YouNow: তথ্য ফাঁস

যাচাই করে নিশ্চিত হওয়া তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, নাম, ব্যবহারকারীর নাম এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক। বিক্রির বিজ্ঞাপনে ডেটাবেসে প্রায় 4 কোটি অ্যাকাউন্ট-সংক্রান্ত সারির কথা বলা হয়েছিল, কিন্তু নির্ভরযোগ্য সূচিতে শনাক্ত হয়েছিল 1,82,41,518টি স্বতন্ত্র ইমেইল ঠিকানা। অনেক সারিতে ইমেইল ঠিকানা ছিল না। তাই সংখ্যা দুটি ভিন্ন ধরনের গণনার ফল; এগুলো যোগ করা যাবে না এবং 4 কোটি স্বতন্ত্র ব্যক্তি হিসেবে উপস্থাপন করা উচিত নয়। YouNow সামাজিক যোগাযোগমাধ্যমের সেবাদাতাদের মাধ্যমে ব্যবহারকারীদের পরিচয় যাচাই করত এবং জানিয়েছিল যে এই ঘটনার ডেটাসেটে কোনো পাসওয়ার্ড ছিল না। সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক দিয়ে কোনো ব্যক্তির YouNow পরিচিতির সঙ্গে অন্য প্ল্যাটফর্মে তাঁর উপস্থিতির যোগসূত্র তৈরি করা যায়। অন্যদিকে, নাম ও ব্যবহারকারীর নাম কাজে লাগিয়ে নির্দিষ্ট ব্যক্তির পরিচয় নকল করা সম্ভব। ইমেইল ঠিকানা ফিশিং ও অ্যাকাউন্ট খুঁজে বের করার কাজে ব্যবহার করা যায়, আর IP ঠিকানা থেকে আনুমানিক অঞ্চল ও সংযোগ-সংক্রান্ত ধারণা পাওয়া যেতে পারে। সামাজিক যোগাযোগমাধ্যমের সেবাদাতার পাসওয়ার্ড, অ্যাক্সেস টোকেন, ব্যক্তিগত বার্তা, পেমেন্টের তথ্য এবং সম্প্রচারের কনটেন্ট এখানে যাচাই করা তথ্যের ধরনের মধ্যে নেই; এগুলো যোগ করলে তা উপলব্ধ প্রমাণের সীমা ছাড়িয়ে যাবে।

14 ফেব্রুয়ারি 2019 তারিখে অন্যান্য বড় ডেটাবেসের বিজ্ঞাপনের সঙ্গে YouNow-সংশ্লিষ্ট অ্যাকাউন্টের তথ্যও বিক্রির জন্য প্রকাশ করা হয়। এই নথির 15 ফেব্রুয়ারি তারিখটি ক্যাটালগের একটি নির্দেশক তারিখ; প্রমাণ থেকে তথ্য বের করে নেওয়ার দিনটি নির্ধারণ করা যায় না। বিজ্ঞাপনে 4 কোটি সারির দাবি করা হয়েছিল, কিন্তু ইমেইলবিহীন রেকর্ড থাকায় যাচাই করা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা ছিল কম। একাধিক সাইটে ডেটাবেসের একই ধরনের দুর্বলতা থাকার সম্ভাবনার কথা বলা হয়েছিল। তবে YouNow-এর ক্ষেত্রে PostgreSQL-এর কোনো ত্রুটি, অ্যাপ্লিকেশনের কোনো বাগ বা কনফিগারেশনের কোনো ভুল প্রমাণিত হয়নি। কীভাবে তথ্যভান্ডারে প্রবেশ করা হয়েছিল, তা অনুমান করা উচিত নয়। “ডেটাবেস ফাঁস” কথাটি বোঝায় যে বিপুল পরিমাণ অ্যাকাউন্টের তথ্য ডেটাবেস আকারে বিতরণ করা হয়েছিল; সামাজিক যোগাযোগমাধ্যমের মাধ্যমে সাইন-ইন করার অর্থ এই নয় যে কোনো পরিচয় যাচাইকারী সেবাদাতার নিরাপত্তা ভেঙে তথ্য ফাঁস হয়েছে। পাসওয়ার্ড না থাকলেই তথ্যগুলো ক্ষতিহীন হয়ে যায় না, তবে এই ঘটনাকে পাসওয়ার্ড ফাঁস হিসেবে বর্ণনা করা যাবে না।

যাঁরা 2019 সালের ফেব্রুয়ারির আগে YouNow ব্যবহার করেছেন এবং একটি ইমেইল ঠিকানা, নাম, ব্যবহারকারীর নাম বা সামাজিক যোগাযোগমাধ্যমের প্রোফাইল যুক্ত করেছিলেন, তাঁরাই প্রধান ঝুঁকিতে আছেন। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম ব্যবহার করলে প্রোফাইলগুলোর মধ্যে যোগসূত্র খুঁজে পাওয়া এবং পরিচয় নকল করে কোনো ব্যক্তিকে লক্ষ্য করা সহজ হয়। ইমেইল ঠিকানা ব্যবহার করে ভুয়া নিরাপত্তা সতর্কতা, সম্প্রচারের আমন্ত্রণ, কপিরাইট নোটিশ, যাচাই বা অ্যাকাউন্ট পুনরুদ্ধারের বার্তা পাঠানো যেতে পারে। IP ঠিকানা বাসার ঠিকানা নয়। তবে আনুমানিক অবস্থান, সেবাদাতা বা সংযোগের সময়কাল-সংক্রান্ত তথ্য কোনো বার্তাকে বিশ্বাসযোগ্য করে তুলতে পারে। যেহেতু কোনো পাসওয়ার্ড নেই, তাই তথ্যের মিল পাওয়া থেকে প্রমাণ হয় না যে কোনো আক্রমণকারী সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে সাইন-ইন করতে বা YouNow অ্যাকাউন্টের নিয়ন্ত্রণ নিতে পারত। সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক থাকা মানেও অ্যাক্সেস টোকেন ফাঁস হওয়া নয়। তথ্য ফাঁস, বিভিন্ন প্ল্যাটফর্মে পরিচিতির মধ্যে যোগসূত্র তৈরি, ফিশিং এবং অ্যাকাউন্টের নিশ্চিত অপব্যবহার, এগুলো আলাদা ঝুঁকি।

মিল পাওয়া গেলে, YouNow-এর জন্য ব্যবহৃত সামাজিক যোগাযোগমাধ্যমের সেবাদাতার অ্যাকাউন্ট সুরক্ষিত করুন এবং সংশ্লিষ্ট ইমেইল অ্যাকাউন্টও সুরক্ষিত করুন। মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করুন, অপরিচিত সেশন বন্ধ করুন এবং আর ব্যবহার করেন না এমন সংযুক্ত অ্যাপ সরিয়ে দিন। YouNow বা সামাজিক যোগাযোগমাধ্যমের সহায়তা বিভাগের বার্তা বলে মনে হলে প্রকৃত প্রেরকের ডোমেইন ও লিংকের গন্তব্য পরীক্ষা করুন। বার্তা থেকে সাইন-ইন না করে অ্যাপ খুলুন বা নিজে ঠিকানা লিখুন। যেহেতু পাসওয়ার্ড ফাঁস হওয়া যাচাই করা হয়নি, শুধু এই নথির ভিত্তিতে ধরে নেবেন না যে আপনার সামাজিক যোগাযোগমাধ্যমের সেবাদাতার পাসওয়ার্ড ফাঁস হয়েছে। তবুও একাধিক জায়গায় ব্যবহার করা পাসওয়ার্ডের বদলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড দিন, কারণ সেগুলো অন্য কোনো ঘটনায় ফাঁস হয়ে থাকতে পারে। কারও পরিচয় নকল করে তৈরি করা প্রোফাইল, অননুমোদিত সম্প্রচার, অপরিচিত অ্যাপ বা অ্যাকাউন্ট পুনরুদ্ধারের তথ্যে অপ্রত্যাশিত পরিবর্তন দেখতে পেলে প্রমাণ সংরক্ষণ করুন, সেশন বন্ধ করুন এবং আনুষ্ঠানিক সহায়তা ব্যবস্থার মাধ্যমে জানান।

সামাজিক যোগাযোগমাধ্যমের মাধ্যমে সাইন-ইন করা সুবিধাজনক, তবে একটি সেবাদাতার অ্যাকাউন্ট অনেক অ্যাকাউন্টে প্রবেশের পথ হয়ে উঠতে পারে। প্রধান ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করুন, সেগুলো পাসওয়ার্ড ম্যানেজারে রাখুন এবং অ্যাপ বা হার্ডওয়্যার কী দিয়ে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন। সংযুক্ত অ্যাপের অনুমতিগুলো নিয়মিত পর্যালোচনা করুন, অব্যবহৃত সেবা সরিয়ে দিন এবং কোনো অ্যাপের প্রয়োজন না হলে তাকে প্রোফাইলে প্রবেশের অনুমতি দেবেন না। বিভিন্ন প্ল্যাটফর্মে একই ব্যবহারকারীর নাম থাকলে পরিচিতিগুলোর মধ্যে যোগসূত্র বের করা সহজ হয়। তাই প্রকাশ্যে সম্প্রচারের জন্য ব্যবহৃত পরিচিতি এবং ব্যক্তিগত অ্যাকাউন্টগুলোর জন্য আলাদা ব্যবহারকারীর নাম বা ইমেইল অ্যালিয়াস ব্যবহারের কথা বিবেচনা করুন। প্রোফাইলে অপ্রয়োজনীয় অবস্থান, যোগাযোগের তথ্য এবং অন্য সামাজিক যোগাযোগমাধ্যমের লিংক কমিয়ে দিন। শুধু অ্যাপ মুছে অ্যাকাউন্ট ফেলে রাখবেন না; অ্যাকাউন্ট বন্ধ করা ও তথ্য মুছে ফেলার বিকল্পগুলো ব্যবহার করুন। ইমেইলের লিংকের মাধ্যমে না গিয়ে সেবাটির ভেতরে নিরাপত্তা নোটিশের সত্যতা নিশ্চিত করুন এবং আপনার তথ্য ফাঁস হয়েছে কি না তা নিয়মিত যাচাই করতে থাকুন।

ইমেইল ঠিকানার মিল পাওয়ার অর্থ হলো, সেটি YouNow-সংশ্লিষ্ট 1,82,41,518টি স্বতন্ত্র ঠিকানার ডেটাসেটে ছিল। এতে প্রমাণ হয় না যে দাবিকৃত 4 কোটি সারি স্বতন্ত্র ব্যবহারকারীর ছিল, অ্যাকাউন্টটি এখনো চালু আছে, কোনো পাসওয়ার্ড দেখা গিয়েছিল বা কোনো সামাজিক যোগাযোগমাধ্যমের সেবাদাতার নিরাপত্তা ভঙ্গ হয়েছিল। মিল পাওয়া গেলে সাইন-ইনের জন্য ব্যবহৃত সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টের সেশন, সংযুক্ত অ্যাপ এবং অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস পর্যালোচনা করুন। আপনার ইমেইল ঠিকানা বা ব্যবহারকারীর নাম লক্ষ্য করে পাঠানো ভুয়া YouNow নোটিশের দিকেও খেয়াল রাখুন। মিল না পাওয়া সম্পূর্ণ নিরাপত্তার নিশ্চয়তা নয়, কারণ আপনি অন্য কোনো ইমেইল ব্যবহার করে থাকতে পারেন, শুধু ইমেইলবিহীন কোনো সারিতে আপনার তথ্য থাকতে পারে অথবা আপনি অন্য কোনো ঘটনার শিকার হয়ে থাকতে পারেন। যাচাইয়ের সেবাগুলো শুধু সূচিভুক্ত ডেটাসেটের তথ্য পরীক্ষা করে। পাসওয়ার্ড ছিল না (এই তথ্যটি অক্ষুণ্ণ রাখুন এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংককে অ্যাক্সেস টোকেন হিসেবে বর্ণনা করবেন না। সন্দেহজনক বার্তার ক্ষেত্রে প্রেরকের ডোমেইন, লিংকের গন্তব্য, দ্রুত পদক্ষেপ নেওয়ার চাপ এবং পাসওয়ার্ড বা যাচাইকরণ কোড চাওয়া হচ্ছে কি না) এসব একসঙ্গে মূল্যায়ন করুন।