপ্রত্যাশিত বার্তা অন্য একটি যোগাযোগমাধ্যমে যাচাই করা দীর্ঘস্থায়ী সুরক্ষা দেয়।

এই রেকর্ডের সঙ্গে ব্যবহারকারীর তথ্য মিলে গেলে, গেম ও ইমেইল অ্যাকাউন্টে একই পাসওয়ার্ড পুনর্ব্যবহার করা হয়েছে কি না, তা পরীক্ষা করা উচিত। মিল পাওয়া গেলে প্রথমে কোন তথ্যগুলো তালিকাভুক্ত রয়েছে, তা পড়ে সে অনুযায়ী করণীয়কে অগ্রাধিকার দেওয়া উচিত। পাসওয়ার্ড থাকলে পাসওয়ার্ড বদলানো; আর্থিক তথ্য থাকলে অ্যাকাউন্টের কার্যক্রম পর্যবেক্ষণ; ব্যক্তিগত বার্তা বা সামাজিক প্রোফাইল থাকলে গোপনীয়তা পরীক্ষা; আর অবস্থানের তথ্য থাকলে শারীরিক নিরাপত্তা মূল্যায়নকে অগ্রাধিকার দেওয়া উচিত।

চূড়ান্ত মূল্যায়ন: বয়সের শ্রেণি, পাসওয়ার্ডের ইঙ্গিত ও পাসওয়ার্ডের তথ্য থাকায় এই রেকর্ডটি গেম অ্যাকাউন্টসংক্রান্ত একটি সংবেদনশীল ঘটনা। ব্যবহারকারীদের নিজের অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা উচিত; যেসব সেবায় একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম, ঠিকানা বা পাসওয়ার্ড ব্যবহার করেন, সেগুলো আলাদাভাবে পরীক্ষা করা উচিত। ঘটনার পর সন্দেহজনক অনুসন্ধান, ইমেইল, বার্তা বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।