TorrentLeech: তথ্য উন্মুক্ত হওয়ার অভিযোগ

ব্যবহারকারীর গোপনীয়তার দিক থেকে টরেন্ট কমিউনিটিগুলোকে সংবেদনশীল পরিবেশ হিসেবে বিবেচনা করা যায়। ব্যবহারকারীর নাম, IP ঠিকানা, পাসওয়ার্ড-সংশ্লিষ্ট মান এবং সাইটের নিজস্ব অ্যাক্সেস কি একসঙ্গে থাকলে শুধু অ্যাকাউন্টের নিরাপত্তা নয়, ব্যবহারকারীর আচরণ ও অনলাইন পরিচয়ের মধ্যে যোগসূত্র খুঁজে পাওয়ার ঝুঁকিও তৈরি হয়। এই ঘটনায় এমন রেকর্ড রয়েছে, যেগুলো ইঙ্গিত করে যে ইমেইল ঠিকানাগুলো পাঠযোগ্য প্লেইন টেক্সটের বদলে এনকোড করা বা এনক্রিপ্ট করা অবস্থায় ছিল। তাই এই বিবরণে ইমেইল-সংক্রান্ত ঝুঁকি সতর্কতার সঙ্গে তুলে ধরা হয়েছে।

যাচাই করা যায় এমন ডেটার শ্রেণিগুলো হলো ব্যবহারকারীর নাম, IP ঠিকানা, পাসওয়ার্ড-সংশ্লিষ্ট মান, এনকোড করা বা এনক্রিপ্ট করা ইমেইল ফিল্ড এবং পাসকির মতো সাইটের নিজস্ব অ্যাক্সেস মান। ব্যবহারকারীর নাম প্ল্যাটফর্মের ভেতরে তাঁর পরিচয় নির্দেশ করে। IP ঠিকানা ব্যবহারকারীর সংযোগের সূত্র সম্পর্কে তথ্য দেয়। পাসওয়ার্ড বা পাসওয়ার্ডের হ্যাশ মান থেকে অ্যাকাউন্ট দখলের ঝুঁকি তৈরি হতে পারে। অন্যদিকে, পাসকি ফিল্ডটি এমন একটি বিশেষ অ্যাক্সেস কি নির্দেশ করতে পারে, যা টরেন্ট প্ল্যাটফর্মে ব্যবহারকারীর ক্লায়েন্ট বা ডাউনলোড লিংকের সঙ্গে যুক্ত থাকতে পারে।

এই ডেটার শ্রেণিগুলো একসঙ্গে বিবেচনা করলে দেখা যায়, আক্রমণকারী শুধু লগইন করার চেষ্টা করেন না; তিনি প্ল্যাটফর্মে ব্যবহারকারীর কার্যকলাপ, অন্য কমিউনিটিতে ব্যবহৃত ছদ্মনাম এবং লিংক করার অভ্যাসের মধ্যেও সম্পর্ক খোঁজার চেষ্টা করতে পারেন। এনকোড করা ইমেইল ফিল্ড সরাসরি পড়া না গেলেও, অন্য ফিল্ডের সঙ্গে ব্যবহার করা হলে তা পরিচয় মেলানোর চেষ্টায় কাজে লাগতে পারে। এ কারণে ঘটনাটির গুরুতরতার মাত্রা ‘উচ্চ’ হিসেবে নির্ধারণ করা হয়েছে।

টরেন্ট কমিউনিটির ব্যবহারকারীরা প্রায়ই ছদ্মনাম ব্যবহার করেন এবং আমন্ত্রণের মাধ্যমে সীমিত প্রবেশাধিকারযুক্ত কমিউনিটিতে প্রবেশ করেন। এমন প্ল্যাটফর্মে একটি অ্যাকাউন্ট শুধু ব্যবহারকারীর নাম ও পাসওয়ার্ডের মধ্যে সীমাবদ্ধ নয়; এর সঙ্গে রেশিও, ইতিহাস, আমন্ত্রণের সম্পর্ক, পাসকি এবং ক্লায়েন্ট সংযোগের মতো অতিরিক্ত তথ্যও থাকতে পারে। এসব তথ্য প্রকাশ হয়ে গেলে বিভিন্ন প্ল্যাটফর্মে ব্যবহারকারীর ছদ্মনাম মিলিয়ে দেখা সম্ভব হতে পারে, অথবা তথ্যগুলো সামাজিক প্রকৌশলভিত্তিক প্রতারণামূলক বার্তায় ব্যবহার করা হতে পারে।

IP ঠিকানা বিশেষভাবে গুরুত্বপূর্ণ। শুধু একটি IP ঠিকানা দিয়ে সব সময় নিশ্চিতভাবে কোনো ব্যক্তিকে শনাক্ত করা যায় না। তবে সময়, ব্যবহারকারীর নাম ও প্ল্যাটফর্মের প্রেক্ষাপটের সঙ্গে মিলিয়ে দেখলে এটি লক্ষ্যভিত্তিক আক্রমণের ঝুঁকি বাড়ায়। যাঁরা VPN ব্যবহার করেন না, তাঁদের IP ঠিকানা থেকে শহর, ইন্টারনেট সেবাদাতা বা সংযোগের ধরন সম্পর্কে সূত্র পাওয়া যেতে পারে। এসব তথ্য ফিশিং বা অ্যাকাউন্ট দখলের চেষ্টাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

এই রেকর্ড যোগ করার আগে বিদ্যমান রেকর্ডগুলোতে TorrentLeech, Torrent Leech, torrentleech.org এবং www.torrentleech.org নামের ভিন্ন রূপ ব্যবহার করে একই ঘটনা আগে নথিভুক্ত হয়েছে কি না, তা পরীক্ষা করা হয়েছে। আগে যোগ করা Torrent Invites, Sumo Torrent বা অনুরূপ টরেন্ট প্ল্যাটফর্মের ঘটনাগুলো এই রেকর্ডের ঘটনা নয়; সেগুলোর ডোমেইন নাম ও ঘটনার তারিখ আলাদা। তাই TorrentLeech-কে একটি পৃথক নিরাপত্তা ঘটনা হিসেবে বিবেচনা করা হয়েছে।

যেসব তালিকা দেখা যায়, সেগুলোতে 2020 সালের নভেম্বরের ডেটা, torrentleech.org ডোমেইন, প্রায় 555 হাজার ব্যবহারকারী এবং ব্যবহারকারীর নাম, IP ঠিকানা ও পাসওয়ার্ড-সংশ্লিষ্ট ডেটার শ্রেণিগুলো একসঙ্গে উল্লেখ করা হয়েছে। তবে সব কারিগরি বিবরণ ও ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা নিশ্চিত করে প্ল্যাটফর্ম পরিচালকের কোনো পূর্ণাঙ্গ আনুষ্ঠানিক বিবৃতি পাওয়া যায়নি। তাই রেকর্ডটি অযাচাইকৃত হিসেবে রাখা হয়েছে। অনিশ্চিত বিষয়গুলো নিয়ে অতিরিক্ত দাবি এড়াতে বিবরণটি যাচাই করা যায় এমন ডেটার শ্রেণির মধ্যেই সীমাবদ্ধ রাখা হয়েছে।

TorrentLeech অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হয়ে থাকলে, ব্যবহারকারীকে অবিলম্বে সেই পাসওয়ার্ড বদলাতে হবে। বিশেষ করে ইমেইল অ্যাকাউন্ট, অন্য টরেন্ট প্ল্যাটফর্ম, ফোরাম, গেম অ্যাকাউন্ট এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলগুলো পরীক্ষা করা উচিত। পাসওয়ার্ড হ্যাশ আকারে থাকলেও, দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড শেষ পর্যন্ত ভেঙে বের করা সম্ভব হতে পারে। পাসওয়ার্ড প্লেইন টেক্সটের কাছাকাছি রূপে থাকলে বা সহজে অনুমান করা যায় এমন ধরন অনুসরণ করলে ঝুঁকি আরও বেড়ে যায়।

পাসকি বা সাইটের নিজস্ব অ্যাক্সেস কিও গুরুত্বপূর্ণ। টরেন্ট প্ল্যাটফর্মে ব্যবহারকারীর অ্যাকাউন্টের সঙ্গে ক্লায়েন্ট যুক্ত করতে পাসকি ব্যবহার করা যেতে পারে। এমন কোনো মান ফাঁস হলে, আক্রমণকারী ব্যবহারকারীর অ্যাকাউন্টের হয়ে ট্রাফিক তৈরি করতে, রেশিওতে কারসাজি করতে বা অ্যাকাউন্টের মালিকের বিশ্বাসযোগ্যতায় প্রভাব ফেলতে পারেন। তাই প্ল্যাটফর্মে পাসকি নবায়ন বা লগআউট করার বিকল্প থাকলে সেগুলো ব্যবহার করা উচিত।

• TorrentLeech-এর পাসওয়ার্ড বদলে একটি স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড ব্যবহার করা উচিত।
• একই পাসওয়ার্ড ব্যবহার করা সব ফোরাম, গেম, ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট হালনাগাদ করা উচিত।
• পাসকি বা ক্লায়েন্ট কি নবায়নের বিকল্প থাকলে পুরোনো মানটি বাতিল করতে হবে।
• সক্রিয় সেশন ও সংযুক্ত ক্লায়েন্টগুলো পরীক্ষা করা উচিত।
• IP ঠিকানা বা ব্যবহারকারীর নাম উল্লেখ করা লক্ষ্যভিত্তিক বার্তার ব্যাপারে সতর্ক থাকা উচিত।
• পাসওয়ার্ড ম্যানেজার দিয়ে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করা উচিত।
• যেসব অ্যাকাউন্টে দুই ধাপে যাচাইয়ের সুবিধা আছে, সেগুলোতে তা চালু করা উচিত।

পাসওয়ার্ড হ্যাশ আকারে থাকার অর্থ এই নয় যে কোনো ঝুঁকি নেই। হ্যাশ অ্যালগরিদম দুর্বল হলে, সল্ট না থাকলে বা ব্যবহারকারী সহজ পাসওয়ার্ড বেছে নিলে, আক্রমণকারীরা এসব হ্যাশ ভেঙে পাসওয়ার্ড বের করতে পারেন। এ ছাড়া, একই ব্যবহারকারীর নাম ডেটাসেটের অন্য তথ্য ফাঁসের রেকর্ডের সঙ্গে মিলে গেলে, আক্রমণকারীরা আগে ফাঁস হওয়া প্লেইন টেক্সট পাসওয়ার্ড এই অ্যাকাউন্টে ব্যবহার করে দেখতে পারেন। এই দ্বিমুখী সম্পর্কের কারণে পুরোনো ও নতুন ডেটাসেট একসঙ্গে আরও বিপজ্জনক হয়ে ওঠে।

পাসওয়ার্ড বদলানোর সময় ব্যবহারকারীদের পুরোনো পাসওয়ার্ডে সামান্য কিছু যোগ করা উচিত নয়। যেমন, শেষে বছর, বিস্ময়চিহ্ন বা প্ল্যাটফর্মের নাম যোগ করা নিরাপদ পদ্ধতি নয়। আক্রমণকারীরা স্বয়ংক্রিয়ভাবে এসব ভিন্ন রূপ পরীক্ষা করেন। সবচেয়ে নিরাপদ পদ্ধতি হলো পাসওয়ার্ড ম্যানেজার দিয়ে দীর্ঘ ও এলোমেলো একটি পাসওয়ার্ড তৈরি করা, সেটি শুধু একটি অ্যাকাউন্টে ব্যবহার করা এবং সম্ভব হলে দুই উপাদানভিত্তিক প্রমাণীকরণ যুক্ত করা।

গোপনীয়তার দিক থেকে IP ঠিকানাকে সতর্কতার সঙ্গে বিবেচনা করা উচিত, বিশেষ করে টরেন্টের ক্ষেত্রে। শুধু একটি IP ঠিকানা ব্যবহারকারীর প্রকৃত পরিচয় প্রকাশ না করলেও, সংযোগের সময়, ব্যবহারকারীর নাম ও প্ল্যাটফর্মের তথ্যের সঙ্গে মিলিয়ে দেখলে প্রোফাইল তৈরির ঝুঁকি বাড়ে। আক্রমণকারীরা এসব তথ্য ব্যবহার করে ব্যবহারকারীকে আরও বিশ্বাসযোগ্য বার্তা পাঠাতে বা তাঁর অন্য অ্যাকাউন্টগুলোর সঙ্গে যোগসূত্র খুঁজতে পারেন।

কোনো ব্যবহারকারী আগে স্থায়ী IP, বাসার ইন্টারনেট সংযোগ বা নির্দিষ্ট ইন্টারনেট সেবাদাতা ব্যবহার করে থাকলে, পুরোনো IP ডেটাও সামাজিক প্রকৌশলভিত্তিক প্রতারণামূলক বার্তায় ব্যবহার করা যেতে পারে। তাই IP ঠিকানা উল্লেখ করা হুমকি বা সতর্কবার্তাকে বর্তমানে আক্রমণকারীর প্রবেশাধিকার থাকার প্রকৃত প্রমাণ হিসেবে ধরে নেওয়া উচিত নয়। সঠিক করণীয় হলো অ্যাকাউন্টের পাসওয়ার্ড বদলানো, সেশনগুলো থেকে লগআউট করা, পাসকি নবায়ন করা এবং সন্দেহজনক বার্তায় ক্লিক না করা।

টরেন্ট ও আমন্ত্রণভিত্তিক কমিউনিটি প্ল্যাটফর্মগুলোর পাসওয়ার্ডের নিরাপত্তার পাশাপাশি পাসকি, আমন্ত্রণ, ক্লায়েন্ট সংযোগ এবং রেশিও ডেটার মতো প্ল্যাটফর্ম-নির্দিষ্ট ক্ষেত্রগুলোও সুরক্ষিত রাখা উচিত। এসব তথ্য ব্যবহারকারীর অ্যাকাউন্টের অপব্যবহার এবং প্ল্যাটফর্মের ভেতরে সুনামহানির কারণ হতে পারে। অ্যাডমিন প্যানেল, ব্যবহারকারীর ডেটা টেবিল এবং ব্যাকআপ ফাইল কঠোর প্রবেশাধিকার নিয়ন্ত্রণের মাধ্যমে সুরক্ষিত রাখা উচিত।

আধুনিক অ্যালগরিদম, স্বতন্ত্র সল্ট মান এবং পর্যাপ্ত কস্ট প্যারামিটার ব্যবহার করে পাসওয়ার্ডের হ্যাশ সংরক্ষণ করা উচিত। প্রয়োজনে পাসকির মান নবায়ন করার ব্যবস্থা থাকা উচিত, আর পুরোনো মান দ্রুত বাতিল করা উচিত। তথ্য ফাঁসের কথা ব্যবহারকারীকে জানানোর সময় শুধু পাসওয়ার্ড বদলানো নয়, পাসকি নবায়ন, ক্লায়েন্ট কনফিগারেশন এবং সক্রিয় সেশন নিয়ন্ত্রণের বিষয়গুলোও স্পষ্টভাবে ব্যাখ্যা করা উচিত।

TorrentLeech-এর তথ্য ফাঁসের রেকর্ডটি torrentleech.org ডোমেইনের সঙ্গে সংশ্লিষ্ট। প্রতিবেদন অনুযায়ী, 2020 সালের নভেম্বরে প্রায় 5,55,222টি ব্যবহারকারী অ্যাকাউন্ট এতে ক্ষতিগ্রস্ত হয়েছিল। ফাঁস হয়েছে বলে জানানো ডেটার শ্রেণিগুলোর মধ্যে রয়েছে ব্যবহারকারীর নাম, IP ঠিকানা, পাসওয়ার্ড-সংশ্লিষ্ট মান, হ্যাশ করা বা এনক্রিপ্ট করা ইমেইল ফিল্ড এবং পাসকির মতো সাইটের নিজস্ব মান। এই সমন্বয় অ্যাকাউন্টের নিরাপত্তা, গোপনীয়তা এবং প্ল্যাটফর্মের ভেতরে অপব্যবহারের দিক থেকে উচ্চ ঝুঁকি তৈরি করে।

মূল উৎস থেকে আনুষ্ঠানিক নিশ্চিতকরণ না থাকায় রেকর্ডটিকে যাচাইকৃত হিসেবে চিহ্নিত করা হয়নি। তবু ব্যবহারকারীদের সতর্ক করতে এটি অন্তর্ভুক্ত করা হয়েছে, কারণ উন্মুক্ত উৎসের তথ্য ফাঁসের রেকর্ডগুলোতে ডোমেইন নাম, তারিখ, রেকর্ডসংখ্যা ও ডেটার শ্রেণিগুলো ধারাবাহিকভাবে একইভাবে উল্লেখ করা হয়েছে। TorrentLeech ব্যবহারকারীদের পাসওয়ার্ড বদলানো, পাসকি বা সেশনের মান নবায়ন করা, একই ব্যবহারকারীর নাম দিয়ে তৈরি অ্যাকাউন্টগুলো পর্যালোচনা করা এবং IP ঠিকানা উল্লেখ করা লক্ষ্যভিত্তিক বার্তার ব্যাপারে সতর্ক থাকা উচিত।

এ ধরনের কমিউনিটির ডেটা বহু বছর পরও আবার কাজে লাগতে পারে। পুরোনো ব্যবহারকারীর নাম অন্য প্ল্যাটফর্মের ব্যবহারকারীর নামের সঙ্গে, পুরোনো IP ঠিকানা অন্য রেকর্ডের সংযোগের তথ্যের সঙ্গে এবং পুরোনো পাসওয়ার্ডের হ্যাশ অন্য প্লেইন টেক্সট পাসওয়ার্ডের তালিকার সঙ্গে মেলানো যেতে পারে। আক্রমণকারীরা একটি ডেটাসেটেই সীমাবদ্ধ থাকেন না; বিভিন্ন সময়ের রেকর্ড একত্র করে তাঁরা লক্ষ্যবস্তু সম্পর্কে আরও কার্যকর একটি প্রোফাইল তৈরি করেন।

এ কারণে ব্যবহারকারীর শুধু TorrentLeech অ্যাকাউন্ট নয়, তাঁর ডিজিটাল পরিচয়ের পুরো যোগসূত্র বিবেচনা করা উচিত। স্বতন্ত্র পাসওয়ার্ড, আলাদা ইমেইল ব্যবহার, দুই উপাদানভিত্তিক প্রমাণীকরণ, সক্রিয় সেশন পর্যবেক্ষণ, পাসকি নবায়ন এবং অপ্রয়োজনীয় পুরোনো অ্যাকাউন্ট বন্ধ করা দীর্ঘমেয়াদি সুরক্ষার ভিত্তি। পুরোনো টরেন্ট কমিউনিটির অ্যাকাউন্টের কথা ভুলে গেলেও, সেগুলোতে পরিচয় ও পাসওয়ার্ডের এমন সূত্র থাকতে পারে, যা আক্রমণকারীদের কাজে লাগে।

টরেন্ট প্ল্যাটফর্মে পাসকি সাধারণ ওয়েব পাসওয়ার্ড থেকে আলাদা একটি নিরাপত্তা মান। এটি ব্যবহারকারীর অ্যাকাউন্টের হয়ে ক্লায়েন্ট ট্রাফিক তৈরি করতে বা ডাউনলোড সংযোগকে অ্যাকাউন্টের সঙ্গে যুক্ত করতে ব্যবহার করা যেতে পারে। এই মান ফাঁস হলে শুধু ওয়েব পাসওয়ার্ড বদলানো যথেষ্ট নাও হতে পারে। ব্যবহারকারীর প্ল্যাটফর্মে থাকা পাসকি নবায়ন, লগআউট এবং সংযুক্ত ক্লায়েন্ট সরিয়ে দেওয়ার বিকল্পগুলোও ব্যবহার করা উচিত।

পুরোনো পাসকি বাতিল না করলে আক্রমণকারী কমিউনিটির ভেতরে ব্যবহারকারীর অ্যাকাউন্টের রেশিও, কার্যকলাপ বা বিশ্বাসযোগ্যতার স্কোরে প্রভাব ফেলতে পারেন। এ কারণে TorrentLeech শুধু পাসওয়ার্ড, ব্যবহারকারীর নাম ও IP ঠিকানা নয়, পাসকির মতো মানও নথিভুক্ত করে। ব্যবহারকারীর জন্য সবচেয়ে নিরাপদ করণীয় হলো ওয়েব পাসওয়ার্ড নতুন করে নির্ধারণ করা, সব সক্রিয় সেশন বন্ধ করা, নতুন কি দিয়ে ক্লায়েন্ট কনফিগারেশন হালনাগাদ করা এবং পুরোনো কি দিয়ে কাজ করে এমন ডাউনলোড লিংক ব্যবহার না করা।