এই বছর প্রতি কয়েক সপ্তাহ পরপরই নতুন কোনো ডেটা লঙ্ঘনের শিরোনাম এসেছে। স্বাভাবিক প্রতিক্রিয়া হলো নিজেকে অস্পষ্টভাবে ঝুঁকির মধ্যে মনে করা, তারপর কিছুই না করা—কারণ ব্যক্তিগতভাবে আপনার ক্ষেত্রে “ঝুঁকিতে থাকা” বলতে আসলে কী বোঝায়, তা স্পষ্ট নয়। সেই অস্পষ্ট দুশ্চিন্তাকে নির্দিষ্ট উত্তরে পরিণত করার একটি দ্রুত উপায় আছে: ঠিক এই কাজের জন্য তৈরি একটি বিনামূল্যের টুল ব্যবহার করে দেখুন, আপনার নিজের ইমেল ঠিকানা বা পাসওয়ার্ড কোনো পরিচিত ডেটা লঙ্ঘনে দেখা গেছে কি না। কীভাবে এটি সঠিকভাবে করবেন, এবং—যে অংশটি বেশিরভাগ মানুষ এড়িয়ে যায়—ফলাফল পাওয়ার পর আসলে কী করবেন, তা এখানে দেওয়া হলো।
Have I Been Pwned আসলে কী
Have I Been Pwned (HIBP) হলো নিরাপত্তা গবেষক Troy Hunt-এর তৈরি ও পরিচালিত একটি বিনামূল্যের ডেটা লঙ্ঘন অনুসন্ধান পরিষেবা। ইতিমধ্যে ঘটে যাওয়া লঙ্ঘন—কোম্পানির প্রকাশিত তথ্য, নিরাপত্তা গবেষকদের তথ্য, কখনও কখনও প্রকাশ্যে ঘুরে বেড়ানো চুরি হওয়া ডেটাসেট—সংগ্রহ করে এটি কাজ করে এবং কোন কোন ইমেল ঠিকানা ও পাসওয়ার্ডে সেগুলো দেখা গেছে তা ইনডেক্স করে, যাতে আপনাকে নিজে কিছু ডাউনলোড করতে না হয়। এটি কোনো সরকারি টুল নয়, তবে সরকারগুলো এটি বিশ্বাস করে: এই বছর পর্যন্ত 47টি জাতীয় সরকার নিজেদের সরকারি ডোমেইন ডেটা উন্মুক্ত হয়েছে কি না তা পর্যবেক্ষণে এটি ব্যবহার করছে; সর্বশেষ যুক্ত হয়েছে Nepal। এটি যে কোনো ভাঁওতাবাজ সাইটের বদলে একটি বৈধ ও ব্যাপকভাবে নির্ভরযোগ্য পরিষেবা—এমনটা বোঝার জন্য এটি যথেষ্ট যুক্তিসংগত ইঙ্গিত; কারণ ডেটা লঙ্ঘন যাচাইয়ের নকল ও দেখতে একই রকম সাইট সত্যিই আছে (এ বিষয়ে পরে আরও বলা হবে)।
ধাপ 1: আপনি সত্যিই ব্যবহার করেন এমন প্রতিটি ইমেল ঠিকানা পরীক্ষা করুন
সরাসরি haveibeenpwned.com-এ যান—ইমেল বা বিজ্ঞাপনের কোনো লিংকে ক্লিক না করে নিজে URL টাইপ করুন। আপনার ইমেল ঠিকানা লিখে অনুসন্ধান করুন। আপনি যে প্রতিটি ঠিকানা ব্যবহার করেন, সেগুলোর জন্য এটি করুন; শুধু প্রধান ঠিকানাটির জন্য নয়: এক দশক আগের পুরোনো Hotmail বা Yahoo অ্যাকাউন্ট, আপনার কাজের ইমেল, কিংবা ফোরামে নিবন্ধনের সময় ব্যবহার করা অস্থায়ী ঠিকানাটিও। পুরোনো, প্রায় ভুলে যাওয়া অ্যাকাউন্টগুলোই প্রায়ই সবচেয়ে পুরোনো ও কম-সুরক্ষিত ডেটা লঙ্ঘনে পড়ে থাকে, আর আপনি যদি সেগুলোর কোনো পাসওয়ার্ড অন্য কোথাও পুনর্ব্যবহার করে থাকেন, তাহলে সেই পুনর্ব্যবহারই আসল ঝুঁকি।
ধাপ 2: ডেটা লঙ্ঘনে আসলে কী উন্মুক্ত হয়েছে তা পড়ুন—শুধু সংখ্যাটি দেখে চলে যাবেন না
“এই ইমেল 6টি ডেটা লঙ্ঘনে দেখা গেছে”—এমন তথ্য নিজে থেকে খুব কার্যকর নয়। প্রতিটির বিস্তারিত খুলে দেখুন। নির্দিষ্ট সেই ডেটা লঙ্ঘনে কোন ধরনের তথ্য উন্মুক্ত হয়েছে, HIBP তা দেখায়—যেমন ইমেল ঠিকানা, পাসওয়ার্ড (সাধারণত হ্যাশ হিসেবে সংরক্ষিত, তবে কোম্পানি নিরাপত্তা কতটা খারাপভাবে পরিচালনা করেছে তার ওপর নির্ভর করে কখনও কখনও প্লেইনটেক্সটেও), নাম, ফোন নম্বর, বাসার ঠিকানা বা IP ঠিকানা। শুধু আপনার ইমেল ঠিকানা কোনো মার্কেটিং তালিকায় ফাঁস হওয়া এবং আপনার ইমেলের সঙ্গে প্লেইনটেক্সট পাসওয়ার্ড ও বাসার ঠিকানা ফাঁস হওয়া—দুটি সম্পূর্ণ ভিন্ন সমস্যা। ডেটা লঙ্ঘনের নাম কতটা পরিচিত তার ভিত্তিতে নয়, আসলে কী নেওয়া হয়েছে তার ভিত্তিতে অগ্রাধিকার নির্ধারণ করুন।
আরও মনে রাখুন, HIBP “সংবেদনশীল” ডেটা লঙ্ঘনের জন্য আলাদা একটি বিভাগ রাখে—যেসব সাইটে সদস্য হিসেবে তালিকাভুক্ত থাকাটাই সংবেদনশীল (যেমন প্রাপ্তবয়স্কদের কনটেন্ট বা স্বাস্থ্য-সম্পর্কিত পরিষেবা)। এগুলো ডিফল্ট ফলাফলে দেখানো হয় না; দেখতে হলে আপনাকে স্পষ্টভাবে সম্মতি দিতে হবে। এটি HIBP-এর ইচ্ছাকৃত গোপনীয়তা-সংক্রান্ত সিদ্ধান্ত, কোনো ত্রুটি নয়।
ধাপ 3: ইমেল থেকে আলাদাভাবে আপনার পাসওয়ার্ড পরীক্ষা করুন
HIBP-এর Pwned Passwords নামে একটি দ্বিতীয়, স্বতন্ত্র টুল আছে, যা ভিন্ন একটি প্রশ্নের উত্তর দেয়: নির্দিষ্ট এই পাসওয়ার্ডটি কোনো ডেটা লঙ্ঘনের ডেটাসেটে কখনও দেখা গেছে কি না—এটি কোন সাইটের সঙ্গে যুক্ত ছিল তা নির্বিশেষে। এটি গুরুত্বপূর্ণ, কারণ আপনার নির্দিষ্ট অ্যাকাউন্টটি লঙ্ঘিত না হলেও কোনো পাসওয়ার্ড ফাঁস হতে পারে—যদি একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করে থাকেন এবং সেই সাইট আক্রান্ত হয়ে থাকে। টুলটি এমনভাবে তৈরি যে পরীক্ষা করার জন্য আপনাকে কখনও পুরো পাসওয়ার্ড পাঠাতে হয় না: এটি k-anonymity নামের একটি কৌশল ব্যবহার করে, যেখানে পাসওয়ার্ডের হ্যাশের কেবল একটি ছোট আংশিক অংশ পাঠানো হয় এবং HIBP কখনও পুরো পাসওয়ার্ড না দেখেই মিল খুঁজে বের করা হয়। বাস্তবে, পদ্ধতিটির চেয়ে মূল কথাটি সহজ: সেখানে পাসওয়ার্ড পরীক্ষা করা নিরাপদ, তবে HIBP নিজে নয়—এমন অন্য কোনো “ডেটা লঙ্ঘন যাচাই” সাইটে কখনও আসল পাসওয়ার্ড লিখবেন না।
ফলাফল নিয়ে আসলে কী করবেন
এই ধাপটিই মানুষ এড়িয়ে যায়—তারা পরীক্ষা করে, কিছুক্ষণের জন্য আতঙ্কিত হয়, তারপর ট্যাব বন্ধ করে দেয়। ফলাফলে যা কিছু এসেছে, তার জন্য এই তালিকা ধরে কাজ করুন:
- পাসওয়ার্ড উন্মুক্ত হিসেবে দেখানো হয়েছে: নির্দিষ্ট সেই সাইটে এখনই এটি বদলান—এবং একই বা কাছাকাছি পাসওয়ার্ড যেসব অন্য সাইটে ব্যবহার করেছেন, সেখানেও বদলান। নিজের সঙ্গে সৎ থাকুন; পাসওয়ার্ড পুনর্ব্যবহারই আজ একটি পুরোনো ডেটা লঙ্ঘন থেকে একাধিক অ্যাকাউন্ট আক্রান্ত হওয়ার সবচেয়ে বড় কারণ।
- উন্মুক্ত পাসওয়ার্ড থাকা যেকোনো অ্যাকাউন্ট: দুই-ধাপ যাচাইকরণ (2FA) চালু করুন অথবা, যেখানে সুবিধাটি আছে, পাসকি ব্যবহার করুন। ভবিষ্যতে আবার পাসওয়ার্ড ফাঁস হলে ক্ষতি সীমিত করার ক্ষেত্রে এটাই আসল পদক্ষেপ—যেকোনো একক পাসওয়ার্ড বদলের চেয়ে এটি বেশি টেকসই।
- নিরাপত্তা-সংক্রান্ত প্রশ্ন বা উত্তর ডেটা লঙ্ঘনের অংশ ছিল: এখন থেকে ওই নির্দিষ্ট উত্তরগুলোকে চিরতরে প্রকাশ্য বলে ধরে নিন। অন্য কোথাও আসল উত্তর পুনর্ব্যবহার করবেন না; সাইটটি অনুমতি দিলে নিজের সম্পর্কে সত্য তথ্যের বদলে পাসওয়ার্ড ম্যানেজারে সংরক্ষিত একটি এলোমেলো স্ট্রিং ব্যবহার করুন।
- আর্থিক তথ্য, সরকারি পরিচয়পত্র নম্বর বা SSN ডেটা লঙ্ঘনের অংশ ছিল: এটি শুধু পাসওয়ার্ড বদলানোর বিষয় নয়। ক্রেডিট ফ্রিজ বা জালিয়াতি সতর্কতা দেওয়ার বিষয়ে প্রধান ক্রেডিট ব্যুরোগুলোর সঙ্গে যোগাযোগ করুন এবং পরবর্তী কয়েক মাস ওই অ্যাকাউন্টের স্টেটমেন্টে অপরিচিত কোনো কার্যকলাপ আছে কি না নজর রাখুন।
- ডেটা লঙ্ঘনটি পুরোনো এবং এরপর আপনি ইতিমধ্যে পাসওয়ার্ড বদলেছেন: সম্ভবত আবার কিছু করার প্রয়োজন নেই—তবে পুরোনো পাসওয়ার্ডটি কোনো নতুন অ্যাকাউন্টে বহন করে নিয়ে যাননি, তা নিশ্চিত করতে একবার যাচাই করে নেওয়া ভালো।
- আপনি একাধিক পুরোনো, পুনর্ব্যবহৃত পাসওয়ার্ড পেয়েছেন: এখন থেকেই পাসওয়ার্ড ম্যানেজার ব্যবহার শুরু করার উপযুক্ত সময়—আগামী বছর যেন আবার এই অনুশীলনকে জরুরি পরিস্থিতি হিসেবে সামলাতে না হয়, সে জন্য এটি আলাদা ও অনন্য পাসওয়ার্ড তৈরি ও সংরক্ষণ করবে।
সতর্কতা চালু করুন, যাতে চিরকাল নিজে হাতে এটি করতে না হয়
HIBP-এর বিনামূল্যের “notify me” সাবস্ক্রিপশন আছে: আপনার ইমেল ঠিকানা(গুলো) নিবন্ধন করুন, তাহলে ভবিষ্যতের কোনো ডেটা লঙ্ঘনে সেগুলো দেখা গেলে আপনাকে মনে করে পরীক্ষা করতে হবে না—HIBP স্বয়ংক্রিয়ভাবে ইমেল করবে। ধাপ 1-এ আপনি যে প্রতিটি ইমেল অনুসন্ধান করেছেন, সেগুলোর জন্য এটি করা মূল্যবান—আপনার কোনো নিয়মিত প্রচেষ্টা ছাড়াই এটি একবারের পরীক্ষাকে চলমান সুরক্ষায় পরিণত করে।
এই টুল আপনাকে যা বলতে পারে না
এখানে সীমাবদ্ধতাগুলো সম্পর্কে সৎ থাকা দরকার। HIBP কেবল সেই ডেটা লঙ্ঘনের বিষয়ে জানাতে পারে, যেগুলো আবিষ্কৃত, প্রকাশিত এবং তার ডেটাবেসে যুক্ত হয়েছে—চুরি হওয়া কিন্তু এখনও খুঁজে পাওয়া যায়নি, ব্যক্তিগতভাবে বিক্রি হয়েছে, অথবা কখনও প্রকাশ্যে আসেনি এমন stealer-log ডাম্পে পড়ে আছে—এমন ডেটার ওপর এর কোনো নজর নেই। পরিষ্কার ফলাফল (“সুসংবাদ—কোনো পwnage পাওয়া যায়নি!”) মানে হলো কোনো *পরিচিত* প্রকাশ্য ডেটা লঙ্ঘনে ওই ইমেলটি নেই; এর অর্থ এই নয় যে আপনার অ্যাকাউন্টগুলো অক্ষত, এবং এটি অনন্য পাসওয়ার্ড ও 2FA-এর মতো প্রাথমিক নিরাপত্তা অভ্যাসের বিকল্পও নয়। পরিষ্কার অনুসন্ধানকে একটি তথ্য হিসেবে দেখুন, সম্পূর্ণ নিরাপদ থাকার নিশ্চয়তা হিসেবে নয়।
আরও একটি কথা: শুধু আসল সাইটকেই বিশ্বাস করুন
ডেটা লঙ্ঘন নিয়ে উদ্বেগকেও প্রতারকেরা কাজে লাগায়, তাই কোথায় পরীক্ষা করছেন সে বিষয়ে সচেতন থাকুন। কোনো ডেটা লঙ্ঘন-সতর্কতা দাবি করা ইমেল বা টেক্সটে ফরওয়ার্ড করা লিংকে ক্লিক না করে সরাসরি haveibeenpwned.com ব্যবহার করুন—এটি ফিশিংয়ের চিরাচরিত কৌশল। বৈধ পাসওয়ার্ড-পরীক্ষার টুলটির কাজ করার জন্য কখনও আপনার পুরো পাসওয়ার্ডের প্রয়োজন হয় না; কোনো সাইট যদি “আপনার পাসওয়ার্ড ফাঁস হয়েছে কি না পরীক্ষা করতে” সম্পূর্ণ পাসওয়ার্ড লিখতে বলে, তাহলে সেটি সুবিধা নয়, বিপদের সংকেত।
দ্রুত চেকলিস্ট
- haveibeenpwned.com-এ আপনি নিয়মিত ব্যবহার করেছেন এমন প্রতিটি ইমেল ঠিকানা খুঁজুন
- প্রতিটি ডেটা লঙ্ঘনের ফলাফল খুলে আসলে কী কী তথ্য নেওয়া হয়েছিল তা পড়ুন
- আলাদা Pwned Passwords টুলে আপনি সচরাচর ব্যবহার করেন এমন পাসওয়ার্ডগুলো পরীক্ষা করুন
- যে পাসওয়ার্ড ফাঁস হয়েছে, আপনি যেখানেই তা পুনরায় ব্যবহার করে থাকুন না কেন, বদলে ফেলুন
- আপনার গুরুত্বপূর্ণ অ্যাকাউন্টগুলোতে, বিশেষ করে ইমেলে, 2FA বা passkeys চালু করুন
- আর্থিক বা পরিচয়সংক্রান্ত তথ্য ফাঁস হয়ে থাকলে ক্রেডিট ফ্রিজ করুন
- প্রতিটি ইমেল ঠিকানায় ভবিষ্যতের ডেটা লঙ্ঘন সম্পর্কে বিনামূল্যের বিজ্ঞপ্তি পাওয়ার জন্য সাইন আপ করুন
- এখনও ব্যবহার না করে থাকলে পাসওয়ার্ড ম্যানেজার ব্যবহার শুরু করুন
