Zimmermann (Zinorm.de): তথ্য উন্মুক্ত হওয়ার অভিযোগ

যাচাইয়ের মূল্যায়নে zinorm.de ডোমেইন, ঘটনার সময় (2023 সালের আগস্ট) ও 11,645টি রেকর্ড যাচাই করা হয়েছে। একই ঘটনায় ইমেইল ঠিকানা ও সরাসরি পাঠযোগ্য পাসওয়ার্ডের ক্ষেত্র থাকার বিষয়টিও সমর্থিত হয়েছে। পুরোনো ফোরাম, ই-কমার্স, ক্রীড়া অনুষ্ঠান, গেমিং কমিউনিটি, কারিগরি সরবরাহ ও মানচিত্রভিত্তিক সাইটে নিবন্ধনের ক্ষেত্রে এই পদ্ধতি বিশেষভাবে গুরুত্বপূর্ণ। কারণ, কাছাকাছি নামের সাইট, বন্ধ হয়ে যাওয়া ডোমেইন বা রিডাইরেক্ট দেখে সেগুলোকে একই ঘটনা বলে মনে হতে পারে। Zimmermann (Zinorm.de)-এর রেকর্ড তৈরির সময় নাম, ডোমেইন, রেকর্ডের সংখ্যা, ঘটনার সময় ও তথ্যের শ্রেণি একসঙ্গে মূল্যায়ন করা হয়েছে।

পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় সংরক্ষিত থাকার বিষয়টি সমর্থিত হওয়ায় একই পাসওয়ার্ড অন্যত্র ব্যবহার করা হলে অ্যাকাউন্ট দখলের ঝুঁকি সরাসরি ও বেশি। B2B কারিগরি সরবরাহের গ্রাহকেরা ব্যবসায়িক ইমেইল ব্যবহার করেন বলে একই পাসওয়ার্ড ব্যবহারের ঝুঁকি করপোরেট ইমেইল, সরবরাহকারীর পোর্টাল ও ক্রয়সংক্রান্ত অ্যাকাউন্টেও ছড়াতে পারে। তাই এই রেকর্ডে শুধু ঘটনার নাম উল্লেখ করা হয়নি; কোন পাসওয়ার্ড বদলাতে হবে, কোন অ্যাকাউন্ট পরীক্ষা করতে হবে এবং কোন সন্দেহজনক বার্তার দিকে নজর দিতে হবে, তা বুঝতে ব্যবহারকারীকে সহায়তা করার জন্য বিস্তারিত লেখা হয়েছে।

এই ঘটনায় দৃশ্যমান তথ্যের শ্রেণি কেবল ইমেইল ঠিকানা ও পাসওয়ার্ডে সীমিত। অর্ডারের ইতিহাস, প্রতিষ্ঠানের ঠিকানা, টেলিফোন নম্বর, করসংক্রান্ত তথ্য বা অর্থপ্রদানের তথ্য যোগ করা হয়নি, কারণ সেগুলোর পক্ষে সরাসরি সমর্থন নেই। এই সীমা সচেতনভাবেই রাখা হয়েছে: তথ্য ফাঁসের রেকর্ডে পরিধি অতিরিক্ত বড় করে দেখালে ব্যবহারকারীরা কোনো অ্যাকাউন্টকে ভুলভাবে ঝুঁকিপূর্ণ মনে করতে পারেন, অথবা সত্যিই ঝুঁকিতে থাকা পাসওয়ার্ডের বিষয়টি এড়িয়ে যেতে পারেন।

zinorm.de ডোমেইন বা এর সঙ্গে যুক্ত বর্তমান ওয়েবসাইটে প্রবেশ করা যাচ্ছিল বলে সক্রিয় ব্র্যান্ডের প্রেক্ষাপট বজায় রেখে রেকর্ডটি রাখা হয়েছে। ওয়েবসাইটের বর্তমান অবস্থা ঘটনাটি ঘটার সময়কার নিরাপত্তাগত প্রভাব দূর করে না। পুরোনো ডোমেইন আজ অন্য পৃষ্ঠায় রিডাইরেক্ট করলেও, পার্ক করা অবস্থায় দেখা গেলেও বা সেবা বদলে গেলেও, একই পাসওয়ার্ড পুনরায় ব্যবহারের কারণে ফাঁস হওয়া লগইন তথ্য বহু বছর পরও স্বয়ংক্রিয়ভাবে বারবার লগইনের চেষ্টায় ব্যবহার করা যেতে পারে।

ব্যবহারকারীর প্রথমে দেখা উচিত, Zimmermann (Zinorm.de)-এর সঙ্গে যুক্ত ইমেইল ঠিকানাটি অন্য সেবাতেও ব্যবহার করা হয় কি না। একই ইমেইল ও পাসওয়ার্ডের জুটি অন্য সাইটেও ব্যবহার করা হলে ঝুঁকি একটি অ্যাকাউন্টে সীমাবদ্ধ থাকে না। বিশেষ করে ইমেইল ইনবক্স, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, গেম, ফোরাম, চাকরির আবেদন ও করপোরেট পোর্টালের অ্যাকাউন্টে একই পাসওয়ার্ড থাকলে একটির পর একটি অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে।

ব্যবসায়িক ইমেইল দিয়ে খোলা পুরোনো সরবরাহকারী অ্যাকাউন্টগুলোর পাসওয়ার্ড করপোরেট অ্যাকাউন্টের পাসওয়ার্ডের সঙ্গে মিলে যায় কি না, তা পরীক্ষা করা উচিত। পাসওয়ার্ড বদলানোর সময় সামান্য পরিবর্তন করা যথেষ্ট নয়। যেমন, পুরোনো পাসওয়ার্ডের শেষে সাল, বিস্ময়চিহ্ন বা সাইটের নাম যোগ করা হলে স্বয়ংক্রিয় আক্রমণের সরঞ্জাম সহজেই সেগুলো চেষ্টা করে দেখতে পারে। প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা, সম্ভব হলে বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করা এবং পুরোনো পুনরুদ্ধার ইমেইল ঠিকানাগুলো পর্যালোচনা করাই সবচেয়ে ভালো পদ্ধতি।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে এই রেকর্ড B2B ই-কমার্স সাইটে পাসওয়ার্ড সংরক্ষণ, পুরোনো গ্রাহক অ্যাকাউন্ট এবং সরবরাহকারীর পোর্টালে নিয়মিত লগইন নিরীক্ষার বিষয়টিও তুলে ধরে। তথ্য ফাঁসের প্রভাব শুধু ব্যবহারকারীদের তথ্যের টেবিল ফাঁস হওয়ার মধ্যেই শেষ হয় না। একই পাসওয়ার্ড VPN, প্রশাসনিক প্যানেল, গ্রাহক পোর্টাল, CMS, ক্লাউড স্টোরেজ বা ইমেইল অ্যাকাউন্টে ব্যবহার করা হলে ঘটনাটি নেটওয়ার্কের ভেতরে এক সিস্টেম থেকে অন্য সিস্টেমে আক্রমণকারীর অগ্রসর হওয়া এবং অননুমোদিত প্রবেশের ঝুঁকি তৈরি করতে পারে।

Zimmermann (Zinorm.de)-এর ঝুঁকি মূল্যায়নের সময় পাসওয়ার্ড সংরক্ষণের ধরনও বিবেচনা করা হয়েছে: সরাসরি পাঠযোগ্য পাসওয়ার্ড। এ ধরনের পাসওয়ার্ড সরাসরি ব্যবহার করা যায় বলে বাস্তবে এগুলোর ঝুঁকি সবচেয়ে বেশি। MD5, সল্টযুক্ত MD5, পুরোনো ফোরাম সফটওয়্যারের হ্যাশ বা সল্টের তথ্য থাকা টেবিল সরাসরি পাঠযোগ্য না হলেও আধুনিক হার্ডওয়্যার দিয়ে পরীক্ষা করা যায়।

এই রেকর্ডটি Zinorm-এর তথ্য ফাঁস, Zimmermann-এর পাসওয়ার্ড ফাঁস, কারিগরি সরবরাহ সাইটের নিরাপত্তা এবং B2B ই-কমার্সের তথ্য ফাঁসের মতো বিভিন্ন নামে ব্যবহৃত হয়েছে। ঘটনাটির পরিধি বোধগম্য করতে এটি সম্পাদনা করা হয়েছে। উদ্দেশ্য হলো, Zimmermann (Zinorm.de)-এর তথ্য ফাঁস সম্পর্কে জানতে আসা যে কেউ যেন স্পষ্টভাবে বুঝতে পারেন কী ঘটেছে, কোন তথ্যের ধরন যাচাই করা হয়েছে, কোন ক্ষেত্রগুলো বাদ দেওয়া হয়েছে এবং তাঁকে কোন নিরাপত্তামূলক পদক্ষেপ নিতে হবে।

ভুল মিল শনাক্ত হওয়ার ঝুঁকি কমাতে কাছাকাছি নামগুলো আলাদা রাখা হয়েছে। zinorm.de-এর সঙ্গে সম্পর্কহীন সাধারণ তথ্যসংগ্রহ, অন্য ব্র্যান্ডের কাছাকাছি নামের ডেটাবেস বা শুধু এক লাইনের দাবিতে সীমিত থাকা রেকর্ড এই ঘটনার সঙ্গে একত্র করা হয়নি। এই পার্থক্য একই তথ্য ফাঁস বারবার তালিকাভুক্ত হওয়া ঠেকায় এবং ব্যবহারকারী যেন তালিকায় প্রকৃতপক্ষে প্রাসঙ্গিক ডোমেইনটি পান, তা নিশ্চিত করে।

ঘটনাটির ঐতিহাসিক প্রেক্ষাপটও গুরুত্বপূর্ণ। 2023 সালের আগস্টে নিরাপত্তা স্থাপত্য, পাসওয়ার্ড সংরক্ষণের মান এবং ফোরাম বা ওয়েব অ্যাপ্লিকেশন রক্ষণাবেক্ষণের পদ্ধতি বর্তমান প্রত্যাশা থেকে ভিন্ন হয়ে থাকতে পারে; কিন্তু তাতে পুরোনো রেকর্ডের প্রভাব কমে না। পুরোনো তথ্য ফাঁস থেকে পাওয়া ইমেইল ও পাসওয়ার্ডের জুটি নতুন সেবায় চেষ্টা করে এখনো অ্যাকাউন্ট দখলের প্রচেষ্টায় ব্যবহার করা যেতে পারে।

Zimmermann (Zinorm.de)-এর রেকর্ডে ব্যবহারকারীকে দেখানো সংখ্যা 11,645 রাখা হয়েছে। নিবন্ধনের সংখ্যা যে ব্যবহারকারীর সঠিক সংখ্যার সমান হবে, তা নয়; কিছু ডেটাসেটে একই সারি একাধিকবার, পরীক্ষামূলক অ্যাকাউন্ট বা অসম্পূর্ণ ক্ষেত্র থাকতে পারে। তা সত্ত্বেও, নিশ্চিত করা মোট সংখ্যাটি ঘটনার ব্যাপকতা এবং ব্যবহারকারীদের নিরাপত্তার ক্ষেত্রে কোন অগ্রাধিকার বিবেচনা করা উচিত, তা বোঝানোর জন্য যথেষ্ট নির্দেশক।

এই রেকর্ড নিরাপত্তা সচেতনতার উদ্দেশ্যে তৈরি করা হয়েছে। ব্যবহারকারীদের ফাঁস হওয়া তথ্য খোঁজা, ডাউনলোড করা বা শেয়ার করতে উৎসাহ দেওয়া হচ্ছে না। করণীয় হলো সংশ্লিষ্ট অ্যাকাউন্টগুলোর নিরাপত্তা বাড়ানো, একাধিক অ্যাকাউন্টে একই পাসওয়ার্ডের ব্যবহার বন্ধ করা, সন্দেহজনক সেশন বন্ধ করা, পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা এবং সম্ভব হলে পাসওয়ার্ড ম্যানেজার ব্যবহার করে সব অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড রাখা।

Zimmermann (Zinorm.de)-এর ঘটনায় তথ্যের ধরন সীমিত মনে হলেও, আক্রমণকারীর জন্য শুধু ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও পাসওয়ার্ডই যথেষ্ট হতে পারে। ইমেইল ঠিকানা পরিচয় শনাক্ত করা, পাসওয়ার্ড রিসেটের চেষ্টা, ভুয়া বিজ্ঞপ্তি, প্রচারমূলক ইমেইল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশলভিত্তিক প্রতারণার কাজে ব্যবহার করা যেতে পারে। পাসওয়ার্ড অন্যত্রও ব্যবহার করা হলে তা দিয়ে সরাসরি লগইনের চেষ্টা করা যায়।

অ্যাকাউন্টধারীদের ব্যবহারিক করণীয় হলো: সংশ্লিষ্ট সেবায় ব্যবহৃত পুরোনো পাসওয়ার্ড মনে করা, একই বা কাছাকাছি পাসওয়ার্ড থাকা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো, প্রধান ইমেইল অ্যাকাউন্টের লগইন ইতিহাস পরীক্ষা করা, দুই ধাপে যাচাইকরণ চালু করা এবং কোনো সেবায় পুরোনো পাসওয়ার্ডটি পুনরায় ব্যবহার না করা। প্রতিষ্ঠানের করণীয় হলো ব্যবহারকারীদের তথ্যের পুরোনো টেবিলগুলোতে প্রবেশাধিকার বন্ধ করা, পাসওয়ার্ড হ্যাশের নীতিমালা নিরীক্ষা করা এবং ফাঁস হওয়া লগইন তথ্য দিয়ে স্বয়ংক্রিয়ভাবে প্রবেশের চেষ্টার বিরুদ্ধে সতর্কবার্তার ব্যবস্থা করা।

এই লেখা তৈরির সময় ঘটনার বাইরের ব্র্যান্ড, সাধারণ তথ্যসংগ্রহ এবং অপ্রমাণিত তথ্যের ক্ষেত্র ইচ্ছাকৃতভাবে বর্ণনা থেকে বাদ দেওয়া হয়েছে। Zimmermann (Zinorm.de)-এর রেকর্ডের উদ্দেশ্য হলো স্বতন্ত্র এই তথ্য ফাঁসের ঘটনাটি স্পষ্ট করা, zinorm.de-এর সঙ্গে যুক্ত ব্যবহারকারীদের কী পরীক্ষা করতে হবে তা দেখানো এবং তথ্য ফাঁসের পৃষ্ঠায় উৎসের অপ্রয়োজনীয় উল্লেখের বদলে যাচাইকৃত ডোমেইনগুলোকে গুরুত্ব দেওয়া।

Zimmermann (Zinorm.de)-এর ক্ষেত্রে ঝুঁকির দ্বিতীয় স্তর হলো ফাঁস হওয়া লগইন তথ্য অন্য ডেটাসেটের সঙ্গে মিলে যাওয়া। একই ইমেইল ঠিকানা আগে ফোরাম, কেনাকাটা, চাকরির আবেদন, গেম বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে আক্রমণকারী শুধু পাসওয়ার্ড নয়, ব্যক্তির আগ্রহ ও অ্যাকাউন্ট ব্যবহারের অভ্যাসও অনুমান করতে পারেন।

zinorm.de ডোমেইনের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানোর পর ব্রাউজারে সংরক্ষিত পুরোনো পাসওয়ার্ডও মুছে ফেলা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করা হলে একই পাসওয়ার্ড থাকা সব এন্ট্রি খুঁজে প্রতিটির জন্য আলাদা পাসওয়ার্ড দিতে হবে। বিশেষ করে সরাসরি পাঠযোগ্য পাসওয়ার্ড বা দুর্বল হ্যাশের ক্ষেত্রে আক্রমণকারীর পক্ষে পাসওয়ার্ড অনুমান না করেই সরাসরি সেটি দিয়ে চেষ্টা করা সম্ভব হতে পারে।

নিরাপত্তা দলের জন্য এই রেকর্ড ফাঁস হওয়া লগইন তথ্য পর্যবেক্ষণে ডোমেইনভিত্তিক মিল খোঁজার প্রয়োজনীয়তা নির্দেশ করে। শুধু প্রতিষ্ঠানের নাম দিয়ে খোঁজা যথেষ্ট নাও হতে পারে; পুরোনো ডোমেইন, www-এর ব্যবহার, বর্তমানে যে ডোমেইনে রিডাইরেক্ট করা হয় এবং ব্যবহারকারীদের ইমেইল ঠিকানার ডোমেইন অংশ একসঙ্গে পরীক্ষা করা উচিত। এতে প্রকৃত ঝুঁকি শনাক্ত হয় এবং কাছাকাছি নামের কিন্তু সম্পর্কহীন রেকর্ড ভুল করে একত্র করা হয় না।

এই রেকর্ডে তথ্যের শ্রেণি বোঝাতে ইচ্ছাকৃতভাবে সহজ ভাষা রাখা হয়েছে: ইমেইল ঠিকানা, পাসওয়ার্ড। কারিগরি খুঁটিনাটিতে আটকে না গিয়ে কোন তথ্য প্রকাশ পেয়েছে, তা ব্যবহারকারীদের বুঝতে হবে। অন্যদিকে, পাসওয়ার্ড সংরক্ষণের পদ্ধতিও উল্লেখ করা হয়েছে, কারণ সেটিই ঘটনার ব্যবহারিক প্রভাব নির্ধারণ করেছে। সরাসরি পাঠযোগ্য পাসওয়ার্ডের উল্লেখ বোঝায় যে ঘটনাটি শুধু একটি ইমেইল তালিকার বিষয় নয়; এটি অ্যাকাউন্টের নিরাপত্তার দৃষ্টিকোণ থেকে মূল্যায়ন করা উচিত।

এই ঘটনা সম্পর্কে তথ্য খুঁজছেন এমন ব্যক্তিদের জন্য মূল কথা হলো, তথ্য ফাঁসের একটি রেকর্ডও অ্যাকাউন্টের নিরাপত্তার পুরো ইতিহাস আবার পর্যালোচনা করার সুযোগ। পুরোনো সেবায় ব্যবহৃত পাসওয়ার্ড প্রায়ই ভুলে যাওয়া হয়; কিন্তু ফাঁস হওয়া ডেটাসেট ভুলে যাওয়া হয় না। তাই পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড দেওয়া এবং প্রধান ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখা অগ্রাধিকার পায়।

রেকর্ডের কাঠামো পরিচ্ছন্ন রাখা হয়েছে: ওয়েবসাইটের অংশে শুধু ডোমেইন নাম ব্যবহার করা হয়েছে, লোগোর ছবি রেকর্ডের সঙ্গে মিলিয়ে দেওয়া হয়েছে, বর্ণনা ঘটনার পরিধিতে সীমিত রাখা হয়েছে এবং একটি রেকর্ডের কাঠামো ব্যবহার করে একই ঘটনার একাধিক রেকর্ড তৈরির ঝুঁকি কমানো হয়েছে। প্রকাশ্য রেকর্ডের পৃষ্ঠায় ভুলভাবে লিংক দেখানো এড়াতে এবং ভিন্ন URL-এ একই ঘটনা বারবার তুলে ধরা ঠেকাতে এই বিন্যাস গুরুত্বপূর্ণ।

সারসংক্ষেপে, Zimmermann (Zinorm.de)-এর তথ্য ফাঁস 2023 সালের আগস্টে 11,645টি রেকর্ড নিয়ে অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত একটি ঘটনা। ইমেইল ঠিকানা, পাসওয়ার্ড এবং সরাসরি পাঠযোগ্য পাসওয়ার্ডের প্রেক্ষাপটে এর মোকাবিলা করা প্রয়োজন। ঘটনার অস্তিত্ব অতিরঞ্জিত না করে, অযাচাইকৃত দাবি যোগ না করে এবং একই ঘটনার একাধিক রেকর্ড তৈরি না করে ব্যবহারকারী যেন দ্রুত পদক্ষেপ নিতে পারেন, সে উদ্দেশ্যেই এই পৃষ্ঠা তৈরি করা হয়েছে।