Tumblr তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। একটি ইমেইল ঠিকানা অন্য সেবায় ব্যবহারকারীর অ্যাকাউন্ট, যোগাযোগের মাধ্যম ও সেশন-পরিচয়ের মধ্যে যোগসূত্র তৈরি করতে পারে। পাসওয়ার্ড হ্যাশ ফাঁস হওয়া আরও বেশি ঝুঁকি তৈরি করে, বিশেষ করে যাঁরা একই পাসওয়ার্ড একাধিক সেবায় ব্যবহার করেন তাঁদের জন্য। আক্রমণকারীরা ভেঙে বের করা সম্ভব এমন পাসওয়ার্ড একই ইমেইল ঠিকানা দিয়ে বিভিন্ন সেবায় পরীক্ষা করতে পারে, আগে ফাঁস হওয়া পাসওয়ার্ডের তালিকার সঙ্গে সেগুলো মিলিয়ে দেখতে পারে এবং অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যমগুলোকে লক্ষ্যবস্তু করতে পারে।

এই ঘটনায় ফোন নম্বর, বাসা বা অন্য কোনো স্থানের ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র, জন্মতারিখ কিংবা ব্যক্তিগত বার্তার বিষয়বস্তু যাচাইকৃত তথ্যের ক্ষেত্র হিসেবে তালিকাভুক্ত নেই। তা সত্ত্বেও, ইমেইল ও পাসওয়ার্ড একসঙ্গে থাকলে অ্যাকাউন্ট দখলের প্রক্রিয়ার সবচেয়ে গুরুত্বপূর্ণ 2টি উপাদান পাওয়া যায়। ব্যবহারকারী যদি সামাজিক যোগাযোগমাধ্যম, ইমেইল, গেমিং, কেনাকাটা, ফোরাম বা কাজের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে তথ্য ফাঁসের প্রভাব Tumblr-এর বাইরেও ছড়িয়ে পড়ে এবং অনেক বিস্তৃত একটি নিরাপত্তা সমস্যা হয়ে দাঁড়ায়।

এই রেকর্ডের পরিসর 2013 সালের ফেব্রুয়ারিতে ঘটা Tumblr-এর ঘটনা এবং ক্ষতিগ্রস্ত 6,54,69,298টি অ্যাকাউন্টে সীমাবদ্ধ। রেকর্ডটি Tumblr-এর ডোমেইন নাম tumblr.com-এর সঙ্গে সম্পর্কিত এবং যাচাইকৃত তথ্য ফাঁসের ঘটনা হিসেবে শ্রেণিবদ্ধ। রেকর্ডটি যুক্ত করার ও সর্বশেষ পরিবর্তনের তারিখ 29 মে 2016 হিসেবে যাচাই করা হয়েছে। তথ্যের ধরন শুধু ইমেইল ঠিকানা ও পাসওয়ার্ডে সীমাবদ্ধ; যাচাই করা হয়নি এমন ব্যক্তিগত বা আর্থিক তথ্যের ক্ষেত্র ব্যবহারকারীকে দেখানো হয় না।

পাসওয়ার্ডের তথ্য হ্যাশ আকারে থাকলেও তা থেকে ঝুঁকি কম বলে সিদ্ধান্ত নেওয়া যায় না। হ্যাশ মান নিজে সরাসরি পাঠযোগ্য পাসওয়ার্ড নয়; তবে দুর্বল পাসওয়ার্ড বেছে নেওয়া, একই পাসওয়ার্ড পুনরায় ব্যবহার করা এবং বছরের পর বছর ধরে হ্যাশ ভাঙার সক্ষমতা বাড়তে থাকায় বাস্তব ঝুঁকি থেকে যায়। তাই ঘটনার তারিখ 2025 হিসেবে দেখানোর পরিবর্তে, তথ্য ফাঁসের প্রকৃত তারিখ, ক্ষতিগ্রস্ত অ্যাকাউন্টের সঠিক সংখ্যা এবং যাচাইকৃত তথ্যের ক্ষেত্রগুলোর ভিত্তিতে এই বিবরণ দেওয়া হয়েছে।

প্রথম ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন যাঁদের 2013 সালের আগে বা সে সময় Tumblr অ্যাকাউন্ট ছিল এবং যাঁরা বিভিন্ন সেবায় একই ইমেইল ঠিকানা ব্যবহার করতেন। অন্য অ্যাকাউন্টেও একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা ব্যক্তিদের ঝুঁকি বেশি। যাঁরা এখন আর পুরোনো অ্যাকাউন্ট ব্যবহার করেন না, তাঁরাও ক্ষতিগ্রস্ত হতে পারেন; কারণ ইমেইল ঠিকানাটি এখনো সক্রিয় থাকলে সেটি পাসওয়ার্ড পরীক্ষা, অ্যাকাউন্ট পুনরুদ্ধারের চেষ্টা ও ফিশিং বার্তা পাঠানোর কাজে ব্যবহার করা যেতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন যাঁরা নিজেদের Tumblr অ্যাকাউন্টকে ব্যক্তিগত পরিচয়, শিল্পী হিসেবে পরিচিতি, কোনো কমিউনিটির সদস্যপদ বা অন্য সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের সঙ্গে স্পষ্টভাবে যুক্ত করেছেন। ইমেইল ও পাসওয়ার্ডের তথ্য অন্য তথ্যসমষ্টির সঙ্গে মেলানো হলে পরিচয় নকল করা অ্যাকাউন্ট, ভুয়া সহায়তা বার্তা, অ্যাকাউন্ট লক হওয়ার বিজ্ঞপ্তি বা পাসওয়ার্ড রিসেটের ফাঁদ আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। যাঁরা বছরের পর বছর পুরোনো পাসওয়ার্ড পরিবর্তন করেননি, তাঁদের বিশেষভাবে মনে রাখা উচিত যে অতীতে নিরাপদ মনে হওয়া অ্যাকাউন্টেও আজ ঝুঁকি থাকতে পারে।

ক্ষতিগ্রস্ত ব্যবহারকারীদের Tumblr-এর পাসওয়ার্ড এবং সেটির কাছাকাছি অন্য সব পাসওয়ার্ড পরিবর্তন করা উচিত। নতুন পাসওয়ার্ডটি দীর্ঘ ও অন্য কোনো অ্যাকাউন্টে ব্যবহৃত হয়নি এমন হতে হবে এবং পাসওয়ার্ড ম্যানেজার দিয়ে তৈরি করতে হবে। একই ইমেইল ঠিকানা দিয়ে ব্যবহৃত সামাজিক যোগাযোগমাধ্যম, ইমেইল, কেনাকাটা, ফোরাম, গেমিং ও ক্লাউড অ্যাকাউন্টগুলোও পরীক্ষা করা উচিত। যেখানে সম্ভব, মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করতে হবে এবং লগইনের ইতিহাস ও সংযুক্ত অ্যাপ্লিকেশনগুলো পর্যালোচনা করতে হবে।

ইমেইল অ্যাকাউন্টকে আলাদা করে অগ্রাধিকার দিতে হবে, কারণ অধিকাংশ সেবায় অ্যাকাউন্ট পুনরুদ্ধারের লিংক ইমেইলের মাধ্যমে পাঠানো হয়। ব্যবহারকারীর উচিত ইমেইল অ্যাকাউন্টের পাসওয়ার্ড আরও শক্তিশালী করা, ফরওয়ার্ডিংয়ের নিয়ম ও পুনরুদ্ধারের বিকল্পগুলো পরীক্ষা করা এবং অপরিচিত সেশন থেকে লগ আউট করা। Tumblr বা অন্য কোনো সেবার পক্ষ থেকে আসা পাসওয়ার্ড রিসেট, অ্যাকাউন্ট স্থগিত করা, কপিরাইট, কমিউনিটির নিয়ম বা নিরাপত্তা বিজ্ঞপ্তি-সংক্রান্ত বার্তা সরাসরি লিংকে ক্লিক না করে সেই সেবার আনুষ্ঠানিক লগইন পৃষ্ঠা থেকে যাচাই করা উচিত।

দীর্ঘমেয়াদি সুরক্ষার ভিত্তি হলো একই পাসওয়ার্ড একাধিক সেবায় ব্যবহার সম্পূর্ণ বন্ধ করা। প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করা, পাসওয়ার্ড ম্যানেজার দিয়ে শক্তিশালী পাসওয়ার্ড তৈরি করা এবং মাল্টি-ফ্যাক্টর অথেনটিকেশন স্থায়ীভাবে চালু রাখা জরুরি। পুরোনো সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলো নিয়মিত পর্যালোচনা করা উচিত; অব্যবহৃত অ্যাকাউন্ট বন্ধ করতে হবে, পুনরুদ্ধারের ইমেইল ঠিকানা হালনাগাদ করতে হবে এবং সবার জন্য দৃশ্যমান প্রোফাইলের অংশগুলো সীমিত রাখতে হবে, যাতে সেখানে অপ্রয়োজনীয় ব্যক্তিগত তথ্য না থাকে।

প্রতিষ্ঠান ও কমিউনিটি পরিচালকদের জন্য এই ঘটনার শিক্ষা হলো পাসওয়ার্ড সংরক্ষণের পদ্ধতি নিয়মিত হালনাগাদ করা এবং পুরোনো হ্যাশ অ্যালগরিদমের ঝুঁকিকে গুরুত্ব দেওয়া। ব্যবহারকারীদেরও ভুলে গেলে চলবে না যে বহু বছর আগে ঘটা তথ্য ফাঁসের ঘটনা আজও প্রভাব ফেলতে পারে। পুরোনো পাসওয়ার্ড ব্যবহারের অভ্যাস বদলানো না হলে অতীতের ফাঁস হওয়া তথ্য নতুন করে অ্যাকাউন্ট দখলের চেষ্টায় ব্যবহার করা যেতে পারে।

কোনো মিল পাওয়া গেলে ব্যবহারকারীর প্রথমে পরীক্ষা করা উচিত, তাঁর Tumblr অ্যাকাউন্টে এখনো প্রবেশ করা যায় কি না এবং ঘটনার পর পাসওয়ার্ড পরিবর্তন করা হয়েছে কি না। এরপর একই ইমেইল ঠিকানা দিয়ে ব্যবহৃত অন্য সেবায় একই পাসওয়ার্ড ব্যবহার করা হয়েছে কি না তা খুঁজে দেখতে হবে, পুরোনো পাসওয়ার্ডের ব্যবহার পুরোপুরি বন্ধ করতে হবে এবং নিরাপত্তা সতর্কতাগুলো পর্যালোচনা করতে হবে। ইমেইল ঠিকানাটি এখনো সক্রিয় থাকলে সেখানে আসা সন্দেহজনক লিংক, ফাইল ও অ্যাকাউন্ট পুনরুদ্ধারের বার্তার ক্ষেত্রে আরও সতর্ক থাকতে হবে।

Tumblr-এর তথ্য ফাঁসের ঘটনাটি পুরোনো হলেও ইমেইল ও পাসওয়ার্ডের তথ্য একসঙ্গে ফাঁস হওয়ায় এর প্রভাব ব্যাপক। সঠিক পদক্ষেপ শুধু Tumblr-এর পাসওয়ার্ড পরিবর্তনে সীমাবদ্ধ নয়; অন্য অ্যাকাউন্টে একই ধাঁচের পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে, সেই সব অ্যাকাউন্টকেও আলাদাভাবে সুরক্ষিত করতে হবে। ব্যবহারকারী প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, মাল্টি-ফ্যাক্টর অথেনটিকেশন এবং ইমেইল অ্যাকাউন্টের নিরাপত্তা নিশ্চিত করার পদক্ষেপগুলো সম্পন্ন করলে, এই ঘটনা থেকে তৈরি হওয়া দীর্ঘস্থায়ী অ্যাকাউন্ট দখলের ঝুঁকি উল্লেখযোগ্যভাবে কমে যায়।