XKCD: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। IP ঠিকানা ও ব্যবহারকারীর নামের মাধ্যমে প্রযুক্তিবিষয়ক কোনো কমিউনিটির অ্যাকাউন্টকে অন্য অনলাইন পরিচয়ের সঙ্গে যুক্ত করা সম্ভব। এই তথ্যগুলো একসঙ্গে থাকলে আক্রমণকারীদের জন্য ভুয়া অ্যাকাউন্ট রিপোর্ট তৈরি, প্রতারণা, বিভিন্ন পরিচয়ের মধ্যে যোগসূত্র খোঁজা বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টা চালানো সহজ হতে পারে।

পাসওয়ার্ডগুলো MD5 phpBB3 ফরম্যাটে রয়েছে বলে বোঝা যায়; তাই যাঁরা একই পাসওয়ার্ড বারবার ব্যবহার করেন, তাঁদের ঝুঁকি বেশি। পাসওয়ার্ড না থাকলেও ঝুঁকি পুরোপুরি দূর হয় না; ঠিকানা, ফোন নম্বর, জন্মতারিখ, ডিভাইসের তথ্য, পেশাগত প্রোফাইল, লয়্যালটি প্রোগ্রাম, ওয়েবে কার্যক্রম বা কেনাকাটার তথ্যও ব্যবহারকারীকে লক্ষ্যবস্তু করার জন্য যথেষ্ট হতে পারে। পাসওয়ার্ড থাকলে, অন্য কোনো সেবায় একই পাসওয়ার্ড ব্যবহার করা হয়েছে কি না, তা জরুরি ভিত্তিতে যাচাই করা উচিত।

এই রেকর্ডে xkcd.com ডোমেইন নামের সঙ্গে যুক্ত ফোরামের প্রায় 562 হাজার সাবস্ক্রাইবার অন্তর্ভুক্ত রয়েছে। ঘটনাটি যাচাইকৃত রেকর্ডের শ্রেণিতে পড়ে। ডোমেইন নাম, কোম্পানির প্রেক্ষাপট, দেশ, খাত, অ্যাকাউন্টের সংখ্যা ও তথ্যের ধরন তুলনা করে এর পরিসর নির্ধারণ করা হয়েছে। ব্যবহারকারীকে শুধু রেকর্ডে তালিকাভুক্ত তথ্যের ক্ষেত্রগুলোই দেখানো হয়।

খাতের শ্রেণিবিন্যাস সংশোধন করে খুচরা বিক্রয়ের বদলে ওয়েবকমিক ও ফোরাম কমিউনিটি করা হয়েছে। কিছু ক্ষেত্রে কোম্পানির পরিচয় যাচাইয়ের সুযোগ সীমিত থাকতে পারে, অথবা তথ্যসমষ্টি তৃতীয় পক্ষের পরিবেশে বিতরণ করা হয়ে থাকতে পারে। এ ক্ষেত্রে অনিশ্চিত বিষয়গুলোকে বাড়িয়ে না বলে, ব্যবহারকারীর প্রকৃত ঝুঁকি বোঝায় এমন বিষয়গুলোতেই বিবরণটি গুরুত্ব দেয়।

XKCD ফোরামের ব্যবহারকারী, প্রযুক্তিবিষয়ক কমিউনিটিগুলোতে একই ব্যবহারকারীর নাম ব্যবহারকারী ব্যক্তি এবং একই পাসওয়ার্ড পুনর্ব্যবহার করা অ্যাকাউন্টগুলো ঝুঁকিতে রয়েছে। এই ব্যবহারকারীদের প্রধান ঝুঁকি হলো, ফাঁস হওয়া ডোমেইনগুলোকে অন্য প্ল্যাটফর্মে ব্যবহৃত অভিন্ন তথ্যের সঙ্গে মিলিয়ে দেখা। একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম, ঠিকানা, সামাজিক প্রোফাইল বা পাসওয়ার্ড বিভিন্ন অ্যাকাউন্টে পুনর্ব্যবহার করা হলে আক্রমণের সুযোগ বাড়ে।

প্রযুক্তিবিষয়ক ফোরামের প্রেক্ষাপট ব্যবহার করে ভুয়া ব্যক্তিগত বার্তা, অ্যাকাউন্ট যাচাইয়ের বার্তা বা কমিউনিটির বিজ্ঞপ্তি পাঠানো হতে পারে। গেমিং, খুচরা বিক্রয়, অর্থপ্রদান, সামাজিক প্রোফাইল, ভ্রমণ, বিনিয়োগ, বিমান সংস্থা এবং স্বাস্থ্য ও সুস্থতার প্রেক্ষাপট ভিন্ন ভিন্ন ঝুঁকি তৈরি করে। ব্যবহারকারীর শুধু ডোমেইনের তালিকা নয়, সেই ডোমেইনগুলো কোন অ্যাকাউন্ট বা সেবার সঙ্গে যুক্ত, তা-ও বিবেচনা করা উচিত।

ক্ষতিগ্রস্ত ব্যবহারকারীদের উচিত তাঁদের ফোরাম ও ইমেইল অ্যাকাউন্টে একই পাসওয়ার্ড পুনর্ব্যবহার করা হয়েছে কি না যাচাই করা এবং যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন, সেগুলোতে পাসওয়ার্ড পরিবর্তন করা। পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো তথ্যক্ষেত্র তালিকাভুক্ত থাকলে, একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টে তা পরিবর্তন করা, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। ইমেইল অ্যাকাউন্টও সুরক্ষিত রাখা উচিত।

ঠিকানা, ফোন নম্বর, জন্মতারিখ, ডিভাইস, ব্যবসায়িক প্রোফাইল, কেনাকাটা বা লয়্যালটি প্রোগ্রামের মতো তথ্যক্ষেত্র থাকলে, ব্যবহারকারীদের উচিত অ্যাকাউন্ট পুনরুদ্ধারের বিকল্প, সেশনের ইতিহাস, ফরওয়ার্ডিংয়ের নিয়ম ও সন্দেহজনক বার্তা পরীক্ষা করা। আর্থিক সেবা, অর্থপ্রদান বা বিমান সংস্থার সূত্রে আসা যাচাই ও নথি চাওয়ার অনুরোধ অন্য একটি যোগাযোগমাধ্যম দিয়ে নিশ্চিত করা উচিত।

ফোরাম অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং IP ঠিকানা দৃশ্যমান হওয়ার সুযোগ কমায় এমন নিরাপদ সংযোগ ব্যবহারের অভ্যাস গুরুত্বপূর্ণ। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক প্রমাণীকরণ, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলের অপ্রয়োজনীয় তথ্য মুছে ফেলা হলো মৌলিক সুরক্ষা ব্যবস্থা। স্থায়ী ব্যক্তিগত তথ্য ফিরিয়ে নেওয়া যায় না বলে ব্যবহারকারীর নিরাপত্তা-সংক্রান্ত অভ্যাস ও অ্যাকাউন্টের সেটিংস আরও শক্তিশালী করা উচিত।

প্রতিষ্ঠানের ক্ষেত্রে তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা, পুরোনো গ্রাহক রেকর্ড কত দিন রাখা হয়, ফোরাম ও কমিউনিটি অ্যাকাউন্টের অনুমতি, লয়্যালটি প্রোগ্রামের তথ্যক্ষেত্র এবং ঘটনা জানানোর প্রক্রিয়া নিয়মিত নিরীক্ষা করা উচিত। ব্যবহারকারীর ক্ষেত্রে, সব জায়গায় একই পরিচয়সংক্রান্ত তথ্য ব্যবহার না করা দীর্ঘস্থায়ীভাবে ঝুঁকি কমায়।

এই রেকর্ডের সঙ্গে আপনার তথ্য মিলে গেলে, আপনার XKCD ফোরাম অ্যাকাউন্ট এবং একই ব্যবহারকারীর নাম দিয়ে ব্যবহার করা অন্য ফোরামগুলো পরীক্ষা করা উচিত। মিল পাওয়া গেলে, কোন কোন তথ্যক্ষেত্র তালিকাভুক্ত রয়েছে তা পড়ে সে অনুযায়ী করণীয়ের অগ্রাধিকার ঠিক করুন। পাসওয়ার্ড থাকলে তা পরিবর্তন করা অগ্রাধিকার পাবে; ঠিকানা বা ফোন নম্বর থাকলে প্রতারণা-সংক্রান্ত সতর্কতা অগ্রাধিকার পাবে; আর্থিক বা অর্থপ্রদানের তথ্য থাকলে অ্যাকাউন্ট পর্যবেক্ষণ অগ্রাধিকার পাবে; সামাজিক প্রোফাইল থাকলে গোপনীয়তা নিয়ন্ত্রণ অগ্রাধিকার পাবে।

চূড়ান্ত মূল্যায়ন: IP ঠিকানা ও পাসওয়ার্ড থাকায় এই রেকর্ডটি ফোরাম অ্যাকাউন্ট-সংক্রান্ত একটি সংবেদনশীল ঘটনার বিবরণ। আপনার অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা উচিত; যেসব সেবায় আপনি একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম, ঠিকানা বা পাসওয়ার্ড ব্যবহার করেন, সেগুলো আলাদাভাবে পরীক্ষা করুন। ঘটনার পর যেকোনো সন্দেহজনক অনুসন্ধান, ইমেইল, বার্তা বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ বলে বিবেচনা করা উচিত।