Trello: তথ্য ফাঁস

যাচাইকৃত তথ্যের পরিধিতে রয়েছে 1,51,11,945টি স্বতন্ত্র ইমেইল ঠিকানা এবং সেসব ঠিকানার সঙ্গে মেলানো সম্ভব হয়েছে এমন নাম ও Trello ব্যবহারকারীর নাম। এই রেকর্ডে পাসওয়ার্ড, টেলিফোন নম্বর, পেমেন্টের বিবরণ, ব্যক্তিগত বার্তা, বোর্ডের বিষয়বস্তু, কার্ড ও সংযুক্তি থাকার বিষয়টি যাচাই করা হয়নি। মূল ঝুঁকি হলো, প্রোফাইলের যেসব তথ্য আলাদাভাবে সর্বসাধারণের জন্য উন্মুক্ত থাকতে পারে, সেগুলো বিপুল পরিসরে এমন ইমেইল ঠিকানার সঙ্গে যুক্ত করা হয়েছে, যা প্রকাশ্য করার উদ্দেশ্য ছিল না। এই সংযোগের সাহায্যে কোনো আক্রমণকারী নিশ্চিত হতে পারে যে একটি ঠিকানার সঙ্গে অ্যাকাউন্ট রয়েছে, আসল নাম ও ব্যবহারকারীর নাম ব্যবহার করে আরও বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে এবং একই শনাক্তকারী অন্য কোথায় ব্যবহৃত হয়েছে তা খুঁজতে পারে। কোনো পাসওয়ার্ড না থাকায় এই রেকর্ডে সরাসরি লগইন তথ্য প্রকাশ পায়নি। তবে কোনো ব্যবহারকারী অন্য একটি ঘটনায় ফাঁস হওয়া পাসওয়ার্ড পুনরায় ব্যবহার করে থাকলে, তাঁর ঠিকানার সঙ্গে অ্যাকাউন্টের সংযোগ নিশ্চিত হওয়ার ফলে স্বয়ংক্রিয় লগইন প্রচেষ্টা আরও লক্ষ্যভিত্তিক হতে পারে।

2024 সালের 16 জানুয়ারির আশপাশে তথ্যগুলো বিক্রির জন্য প্রস্তাব করা হয় এবং পরে একটি যাচাইকৃত তথ্য ফাঁসের তালিকায় যুক্ত করা হয়। তদন্তে ইঙ্গিত পাওয়া যায় যে সংশ্লিষ্ট পক্ষটি বৈধ অ্যাকাউন্ট শনাক্ত করতে আগের তথ্য সংগ্রহগুলো থেকে পাওয়া ইমেইল ঠিকানা দিয়ে সর্বসাধারণের জন্য অ্যাক্সেসযোগ্য একটি Trello প্রোফাইল রিসোর্সে অনুসন্ধান চালিয়েছিল। ইমেইল ঠিকানা দিয়ে অনুসন্ধান করলে রিসোর্সটি প্রোফাইলের নাম ও ব্যবহারকারীর নামের মতো প্রকাশ্য তথ্য ফেরত দিত। এর ফলে অপ্রকাশ্য ইমেইল ঠিকানার সঙ্গে প্রকাশ্য প্রোফাইলের সংযোগ বিপুল পরিসরে স্থাপন করা সম্ভব হয়। প্ল্যাটফর্ম পরিচালনাকারী প্রতিষ্ঠান জানায়, তারা Trello সিস্টেম বা ব্যবহারকারীর প্রোফাইলে অননুমোদিত প্রবেশের কোনো প্রমাণ পায়নি। তাই ঘটনাটিকে অ্যাকাউন্ট ডেটাবেস চুরি হিসেবে বর্ণনা করা উচিত নয়। অপব্যবহার শনাক্ত হওয়ার পর, প্রমাণীকরণ না করা ব্যবহারকারী ও সেবাগুলোকে ইমেইল ঠিকানা দিয়ে অন্য ব্যক্তির প্রকাশ্য তথ্য চাওয়া থেকে বিরত রাখা হয়। ঘটনাটির যথাযথ শ্রেণিবিভাগ হলো API-এর মাধ্যমে অ্যাকাউন্টের অস্তিত্ব শনাক্ত করা ও স্ক্র্যাপিং করে তথ্য সংগ্রহ করা; এটি তৃতীয় পক্ষের সরবরাহকারী-সংক্রান্ত ঘটনা বা পাসওয়ার্ড ফাঁস নয়।

যাঁরা আসল নাম, কর্মস্থলের পরিচয় বা সহজে চেনা যায় এমন ব্যবহারকারীর নাম ব্যবহার করেন, তাঁরা লক্ষ্যভিত্তিক ফিশিংয়ের জন্য আরও সহজে শনাক্তযোগ্য হতে পারেন। প্রাতিষ্ঠানিক ইমেইল ঠিকানার ক্ষেত্রে, কোনো আক্রমণকারী নিয়োগকারী প্রতিষ্ঠানের পরিচয় ও Trello অ্যাকাউন্টের সংযোগ কাজে লাগিয়ে ভুয়া বোর্ড আমন্ত্রণ, কাজের বিজ্ঞপ্তি, দলে যোগ দেওয়ার অনুরোধ বা পাসওয়ার্ড রিসেটের বার্তা তৈরি করতে পারে। সামাজিক যোগাযোগমাধ্যম ও ডেভেলপার প্ল্যাটফর্মে একই ব্যবহারকারীর নাম পুনরায় ব্যবহার করলে বিভিন্ন প্রোফাইলের মধ্যে সংযোগ খুঁজে বের করার ঝুঁকি বাড়ে। মিল পাওয়া মানেই কোনো অ্যাকাউন্ট দখল করা হয়েছে, কোনো ব্যক্তিগত বোর্ড পড়া হয়েছে বা কোনো পাসওয়ার্ড ফাঁস হয়েছে, এমন প্রমাণ নয়। অন্য তথ্য ফাঁসের ঘটনায় ঠিকানাটি আছে কি না, পাসওয়ার্ড পুনর্ব্যবহারের ইতিহাস, প্রকাশ্য প্রোফাইলের তথ্য এবং পাওয়া সন্দেহজনক বার্তা বিবেচনা করে ঝুঁকি মূল্যায়ন করা উচিত। অপ্রত্যাশিত বোর্ড আমন্ত্রণ, অজানা ওয়ার্কস্পেসে যোগ দেওয়ার অনুরোধ ও অপরিচিত লগইন সতর্কতা বিশেষভাবে খতিয়ে দেখা দরকার।

প্রথমে আপনার Trello ও এর সঙ্গে সংযুক্ত Atlassian অ্যাকাউন্টের নিরাপত্তা সেটিংস, সক্রিয় সেশন এবং বহু-উপাদানভিত্তিক প্রমাণীকরণের অবস্থা পর্যালোচনা করুন। যেসব সেশন আপনি চিনতে পারছেন না, সেগুলো বন্ধ করুন। অ্যাকাউন্ট পুনরুদ্ধারের উপায়গুলো আপনারই নিয়ন্ত্রণে আছে কি না নিশ্চিত করুন এবং যেখানে সুযোগ আছে, সেখানে পাসকি বা ফিশিং-প্রতিরোধী প্রমাণীকরণ চালু করুন। এখানে কোনো পাসওয়ার্ড থাকার বিষয়টি যাচাই করা না হলেও, পুনর্ব্যবহৃত পাসওয়ার্ড বদলে প্রতিটি অ্যাকাউন্টের জন্য দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড ব্যবহার করুন। ইমেইলে আসা বোর্ড আমন্ত্রণ বা নিরাপত্তা সতর্কতার লিংকে যাওয়ার বদলে, সেবাটির পরিচিত ঠিকানা ব্যবহার করে সরাসরি খুলুন। প্রেরকের ডোমেইন, আমন্ত্রণটি কে তৈরি করেছেন এবং অনুরোধটি আপনার দলের কাজের পরিস্থিতির সঙ্গে সামঞ্জস্যপূর্ণ কি না যাচাই করুন। যেসব পূর্ণ নাম, পরিচিতি বা লিংক প্রকাশ্য রাখার প্রয়োজন নেই, সেগুলো কমিয়ে দিন এবং অব্যবহৃত ওয়ার্কস্পেস থেকে বেরিয়ে আসুন। প্রতিষ্ঠানের ব্যবস্থাপনাধীন অ্যাকাউন্টের ক্ষেত্রে, সন্দেহজনক আমন্ত্রণের কথা নিরাপত্তা দলকে জানান এবং কোনো বার্তায় কখনো পাসওয়ার্ড বা যাচাইকরণ কোড প্রকাশ করবেন না।

প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করে এমন একটি পাসওয়ার্ড ম্যানেজার এবং সমর্থিত ক্ষেত্রে পাসকি ব্যবহার করলে, অন্য কোনো তথ্য সংগ্রহে থাকা পাসওয়ার্ড দিয়ে Trello-তে সফলভাবে লগইন করা ঠেকানো যায়। মূল ইমেইল অ্যাকাউন্টটি অন্যান্য অ্যাকাউন্ট পুনরুদ্ধারের কেন্দ্র হিসেবে কাজ করে, তাই শক্তিশালী প্রমাণীকরণ, লগইন সতর্কতা ও সংযুক্ত অ্যাপ্লিকেশন পর্যালোচনার মাধ্যমে সেটি সুরক্ষিত রাখুন। প্রোফাইলের কোন তথ্য কারা দেখতে পাচ্ছেন, তা নিয়মিত পর্যালোচনা করুন। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে কর্মজীবন ও ব্যক্তিগত পরিচয়ের মধ্যকার সংযোগও সতর্কভাবে নিয়ন্ত্রণ করুন। শুধু ভাষা পরিচিত মনে হচ্ছে বলেই প্রতিষ্ঠানের সহযোগিতামূলক কাজের আমন্ত্রণকে বিশ্বাস করা উচিত নয়; প্রক্রিয়ায় প্রেরক ও গন্তব্যের ডোমেইন যাচাই করতে হবে। একক সাইন-অন, শর্তসাপেক্ষ অ্যাক্সেস এবং সন্দেহজনক সেশন কেন্দ্রীয়ভাবে বাতিল করার ব্যবস্থা অ্যাকাউন্ট দখলের ঝুঁকি কমায়। এই ঘটনা দেখায়, অপ্রকাশ্য শনাক্তকারী দিয়ে প্রকাশ্য প্রোফাইলের তথ্যে অনুসন্ধান চালালে আলাদাভাবে নিরীহ তথ্যও বিপুল পরিসরে নিরাপত্তা উদ্বেগের কারণ হয়ে উঠতে পারে।

আপনার ইমেইল ঠিকানা Trello-এর তথ্য সংগ্রহে আছে কি না জানতে নিরাপদ অনুসন্ধান ঘরে ঠিকানাটি যাচাই করুন। মিল পাওয়া গেলে অ্যাকাউন্টের নিরাপত্তা নিশ্চিত করার পদক্ষেপগুলোকে অগ্রাধিকার দিন। কোনো ফলাফল পাওয়া মানেই আপনার পাসওয়ার্ড প্রকাশ করা হয়েছে, ব্যক্তিগত বোর্ড দেখা হয়েছে বা আপনার অ্যাকাউন্ট দখল করা হয়েছে, এমন নয়; এটি শুধু জানায় যে ঠিকানাটি নাম ও ব্যবহারকারীর নামের মতো তথ্যের সঙ্গে যুক্ত ছিল। মিল পাওয়ার পর প্রোফাইলের দৃশ্যমানতা, সক্রিয় সেশন, সংযুক্ত অ্যাপ্লিকেশন ও সাম্প্রতিক নিরাপত্তা বিজ্ঞপ্তি পর্যালোচনা করুন। অ্যাপ্লিকেশন সরাসরি খুলে অপ্রত্যাশিত আমন্ত্রণ যাচাই করুন। কোনো অনুসন্ধানের ফলাফলই নিশ্চয়তা দিতে পারে না যে ঠিকানাটি অন্য সব ঘটনায় অনুপস্থিত ছিল। প্রোফাইলের এই সংযোগ পরে সামাজিক প্রকৌশল বা অ্যাকাউন্ট দখলের চেষ্টায় ব্যবহার করা হলে, নিয়মিত নজরদারি, স্বতন্ত্র পাসওয়ার্ড ও শক্তিশালী প্রমাণীকরণ কার্যকর সুরক্ষা দেয়।