TodoTorrents: তথ্য উন্মুক্ত হওয়ার অভিযোগ

এই ঘটনায় সবচেয়ে গুরুত্বপূর্ণ তথ্যের ধরন হলো ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড। এই দুটি তথ্য একসঙ্গে পাওয়া গেলে সরাসরি অ্যাকাউন্ট দখলের ঝুঁকি তৈরি হয়। কোনো ব্যবহারকারী TodoTorrents-এ ব্যবহৃত পাসওয়ার্ড অন্য প্ল্যাটফর্মেও ব্যবহার করে থাকলে, আক্রমণকারীরা একই ইমেইল ও পাসওয়ার্ডের সমন্বয় দিয়ে ইমেইল, সামাজিক যোগাযোগমাধ্যম, গেমিং, ফোরাম, কেনাকাটা ও পেমেন্ট অ্যাকাউন্টে প্রবেশের চেষ্টা করতে পারে। তাই এই রেকর্ডে ঝুঁকির মাত্রা উচ্চ হিসেবে মূল্যায়ন করা হয়েছে।

যাচাইযোগ্য তথ্যের প্রধান ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। পাসওয়ার্ড প্লেইন টেক্সটে রয়েছে বলে নির্দেশ করে এমন রেকর্ড বিশেষভাবে উদ্বেগজনক। প্লেইন টেক্সট পাসওয়ার্ড হলে আক্রমণকারী সেটি ভাঙার কোনো প্রক্রিয়া ছাড়াই সরাসরি পড়তে এবং অন্য সেবায় ব্যবহার করে দেখতে পারে। ইমেইল ঠিকানাও ব্যবহারকারীকে শনাক্ত করা এবং তাঁকে লক্ষ্য করে পাসওয়ার্ড ব্যবহার করে প্রবেশের চেষ্টা চালানোর জন্য যথেষ্ট।

যাচাই করা হয়নি এমন ব্যক্তির সংখ্যা, তথ্যের ক্ষেত্র এবং আক্রমণকারীদের দাবিকে ঘটনার প্রকাশ্য বিবরণের পরিধিতে অন্তর্ভুক্ত করা হয়নি। এতে ব্যবহারকারীকে প্রমাণের তুলনায় বেশি নিশ্চয়তা দেওয়া হয় না। তবে শুধু ইমেইল ও প্লেইন টেক্সট পাসওয়ার্ডের সমন্বয়ও উচ্চ ঝুঁকির। বিশেষত টরেন্ট ও ফোরামের ব্যবহারকারীরা একাধিক প্ল্যাটফর্মে একই ডাকনাম, ইমেইল বা একই ধরনের পাসওয়ার্ড ব্যবহার করতে পারেন বলে এই ঘটনার প্রভাব TodoTorrents অ্যাকাউন্টের বাইরেও ছড়াতে পারে।

উৎসগুলোতে TodoTorrents নামটি todotorrents.org ও todotorrents.com, উভয় রূপেই দেখা যায়। ঘটনার তারিখ নির্ধারণ করা হয়েছে প্রকাশ্য উৎস থেকে যাচাইযোগ্য সবচেয়ে পুরোনো প্রযুক্তিগত কার্যকলাপের ভিত্তিতে। বিবরণে এই সময়কালকে 2023 সালের মাঝামাঝি বলা হয়েছে।

এই পদ্ধতির উদ্দেশ্য অনিশ্চয়তা আড়াল না করে সংযতভাবে তুলে ধরা। ব্যবহারকারীর জন্য বাস্তব ঝুঁকি সুনির্দিষ্ট তারিখের চেয়ে ফাঁস হওয়া তথ্যের ধরনের ওপর বেশি নির্ভর করে। ইমেইল ও প্লেইন টেক্সট পাসওয়ার্ড একসঙ্গে পাওয়া গেলে, ঘটনাটি 2023 সালের জুন না জুলাইয়ে ঘটেছে, তার ওপর নিরাপত্তার সুপারিশ বদলায় না। পাসওয়ার্ড পরিবর্তন, একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করা এবং দুই ধাপের প্রমাণীকরণ চালু করা তখনও মৌলিক সুরক্ষাব্যবস্থা।

নতুন রেকর্ড যোগ করার আগে TodoTorrents, Todo Torrents, todotorrents.org ও todotorrents.com নামের রূপগুলো ব্যবহার করে বিদ্যমান রেকর্ডে একই ঘটনার পুনরাবৃত্তি আছে কি না যাচাই করা হয়েছে। একই শিরোনাম, রেকর্ড কী বা ডোমেইন নামের কোনো তথ্য ফাঁসের ঘটনা আগে থেকে না থাকায় রেকর্ডটিকে স্বতন্ত্র হিসেবে গ্রহণ করা হয়েছে। বিদ্যমান টরেন্ট প্ল্যাটফর্মের রেকর্ডগুলো ভিন্ন সেবা ও ভিন্ন ঘটনা নিয়ে; তাই TodoTorrents-কে সেগুলোর সঙ্গে একীভূত করা হয়নি।

উন্মুক্ত উৎসের রেকর্ডগুলোতে নাম, ডোমেইন নাম, রেকর্ডের আনুমানিক সংখ্যা, 2023 সালের মাঝামাঝি সময়কাল এবং ইমেইলের সঙ্গে প্লেইন টেক্সট পাসওয়ার্ড থাকার তথ্য পরস্পরের সঙ্গে মিলে যায়। তবে সব প্রযুক্তিগত বিবরণ ও ক্ষতিগ্রস্ত ব্যবহারকারীর সংখ্যা নিশ্চিত করে প্ল্যাটফর্ম পরিচালনাকারীর কোনো বিস্তারিত আনুষ্ঠানিক বিবৃতি পাওয়া যায়নি। তাই যাচাইয়ের অবস্থা সীমিত রাখা হয়েছে। সতর্কতার সঙ্গে রেকর্ডটি যুক্ত করা হয়েছে এবং কেবল যাচাইযোগ্য তথ্যের ক্ষেত্রগুলোই এতে রাখা হয়েছে।

TodoTorrents অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য কোথাও পুনরায় ব্যবহার করা হলে, ব্যবহারকারীর সবচেয়ে বড় ঝুঁকি হলো ক্রেডেনশিয়াল স্টাফিং আক্রমণ। আক্রমণকারীরা স্বয়ংক্রিয় সরঞ্জাম দিয়ে অনেক সেবায় একই ইমেইল ও পাসওয়ার্ড জোড়া ব্যবহার করে প্রবেশের চেষ্টা করে। কোনো লগইন প্রচেষ্টা সফল হলে, বিশেষ করে ইমেইল অ্যাকাউন্টে, অন্য অ্যাকাউন্টের পাসওয়ার্ড রিসেট প্রক্রিয়ার মাধ্যমে আরও বড় পরিসরে অ্যাকাউন্টের নিরাপত্তা ক্ষতিগ্রস্ত হতে পারে।

টরেন্ট প্ল্যাটফর্মের সঙ্গে সংশ্লিষ্টতাও গোপনীয়তার ঝুঁকি তৈরি করতে পারে। ব্যবহারকারী এই প্ল্যাটফর্মের সঙ্গে তাঁর সম্পর্ক প্রকাশ করতে না-ও চাইতে পারেন। আক্রমণকারীরা ইমেইল ঠিকানা, পুরোনো পাসওয়ার্ড বা প্ল্যাটফর্মের নাম ব্যবহার করে তাঁকে লক্ষ্য করে বার্তা পাঠাতে পারে। এসব বার্তায় কপিরাইট, অ্যাকাউন্ট বন্ধ, অর্থ প্রদান, যাচাই বা বিব্রত করার প্রসঙ্গ থাকতে পারে। পুরোনো পাসওয়ার্ড জানা মানেই আক্রমণকারীর বর্তমান ডিভাইস বা ইমেইল অ্যাকাউন্টে প্রবেশাধিকার আছে, এমন নয়; তবে পাসওয়ার্ডটি পুনর্ব্যবহার করা হলে বাস্তব ঝুঁকি তৈরি হয়।

• সব সেবায় TodoTorrents-এ ব্যবহৃত পাসওয়ার্ড পরিবর্তন করা উচিত।
• বিশেষ করে ইমেইল ও পাসওয়ার্ড রিসেটের কাজে ব্যবহৃত প্রধান অ্যাকাউন্টগুলোকে অগ্রাধিকার দেওয়া উচিত।
• একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার বন্ধ করা উচিত।
• প্রতিটি অ্যাকাউন্টের জন্য পাসওয়ার্ড ম্যানেজারের মাধ্যমে একটি স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা উচিত।
• যেসব সেবা দুই ধাপের প্রমাণীকরণ সমর্থন করে, সেগুলোতে এটি চালু করা উচিত।
• পুরোনো পাসওয়ার্ডসহ হুমকি বা কপিরাইটসংক্রান্ত বার্তার জবাবে অর্থ দেওয়া উচিত নয়।
• ইমেইলের লিংক থেকে নয়, ঠিকানার বারে ডোমেইন নাম লিখে লগইন পৃষ্ঠা খোলা উচিত।

পাসওয়ার্ড প্লেইন টেক্সটে রয়েছে, এই দাবি রেকর্ডটিকে শুধু ইমেইল তালিকা ফাঁসের চেয়ে বেশি গুরুতর করে তোলে। দুর্বল অ্যালগরিদম দিয়ে সুরক্ষিত থাকলে হ্যাশ করা পাসওয়ার্ডও ভাঙা সম্ভব; তবে প্লেইন টেক্সট পাসওয়ার্ডের ক্ষেত্রে আক্রমণকারীকে অপেক্ষা করতে হয় না। যার কাছে তথ্য রয়েছে, তিনি সঙ্গে সঙ্গেই পাসওয়ার্ড পড়ে অন্য সিস্টেমে ব্যবহার করে দেখতে পারেন। তাই ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তনে দেরি করা উচিত নয়।

পাসওয়ার্ড পরিবর্তনের সময় পুরোনো পাসওয়ার্ডে সামান্য বদল আনা নিরাপদ নয়। আক্রমণকারীরা পুরোনো পাসওয়ার্ডের শেষে বছর, যতিচিহ্ন বা প্ল্যাটফর্মের নাম যোগ করে তৈরি বিভিন্ন রূপ স্বয়ংক্রিয়ভাবে পরীক্ষা করে। নিরাপদ পাসওয়ার্ড এলোমেলো ও দীর্ঘ হয় এবং আগের পাসওয়ার্ড থেকে তৈরি করা হয় না। তাই পাসওয়ার্ড ম্যানেজার ব্যবহার করাই সবচেয়ে বাস্তবসম্মত সমাধান।

টরেন্ট প্ল্যাটফর্ম ব্যবহারকারীদের কনটেন্ট দেখার বা পাওয়ার অভ্যাস এবং অনলাইন পছন্দের সঙ্গে সম্পর্কিত হতে পারে। কনটেন্টের ইতিহাস বা ডাউনলোডের রেকর্ড যাচাই করা হয়নি বলে এ ধরনের তথ্য বিবরণে অন্তর্ভুক্ত করা হয়নি। তবে শুধু প্ল্যাটফর্মের নাম, ইমেইল ও পাসওয়ার্ডের সমন্বয়ও কোনো ব্যবহারকারীর একটি নির্দিষ্ট কমিউনিটির সঙ্গে যুক্ত থাকার ইঙ্গিত দিতে পারে। এই তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ব্ল্যাকমেইল বা ফিশিং বার্তায় ব্যবহার করা হতে পারে।

এ ধরনের বার্তায় ব্যবহারকারীরা আইনি হুমকি, কপিরাইট দাবি, সদস্যপদ বাতিল বা অ্যাকাউন্ট যাচাইয়ের মতো প্রসঙ্গ দেখতে পারেন। বার্তাটি সত্য বলে মনে হলেও লিংকে ক্লিক করা, সংযুক্তি খোলা বা অর্থ প্রদান করা উচিত নয়। বার্তায় পুরোনো পাসওয়ার্ড দেখে আতঙ্ক তৈরি হতে পারে; তবে এটি সাধারণত পুরোনো তথ্য ফাঁসের ডেটা থেকে নেওয়া একটি অনুলিপি মাত্র। ব্যবহারকারীদের নিরাপত্তার পদক্ষেপগুলো অনুসরণ করা এবং হুমকির বার্তাটি প্রমাণ হিসেবে সংরক্ষণ করা উচিত।

TodoTorrents-এর ঘটনা দেখায় যে ছোট বা বিশেষায়িত প্ল্যাটফর্মগুলোকেও পাসওয়ার্ড সংরক্ষণের ক্ষেত্রে মৌলিক নিরাপত্তা মান মেনে চলতে হবে। পাসওয়ার্ড প্লেইন টেক্সটে সংরক্ষণ করা উচিত নয়; শক্তিশালী ও হালনাগাদ পাসওয়ার্ড হ্যাশিং অ্যালগরিদম দিয়ে সুরক্ষিত রাখা উচিত। অ্যাডমিন প্যানেল, ডেটাবেস ব্যাকআপ ও ব্যবহারকারীর তথ্য এক্সপোর্ট করার সরঞ্জামে শুধু অনুমোদিত ও যাচাইকৃত অ্যাকাউন্ট দিয়েই প্রবেশের সুযোগ থাকা উচিত।

তথ্য ফাঁসের সন্দেহ হলে ব্যবহারকারীদের পাসওয়ার্ড বাধ্যতামূলকভাবে রিসেট করতে হবে, সক্রিয় সেশন বন্ধ করা উচিত এবং কোন ধরনের তথ্য ক্ষতিগ্রস্ত হয়ে থাকতে পারে তা ব্যবহারকারীদের স্পষ্টভাবে জানাতে হবে। শুধু সাধারণ একটি নিরাপত্তা বার্তা পাঠানো যথেষ্ট নয়। পাসওয়ার্ডের পুনর্ব্যবহার, ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দেওয়া, ভুয়া কপিরাইট বার্তা এবং ফিশিংয়ের মতো ঝুঁকি ও করণীয় স্পষ্টভাবে ব্যাখ্যা করা উচিত।

TodoTorrents তথ্য ফাঁসের রেকর্ডটি স্প্যানিশ টরেন্ট প্ল্যাটফর্ম TodoTorrents-এর সঙ্গে সংশ্লিষ্ট একটি ঘটনা নিয়ে, যাতে 2023 সালের মাঝামাঝি আনুমানিক 5,19,527টি ব্যবহারকারী অ্যাকাউন্ট ক্ষতিগ্রস্ত হয়েছে বলে জানানো হয়েছে। ফাঁস হয়েছে বলে জানানো তথ্যের প্রধান ধরন হলো ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ড। যারা একই পাসওয়ার্ড পুনর্ব্যবহার করেন, তাঁদের জন্য এই সমন্বয় অ্যাকাউন্ট দখল ও অন্য সেবায় অননুমোদিত প্রবেশের ঝুঁকি তৈরি করে।

সরাসরি সংশ্লিষ্ট প্রাথমিক উৎস থেকে আনুষ্ঠানিক নিশ্চিতকরণ না থাকায় রেকর্ডটিকে যাচাইকৃত হিসেবে চিহ্নিত করা হয়নি। তা সত্ত্বেও, উন্মুক্ত তথ্য ফাঁসের রেকর্ডগুলোতে ডোমেইন নাম, তারিখ, রেকর্ডের সংখ্যা ও তথ্যের ধরন ধারাবাহিকভাবে একই রকম পাওয়া যায় বলে ব্যবহারকারীদের জানানোর জন্য এগুলো যোগ করা হয়েছে। TodoTorrents ব্যবহারকারীদের সব সেবায় তাঁদের পুরোনো পাসওয়ার্ড পরিবর্তন করা, বিশেষভাবে ইমেইল অ্যাকাউন্ট সুরক্ষিত করা, দুই ধাপের প্রমাণীকরণ চালু করা এবং প্ল্যাটফর্মের নাম ব্যবহার করে পাঠানো হুমকির বার্তা সম্পর্কে সতর্ক থাকা উচিত।

ব্যবহারকারীরা সাধারণত পুরোনো টরেন্ট প্ল্যাটফর্মের অ্যাকাউন্টের কথা ভুলে যান; কিন্তু আক্রমণকারীরা সেগুলো ভুলে যায় না। ইমেইল ও পাসওয়ার্ডের জোড়া বছরের পর বছর আবারও ছড়িয়ে পড়তে পারে। ব্যবহারকারী যদি মনে করেন যে তিনি আর একই পাসওয়ার্ড ব্যবহার করেন না, তবুও কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করলে ঝুঁকি থেকে যায়। এ ছাড়া পুরোনো ইমেইল ঠিকানা বর্তমান অ্যাকাউন্টগুলোতে পুনরুদ্ধারের ঠিকানা হিসেবেও যুক্ত থাকতে পারে।

দীর্ঘমেয়াদি সুরক্ষার জন্য ব্যবহারকারীদের নিজেদের অ্যাকাউন্টগুলোর তালিকা তৈরি করা, পুরোনো পাসওয়ার্ড সম্পূর্ণভাবে বাদ দেওয়া, প্রধান ইমেইল অ্যাকাউন্ট শক্তভাবে সুরক্ষিত করা এবং সম্ভব হলে টরেন্ট বা ফোরাম অ্যাকাউন্টের জন্য আলাদা ইমেইল ব্যবহার করা উচিত। অব্যবহৃত অ্যাকাউন্ট বন্ধ করা উচিত। বন্ধ করা না গেলে সেগুলোতে এলোমেলো ও স্বতন্ত্র পাসওয়ার্ড সেট করা এবং সব সেশন বন্ধ করা উচিত। এতে পুরোনো ডেটাসেট ভবিষ্যৎ আক্রমণে অকেজো হয়ে যায়।

TodoTorrents-এর জন্য প্রায় 519 হাজার ও 522 হাজার, এমন কাছাকাছি দুটি রেকর্ডসংখ্যা দেখা যাওয়া মানেই ঘটনাটি বানানো নয়। এ ধরনের রেকর্ডে গণনার পদ্ধতি ভিন্ন হতে পারে, যেমন মোট সারির সংখ্যা, স্বতন্ত্র ইমেইলের সংখ্যা, পরিশোধনের পর ব্যবহারকারীর সংখ্যা এবং ত্রুটিপূর্ণ সারি বাদ দেওয়ার পরের সংখ্যা।

ব্যবহারকারীর জন্য সবচেয়ে গুরুত্বপূর্ণ বিষয় হলো না যে রেকর্ডসংখ্যায় কয়েক হাজারের হেরফের দেখা যায়, বরং তথ্যের ধরন হিসেবে ইমেইল ও প্লেইন টেক্সট পাসওয়ার্ড রয়েছে। আক্রমণকারী এই সমন্বয় সরাসরি ব্যবহার করতে পারে। তাই TodoTorrents অ্যাকাউন্ট আর ব্যবহার করা না হলেও, একই পাসওয়ার্ড ব্যবহৃত হয়ে থাকতে পারে এমন সব অ্যাকাউন্টের নিরাপত্তা পরীক্ষা করা উচিত।

হ্যাঁ। কোনো অ্যাকাউন্ট আর সক্রিয় না থাকলেও ফাঁস হওয়া ইমেইল ও পাসওয়ার্ড অন্য কোথাও ব্যবহার করে প্রবেশের চেষ্টা করা সম্ভব। ব্যবহারকারী অন্য কোনো প্ল্যাটফর্মে পুরোনো পাসওয়ার্ড ব্যবহার করতে থাকলে ঝুঁকি থেকেই যায়। এ ছাড়া পুরোনো ইমেইল ঠিকানা বর্তমান অ্যাকাউন্টগুলোতে পুনরুদ্ধারের ঠিকানা হিসেবে থেকে যেতে পারে। তাই পুরোনো টরেন্ট অ্যাকাউন্ট বন্ধ করা হলেও পাসওয়ার্ড ব্যবহারের ইতিহাস ও অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস পর্যালোচনা করা উচিত।