বুধবার, সিয়াটলের একটি ফেডারেল আদালত সাম্প্রতিক সময়ের সবচেয়ে বড় ডেটা লঙ্ঘনগুলোর একটির সমাপ্তি টেনেছে। অন্টারিওর কিচেনারের ২৬ বছর বয়সি কনর রাইলি মোকা কম্পিউটার জালিয়াতি, তার জালিয়াতি, গুরুতর পরিচয় চুরি এবং ষড়যন্ত্রের অভিযোগে দোষ স্বীকার করেছে—২০২৪ সালের এক হ্যাকিং তাণ্ডবের জন্য, যা অন্তত ১৬৫টি প্রতিষ্ঠানে পৌঁছেছিল এবং অন্তত ১০ কোটি মানুষের রেকর্ড উন্মুক্ত করেছিল। মুক্তিপণ ও ডেটা বিক্রি থেকে সে ব্যক্তিগতভাবে অন্তত $495,000 হাতিয়েছে। ২৭ অক্টোবর তার সাজা ঘোষণার কথা রয়েছে; শুধু পরিচয় চুরির অভিযোগেই তার ন্যূনতম বাধ্যতামূলক সাজা দুই বছর, আর বাকি অভিযোগগুলোতে সর্বোচ্চ ৩০ বছর পর্যন্ত সাজা হতে পারে।
এই সংখ্যাগুলোই শিরোনাম। যে খুঁটিনাটি নিয়ে একটু ভাবা দরকার, তা আরও ছোট এবং অনেক কম সিনেমাটিক: প্রসিকিউটররা বলছেন, মোকাকে আসলে ঢুকতে দিয়েছিল পুরোনো পাসওয়ার্ড। কোনো জিরো-ডে নয়। লক্ষ্যবস্তু প্ল্যাটফর্মের কোনো ত্রুটিও নয়, যে প্ল্যাটফর্মটির নাম বিচার বিভাগ এখনও প্রকাশ্যে জানায়নি (Snowflake এবং ঘটনায় সাড়া দেওয়া প্রতিষ্ঠান Mandiant ২০২৪ সালেই নিজেদের সংশ্লিষ্টতা প্রকাশ করেছিল, ফলে ঘটনাটি সে বছর Snowflake গ্রাহক অ্যাকাউন্টগুলোর বিরুদ্ধে চলা লঙ্ঘনের ঢেউয়ের সঙ্গে যুক্ত হয়)। তথ্য-চোর ম্যালওয়্যার দিয়ে কয়েক বছর আগে ওই শংসাপত্রগুলো সংগ্রহ করা হয়েছিল, সেগুলো অব্যবহৃত ও অপরিবর্তিত পড়ে ছিল, এবং এমন অ্যাকাউন্ট খুলে দিয়েছিল যেগুলোতে কাকতালীয়ভাবে বহু-স্তরীয় প্রমাণীকরণও বন্ধ ছিল।
ওই বাক্যে “অপরিবর্তিত” শব্দটিই কেন আসল বিষয়
তথ্য-চোর ম্যালওয়্যার হলো একধরনের ক্ষতিকর সফটওয়্যার, যা কোনো ডিভাইসে ঢোকার পর—প্রায়ই পাইরেটেড অ্যাপ, ভুয়া ব্রাউজার আপডেট, বা ক্ষতিকর সংযুক্তির মাধ্যমে—নীরবে সেই যন্ত্রের ব্রাউজারের অটোফিল ও সংরক্ষিত-পাসওয়ার্ড ভাণ্ডারে থাকা যেকোনো শংসাপত্র হাতিয়ে নেয়, তারপর ম্যালওয়্যারটি যারা পরিচালনা করে তাদের কাছে পাঠিয়ে দেয়। এটি নতুন বা অদ্ভুত কিছু নয়; বহু বছর ধরে এটি অপরাধজগতের পণ্যসেবা হিসেবে চলছে, চুরি করা শংসাপত্রের ব্যাচ বড় পরিমাণে কেনাবেচা হয়।
Snowflake-এর ঘটনাটিকে শিক্ষণীয় উদাহরণ করে তোলে চুরি ও ব্যবহারের মধ্যকার ব্যবধান। জানা গেছে, এই নির্দিষ্ট পাসওয়ার্ডগুলো “কয়েক বছর আগে” সংগ্রহ করা হয়েছিল। অর্থাৎ দীর্ঘ সময় ধরে ওই অ্যাকাউন্টগুলোর মালিকদের একটি আপসকৃত শংসাপত্র কোথাও একটি ডেটাবেসে সক্রিয় অবস্থায় পড়ে ছিল, আর তা বদলাতে তাদের বাধ্য করার মতো কিছুই ছিল না। কোনো লগইন প্রচেষ্টাকে সন্দেহজনক হিসেবে চিহ্নিত করা হয়নি, কারণ আক্রমণকারী তখনও চেষ্টা করছিল না। কোনো পাসওয়ার্ড রিসেটও শুরু হয়নি, কারণ কারও নজরে পড়ার মতো সক্রিয় শোষণ ছিল না। শংসাপত্রটি বৈধ অবস্থায় অপেক্ষা করছিল, যতক্ষণ না কেউ Snowflake গ্রাহক অ্যাকাউন্টগুলোর বিরুদ্ধে বৃহৎ পরিসরে সেটি ব্যবহারের সিদ্ধান্ত নেয়।
অপরিবর্তিত ও পুনর্ব্যবহৃত পাসওয়ার্ডের ফলে যে ব্যর্থতার ধরন তৈরি হয়, সেটি এমন নয় যে পাসওয়ার্ডগুলো অবশ্যই দুর্বল—তথ্য-চোর ম্যালওয়্যার শক্তিশালী, অনন্য পাসওয়ার্ডও ব্রাউজারের সংরক্ষিত-পাসওয়ার্ড ভাণ্ডার থেকে আনন্দের সঙ্গে তুলে নেবে। আসল সমস্যা হলো, কোনো মানুষ বা নীতি মেয়াদ নির্ধারণ না করলে চুরি করা পাসওয়ার্ডের কোনো মেয়াদ শেষ হয় না। ২০২১ সালের একটি লঙ্ঘন ২০২৪ সালেও দরজা খুলে দিতে পারে, যদি মাঝের সময়ে কেউ শংসাপত্রটি কখনও পরিবর্তন না করে।
যে দ্বিতীয় তালাটি ছিলই না
প্রসিকিউটররা যে অন্য খুঁটিনাটিটি উল্লেখ করেছেন—আক্রান্ত অ্যাকাউন্টগুলোতে MFA বন্ধ ছিল—সেটিই চুরি করা পাসওয়ার্ডকে পূর্ণ অ্যাকাউন্ট-অ্যাক্সেসে পরিণত করেছিল। বহু-স্তরীয় প্রমাণীকরণ ঠিক এই পরিস্থিতির জন্যই তৈরি: এটি ধরে নেয় যে একসময় পাসওয়ার্ড ফাঁস হবেই, তাই পরিচয়ের দ্বিতীয় প্রমাণ (একটি কোড, পুশ নোটিফিকেশন, হার্ডওয়্যার কী) যোগ করে, যা শুধু চুরি করা পাসওয়ার্ড দিয়ে পূরণ করা যায় না। এটি বন্ধ থাকলে ফাঁস হওয়া শংসাপত্রই পুরো বাধা। ২০২৪ সালের বৃহত্তর Snowflake-সংশ্লিষ্ট লঙ্ঘনের ঢেউ নিয়ে প্রতিবেদনে বলা হয়েছে, আক্রান্ত অনেক অ্যাকাউন্টে ডিফল্টভাবে MFA কার্যকর করা ছিল না; ফলে সেটি চালু করা প্রতিটি গ্রাহক প্রতিষ্ঠানের সক্রিয় পদক্ষেপের ওপর নির্ভর করত।
আপনার জন্য এর প্রকৃত অর্থ কী
এই নিউজলেটারের অধিকাংশ পাঠক Snowflake ডেটা ওয়্যারহাউস চালান না, কিন্তু এখানে বর্ণিত প্রক্রিয়া আপনার যেকোনো স্থানে থাকা যেকোনো অ্যাকাউন্টের ক্ষেত্রেই প্রযোজ্য:
- পুরোনো পাসওয়ার্ডকে শুধু দুর্বল নয়, আপসকৃত হিসেবে ধরে নিন। আপনি যদি একাধিক সাইটে একই পাসওয়ার্ড ব্যবহার করে থাকেন এবং এরপর আর বদলাননি, সেটিকে নষ্ট হয়ে গেছে বলে বিবেচনা করুন—কেউ সেটি অনুমান করেছে বলে নয়, বরং এটি এমন একটি চুরি করা শংসাপত্রের তালিকায় ইতিমধ্যে পড়ে থাকতে পারে, যা আপনি কখনও দেখতে পাবেন না।
- আপনার ব্যবহৃত কোনো সেবা লঙ্ঘনের কথা জানালে শংসাপত্র পরিবর্তন করুন—এমনকি আপনাকে বলা হলেও যে আপনার নির্দিষ্ট অ্যাকাউন্ট “আক্রান্ত হয়নি।” তদন্ত এগোতে থাকলে প্রাথমিক লঙ্ঘন-সংক্রান্ত বিজ্ঞপ্তিগুলো প্রায়ই অসম্পূর্ণ থাকে।
- যেখানে MFA দেওয়া হয়, সর্বত্র তা চালু করুন, এবং কোনো সেবা ডিফল্টভাবে এটি চালু করে আছে—এমনটা ধরে নেবেন না। সবচেয়ে নিরাপদ বিকল্পটি ইতিমধ্যেই সক্রিয় আছে বলে ভরসা না করে সরাসরি অ্যাকাউন্টের নিরাপত্তা সেটিংস পরীক্ষা করুন।
- পাসওয়ার্ড ম্যানেজার মূল কারণের সমাধান করে, শুধু উপসর্গের নয়: এটি অনন্য, পুনর্ব্যবহার না-করা পাসওয়ার্ডকে সবচেয়ে সহজ পথ করে তোলে, এমন কিছু নয় যা করার কথা আপনাকে মনে রাখতে হবে।
- কোনো ডিভাইসে তথ্য-চোর ম্যালওয়্যার সংক্রমিত হয়ে থাকতে পারে (অপরিচিত কোনো প্রোগ্রাম ইনস্টল হওয়া, পাইরেটেড ডাউনলোড, সন্দেহজনক লগইন সতর্কতা), তাহলে এরপর সংরক্ষিত প্রতিটি পাসওয়ার্ড পরিবর্তন করাই—শুধু আপনার কাছে গুরুত্বপূর্ণ মনে হওয়া পাসওয়ার্ডটি নয়—একমাত্র উপায়, যাতে জানা যায় যে পুরোনো সংক্রমণটি ডেটা সংগ্রহকারী ব্যক্তির জন্য এখনও লাভ বয়ে আনছে না।
অমিলটিই শিক্ষা
এতটা গুরুত্বপূর্ণ একটি ঘটনা—সর্বোচ্চ ৩০ বছরের সাজা, বাধ্যতামূলক ন্যূনতম সাজা, ১০ কোটি মানুষের রেকর্ড—এত সাধারণ একটি প্রক্রিয়ার ওপর নির্ভর করেছে, ব্যাপারটিতে প্রায় অস্বস্তিকর কিছু আছে। কোনো শোষণ-শৃঙ্খল নয়, নতুন কোনো কৌশল নয়; শুধু এমন একটি পাসওয়ার্ড, যা বদলানোর কথা কেউ মনে করেনি, আর এমন একটি নিরাপত্তা সেটিং, যা কেউ চালু করেনি। সাজা ঘোষণার শিরোনামগুলো ম্লান হয়ে যাওয়ার পরও ঘটনাটি মনে রাখার কারণ এই অমিলই: সবচেয়ে বড় লঙ্ঘনগুলোর জন্য সাধারণত প্রতিভাবান আক্রমণকারীর দরকার হয় না। দরকার হয় এমন একটি শংসাপত্র, যা কখনও পরিবর্তন করা হয়নি, এমন একটি অ্যাকাউন্টে পড়ে থাকা অবস্থায়, যেখানে MFA কখনও চালু করা হয়নি।
