Twitter (200 মিলিয়ন)

এই ঘটনায় যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের তথ্য এবং ব্যবহারকারীর নাম। পাসওয়ার্ড, পেমেন্ট কার্ডের তথ্য, ব্যক্তিগত বার্তা, সেশন কী বা পরিচয়পত্রের তথ্য যাচাইকৃত পরিসরের অন্তর্ভুক্ত নয়। তবুও ঝুঁকিকে ছোট করে দেখা উচিত নয়; কারণ ইমেইল ঠিকানার সঙ্গে সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের যোগসূত্র গোপনীয়তা ক্ষুণ্ণ করতে পারে, বিশেষ করে যাঁরা ছদ্মনাম ব্যবহার করেন তাঁদের ক্ষেত্রে। আক্রমণকারীরা এই যোগসূত্র কাজে লাগিয়ে ফিশিং বার্তা, লক্ষ্যভিত্তিক হয়রানি, ভুয়া সহায়তা বিজ্ঞপ্তি, সুনাম ক্ষুণ্ণ করার আক্রমণ এবং অ্যাকাউন্ট দখলের চেষ্টা চালাতে পারে। একই টেবিলে ব্যবহারকারীর নাম ও ইমেইল ঠিকানা থাকলে অন্য সেবা থেকে ফাঁস হওয়া পাসওয়ার্ড ব্যবহার করে ব্রুট ফোর্স আক্রমণ চালানোও সহজ হয়। তাই রেকর্ডে পাসওয়ার্ড না থাকলেও অ্যাকাউন্টের নিরাপত্তার দিক থেকে এটি গুরুতর প্রভাব ফেলতে পারে এমন সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি তৈরি করে।

Twitter (200 মিলিয়ন) রেকর্ডটি থাকার অর্থ এই নয় যে সামাজিক যোগাযোগমাধ্যমটির সব অভ্যন্তরীণ ব্যবস্থা পুরোপুরি আক্রান্ত হয়েছিল। সংগৃহীত ডেটাসেটের সঙ্গে একটি প্রযুক্তিগত দুর্বলতাকে কাজে লাগানোর যোগসূত্র পাওয়া গেছে। ওই দুর্বলতার কারণে 2021 সালে ইমেইল বা ফোনের তথ্য দিয়ে সংশ্লিষ্ট অ্যাকাউন্ট শনাক্ত করা সম্ভব হয়েছিল। পরে একই তথ্য থাকা একাধিক সারি বাদ দেওয়ার পর প্রায় 211.5 মিলিয়ন স্বতন্ত্র ইমেইল ঠিকানাসংবলিত একটি ডেটাসেট ছড়িয়ে পড়ে। যাচাইকৃত তথ্যক্ষেত্রের সংখ্যা সীমিত, এবং এই সীমা মেনে চলা গুরুত্বপূর্ণ: ইমেইল ঠিকানা, নাম, সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের তথ্য এবং ব্যবহারকারীর নাম। ফোন নম্বর, পাসওয়ার্ড বা ব্যক্তিগত বার্তার মতো অতিরিক্ত তথ্যক্ষেত্র 200 মিলিয়নের এই নির্দিষ্ট ডেটাসেটের যাচাইকৃত মূল পরিসরে অন্তর্ভুক্ত নয়। তাই রেকর্ডে ব্যবহারকারীকে ঝুঁকির বিষয়টি স্পষ্টভাবে জানানো উচিত, তবে যাচাই করা হয়নি এমন দাবিকে নিশ্চিত তথ্য হিসেবে উপস্থাপন করা উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে আছেন যাঁরা নিজের Twitter অ্যাকাউন্টের সঙ্গে প্রকৃত পরিচয় সরাসরি যুক্ত করতে চান না, সাংবাদিক, অধিকারকর্মী, সরকারি কর্মকর্তা, বেশি অনুসারী থাকা ব্যবহারকারী, ব্র্যান্ডের প্রতিনিধি এবং ক্রিপ্টো সম্পদবিষয়ক কমিউনিটিতে দৃশ্যমান ব্যক্তিরা। ইমেইল ঠিকানার সঙ্গে প্রোফাইলের যোগসূত্র থাকলে নির্দিষ্ট ব্যক্তিকে উদ্দেশ্য করে পাঠানো ভুয়া লগইন সতর্কতা, কপিরাইট নোটিশ, ব্র্যান্ডের সঙ্গে সহযোগিতার প্রস্তাব বা সহায়তার অনুরোধের মতো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। যাঁরা বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের ঝুঁকি আরও বাড়ে; আক্রমণকারী এই ঠিকানার সঙ্গে আগে ফাঁস হওয়া পাসওয়ার্ড মিলিয়ে অ্যাকাউন্টে প্রবেশের চেষ্টা চালাতে পারে। কর্পোরেট অ্যাকাউন্ট পরিচালনাকারী দলগুলোর ক্ষেত্রে কর্মীদের ইমেইল ঠিকানার সঙ্গে সামাজিক যোগাযোগমাধ্যমে তাঁদের ভূমিকা যুক্ত হলে আক্রমণের বাড়তি সুযোগ তৈরি হয়। এর মধ্যে রয়েছে কোম্পানির পক্ষ থেকে পাঠানো বলে মনে হয় এমন বার্তা এবং অ্যাকাউন্ট পুনরুদ্ধারের চেষ্টা।

এই ফাঁসে পাসওয়ার্ডের কোনো যাচাইকৃত তথ্যক্ষেত্র না থাকলেও ক্ষতিগ্রস্ত ব্যবহারকারীদের একই ইমেইল ঠিকানা দিয়ে ব্যবহৃত সামাজিক যোগাযোগমাধ্যম ও ইমেইল অ্যাকাউন্টগুলো অবিলম্বে পর্যালোচনা করা উচিত। Twitter অ্যাকাউন্টের জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড বেছে নিতে হবে। একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হয়ে থাকলে সংশ্লিষ্ট সব সেবায় তা পরিবর্তন করতে হবে। একাধিক ধাপে যাচাইকরণ চালু করতে হবে এবং সম্ভব হলে প্রমাণীকরণ অ্যাপ বা নিরাপত্তা কীকে অগ্রাধিকার দিতে হবে। অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা, ফোন নম্বর এবং সংযুক্ত অ্যাপগুলো পরীক্ষা করতে হবে; অপরিচিত সেশনগুলো বন্ধ করতে হবে। ইমেইল ইনবক্সে Twitter, ব্র্যান্ড, বিজ্ঞাপন, যাচাইকরণ বা সহায়তাসংক্রান্ত বার্তার ব্যাপারে সতর্ক থাকতে হবে; লিংকে ক্লিক করার আগে ঠিকানা ও প্রেরকের পরিচয় যাচাই করতে হবে। কর্পোরেট অ্যাকাউন্টে প্রবেশাধিকারের পরিসর কমাতে হবে, একাধিক ব্যক্তির একই পাসওয়ার্ড ব্যবহার বন্ধ করতে হবে এবং সামাজিক যোগাযোগমাধ্যম ব্যবস্থাপনার টুলগুলোতে সেশনের নিরাপত্তা আবার পরীক্ষা করতে হবে।

দীর্ঘমেয়াদে সবচেয়ে কার্যকর সুরক্ষা হলো কাজের ধরন অনুযায়ী ইমেইলের ব্যবহার আলাদা রাখা এবং প্রতিটি সেবায় আলাদা পাসওয়ার্ড ব্যবহার করা। সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের জন্য নির্দিষ্ট ইমেইল ঠিকানা ব্যবহার করলে ব্যক্তিগত বা কর্মক্ষেত্রের ইমেইলের সঙ্গে উন্মুক্ত প্রোফাইলের যোগসূত্র কমানো যায়। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ হয় এবং ক্রেডেনশিয়াল স্টাফিং আক্রমণের বিরুদ্ধে শক্তিশালী সুরক্ষা পাওয়া যায়। অ্যাকাউন্টের গোপনীয়তা সেটিংস নিয়মিত পর্যালোচনা করা উচিত এবং উন্মুক্ত প্রোফাইলের তথ্যক্ষেত্রে অপ্রয়োজনীয় ব্যক্তিগত তথ্য রাখা উচিত নয়। যেসব ব্যবহারকারী বেশি পরিচিত, তাঁদের ছদ্মনাম, যোগাযোগের ঠিকানা এবং অ্যাকাউন্ট পুনরুদ্ধারের তথ্য আলাদা রাখা উচিত। প্রতিষ্ঠানগুলোর উচিত সামাজিক যোগাযোগমাধ্যম ব্যবস্থাপকদের জন্য পৃথক অ্যাকাউন্ট নীতিমালা, বাধ্যতামূলক একাধিক ধাপে যাচাইকরণ, অ্যাক্সেস লগ পর্যালোচনা এবং ঘটনার পর সংশ্লিষ্টদের জানানোর পদ্ধতি নির্ধারণ করা।

LeakData-তে এই তথ্য ফাঁসের ঘটনা দেখানো হলে বোঝা যায় যে ব্যবহারকারীর ইমেইল ঠিকানা Twitter (200 মিলিয়ন) ডেটাসেটে অন্তর্ভুক্ত রয়েছে। এই ফলাফল সরাসরি প্রমাণ করে না যে পাসওয়ার্ড বেহাত হয়েছে; তবে ইমেইল ঠিকানার সঙ্গে সামাজিক যোগাযোগমাধ্যমের প্রোফাইল মিলে যাওয়ায় লক্ষ্যভিত্তিক প্রতারণা ও ফিশিংয়ের ঝুঁকি বাড়ে। আপনার প্রথমে Twitter অ্যাকাউন্টের নিরাপত্তা সেটিংস পরীক্ষা করা উচিত। এরপর একই ইমেইল ঠিকানা দিয়ে খোলা গুরুত্বপূর্ণ অ্যাকাউন্টগুলোতে একই পাসওয়ার্ড পুনরায় ব্যবহার করা হয়েছে কি না, তা খতিয়ে দেখা উচিত। বিশেষ করে ইমেইল অ্যাকাউন্ট, আর্থিক সেবা, ক্লাউড স্টোরেজ, কেনাকাটার অ্যাকাউন্ট এবং অ্যাডমিন প্যানেলকে অগ্রাধিকার দিতে হবে। বিজ্ঞপ্তির তারিখকে তথ্য ফাঁসের তারিখের সঙ্গে গুলিয়ে ফেলা উচিত নয়: ঘটনাটির মূল সময়কাল 2021 সাল, আর রেকর্ডটি যুক্ত করার যাচাইকৃত তারিখ 2023 সালের। ঝুঁকির সময়রেখা সঠিকভাবে বুঝতে এবং ঘটনাটি বর্তমান সময়ে ঘটেছে এমন ভুল ধারণা এড়িয়ে প্রকৃত ঘটনার সময় অনুযায়ী সিদ্ধান্ত নিতে এই পার্থক্যটি গুরুত্বপূর্ণ।