Web Hosting Talk-এর 2016 সালের তথ্য ফাঁস

Web Hosting Talk-এর মতো কমিউনিটিতে ব্যবহারকারীরা সাধারণত হোস্টিং সেবাদাতা, সিস্টেম প্রশাসক, ডেভেলপার, রিসেলার অ্যাকাউন্ট ও অবকাঠামোগত সেবার সঙ্গে যুক্ত থাকেন। তাই ইমেইল ঠিকানা ও ব্যবহারকারীর নাম মিলিয়ে আক্রমণকারীরা কোনো ব্যক্তির প্রযুক্তিগত ভূমিকা বা তাঁর ব্যবহৃত সেবা সম্পর্কে ধারণা পেতে পারে। এতে ভুয়া হোস্টিং বিল, ডোমেইন নবায়নের বার্তা, সার্ভারের নিরাপত্তা সতর্কতা বা সাপোর্ট টিকিটের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

IP ঠিকানা থেকে ব্যবহারকারী কখন বা কোথা থেকে ফোরামে প্রবেশ করেছেন, তার ইতিহাস বা সংযোগের আনুমানিক প্রেক্ষাপট সম্পর্কে তথ্য পাওয়া যেতে পারে। IP ঠিকানা একা পরিচয়ের নিশ্চিত প্রমাণ নয়; তবে ব্যবহারকারীর নাম, ইমেইল ঠিকানা ও প্রযুক্তি কমিউনিটির সদস্যপদের তথ্যের সঙ্গে মিলিয়ে ব্যবহার করা হলে তা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে হামলার জন্য মূল্যবান হয়ে ওঠে। প্রযুক্তিগত কাজে যুক্ত ব্যবহারকারীদের নিজেদের অবকাঠামোকে লক্ষ্য করে পাঠানো ভুয়া নিরাপত্তা বিজ্ঞপ্তি ও জরুরি হালনাগাদের বার্তা সম্পর্কে সতর্ক থাকা উচিত।

পাসওয়ার্ড ফিল্ড থাকার কারণে প্রধান ঝুঁকিগুলোর একটি হলো ক্রেডেনশিয়াল স্টাফিংয়ের চেষ্টা। ফোরামের কোনো পাসওয়ার্ড পুরোনো ও তেমন গুরুত্বপূর্ণ নয় বলে মনে হলেও, একই ধরনের পাসওয়ার্ড অন্য প্রযুক্তিগত অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকতে পারে। হোস্টিং ও ডোমেইন নামের অ্যাকাউন্টের নিয়ন্ত্রণ বেহাত হলে ওয়েবসাইট, ইমেইল ইনবক্স ও গ্রাহকের তথ্য ক্ষতিগ্রস্ত হতে পারে। তাই প্রযুক্তিগত অ্যাকাউন্টে প্রতিটির জন্য আলাদা পাসওয়ার্ড ও বহু-উপাদানভিত্তিক পরিচয় যাচাই বাধ্যতামূলক হওয়া উচিত।

সুনাম ও ব্যবসায়িক সম্পর্কের দিক থেকেও ফোরামের প্রেক্ষাপট মূল্যবান। কোনো ব্যবহারকারীর নামের সঙ্গে একটি কোম্পানি, ব্র্যান্ড বা সহায়তাকর্মীর পরিচয় যুক্ত থাকতে পারে। আক্রমণকারীরা ভুয়া গ্রাহক বার্তা বা সহায়তার অনুরোধে এই তথ্য ব্যবহার করতে পারে। আপনি যদি প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধন করে থাকেন, তাহলে নিশ্চিত করুন যে আপনার পুরোনো ফোরাম পাসওয়ার্ড অন্য কোনো অভ্যন্তরীণ সিস্টেমে ব্যবহার করা হচ্ছে না।

প্রতিষ্ঠানগুলোর জন্য Web Hosting Talk-এর ঘটনা দেখায় যে প্রযুক্তিগত কাজে যুক্ত ব্যবহারকারীদের কমিউনিটি ফোরাম আক্রমণকারীদের কাছে গুরুত্বপূর্ণ লক্ষ্যবস্তু। একটি ফোরাম অ্যাকাউন্ট সরাসরি সার্ভারে প্রবেশের সুযোগ দেয় না; তবে সোশ্যাল ইঞ্জিনিয়ারিংয়ের জন্য প্রয়োজনীয় প্রেক্ষাপট দেয়। পুরোনো ব্যবহারকারী টেবিল, পাসওয়ার্ড হ্যাশ ও IP লগ অপ্রয়োজনে সংরক্ষণ করা উচিত নয়, এবং পাসওয়ার্ড অ্যালগরিদম নিয়মিত হালনাগাদ করা উচিত।

ক্ষতিগ্রস্ত ব্যবহারকারীদের হোস্টিং, ডোমেইন, DNS, সার্ভার প্যানেল, গ্রাহক পোর্টাল ও ইমেইল ব্যবস্থাপনার অ্যাকাউন্টগুলোর পাসওয়ার্ড পর্যালোচনা করা উচিত। Web Hosting Talk-এর নামে বা হোস্টিংয়ের নিরাপত্তা সংক্রান্ত কোনো বার্তায় আসা লিংক সতর্কভাবে পরীক্ষা করা উচিত। কোনো পদক্ষেপ নিতে হলে পরিচিত সেবাদাতার প্যানেল ব্যবহার করা উচিত। পুরোনো ফোরামের তথ্য থেকে প্রযুক্তিগত অবকাঠামোর অ্যাকাউন্টেও ঝুঁকি ছড়াতে পারে।

প্রযুক্তি কমিউনিটির ব্যবহারকারীদের আরেকটি ঝুঁকি হলো, ফোরামে ব্যবহৃত পুরোনো ইমেইল ঠিকানার সঙ্গে পেশাগত পরিচয় যুক্ত থাকা। একই ঠিকানা গ্রাহক সহায়তা প্যানেল, ডোমেইন অ্যাকাউন্ট বা সার্ভার সেবাদাতার কাছে ব্যবহার করা হয়ে থাকলে, আক্রমণকারীরা ভুয়া নিরাপত্তা সতর্কতায় এই যোগসূত্র কাজে লাগাতে পারে। বিশেষ করে সার্ভার স্থগিত করা, ক্ষতিকর ট্রাফিক, বিল বা ডোমেইন নবায়ন সংক্রান্ত বার্তা সতর্কভাবে যাচাই করা উচিত।

Web Hosting Talk-সংক্রান্ত এই লেখাটি ফোরামের পাসওয়ার্ডের মাধ্যমে প্রযুক্তিগত অবকাঠামোতেও ঝুঁকি ছড়ানোর কথা মনে করিয়ে দেয়। শুধু একটি ফোরাম অ্যাকাউন্টের নিয়ন্ত্রণ বেহাত হলেই সার্ভারে প্রবেশের সুযোগ মিলবে এমন নয়; তবে পুনরায় ব্যবহৃত পাসওয়ার্ড, একই ইমেইল ঠিকানা ও প্রযুক্তিগত প্রেক্ষাপট একসঙ্গে মিললে ঝুঁকি বাড়ে। ব্যবহারকারীদের পাসওয়ার্ড ম্যানেজারে তাঁদের পুরোনো ফোরাম পাসওয়ার্ডগুলো হালনাগাদ করা এবং গুরুত্বপূর্ণ প্যানেলে পরিচয় যাচাইয়ের জন্য হার্ডওয়্যার কী বা অ্যাপভিত্তিক পদ্ধতিকে অগ্রাধিকার দেওয়া উচিত।

প্রতিষ্ঠানগুলোরও কর্মীদের নিরাপত্তার দিক থেকে এ ধরনের পুরোনো ফোরাম রেকর্ড মূল্যায়ন করা উচিত। প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধিত একটি ফোরাম অ্যাকাউন্টের কারণে আক্রমণকারীরা প্রযুক্তিগত সহায়তা বা অবকাঠামো সংক্রান্ত ভূমিকার সূত্র ধরে সংশ্লিষ্ট কর্মীকে লক্ষ্যবস্তু করতে পারে। তবে শুধু এ ধরনের মিলকে অপব্যবহারের প্রমাণ হিসেবে ধরা উচিত নয়; বিষয়টি মোকাবিলায় অ্যাকাউন্টের নিরাপত্তাকে গুরুত্ব দেওয়া উচিত।

এই রেকর্ডের সঙ্গে আপনার ইমেইল ঠিকানা মিলে গেলে, তালিকাভুক্ত তথ্যের ধরনগুলো একে একে বিবেচনা করে আপনার অ্যাকাউন্টগুলো পরীক্ষা করুন। ঘটনা পুরোনো হলেও ইমেইল, পাসওয়ার্ড, ফোন, ঠিকানা বা পরিচয় সংক্রান্ত তথ্য অন্য ডেটাসেটের সঙ্গে মিলিয়ে পরে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণায় ব্যবহার করা হতে পারে।

অগ্রাধিকার হলো একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো, গুরুত্বপূর্ণ অ্যাকাউন্টে দুই-ধাপের যাচাই চালু করা, অপ্রত্যাশিত সেশন বন্ধ করা এবং ভুয়া বিজ্ঞপ্তিতে ক্লিক না করে পরিচিত লগইন পৃষ্ঠা ব্যবহার করা। রেকর্ডে পাসওয়ার্ড না থাকলেও, ইমেইল ও প্রোফাইলের তথ্য ফিশিংয়ের জন্য যথেষ্ট হতে পারে।