Webkinz: তথ্য ফাঁস

প্রকাশিত ফাইলটিতে Webkinz-এর ব্যবহারকারীর নাম ও MD5-Crypt পাসওয়ার্ড হ্যাশ ছিল। MD5-Crypt সরাসরি পাঠযোগ্য পাসওয়ার্ড নয় এবং এটি অপরিবর্তিত MD5-এর সমতুল্যও নয়। তবে পাসওয়ার্ড সংরক্ষণের আধুনিক মানদণ্ডে এটি অচল এবং অফলাইনে পাসওয়ার্ড অনুমান করে বের করার চেষ্টা ঠেকাতে যথেষ্ট কার্যকর নয়। কোনো ছোট, বহুল ব্যবহৃত বা সহজে অনুমানযোগ্য পাসওয়ার্ড উদ্ধার করা গেলে, একই পাসওয়ার্ড ব্যবহার করা অন্য প্রতিটি অ্যাকাউন্টও ঝুঁকিতে পড়তে পারে। প্রতিবেদনে বলা হয়েছিল, অভিভাবকদের ইমেইল ঠিকানার হ্যাশ করা মান আলাদাভাবে সংগ্রহ করা হয়েছিল, তবে সেগুলো প্রকাশ্যে ছাড়া ফাইলটিতে ছিল না। তাই ইমেইল ঠিকানাকে যাচাই করা তথ্যের ধরন হিসেবে যুক্ত করা উচিত নয়। সে সময় কোম্পানি বলেছিল, Webkinz অ্যাকাউন্টের জন্য কখনো ঠিকানা, ফোন নম্বর বা পদবি চাওয়া হয়নি এবং এসব অ্যাকাউন্ট eStore অ্যাকাউন্টের তথ্যের সঙ্গে যুক্ত ছিল না। প্রকাশিত ফাইলটিতে পেমেন্টের বিবরণ বা বাস্তব পরিচয়সংক্রান্ত রেকর্ড ছিল বলে দাবি করার কোনো যাচাইকৃত ভিত্তি নেই।

প্রতিবেদন অনুযায়ী, অনুপ্রবেশের ঘটনাটি ঘটে 2020 সালের এপ্রিলের শুরুর দিকে। নির্দিষ্ট দিন প্রকাশ করা হয়নি বলে শুধু মাসটি চিহ্নিত করার জন্য 1 এপ্রিলকে নির্দেশক তারিখ হিসেবে ব্যবহার করা হয়েছে। 18 এপ্রিল প্রকাশিত একটি অনুসন্ধানী প্রতিবেদনে বলা হয়, গবেষকেরা ফাইলটির একটি কপি সংগ্রহ ও যাচাই করতে সহায়তা করেছিলেন। এতে ব্যবহারকারীর নাম ও পাসওয়ার্ডের 2,29,82,319টি জোড়া ছিল। ওই প্রতিবেদনে উদ্ধৃত সূত্রগুলোর বক্তব্য ছিল, আক্রমণকারী ওয়েবসাইটের একটি ফর্মে থাকা SQL ইনজেকশন ত্রুটি ব্যবহার করেছিল এবং Webkinz-এর কর্মীরা অনুপ্রবেশের পথটি শনাক্ত করে ত্রুটি সংশোধন করেছিলেন। 19 এপ্রিল কোম্পানি জানায়, তারা কথিত তথ্য ফাঁসের প্রতিবেদন সম্পর্কে অবগত, বিষয়টি তদন্ত করছে এবং উদ্বিগ্ন ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তনের পরামর্শ দিচ্ছে। এরপর একটি আনুষ্ঠানিক নিরাপত্তা আপডেটে জানানো হয়, সাইন ইন করার আগে প্রত্যেক খেলোয়াড়কে একবার অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করতেই হবে। প্রাথমিকভাবে প্রবেশের পদ্ধতি নিয়ে দাবিটির পক্ষে বিশ্বাসযোগ্য প্রতিবেদন থাকলেও, কোম্পানির কোনো বিস্তারিত ফরেনসিক প্রতিবেদন বা ঘটনাটি নিয়ে চূড়ান্ত প্রকাশ্য প্রতিবেদন পাওয়া যায়নি।

সবচেয়ে সরাসরি ক্ষতিগ্রস্ত গোষ্ঠী হলো বর্তমান ও সাবেক খেলোয়াড়েরা, যাঁদের 2020 সালের এপ্রিলের আগে Webkinz অ্যাকাউন্ট ছিল। অন্য কোনো গেম, সামাজিক যোগাযোগমাধ্যম বা ইমেইল অ্যাকাউন্টে একই ব্যবহারকারীর নাম ও পাসওয়ার্ড ব্যবহার করে থাকলে, তাঁরা ক্রেডেনশিয়াল স্টাফিংয়ের চেষ্টার শিকার হতে পারেন। খেলোয়াড়দের মধ্যে শিশুরাও রয়েছে বলে পাসওয়ার্ড পরিবর্তন ও অ্যাকাউন্ট পুনরুদ্ধারের কাজ মা-বাবা বা অভিভাবকের সহায়তায় করা উচিত। ব্যবহারকারীর নাম যে বাস্তব নামই হবে, তা নয়। তাই রেকর্ডগুলোকে সরাসরি কোনো নির্দিষ্ট শিশুর পরিচয়ের সঙ্গে যুক্ত করা উচিত নয়। তবু ব্যবহারকারীর নাম কাজে লাগিয়ে গেমের ভেতরে অন্যের পরিচয় ধারণ, ভুয়া সহায়তার বার্তা পাঠানো বা অ্যাকাউন্ট দখলের চেষ্টা করা সম্ভব। প্রকাশিত ফাইলটিতে ইমেইল ঠিকানা থাকার বিষয়টি যাচাই করা হয়নি। তাই শুধু এই ঘটনাকে নিশ্চিত ইমেইল ফাঁসের ঘটনা বা ফিশিংয়ের কাজে ব্যবহারযোগ্য ইমেইল তালিকার উৎস হিসেবে উপস্থাপন করা উচিত নয়।

আপনার Webkinz অ্যাকাউন্ট থাকলে এবং 2020 সালের পর সেটির পাসওয়ার্ড পরিবর্তন না করে থাকলে, আনুষ্ঠানিক সাইন-ইন পর্দা থেকে একটি নতুন, স্বতন্ত্র পাসওয়ার্ড বেছে নিন। অন্য যেখানেই একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেছেন, সেখানেও তা বদলান। এ ক্ষেত্রে সংশ্লিষ্ট ইমেইল অ্যাকাউন্ট, গেম স্টোর ও অভিভাবকদের অ্যাকাউন্টগুলোকে অগ্রাধিকার দিন। শিশুর অ্যাকাউন্টের জন্য মা-বাবা বা অভিভাবকের সঙ্গে মিলে নতুন পাসওয়ার্ড তৈরি করুন, কাউকে সেটি দেওয়া যাবে না বলে বুঝিয়ে দিন এবং ভুয়া সহায়তার অনুরোধ নিয়ে আলোচনা করুন। অ্যাকাউন্টে প্রবেশ করতে না পারলে শুধু আনুষ্ঠানিক সহায়তার মাধ্যম ব্যবহার করুন; কোনো ফোরাম বা বার্তায় কখনো পাসওয়ার্ড, পোষা প্রাণীর নাম বা অ্যাকাউন্ট পুনরুদ্ধারের তথ্য প্রকাশ করবেন না। সক্রিয় সেশন, অ্যাকাউন্টে যুক্ত ইমেইল ঠিকানা ও অ্যাকাউন্টের অপ্রত্যাশিত পরিবর্তনগুলো পর্যালোচনা করুন। eStore অ্যাকাউন্টকে আলাদাভাবে বিবেচনা করুন: কোম্পানি বলেছিল, এটি Webkinz অ্যাকাউন্টের তথ্যের সঙ্গে যুক্ত ছিল না। তাই eStore-এর পেমেন্টের তথ্য এই ফাইলে ছিল বলে ধরে নেওয়া উচিত নয়।

প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করলে, গেমের পাসওয়ার্ড উদ্ধার হলেও সেটি দিয়ে অন্য অ্যাকাউন্টে প্রবেশ করা যায় না। পরিবারগুলো শিশুদের অ্যাকাউন্টের জন্য পাসওয়ার্ড ম্যানেজারে আলাদা এন্ট্রি রাখতে পারে এবং নিয়মিত অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা যাচাই করতে পারে। Webkinz-এ মাল্টি-ফ্যাক্টর অথেনটিকেশনের ব্যবস্থা না থাকলেও, ইমেইল ও গেম স্টোরের অ্যাকাউন্টের মতো গুরুত্বপূর্ণ সংশ্লিষ্ট সেবায় এটি চালু করুন। পুরোনো অ্যাকাউন্টগুলো ভুলে যাবেন না; আর প্রয়োজন নেই এমন অ্যাকাউন্ট বন্ধ বা মুছে দিতে আনুষ্ঠানিক সহায়তা বিভাগকে অনুরোধ করুন। গেমের ভেতরে উপহার বা বিনা মূল্যে সদস্যপদ দেওয়ার প্রতিশ্রুতি দিলেও কাউকে পাসওয়ার্ড না দিতে এবং সন্দেহজনক বার্তা বড়দের দেখাতে শিশুদের শেখানো উচিত। সেবা পরিচালনাকারীদের জন্য প্যারামিটারযুক্ত কুয়েরি, আধুনিক পাসওয়ার্ড হ্যাশিং, নিয়মিত পেনিট্রেশন টেস্টিং, প্রয়োজনের বেশি তথ্য সংগ্রহ ও সংরক্ষণ না করা এবং ঘটনা সম্পর্কে স্পষ্টভাবে তথ্য জানানো দীর্ঘমেয়াদি সুরক্ষা দেয়।

এই Webkinz রেকর্ডে কোনো যাচাইকৃত ইমেইল ঠিকানা নেই বলে, শুধু ইমেইল দিয়ে LeakData-তে অনুসন্ধান করলে Webkinz-এর কোনো মিল নাও দেখা যেতে পারে। কোনো ফলাফল না পাওয়া মানেই যে 2020 সালের আগে ব্যবহার করা অ্যাকাউন্টটি ব্যবহারকারীর নাম ও পাসওয়ার্ডের ফাইলে ছিল না, তা নয়। সবচেয়ে নিরাপদ যাচাই হলো, সে সময় আপনার অ্যাকাউন্ট ছিল কি না এবং সেটির পুরোনো পাসওয়ার্ড এখনো অন্য কোনো সেবায় ব্যবহার হচ্ছে কি না, তা নির্ধারণ করা। অনুসন্ধান ফর্ম, ফোরাম বা তৃতীয় পক্ষের সাইটে কখনো পাসওয়ার্ডটি লিখবেন না। আপনার Webkinz অ্যাকাউন্ট থাকলে পাসওয়ার্ড রিসেট ও সহায়তা পাওয়ার আনুষ্ঠানিক পদ্ধতি ব্যবহার করুন। এরপর পুরোনো পাসওয়ার্ড ব্যবহার করা অন্য প্রতিটি অ্যাকাউন্টকে আলাদা, স্বতন্ত্র পাসওয়ার্ড দিয়ে সুরক্ষিত করুন।