Yam তথ্য ফাঁস

যাচাইকৃত ডেটাসেটে জন্মতারিখ, ইমেইল ঠিকানা, নাম, ব্যবহারকারীর নাম, ফোন নম্বর, ডাক ঠিকানা এবং সল্টবিহীন MD5 পাসওয়ার্ড হ্যাশ ছিল। পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় প্রকাশ করা হয়েছে বলে কোনো প্রমাণ নেই। তবে আধুনিক মানদণ্ড অনুযায়ী সল্টবিহীন MD5 একটি দ্রুত কিন্তু দুর্বল হ্যাশিং পদ্ধতি। 1,32,58,797 সংখ্যাটি স্বতন্ত্র ইমেইল ঠিকানার হিসাব। কিছু গৌণ তালিকায় আনুমানিক 16 মিলিয়ন রেকর্ডের কথা বলা হয়েছে, কিন্তু সেই মোট সংখ্যাকে স্বতন্ত্র অ্যাকাউন্টের সুস্পষ্ট হিসাব হিসেবে সংজ্ঞায়িত করা হয়নি এবং এখানে তা ব্যবহার করা হয়নি।

ঘটনাটি তাইওয়ানভিত্তিক ওয়েব পোর্টাল Yam.com-এর জুন 2013-এর ব্যবহারকারীর তথ্যের সঙ্গে সম্পর্কিত। কয়েক বছর পরে, 2021 সালে, একটি জনপ্রিয় হ্যাকিং ফোরামে ডেটাসেটটি প্রকাশিত হলে তা পরীক্ষা ও যাচাই করা হয়। 22 মে 2021 তারিখে এটি তথ্য ফাঁসের সর্বসাধারণের জন্য উন্মুক্ত তালিকাগুলোতে যুক্ত করা হয়। Yam তাইওয়ানের একটি দীর্ঘদিনের পোর্টাল, যা সার্চ, সংবাদ, ইমেইল, ব্লগ, ভিডিও ও কমিউনিটি সেবা দিয়ে এসেছে। তাই এই রেকর্ডকে একই ধরনের নামের কোনো যুক্তরাষ্ট্রভিত্তিক প্রতিষ্ঠানের ঘটনা হিসেবে চিহ্নিত করা বা শুধু একটি সামাজিক যোগাযোগমাধ্যম অ্যাপের ঘটনা হিসেবে বর্ণনা করা উচিত নয়। প্রাথমিকভাবে কীভাবে প্রবেশাধিকার পাওয়া হয়েছিল, কোন দুর্বলতা কাজে লাগানো হয়েছিল এবং কোন সার্ভার বা ব্যাকআপ থেকে তথ্য নেওয়া হয়েছিল, তা প্রকাশ করা হয়নি। ঘটনাটিকে ডেটাবেস ফাঁস হিসেবে শ্রেণিবদ্ধ করার অর্থ হলো ব্যবহারকারীদের ডেটাবেস একটি ফোরামে প্রকাশিত হয়েছিল; এতে কোনো নির্দিষ্ট প্রযুক্তিগত আক্রমণের পদ্ধতি দাবি করা হচ্ছে না। ঘটনার তারিখ ও তালিকাভুক্তির তারিখের মধ্যে আট বছরের ব্যবধান থাকার অর্থ এই নয় যে তথ্য ফাঁসটি 2021 সালে ঘটেছিল।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা 2013 সালের কাছাকাছি সময়ে Yam-এর পোর্টাল, ইমেইল, ব্লগ বা কমিউনিটি সেবায় অ্যাকাউন্ট খুলেছিলেন এবং অন্য সেবাতেও একই পাসওয়ার্ড ব্যবহার করেছিলেন। পুরোনো অ্যাকাউন্টের কথা ভুলে গেলে বা সেবাটি আর ব্যবহার না করলেও ঝুঁকি থেকে যেতে পারে, কারণ ইমেইল ঠিকানা, জন্মতারিখ, ফোন নম্বর ও ডাক ঠিকানা আপনা-আপনি বদলে যায় না। সল্টবিহীন MD5 হ্যাশ থেকে অফলাইনে পাসওয়ার্ড উদ্ধার করার ঝুঁকি বেশি, বিশেষ করে ছোট ও প্রচলিত পাসওয়ার্ডের ক্ষেত্রে। ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে আক্রমণকারীরা অন্য সেবার পাসওয়ার্ড রিসেট করার লিংক পেতে পারে। ঠিকানা ও জন্মতারিখের তথ্য অপরাধীদের কোনো ব্যাংক বা টেলিকম সেবাদাতার ব্যবহৃত দুর্বল পরিচয় যাচাইয়ের প্রশ্নের উত্তর দিতে সাহায্য করতে পারে। যাঁদের ফোন নম্বর এই তথ্যে রয়েছে, তাঁদের সহায়তা, পণ্য সরবরাহ ও অ্যাকাউন্টের নিরাপত্তার নামে আসা ভুয়া কল সম্পর্কে সতর্ক থাকা উচিত। মিল পাওয়ার অর্থ এই নয় যে পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট বা সরকারি পরিচয় নম্বর ফাঁস হয়েছে; যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে এসব নেই।

2013 সালের কাছাকাছি সময়ে Yam-এ ব্যবহার করা পাসওয়ার্ডটি আপনার মনে থাকলে, কোন কোন অ্যাকাউন্টে এখনো একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করছেন, তা চিহ্নিত করুন। ইমেইল, ব্যাংকিং, টেলিকম ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট দিয়ে শুরু করে প্রতিটি সেবার জন্য একটি দীর্ঘ স্বতন্ত্র পাসওয়ার্ড তৈরি করুন; একটি বিশ্বস্ত পাসওয়ার্ড ম্যানেজার একই পাসওয়ার্ডের পুনর্ব্যবহার কমাতে সাহায্য করে। যেখানে সুযোগ আছে, অ্যাপ বা নিরাপত্তা কীভিত্তিক দুই ধাপে যাচাইকরণ চালু করুন এবং আপনি চিনতে পারছেন না এমন সক্রিয় সেশনগুলো বন্ধ করুন। ইমেইল অ্যাকাউন্টে অ্যাকাউন্ট পুনরুদ্ধারের ফোন নম্বর, বিকল্প ইমেইল ঠিকানা, ফরওয়ার্ডিংয়ের নিয়ম এবং সংযুক্ত অ্যাপগুলো পর্যালোচনা করুন। কেউ পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড বা অর্থ চেয়ে নিজেকে Yam বা অন্য কোনো প্রতিষ্ঠানের প্রতিনিধি বলে দাবি করলে, তিনি আপনার পুরোনো ঠিকানা, জন্মতারিখ বা ফোন নম্বর জানেন বলেই তাঁকে বিশ্বাস করবেন না। কোনো বার্তার লিংকে না গিয়ে প্রতিষ্ঠানের পরিচিত ওয়েব ঠিকানা নিজে টাইপ করুন। ব্যর্থ সাইন-ইন, অপ্রত্যাশিত পাসওয়ার্ড রিসেট বা নতুন ডিভাইসের সতর্কবার্তা দেখা গেলে সংশ্লিষ্ট পাসওয়ার্ড অবিলম্বে বদলান এবং সেশনের ইতিহাস পরীক্ষা করুন। সন্দেহজনক কল ও বার্তার তারিখ, নম্বর এবং প্রেরকের বিবরণ সংরক্ষণ করুন।

পাসওয়ার্ডের মতো জন্মতারিখ ও পুরোনো ঠিকানা সহজে বদলানো যায় না, তাই প্রথম কয়েক সপ্তাহ পার হয়ে গেলেও সুরক্ষার ব্যবস্থা চালিয়ে যাওয়া উচিত। পাসওয়ার্ড ম্যানেজারের নিরাপত্তা প্রতিবেদন ব্যবহার করে পুনর্ব্যবহৃত, দুর্বল বা আগে ফাঁস হওয়া পাসওয়ার্ডগুলো নিয়মিত বদলান। ইমেইল অ্যাকাউন্টকে আপনার ডিজিটাল পরিচয়ের কেন্দ্র হিসেবে বিবেচনা করুন এবং শক্তিশালী পাসওয়ার্ড, দুই ধাপে যাচাইকরণ ও হালনাগাদ পুনরুদ্ধার ব্যবস্থা দিয়ে সুরক্ষিত রাখুন। জন্মস্থান, স্কুল বা পারিবারিক নামভিত্তিক নিরাপত্তা প্রশ্নের সঠিক উত্তর দেওয়া এড়িয়ে চলুন; সেবাটিতে সুযোগ থাকলে এলোমেলো উত্তর তৈরি করুন। একাধিক প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে মনে রাখবেন, আক্রমণকারীরা সেই অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র খুঁজে বের করতে পারে এবং ফিশিংকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। পুরোনো ফোন নম্বর বা ঠিকানা উল্লেখ করা বার্তার ব্যাপারে সতর্ক থাকুন, কারণ অপরাধীরা অতীতে সম্পর্ক ছিল বলে দাবি করার প্রমাণ হিসেবে পুরোনো তথ্য ব্যবহার করতে পারে। অব্যবহৃত অ্যাকাউন্ট বন্ধ করার আগে প্রোফাইলের তথ্য মুছে ফেলুন, সংযুক্ত অ্যাপগুলোর সংযোগ বিচ্ছিন্ন করুন এবং সক্রিয় সেশনগুলো বন্ধ করুন। Yam-এর আরেকটি ডেটাসেট প্রকাশিত হলে সেটির তারিখ, তথ্যের ধরন ও স্বতন্ত্র অ্যাকাউন্টের সংখ্যা তুলনা করে দেখুন, এটি নতুন কোনো ঘটনা, নাকি 2013 সালের তথ্যের আরেকটি অনুলিপি।

2013 সালের কাছাকাছি সময়ে Yam-এ ব্যবহার করা ইমেইল ঠিকানা দিয়ে LeakData.io-তে অনুসন্ধান করুন এবং দেখুন এই রেকর্ডের সঙ্গে মিল পাওয়া যায় কি না। মিল পাওয়া গেলে বোঝা যায়, ঠিকানাটি যাচাইকৃত ডেটাসেটে রয়েছে; এর অর্থ এই নয় যে ওই ব্যক্তির রেকর্ডে তালিকাভুক্ত সাত ধরনের তথ্যই সম্পূর্ণ ছিল। অনুসন্ধানে কোনো ফলাফল না পেলেও, তা প্রমাণ করে না যে অন্য কোনো ঠিকানা দিয়ে খোলা অ্যাকাউন্ট নেই। তাই পুরোনো ব্যক্তিগত ও কর্মস্থলের ইমেইল ঠিকানাগুলো আলাদাভাবে পরীক্ষা করুন। অনুসন্ধানের ফলাফলের জবাবে কখনো পাসওয়ার্ড, পাসওয়ার্ড হ্যাশ, একবার ব্যবহারযোগ্য কোড, পেমেন্টের তথ্য বা পরিচয়পত্র দেবেন না। মিল পাওয়া গেলে প্রথমে পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করুন, ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন এবং দুই ধাপে যাচাইকরণ চালু করুন। Yam-এর তথ্য ফাঁসের নতুন পরিসংখ্যান পর্যালোচনা করার সময় প্রতিষ্ঠিত 1,32,58,797টি স্বতন্ত্র ইমেইল ঠিকানার সংখ্যাকে মোট সারির সংখ্যা বা আনুমানিক 16 মিলিয়নের অযাচাইকৃত দাবির সঙ্গে একই ধরনের হিসাব ধরে তুলনা করবেন না। জুন 2013-এর ঘটনাকে 2021 সালে ফোরামে প্রকাশের ঘটনা থেকে আলাদা রাখলেও ঝুঁকির সঠিক সময়রেখা বজায় থাকে।