Zooville: তথ্য ফাঁস

যাচাইকৃত ডেটা ফিল্ডগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড এবং ইউজারনেম। ইমেইল ঠিকানাটি ব্যবহারকারীর সাথে সরাসরি যোগাযোগ করার কাজে ব্যবহৃত হতে পারে। বিভিন্ন ফোরাম বা সামাজিক যোগাযোগমাধ্যমে একই ছদ্মনাম ব্যবহারের প্রবণতা থাকলে ইউজারনেমের মাধ্যমে পরিচয় মেলানো সহজ হয়। IP ঠিকানা আনুমানিক অবস্থান ও সংযোগের তথ্য সম্পর্কে অতিরিক্ত সূত্র দিতে পারে। অন্যদিকে জন্মতারিখ একটি স্থায়ী ব্যক্তিগত তথ্য, যা পাসওয়ার্ড অনুমান, ফিশিং এবং অ্যাকাউন্ট পুনরুদ্ধারের ক্ষেত্রে অপব্যবহার করা হতে পারে।

উল্লেখ করা হয়েছে যে পাসওয়ার্ডগুলো bcrypt হ্যাশ হিসেবে সংরক্ষিত ছিল। অপেক্ষাকৃত দুর্বল হ্যাশ পদ্ধতির তুলনায় bcrypt শক্তিশালী হিসেবে বিবেচিত হলেও দুর্বল বা পুনরায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকেই যায়। একই পাসওয়ার্ড যদি ইমেইল, সোশ্যাল মিডিয়া, গেমিং, ফোরাম কিংবা প্রাতিষ্ঠানিক অ্যাকাউন্টে ব্যবহার করা হয়ে থাকে, তবে আক্রমণকারীরা বিভিন্ন লগইন স্ক্রিনে এই তথ্য ব্যবহারের চেষ্টা করতে পারে। সংবেদনশীল ফোরামের প্রেক্ষাপটে অ্যাকাউন্টের কারিগরি ঝুঁকির পাশাপাশি ব্ল্যাকমেইল, সামাজিক চাপ ও ফিশিংয়ের আশঙ্কাও বহুলাংশে বৃদ্ধি পায়।

লঙ্ঘনের তারিখটি 27 সেপ্টেম্বর, 2019 হিসেবে নিশ্চিত করা হয়েছে। তালিকাভুক্তির তারিখ 19 অক্টোবর, 2019, 21:22:44 UTC এবং পরিবর্তনের তারিখ 20 অক্টোবর, 2019, 21:58:16 UTC। প্রভাবিত অ্যাকাউন্টের সংখ্যা 71,407 হিসেবে নথিভুক্ত রয়েছে। vBulletin ফোরাম সফটওয়্যারের একটি অমীমাংসিত দুর্বলতার (unpatched vulnerability) মাধ্যমে ডেটা অ্যাক্সেসের মধ্য দিয়ে ঘটনাটির সূচনা হয় এবং পরবর্তীতে সম্পূর্ণ ফোরাম ডেটাবেস ডাম্পের মাধ্যমে আরও কিছু ফিল্ড উন্মোচিত হয়। জানা গেছে যে, তথ্য ফাঁসের পর সাইট প্রশাসক ফোরামের সমস্ত ডেটা মুছে ফেলে একটি নতুন ফোরাম সেটআপে স্থানান্তরিত হন।

Zooville-এর ক্ষেত্রে পূর্ণ নাম, ফোন নম্বর, ভৌগোলিক ঠিকানা, পেমেন্ট কার্ড, সরকারি পরিচয়পত্র নম্বর, ব্যক্তিগত বার্তার বিষয়বস্তু কিংবা কেনাকাটার ইতিহাস যাচাইকৃত ডেটা ফিল্ডের অন্তর্ভুক্ত নয়। এই ফিল্ডগুলোকে অন্তর্ভুক্ত করা বিভ্রান্তিকর হবে। এর পরিসর কেবল জন্মতারিখ, ইমেইল, IP, পাসওয়ার্ড এবং ইউজারনেমের মধ্যেই সীমাবদ্ধ থাকা উচিত। রেকর্ডগুলো যাচাইকৃত এবং সংবেদনশীল হিসেবে শ্রেণীবদ্ধ থাকা উচিত, কারণ ফোরামের বিষয়বস্তু এবং উন্মুক্ত ফিল্ডগুলোর সমন্বয় ব্যবহারকারীর জন্য মারাত্মক গোপনীয়তার ঝুঁকি তৈরি করে।

যারা তাদের Zooville অ্যাকাউন্টের ইমেইল ঠিকানা বা ইউজারনেম অন্যান্য সেবায়ও ব্যবহার করেন, তারা সবচেয়ে বেশি ঝুঁকিতে রয়েছেন। সোশ্যাল মিডিয়া, ফোরাম, গেমিং কিংবা মেসেজিং অ্যাকাউন্টে একই ছদ্মনাম থাকলে বিভিন্ন প্রোফাইলের মধ্যে পারস্পরিক সংযোগ স্থাপন করা সম্ভব হতে পারে। অন্য অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হলে এই ঝুঁকি আরও বেড়ে যায়। ইমেইল অ্যাকাউন্টটি বিশেষভাবে অগ্রাধিকারযোগ্য, কারণ বহু সেবার পাসওয়ার্ড রিসেট করার লিংক ইমেইল ইনবক্সেই পাঠানো হয়।

সংবেদনশীল ফোরাম প্রেক্ষাপটের কারণে ব্ল্যাকমেইল, সামাজিক বিব্রতকর পরিস্থিতি এবং সুনির্দিষ্ট লক্ষ্যভিত্তিক ফিশিং বার্তার আশঙ্কা করা যেতে পারে। আক্রমণকারীরা প্রকৃত ইউজারনেম, ইমেইল ঠিকানা, IP কিংবা জন্মতারিখের তথ্য প্রদর্শন করে তাদের বার্তাকে বিশ্বাসযোগ্য করে তুলতে পারে। এই ধরনের বার্তা অ্যাকাউন্টে বর্তমান প্রবেশাধিকার থাকার প্রমাণ হিসেবে গণ্য হয় না; তবে এটি নির্দেশ করে যে অবিলম্বে নিরাপত্তা ব্যবস্থা গ্রহণ করা প্রয়োজন। কর্মক্ষেত্রের ইমেইল বা প্রাতিষ্ঠানিক নেটওয়ার্কের তথ্য ব্যবহার করা হয়ে থাকলে এই ঝুঁকি ব্যক্তিগত গণ্ডি ছাড়িয়ে আরও বিস্তৃত হতে পারে।

Zooville অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য কোনো সেবায় ব্যবহার করা উচিত নয়। যদি একই পাসওয়ার্ড বা এর কাছাকাছি রূপ অন্য কোথাও ব্যবহৃত হয়ে থাকে, তবে তা অবিলম্বে পরিবর্তন করে দীর্ঘ ও অনন্য পাসওয়ার্ড ব্যবহার করা উচিত। সবার আগে ইমেইল অ্যাকাউন্টের সুরক্ষা নিশ্চিত করতে হবে; এজন্য একটি শক্তিশালী পাসওয়ার্ড, দুই-উপাদানভিত্তিক প্রমাণীকরণ এবং সক্রিয় সেশন নিয়ন্ত্রণ চালু করা প্রয়োজন। প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করা একটি টেকসই সমাধান।

সন্দেহজনক বার্তার কোনো লিংকে ক্লিক করা, ফাইল খোলা কিংবা অর্থ দাবির অনুরোধে সাড়া দেওয়া থেকে বিরত থাকুন। পুরোনো ইউজারনেম, IP ঠিকানা বা জন্মতারিখ সংবলিত হুমকিমূলক বার্তা দেখতে বাস্তব মনে হলেও তা বর্তমানে অ্যাকাউন্টে প্রবেশাধিকার থাকার প্রমাণ নয়। ব্যবহারকারীর উচিত একই ইমেইল ও ইউজারনেম দিয়ে খোলা অন্যান্য প্রোফাইলগুলো পর্যালোচনা করা, অপ্রয়োজনীয় প্রোফাইল তথ্য মুছে ফেলা, সক্রিয় সেশনগুলো বন্ধ করা এবং গুরুত্বপূর্ণ সেবাগুলোর জন্য নিরাপত্তা সংক্রান্ত সতর্কতা চালু করা।

সংবেদনশীল ফোরাম এবং বিশেষ আগ্রহভিত্তিক অ্যাকাউন্টের জন্য প্রাথমিক ইমেইল ঠিকানা ব্যবহার করা উচিত নয়। পৃথক ইমেইল ঠিকানা, স্বতন্ত্র পাসওয়ার্ড এবং দুই-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করলে একটি একক লঙ্ঘনের ঘটনা অন্যান্য অ্যাকাউন্টে ছড়িয়ে পড়া কঠিন হয়ে পড়ে। প্রতিটি প্ল্যাটফর্মে একই ইউজারনেম ব্যবহার করাও ঝুঁকিপূর্ণ; এতে বিভিন্ন প্রোফাইলকে একক ব্যক্তির সাথে মেলানো সহজ হয়। কাজেই, যেসব তথ্য দেখে প্রকৃত পরিচয় সহজে শনাক্ত করা সম্ভব, সংবেদনশীল সেবায় সেসব তথ্যের ব্যবহার যথাসম্ভব কমিয়ে আনা উচিত।

জন্মতারিখ ও IP-এর মতো পরিবর্তন করা কঠিন এমন তথ্য উন্মুক্ত হয়ে গেলে ঝুঁকি দীর্ঘ সময় ধরে বজায় থাকে। ব্যবহারকারীদের উচিত পর্যায়ক্রমে তাদের পুরোনো সদস্যপদগুলো পর্যালোচনা করা, যেসব অ্যাকাউন্ট আর ব্যবহৃত হয় না সেগুলো বন্ধ করা এবং সক্রিয় অ্যাকাউন্টের রিকভারি ইমেইল, সেশন ও নিরাপত্তা সতর্কতাগুলো পরীক্ষা করা। দীর্ঘমেয়াদী লক্ষ্য হলো একটি সংবেদনশীল ফোরাম লঙ্ঘনের প্রভাব যাতে ইমেইল, সোশ্যাল মিডিয়া এবং অন্যান্য গুরুত্বপূর্ণ অ্যাকাউন্টে ছড়িয়ে না পড়ে তা নিশ্চিত করা।

LeakData Zooville অনুসন্ধানে যাদের ফলাফল প্রদর্শিত হবে, তাদের এটিকে অ্যাকাউন্টের নিরাপত্তা ও গোপনীয়তা সংক্রান্ত একটি সংবেদনশীল সতর্কতা হিসেবে বিবেচনা করা উচিত। ইতিবাচক ফলাফলের অর্থ হলো তাদের ইমেইল ঠিকানা, ইউজারনেম, IP ঠিকানা, জন্মতারিখ বা পাসওয়ার্ড হ্যাশ ডেটা এই ডেটাসেটে পাওয়া গিয়ে থাকতে পারে। এর প্রথম পদক্ষেপ হলো ইমেইল অ্যাকাউন্টের সুরক্ষা নিশ্চিত করা, দ্বিতীয় পদক্ষেপ হলো পাসওয়ার্ড পরিবর্তন করা এবং তৃতীয় পদক্ষেপ হলো একই ইউজারনেম দিয়ে তৈরি অন্যান্য প্রোফাইলগুলো যাচাই করা।

এই ঘটনায় যাচাইকৃত ক্ষয়ক্ষতির আওতায় রয়েছে 71,407টি অ্যাকাউন্ট। সংবেদনশীল ফোরাম প্রেক্ষাপট এবং একাধিক ব্যক্তিগত ডেটা ফিল্ড থাকার কারণে Zooville তথ্য ফাঁসের ঘটনাটি সতর্কতার সাথে সামলানো প্রয়োজন। ফলাফল ইতিবাচক হলে ব্যবহারকারীর উচিত পাসওয়ার্ড হালনাগাদ করা, দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করা, পুরোনো সেশনগুলো থেকে লগআউট করা, একই ইমেইল বা ইউজারনেম দিয়ে খোলা অ্যাকাউন্টগুলো পর্যালোচনা করা এবং কোনো হুমকিমূলক বার্তা এলে প্রমাণের ভিত্তিতে শান্তভাবে প্রতিক্রিয়া জানানো।