The Heritage Foundation: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: ইমেইল ঠিকানা, IP ঠিকানা, নাম, পাসওয়ার্ড ও ব্যবহারকারীর নাম। কোনো ব্যক্তির মন্তব্য বা কনটেন্টে অবদানের প্রেক্ষাপটের সঙ্গে IP ঠিকানা ও ব্যবহারকারীর নাম যুক্ত হলে, সেগুলো কাজে লাগিয়ে তাঁকে লক্ষ্য করে বার্তা পাঠানো বা তাঁর সুনামের ক্ষতির ঝুঁকি তৈরি হতে পারে। এসব তথ্য একসঙ্গে ব্যবহার করা হলে অ্যাকাউন্ট দখল, সামাজিক প্রকৌশল, প্রতারণা, শারীরিকভাবে আক্রমণের লক্ষ্যবস্তু করা বা গোপনীয়তা লঙ্ঘনের ঘটনা ঘটতে পারে।

পাসওয়ার্ডগুলো MD5 বা phpass হ্যাশ মানের সঙ্গে সম্পর্কিত বলে বোঝা যায়; অন্য অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে তা পরিবর্তন করা উচিত। পাসওয়ার্ড রয়েছে এমন রেকর্ডের ক্ষেত্রে অন্য পরিষেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সবচেয়ে গুরুতর ঝুঁকিগুলোর একটি। পাসওয়ার্ড নেই এমন রেকর্ডেও ডিভাইস, অবস্থান, ফোন, ঠিকানা, শিক্ষা, চাকরির আবেদন বা আর্থিক প্রেক্ষাপটের মতো তথ্য লক্ষ্যভিত্তিক বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

এই রেকর্ডে heritage.org ডোমেইনের সঙ্গে সংশ্লিষ্ট প্রায় 72,000 স্বতন্ত্র ইমেইল ঠিকানা রয়েছে। ঘটনাটি যাচাইকৃত রেকর্ডের শ্রেণিভুক্ত। পরিসর মূল্যায়নের সময় অ্যাকাউন্টের সংখ্যা, ডোমেইন, খাত, দেশ ও তথ্যের শ্রেণিগুলো আলাদাভাবে যাচাই করা হয়েছে। ব্যবহারকারীকে দেখানো তথ্যক্ষেত্রগুলো কেবল রেকর্ডে প্রকৃতপক্ষে তালিকাভুক্ত ক্ষেত্রগুলোর মধ্যেই সীমিত রাখা হয়েছে।

খাতের শ্রেণিবিন্যাস সংশোধন করে খুচরা বিক্রয়ের পরিবর্তে নীতি গবেষণা প্রতিষ্ঠান ও গণমাধ্যম করা হয়েছে। একই রকম ব্র্যান্ডের নাম, একাধিক পরিষেবা অন্তর্ভুক্ত থাকা রেকর্ড বা সংবেদনশীল খাতের ক্ষেত্রে এই পার্থক্য বিশেষভাবে গুরুত্বপূর্ণ। রেকর্ডটি অন্য কোনো ঘটনার সঙ্গে একীভূত করা হয়নি বা একই তথ্যের একাধিক এন্ট্রি তৈরি হয় এমনভাবে সম্প্রসারণ করা হয়নি। প্রতিষ্ঠানটির প্রেক্ষাপটও যতটা সম্ভব স্পষ্ট করা হয়েছে।

যাঁরা মন্তব্য করেন বা কনটেন্টে অবদান রাখেন, এবং যাঁরা বিভিন্ন রাজনৈতিক বা সামাজিক প্ল্যাটফর্মের অ্যাকাউন্টে একই ব্যবহারকারীর নাম ব্যবহার করেন, তাঁরা ঝুঁকিতে রয়েছেন। তাঁদের প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্য অন্য অ্যাকাউন্টে ব্যবহৃত একই তথ্যের সঙ্গে মিলিয়ে দেখা হতে পারে। একই ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম, ডিভাইস ID বা পাসওয়ার্ড বারবার ব্যবহার করা হলে আক্রমণকারীরা বিভিন্ন পরিষেবায় এসব তথ্য ব্যবহার করে দেখার চেষ্টা করতে পারে।

নীতি-সংশ্লিষ্ট প্রেক্ষাপট কাজে লাগিয়ে ভুয়া অনুদান, সদস্যপদ, মন্তব্য যাচাই, গণমাধ্যমের অ্যাকাউন্ট বা কনটেন্টে অবদান সম্পর্কিত বার্তা পাঠানো হতে পারে। প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রে কর্মস্থলের ইমেইল ও চাকরির তথ্যকে সামনে আনা হয়, আর ব্যক্তিগত ব্যবহারকারীদের ক্ষেত্রে ঠিকানা, জন্মতারিখ, কেনাকাটা, অবস্থান বা সদস্যপদের প্রেক্ষাপটকে গুরুত্ব দেওয়া হয়। শিক্ষা, টেলিযোগাযোগ, আর্থিক খাত, ভ্রমণ, রাজনীতি, চাকরির আবেদন ও VPN-এর মতো ক্ষেত্রে প্রেক্ষাপট নিজেই লক্ষ্যভিত্তিক আক্রমণের ঝুঁকি বাড়াতে পারে।

প্রভাবিত ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তন করা এবং একই ব্যবহারকারীর নাম দিয়ে ব্যবহার করা সামাজিক প্ল্যাটফর্ম ও গণমাধ্যমের অ্যাকাউন্টগুলো পরীক্ষা করা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো তথ্যক্ষেত্র তালিকাভুক্ত থাকলে, ব্যবহারকারীদের একই পাসওয়ার্ড ব্যবহৃত সব অ্যাকাউন্টে তা পরিবর্তন করা, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা এবং সম্ভব হলে একাধিক উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। শুধু একটি প্ল্যাটফর্মে ব্যবস্থা নেওয়া যথেষ্ট নাও হতে পারে।

ফোন, ঠিকানা, জন্মতারিখ, ডিভাইস ID, সরকারি পরিচয়পত্র, চাকরির আবেদন বা পুরস্কারের ব্যালান্সের মতো তথ্যক্ষেত্র থাকলে, ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের তথ্য, নিবন্ধিত সেশন, ইমেইল ফরওয়ার্ডিং ও সন্দেহজনক বার্তা পরীক্ষা করা উচিত। প্রতিষ্ঠানের ক্ষেত্রে কর্মীদের সতর্কবার্তা, ভুয়া চালান ও অ্যাকাউন্ট যাচাইয়ের প্রচেষ্টা মোকাবিলার প্রক্রিয়া হালনাগাদ করা উচিত।

রাজনৈতিক বিষয় বা প্রকাশ্য মন্তব্যের জন্য ব্যবহৃত অ্যাকাউন্টে পৃথক ইমেইল, আলাদা পাসওয়ার্ড ও সীমিত ব্যক্তিগত প্রোফাইল তথ্য ব্যবহার করলে ঝুঁকি কমে। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার ব্যবহার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, একাধিক উপাদানভিত্তিক প্রমাণীকরণ, পুরোনো অ্যাকাউন্ট বন্ধ করা, অপ্রয়োজনীয় প্রোফাইল তথ্য মুছে ফেলা এবং যত কম সম্ভব তথ্য রাখাই নিরাপত্তার মূল ভিত্তি। স্থায়ী ব্যক্তিগত তথ্য ফিরিয়ে নেওয়া যায় না বলে সুরক্ষা নির্ভর করে অ্যাকাউন্ট ব্যবহারের ক্ষেত্রে আত্মরক্ষামূলক অভ্যাস জোরদার করার ওপর।

কোম্পানি ও প্রতিষ্ঠানগুলোর ক্ষেত্রে ঘটনার পর তথ্য ও সম্পদের তালিকা, প্রবেশাধিকারের অনুমতি, পুরোনো তথ্য সংরক্ষণ, বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া এবং তৃতীয় পক্ষের প্ল্যাটফর্মের ব্যবহার পুনর্বিবেচনা করা উচিত। ব্যবহারকারীদের ক্ষেত্রে বিভিন্ন পরিষেবায় একই পরিচয়-সংক্রান্ত তথ্য বারবার ব্যবহার না করা এবং অন্য একটি যোগাযোগমাধ্যমে সন্দেহজনক যোগাযোগ যাচাই করার অভ্যাস দীর্ঘস্থায়ী সুরক্ষা দেয়।

এই রেকর্ডের সঙ্গে আপনার তথ্য মিলে গেলে, নীতি-সংশ্লিষ্ট বা গণমাধ্যমের অ্যাকাউন্টে একই ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহার করেছেন কি না, তা পরীক্ষা করা উচিত। মিল পাওয়া গেলে প্রথমে কোন কোন তথ্যক্ষেত্র তালিকাভুক্ত রয়েছে তা পড়ুন, তারপর সেগুলো অনুযায়ী করণীয়ের অগ্রাধিকার ঠিক করুন। পাসওয়ার্ড থাকলে পাসওয়ার্ড পরিবর্তনকে; সরকারি পরিচয়পত্রের তথ্য থাকলে পরিচয়ের ব্যবহার পর্যবেক্ষণকে; অবস্থান বা ডিভাইসের তথ্য থাকলে ডিভাইসের নিরাপত্তাকে; আর শিক্ষা বা চাকরির আবেদনের তথ্য থাকলে প্রাতিষ্ঠানিক অ্যাকাউন্ট যাচাইকে অগ্রাধিকার দেওয়া উচিত।

চূড়ান্ত মূল্যায়ন: নীতি-সংশ্লিষ্ট প্রেক্ষাপট, IP ঠিকানা ও পাসওয়ার্ডের তথ্য একসঙ্গে রয়েছে বলে এই রেকর্ডকে সংবেদনশীল হিসেবে শ্রেণিবদ্ধ করা হয়েছে। আপনার নিজের অ্যাকাউন্ট ব্যবহারের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা উচিত; যেসব পরিষেবায় একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা পাসওয়ার্ড ব্যবহার করেছেন, সেগুলো আলাদাভাবে পরীক্ষা করা উচিত। ঘটনার পর অপ্রত্যাশিত কোনো কল, বার্তা, ইমেইল বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।