YS Health: তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাইয়ের মূল্যায়নে 2018 সালের আগস্টের প্রেক্ষাপটে yshealth.com ডোমেইনটি যাচাই করা হয়। একই ঘটনায় 11,626টি রেকর্ড এবং ইমেইল ঠিকানা ও প্লেইন টেক্সট পাসওয়ার্ডের ক্ষেত্র থাকার পক্ষে প্রমাণ পাওয়া যায়। পুরোনো ফোরাম, খেলাধুলার আর্কাইভ, গেমিং কমিউনিটি, স্বাস্থ্যপণ্যের দোকান এবং বিশেষ আগ্রহভিত্তিক কমিউনিটিতে নিবন্ধনের ক্ষেত্রে এই পদ্ধতি বিশেষ গুরুত্বপূর্ণ। কারণ, কাছাকাছি নামের সাইট, বন্ধ হয়ে যাওয়া ডোমেইন বা অন্য সাইটে পাঠিয়ে দেওয়া ডোমেইনকে একই ঘটনার অংশ বলে মনে হতে পারে। YS Health-এর নথি তৈরির সময় নাম, ডোমেইন নাম, রেকর্ডের সংখ্যা, ঘটনার সময় এবং ডেটার শ্রেণি একসঙ্গে মূল্যায়ন করা হয়েছে।

পাসওয়ার্ড প্লেইন টেক্সটে সংরক্ষিত থাকার পক্ষে প্রমাণ থাকায়, একই পাসওয়ার্ড অন্যত্র ব্যবহার করা হলে অ্যাকাউন্ট দখলের ঝুঁকি সরাসরি ও উচ্চমাত্রার। স্বাস্থ্যপণ্য কেনাকাটার এই প্রেক্ষাপটে ইমেইল ঠিকানা নির্দিষ্ট ব্যক্তিদের লক্ষ্য করে প্রচারণা, প্রতারণামূলক অর্ডার এবং পুনর্ব্যবহৃত পাসওয়ার্ড দিয়ে আক্রমণে ব্যবহার করা যেতে পারে। তাই এই নথিতে শুধু ঘটনার নাম তালিকাভুক্ত করা হয়নি; কোন পাসওয়ার্ড বদলাতে হবে, কোন অ্যাকাউন্ট পরীক্ষা করতে হবে এবং কোন সন্দেহজনক বার্তার দিকে খেয়াল রাখতে হবে, তা বুঝতে ব্যবহারকারীকে সহায়তা করার জন্য বিস্তারিত লেখা হয়েছে।

এই ঘটনায় দেখানো ডেটার শ্রেণি ইমেইল ঠিকানা ও পাসওয়ার্ডের মধ্যেই সীমিত। কেনাকাটার ইতিহাস, স্বাস্থ্যের অবস্থা, পেমেন্ট কার্ড, ঠিকানা বা ফোনের তথ্য যোগ করা হয়নি, কারণ সেগুলোর পক্ষে সরাসরি প্রমাণ নেই। এই সীমা সচেতনভাবে রাখা হয়েছে: ডেটা ফাঁসের নথিতে অতিরিক্ত বিস্তৃত পরিসর দেখালে ব্যবহারকারীরা ভুল করে কোনো অ্যাকাউন্টকে ঝুঁকিপূর্ণ মনে করতে পারেন, অথবা সত্যিই ঝুঁকিতে থাকা পাসওয়ার্ডগুলো নজর এড়িয়ে যেতে পারে।

yshealth.com ডোমেইন বা এর সঙ্গে যুক্ত বর্তমান ওয়েবসাইটে প্রবেশ করা যায় বলে সক্রিয় ব্র্যান্ডের প্রেক্ষাপট অক্ষুণ্ণ রেখে নথিটি রাখা হয়েছে। ওয়েবসাইটের বর্তমান অবস্থা ঘটনাটি ঘটার সময়কার নিরাপত্তাগত প্রভাব দূর করে না। পুরোনো ডোমেইন আজ অন্য পৃষ্ঠায় পাঠিয়ে দিলেও, ব্যবহারহীন অবস্থায় সংরক্ষিত বলে মনে হলেও বা সেবাটি বদলে গেলেও, একই পাসওয়ার্ড পুনর্ব্যবহারের কারণে ফাঁস হওয়া লগইন তথ্য বহু বছর পরও স্বয়ংক্রিয়ভাবে বারবার প্রবেশের চেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীর প্রথমে দেখা উচিত, YS Health-এর সঙ্গে যুক্ত ইমেইল ঠিকানাটি অন্য সেবাতেও ব্যবহার করা হয়েছে কি না। একই ইমেইল ও পাসওয়ার্ডের জোড়া অন্য সাইটেও ব্যবহার করা হলে ঝুঁকি শুধু একটি অ্যাকাউন্টে সীমাবদ্ধ থাকে না। বিশেষ করে ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেম, ফোরাম, চাকরির আবেদন ও প্রতিষ্ঠানের পোর্টালের অ্যাকাউন্টে একই পাসওয়ার্ড থাকলে একের পর এক অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে।

নিশ্চিত করুন, কেনাকাটার অ্যাকাউন্টের পাসওয়ার্ডটি প্রধান ইমেইল, পেমেন্ট সেবা বা অন্য খুচরা বিক্রয়সাইটে ব্যবহার করা হয়নি। পাসওয়ার্ড বদলানোর সময় সামান্য পরিবর্তন করাই যথেষ্ট নয়; যেমন, পুরোনো পাসওয়ার্ডের শেষে সাল, বিস্ময়চিহ্ন বা সাইটের নাম যোগ করলে স্বয়ংক্রিয় আক্রমণের সরঞ্জাম সহজেই সেই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করতে পারে। সবচেয়ে ভালো পদ্ধতি হলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা, যেখানে সম্ভব মাল্টি-ফ্যাক্টর অথেনটিকেশন (একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই) চালু করা এবং পুরোনো পুনরুদ্ধার ইমেইল ঠিকানাগুলো পর্যালোচনা করা।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে, স্বাস্থ্যপণ্য ও খাদ্য-পরিপূরক বিক্রির ই-কমার্স সাইটে নিবন্ধন, পাসওয়ার্ড সংরক্ষণ, সেশন ব্যবস্থাপনা এবং পুরোনো গ্রাহক অ্যাকাউন্টে বাধ্যতামূলক পাসওয়ার্ড রিসেটের যাচাইব্যবস্থা প্রয়োগ করা উচিত। ডেটা ফাঁসের প্রভাব শুধু ব্যবহারকারীদের তথ্যের টেবিল ফাঁস হওয়ার মধ্যেই শেষ হয় না; একই পাসওয়ার্ড VPN, প্রশাসনিক প্যানেল, গ্রাহক পোর্টাল, CMS, ক্লাউড স্টোরেজ বা ইমেইল অ্যাকাউন্টে ব্যবহার করা হলে ঘটনাটি ল্যাটারাল মুভমেন্ট ও অননুমোদিত প্রবেশের ঝুঁকিতে রূপ নিতে পারে।

YS Health-এর ঝুঁকি মূল্যায়নের সময় পাসওয়ার্ড সংরক্ষণের ধরনও বিবেচনা করা হয়েছে: প্লেইন টেক্সট পাসওয়ার্ড। প্লেইন টেক্সট পাসওয়ার্ড বাস্তব ব্যবহারে সর্বোচ্চ ঝুঁকি তৈরি করে, কারণ এগুলো সরাসরি ব্যবহার করা যায়। MD5, পুরোনো ফোরাম সফটওয়্যারের হ্যাশ বা সল্টের তথ্য থাকা টেবিল প্লেইন টেক্সট না হলেও আধুনিক হার্ডওয়্যার দিয়ে পরীক্ষা করা যায়। তাই শুধু পাসওয়ার্ড হ্যাশ করা হয়েছে বলেই ব্যবহারকারীর জন্য তা নিরাপদ ধরে নেওয়া উচিত নয়।

YS Health-এর ডেটা ফাঁস, স্বাস্থ্যপণ্যের সাইটে পাসওয়ার্ড ফাঁস, ই-কমার্স অ্যাকাউন্টের নিরাপত্তা এবং প্লেইন টেক্সট পাসওয়ার্ডের ঝুঁকির মতো বিভিন্ন নামের মাধ্যমে ঘটনার পরিসর বোঝার উপযোগী করে এই নথি সম্পাদনা করা হয়েছে। উদ্দেশ্য হলো, YS Health-এর ডেটা ফাঁসে প্রভাবিত যে কেউ যেন স্পষ্টভাবে বুঝতে পারেন কী ঘটেছিল, কোন ধরনের ডেটা যাচাই করা হয়েছে, কোন ক্ষেত্রগুলো বাদ দেওয়া হয়েছে এবং কী নিরাপত্তামূলক পদক্ষেপ নেওয়া দরকার ছিল।

ভুল শনাক্তকরণ কমাতে কাছাকাছি নামগুলো আলাদা রাখা হয়েছে। yshealth.com-এর সঙ্গে সম্পর্কহীন সাধারণ সংগ্রহ, অন্য ব্র্যান্ডের কাছাকাছি নামের ডেটাবেস বা শুধু এক লাইনের দাবিতে সীমাবদ্ধ রেকর্ড এই ঘটনার সঙ্গে একীভূত করা হয়নি। এই পার্থক্য একই ফাঁসের ঘটনা একাধিকবার নথিভুক্ত হওয়া ঠেকায় এবং তালিকায় ব্যবহারকারী যেন সত্যিই প্রাসঙ্গিক ডোমেইন নামটি পান, তা নিশ্চিত করে।

ঘটনাটি যে অতীতের, সেটিও গুরুত্বপূর্ণ। 2018 সালের আগস্টে নিরাপত্তার কাঠামো, পাসওয়ার্ড সংরক্ষণের মান এবং ফোরাম বা ওয়েব অ্যাপ্লিকেশন রক্ষণাবেক্ষণের রীতি আজকের প্রত্যাশা থেকে আলাদা হতে পারে; কিন্তু এতে পুরোনো রেকর্ডগুলোর প্রভাব কমে না। পুরোনো ডেটা ফাঁস থেকে পাওয়া ইমেইল ও পাসওয়ার্ডের জোড়া নতুন সেবায় ব্যবহার করে এখনও অ্যাকাউন্ট দখলের চেষ্টা করা যেতে পারে।

YS Health-এর নথিতে ব্যবহারকারীকে দেখানো সংখ্যা 11,626 রাখা হয়েছে। নিবন্ধনের সংখ্যা যে ব্যবহারকারীর প্রকৃত সংখ্যার সমান হবে, এমন নয়। কোনো কোনো ডেটাসেটে পুনরাবৃত্ত সারি, পরীক্ষামূলক অ্যাকাউন্ট বা অনুপস্থিত ক্ষেত্র থাকতে পারে। তা সত্ত্বেও, নিশ্চিত করা মোট সংখ্যাটি ঘটনার ব্যাপকতা এবং ব্যবহারকারীর বিবেচনায় রাখা উচিত এমন নিরাপত্তার অগ্রাধিকার বোঝাতে যথেষ্ট।

এই নথি নিরাপত্তা সচেতনতার উদ্দেশ্যে তৈরি করা হয়েছে। ব্যবহারকারীদের ফাঁস হওয়া ডেটা খোঁজা, ডাউনলোড করা বা শেয়ার করতে উৎসাহিত করা হচ্ছে না। করণীয় হলো সংশ্লিষ্ট অ্যাকাউন্টগুলোর নিরাপত্তা বাড়ানো, একাধিক অ্যাকাউন্টে একই পাসওয়ার্ডের ব্যবহার বন্ধ করা, সন্দেহজনক সেশন বন্ধ করা, পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা এবং সম্ভব হলে পাসওয়ার্ড ম্যানেজার দিয়ে সব অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড তৈরি করা।

YS Health-এর ঘটনায় ডেটার ধরন সীমিত মনে হলেও, শুধু ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডই আক্রমণকারীর জন্য যথেষ্ট হতে পারে। ইমেইল ঠিকানা পরিচয় শনাক্ত করা, পাসওয়ার্ড রিসেটের চেষ্টা, ভুয়া বিজ্ঞপ্তি, প্রচারণামূলক ইমেইল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক কৌশলের মাধ্যমে প্রতারণায় ব্যবহার করা যেতে পারে। পাসওয়ার্ডটি অন্যত্রও ব্যবহার করা হলে তা দিয়ে সরাসরি লগইনের চেষ্টা করা যায়।

অ্যাকাউন্টধারীদের ব্যবহারিক যাচাইতালিকা হলো: সংশ্লিষ্ট সেবায় ব্যবহৃত পুরোনো পাসওয়ার্ডটি মনে করুন, একই বা কাছাকাছি পাসওয়ার্ড থাকা সব অ্যাকাউন্টের পাসওয়ার্ড বদলান, প্রধান ইমেইল অ্যাকাউন্টের লগইনের ইতিহাস পরীক্ষা করুন, দুই ধাপে যাচাই চালু করুন এবং কোনো সেবায় পুরোনো পাসওয়ার্ডটি পুনরায় ব্যবহার করবেন না। প্রতিষ্ঠানের জন্য যাচাইতালিকা হলো ব্যবহারকারীদের তথ্যের পুরোনো টেবিলগুলোতে প্রবেশাধিকার বন্ধ করা, পাসওয়ার্ড হ্যাশের নীতি নিরীক্ষা করা এবং ক্রেডেনশিয়াল স্টাফিংয়ের প্রচেষ্টা শনাক্ত হলে সতর্কসংকেত তৈরির ব্যবস্থা করা।

এই লেখা তৈরির সময় ঘটনার বাইরের ব্র্যান্ড, সাধারণ সংগ্রহ এবং অপ্রমাণিত ডেটার ক্ষেত্র ইচ্ছাকৃতভাবে বিবরণে অন্তর্ভুক্ত করা হয়নি। YS Health-এর নথির উদ্দেশ্য হলো স্বতন্ত্র ডেটা ফাঁসের ঘটনাটি স্পষ্ট করা, yshealth.com-এর সঙ্গে যুক্ত ব্যবহারকারীদের কী পরীক্ষা করতে হবে তা দেখানো এবং ডেটা ফাঁসের পৃষ্ঠায় অপ্রয়োজনীয় উৎস-উল্লেখের বদলে যাচাইকৃত ক্ষেত্রগুলো তুলে ধরা।

YS Health-এর ক্ষেত্রে দ্বিতীয় পর্যায়ের ঝুঁকি হলো ফাঁস হওয়া লগইন তথ্যের সঙ্গে অন্য ডেটাসেটের তথ্য মিলে যাওয়া। একই ইমেইল ঠিকানা আগে কোনো ফোরাম, কেনাকাটা, চাকরির আবেদন, গেমিং বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে ব্যবহার করা হলে আক্রমণকারী শুধু পাসওয়ার্ড নয়, ব্যক্তিটির আগ্রহ ও অ্যাকাউন্ট ব্যবহারের অভ্যাসও অনুমান করতে পারে। তাই ঘটনাটি ছোট বা পুরোনো মনে হওয়া নিরাপত্তামূলক ব্যবস্থা পিছিয়ে দেওয়ার যথেষ্ট কারণ নয়।

yshealth.com ডোমেইনের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানোর পর ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও মুছে ফেলতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একই পাসওয়ার্ড আছে এমন সব রেকর্ড খুঁজে বের করে প্রতিটির জন্য আলাদা পাসওয়ার্ড দিতে হবে। বিশেষ করে প্লেইন টেক্সট বা দুর্বল হ্যাশের ক্ষেত্রে আক্রমণকারী পাসওয়ার্ড অনুমান না করেই তা দিয়ে সরাসরি প্রবেশের চেষ্টা করতে পারে।

নিরাপত্তা দলগুলোর জন্য এই নথি ফাঁস হওয়া লগইন তথ্য অনুসরণের কাজে ডোমেইনভিত্তিক মিল খোঁজার প্রয়োজনীয়তা নির্দেশ করে। শুধু প্রতিষ্ঠানের নাম দিয়ে খোঁজা যথেষ্ট নাও হতে পারে; পুরোনো ডোমেইন নাম, www-এর ব্যবহার, বর্তমানে যে ডোমেইনে পাঠিয়ে দেওয়া হয় তার নাম এবং ব্যবহারকারীদের ইমেইল ঠিকানার ডোমেইন অংশ একসঙ্গে পরীক্ষা করা উচিত। এতে প্রকৃত ঝুঁকি শনাক্ত হয় এবং কাছাকাছি নামের কিন্তু সম্পর্কহীন রেকর্ড ভুল করে একীভূত হয় না।

এই নথিতে ডেটার শ্রেণি বোঝানোর ভাষা ইচ্ছাকৃতভাবে সহজ রাখা হয়েছে: ইমেইল ঠিকানা ও পাসওয়ার্ড। কারিগরি বিস্তারিত নিয়ে জটিলতায় না পড়ে ব্যবহারকারীর বোঝা দরকার কোন তথ্য প্রকাশ হয়ে গেছে। অন্যদিকে, পাসওয়ার্ড সংরক্ষণের পদ্ধতিও উল্লেখ করা হয়েছে, কারণ সেটিই ঘটনার বাস্তব প্রভাব নির্ধারণ করেছে। প্লেইন টেক্সট পাসওয়ার্ডের উল্লেখ বুঝিয়ে দেয় যে ঘটনাটি শুধু একটি ইমেইল তালিকার ফাঁস নয়; অ্যাকাউন্টের নিরাপত্তার দৃষ্টিকোণ থেকে এর মূল্যায়ন করা উচিত।

এই ঘটনা সম্পর্কে তথ্য খুঁজছেন এমন ব্যক্তিদের জন্য মূল কথা হলো, ডেটা ফাঁসের একটি নথি অ্যাকাউন্টের নিরাপত্তার পুরো ইতিহাস আবার পর্যালোচনা করার সুযোগ। পুরোনো সেবায় ব্যবহৃত পাসওয়ার্ড প্রায়ই ভুলে যাওয়া হয়; কিন্তু ফাঁস হওয়া ডেটাসেট বিস্মৃত হয় না। তাই পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড দেওয়া এবং প্রধান ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখা অগ্রাধিকার।

নথির কাঠামো পরিচ্ছন্ন রাখা হয়েছে: ওয়েবসাইটের ঘরে শুধু ডোমেইন নাম ব্যবহার করা হয়েছে, লোগোর ছবি নথির সঙ্গে মিলিয়ে নেওয়া হয়েছে, বিবরণ ঘটনার পরিসরের মধ্যে সীমিত রাখা হয়েছে এবং একটি মাত্র নথির কাঠামো ব্যবহার করে একই ঘটনা একাধিকবার নিবন্ধিত হওয়ার ঝুঁকি কমানো হয়েছে। সর্বসাধারণের জন্য উন্মুক্ত নিবন্ধন পৃষ্ঠায় ভুলভাবে লিংক দেখানো ঠেকাতে এবং ভিন্ন URL-এ একই ঘটনা বারবার উঠে আসা রোধ করতে এই বিন্যাস গুরুত্বপূর্ণ।

সব মিলিয়ে, 2018 সালের আগস্টে 11,626টি রেকর্ড, ইমেইল ঠিকানা, পাসওয়ার্ড এবং প্লেইন টেক্সট পাসওয়ার্ড জড়িত YS Health-এর ডেটা ফাঁস অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত একটি ঘটনা, যা প্রেক্ষাপট বিবেচনায় নিয়ে মোকাবিলা করতে হবে। ঘটনার অস্তিত্ব অতিরঞ্জিত না করে, অযাচাইকৃত দাবি যোগ না করে এবং একই ঘটনার একাধিক নথি তৈরি না করে ব্যবহারকারী যেন দ্রুত ব্যবস্থা নিতে পারেন, সে জন্য এই পৃষ্ঠা প্রস্তুত করা হয়েছে।