অনলাইন অ্যাকাউন্ট সুরক্ষায় কী জানা দরকার এবং কোথায় ভুল হচ্ছে

২০২৪ সালে বিশ্বজুড়ে নিশ্চিত হওয়া ডেটা ব্রিচের সংখ্যা ছিল ১০,৬২৬টি আগের বছরের প্রায় দ্বিগুণ। এর মধ্যে ৩৮% ক্ষেত্রে আক্রমণকারীরা প্রবেশ করেছে চুরি হওয়া ক্রেডেনশিয়াল দিয়ে, মানে ইউজারনেম আর পাসওয়ার্ড। দ্বিতীয় সবচেয়ে বড় কারণ ফিশিং, তৃতীয় ভালনারেবিলিটি এক্সপ্লয়টেশন। এই তিনটা মিলিয়ে সিংহভাগ ব্রিচের ছবি তৈরি হয় এবং তিনটার মধ্যে দুটো সরাসরি ব্যবহারকারীর আচরণের সাথে সম্পর্কিত।

পাসওয়ার্ড: সবচেয়ে পুরনো সমস্যা, এখনো সমাধান হয়নি

পাসওয়ার্ড নিয়ে পরামর্শ সবাই শুনেছে লম্বা রাখুন, জটিল করুন, বারবার ব্যবহার করবেন না। কিন্তু বাস্তব চিত্রটা অন্যরকম। Spacelift-এর ২০২৬ সালের পাসওয়ার্ড স্ট্যাটিস্টিক্স রিপোর্ট অনুযায়ী, ৮০% এর বেশি মানুষ কোনো না কোনোভাবে পাসওয়ার্ড রিইউজ করে। ৬০% মানুষ একাধিক সাইটে একই পাসওয়ার্ড ব্যবহার করে, এবং ১৩% সব অ্যাকাউন্টে একটাই পাসওয়ার্ড রাখে।

কেন এটা বিপজ্জনক? কারণ ক্রেডেনশিয়াল স্টাফিং নামে একটা অ্যাটাক টেকনিক আছে যেখানে এক সাইট থেকে লিক হওয়া পাসওয়ার্ড অটোমেটেড টুল দিয়ে হাজার হাজার অন্য সাইটে ট্রাই করা হয়। Akamai-এর রিপোর্ট অনুযায়ী বছরে প্রায় ১৯৩ বিলিয়ন ক্রেডেনশিয়াল স্টাফিং অ্যাটেম্পট হয় এটা কোনো ম্যানুয়াল প্রক্রিয়া না, পুরোটাই স্ক্রিপ্টেড এবং স্বয়ংক্রিয়।

আপনি হয়তো কোনো পুরনো ফোরামে যে পাসওয়ার্ড দিয়েছিলেন সেটা মনেও নেই কিন্তু সেটা যদি আপনার ইমেইল বা ব্যাংকিং অ্যাকাউন্টের পাসওয়ার্ডের সাথে মেলে, তাহলে সেই পুরনো লিক আজকের সমস্যা হয়ে দাঁড়ায়। এখানে আরেকটা সংখ্যা প্রাসঙ্গিক: গড়ে একজন মানুষের প্রায় ১৭০টা অনলাইন অ্যাকাউন্ট আছে। এত অ্যাকাউন্টে আলাদা পাসওয়ার্ড মনে রাখা মানবিকভাবেই অসম্ভব এবং ঠিক এই কারণেই পাসওয়ার্ড ম্যানেজারের বিকল্প নেই।

পাসওয়ার্ড ম্যানেজার ব্যবহারকারীদের মধ্যে ক্রেডেনশিয়াল থেফট বা আইডেন্টিটি থেফটের হার ১৭%, যেখানে ম্যানেজার ব্যবহার না করা মানুষদের মধ্যে এটা ৩২%। তবু আমেরিকায় মাত্র ৩৬% প্রাপ্তবয়স্ক পাসওয়ার্ড ম্যানেজার ব্যবহার করে বাংলাদেশে এই সংখ্যা নিঃসন্দেহে আরও কম।

ফিশিং: যেখানে টেকনোলজি নয়, মনোবিজ্ঞান কাজ করে

ফিশিং কোনো নতুন হুমকি না, কিন্তু এটা ক্রমশ পরিশীলিত হচ্ছে। ২০২৪ DBIR-এর ডেটায় দেখা গেছে, ব্রিচের ৩৬% ক্ষেত্রে ফিশিং কোনো না কোনোভাবে জড়িত ছিল। আর ইউজাররা ফিশিং ইমেইলে ক্লিক করছে ৬০ সেকেন্ডেরও কম সময়ে।

ফিশিং কাজ করে কারণ এটা টেকনিক্যাল দুর্বলতা এক্সপ্লয়ট করে না এটা মানুষের স্বাভাবিক প্রতিক্রিয়া এক্সপ্লয়ট করে। একটা ইমেইল যদি বলে “আপনার অ্যাকাউন্ট বন্ধ হয়ে যাবে, এখনই ভেরিফাই করুন” তাহলে ভয় থেকে মানুষ লিংকে ক্লিক করে, পাসওয়ার্ড দেয়, এবং ক্ষতি হয়ে যায়। এই পুরো প্রক্রিয়ায় কোনো ম্যালওয়্যার দরকার হয় না ইউজার নিজেই তথ্য দিয়ে দিচ্ছে।

সাম্প্রতিক ফিশিং ট্রেন্ডে কয়েকটা পরিবর্তন লক্ষ্যণীয়:

• SMS ফিশিং (স্মিশিং) বাড়ছে ইমেইলের চেয়ে SMS-এ মানুষ বেশি বিশ্বাস করে, তাই ক্লিক রেট বেশি
• QR কোড ফিশিং ভুয়া QR কোড স্ক্যান করালে ফিশিং পেজে নিয়ে যাওয়া হচ্ছে
• AI-জেনারেটেড কন্টেন্ট আগে ভুল বানান বা অদ্ভুত ভাষা দেখে ফিশিং চেনা যেত, এখন আর তা সম্ভব না
• টার্গেটেড ফিশিং (স্পিয়ার ফিশিং) সোশ্যাল মিডিয়া থেকে তথ্য নিয়ে ব্যক্তিবিশেষে কাস্টমাইজড আক্রমণ
• ভয়েস ফিশিং (ভিশিং) ফোন কলে ব্যাংক বা সার্ভিস প্রোভাইডার সেজে তথ্য নেওয়া

এই তালিকা থেকে একটা জিনিস পরিষ্কার: ফিশিং আর শুধু ইমেইলের ব্যাপার না। যেকোনো চ্যানেলে SMS, ফোন কল, সোশ্যাল মিডিয়া, এমনকি মেসেঞ্জারেও ফিশিং আসতে পারে।

বাংলাদেশের প্রেক্ষাপটে ফিশিং বিশেষভাবে কার্যকর কারণ ডিজিটাল লিটারেসি এখনো বিকাশের পর্যায়ে। অনেক মানুষ প্রথমবার স্মার্টফোনে ইন্টারনেট ব্যবহার শুরু করেছে, এবং URL ভেরিফাই করা বা সেন্ডার অথেন্টিসিটি চেক করার অভ্যাস তৈরি হয়নি। মোবাইল ব্যাংকিং, বিকাশ, নগদ এসব সার্ভিসের নামে ফিশিং মেসেজ খুবই কমন। একটা সাধারণ প্রতিরক্ষা: কোনো সার্ভিস যদি SMS বা ইমেইলে লিংক পাঠায় এবং তাড়াহুড়ো করায় (“এখনই করুন”, “অ্যাকাউন্ট বন্ধ হয়ে যাবে”), সেটা প্রায় নিশ্চিতভাবেই ফিশিং।

টু-ফ্যাক্টর অথেন্টিকেশন: কতটুকু কার্যকর, কোনটা বেশি নিরাপদ

পাসওয়ার্ড যতই শক্তিশালী হোক, সেটা একটা মাত্র স্তর। সেই স্তর ভাঙলে ফিশিং, ডেটাবেস লিক বা ব্রুট ফোর্সে অ্যাকাউন্ট সম্পূর্ণ উন্মুক্ত হয়ে পড়ে। দ্বিতীয় স্তরের ভেরিফিকেশন এই সমস্যার সমাধান করে: পাসওয়ার্ড জানলেও আক্রমণকারী ঢুকতে পারে না যদি দ্বিতীয় প্রমাণটা তার কাছে না থাকে। তবে সব পদ্ধতি একই মাত্রায় সুরক্ষা দেয় না কিছু পদ্ধতি সহজে বাইপাস করা যায়, কিছু কার্যত অভেদ্য।

মূল ধারণা

টু-ফ্যাক্টর অথেন্টিকেশন (2FA) বা মাল্টি-ফ্যাক্টর অথেন্টিকেশন (MFA) মানে পাসওয়ার্ডের পাশাপাশি আরেকটা ভেরিফিকেশন স্টেপ যোগ করা। Microsoft-এর ডেটা অনুযায়ী MFA চালু থাকলে ৯৯.৯% অটোমেটেড অ্যাটাক ব্লক হয়। Google-এর গবেষণায় দেখা গেছে, রিকভারি ফোন নম্বর যোগ করলে ১০০% অটোমেটেড বট, ৯৯% বাল্ক ফিশিং এবং ৬৬% টার্গেটেড আক্রমণ ঠেকানো যায়।

SMS-ভিত্তিক 2FA: সুবিধাজনক কিন্তু দুর্বল

সবচেয়ে পরিচিত পদ্ধতি হলো SMS OTP ফোনে একটা কোড আসে, সেটা দিয়ে লগইন সম্পন্ন হয়। এটা সহজ, কিন্তু কয়েকটা দিক থেকে দুর্বল। SIM সোয়াপিং-এর মাধ্যমে আক্রমণকারী আপনার ফোন নম্বরটাই নিজের SIM-এ নিয়ে নিতে পারে। Adversary-in-the-Middle (AiTM) আক্রমণে রিয়েল-টাইমে OTP ক্যাপচার করা সম্ভব। তবু কিছু না থাকার চেয়ে SMS 2FA অনেক ভালো এটা অটোমেটেড ক্রেডেনশিয়াল স্টাফিং এবং বেশিরভাগ ব্রুট ফোর্স অ্যাটাক ঠেকায়।

অথেন্টিকেটর অ্যাপ ও হার্ডওয়্যার কি: সর্বোচ্চ সুরক্ষা

Google Authenticator, Authy, বা Microsoft Authenticator-এর মতো অ্যাপ টাইম-বেসড ওয়ান-টাইম পাসওয়ার্ড (TOTP) তৈরি করে যেটা ৩০ সেকেন্ড পর পর বদলায়। এটা SMS-এর চেয়ে নিরাপদ কারণ এটা নেটওয়ার্কের ওপর নির্ভর করে না ফোনেই তৈরি হয়। আর সবচেয়ে শক্তিশালী অপশন হলো FIDO2/WebAuthn-ভিত্তিক হার্ডওয়্যার কি (YubiKey ইত্যাদি) বা পাসকি, যেগুলো ফিশিং-প্রুফ ভুয়া সাইটে কাজ করে না।

Bitwarden-এর ডেটায় দেখা গেছে ২০২৪ সালের শেষ দিকে দৈনিক পাসকি তৈরি ৫৫০% বেড়েছে। Google-এর ৮০ কোটি এবং Amazon-এর ১৭.৫ কোটি ইউজার পাসকি তৈরি করেছে। পাসওয়ার্ডমুক্ত ভবিষ্যত আসছে, কিন্তু এখনো পৌঁছায়নি ২০২৫ সালে মাত্র ৫–৭% ওয়ার্কফোর্স লগইন সম্পূর্ণ পাসওয়ার্ডবিহীন।

অ্যাকাউন্ট রিকভারি: যে দরজাটা খোলা থাকে

বেশিরভাগ মানুষ পাসওয়ার্ড আর 2FA নিয়ে ভাবে, কিন্তু অ্যাকাউন্ট রিকভারি অপশনটা ভুলে যায়। অথচ আক্রমণকারীরা প্রায়ই সামনের দরজা (পাসওয়ার্ড) না ভেঙে পেছনের দরজা (রিকভারি) দিয়ে ঢোকে।

কীভাবে? কয়েকটা উদাহরণ:

• রিকভারি ইমেইল যদি একটা পুরনো, অরক্ষিত ইমেইল হয় যেটায় 2FA নেই
• সিকিউরিটি প্রশ্নের উত্তর যদি সোশ্যাল মিডিয়া থেকে বের করা যায় (যেমন: “আপনার প্রথম পোষা প্রাণীর নাম কী?”)
• রিকভারি ফোন নম্বর যদি পুরনো হয় এবং আর ব্যবহার হচ্ছে না সেই নম্বর অন্য কেউ পেতে পারে

অ্যাকাউন্ট রিকভারি সেটিংস চেক করা উচিত অন্তত বছরে একবার বিশেষ করে ইমেইল, ব্যাংকিং, এবং সোশ্যাল মিডিয়া অ্যাকাউন্টে। অনেক প্ল্যাটফর্ম এখন রিকভারি কোড দেয় একগুচ্ছ ওয়ান-টাইম কোড যেগুলো নিরাপদ জায়গায় রাখা যায় এবং ফোন হারালে বা 2FA ডিভাইস না থাকলে ব্যবহার করা যায়। এই কোডগুলো জেনারেট করে কাগজে লিখে নিরাপদ স্থানে রাখা একটা গুরুত্বপূর্ণ অভ্যাস যেটা বেশিরভাগ মানুষ করে না।

কোন অ্যাকাউন্ট কতটা গুরুত্বপূর্ণ: একটা বাস্তব হিসাব

সব অ্যাকাউন্ট সমান গুরুত্বপূর্ণ না, এবং সব অ্যাকাউন্টে একই মাত্রার সুরক্ষা দরকারও না। একটা পুরনো ফোরাম অ্যাকাউন্ট হ্যাক হলে ক্ষতি সীমিত হয়তো ইউজারনেম আর ইমেইল বেরিয়ে যাবে। কিন্তু প্রাইমারি ইমেইল হ্যাক হলে সেখান থেকে অন্য সব অ্যাকাউন্টের রিসেট লিংক পাওয়া যায় মানে একটা ব্রিচ চেইন রিঅ্যাকশন ঘটায়। ইমেইল হলো ডিজিটাল আইডেন্টিটির কেন্দ্রবিন্দু: এটা হারালে বাকি সব হারানোর সম্ভাবনা তৈরি হয়।

তাই সুরক্ষার পদক্ষেপ নেওয়ার সময় প্রায়োরিটি ঠিক করা জরুরি। নিচের টেবিলে অ্যাকাউন্ট ধরন অনুযায়ী ঝুঁকি এবং প্রস্তাবিত পদক্ষেপ দেওয়া হলো:

এই টেবিলে “ইউনিক পাসওয়ার্ড” বারবার আসছে কারণ সুরক্ষার সবচেয়ে মৌলিক স্তর এটাই। ১৭০টা অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড মনে রাখা অসম্ভব, তাই পাসওয়ার্ড ম্যানেজার ব্যবহার করাটা ঐচ্ছিক না প্রায় বাধ্যতামূলক। Bitwarden, 1Password, বা KeePass বিনামূল্যে ও পেইড দুটো অপশনই আছে। গুরুত্বপূর্ণ হলো শুরু করা। আপনি যদি আজ শুধু ইমেইল আর ব্যাংকিং অ্যাকাউন্টের পাসওয়ার্ড ম্যানেজারে সরিয়ে নেন এবং সেগুলো ইউনিক করেন শুধু এটুকু করলেই আপনার ঝুঁকি উল্লেখযোগ্যভাবে কমে যাবে।

পাবলিক ওয়াইফাই, শেয়ার্ড ডিভাইস, এবং প্রতিদিনের ঝুঁকি

সাইবার সিকিউরিটি আলোচনায় বড় বড় হ্যাকের কথা আসে, কিন্তু প্রতিদিনের ছোট ছোট অভ্যাস আসলে বেশি ক্ষতি করে। কয়েকটা সাধারণ পরিস্থিতি:

• ক্যাফে বা এয়ারপোর্টের ওপেন ওয়াইফাইতে লগইন করা এনক্রিপশন না থাকলে ডেটা ইন্টারসেপ্ট হতে পারে
• অন্যের ফোন বা কম্পিউটারে লগইন করে লগআউট ভুলে যাওয়া
• ব্রাউজারে “পাসওয়ার্ড মনে রাখুন” অপশনে ক্লিক করা শেয়ার্ড ডিভাইসে
• অ্যাপ পারমিশন না পড়ে “Allow All” দেওয়া
• পুরনো অ্যাপ আনইনস্টল না করে রেখে দেওয়া যেগুলোতে অ্যাকাউন্ট লিংকড আছে

এই অভ্যাসগুলোর প্রতিটা একটা ছোট উইন্ডো খুলে দেয় যেটা দিয়ে আক্রমণকারী ঢুকতে পারে। ধরুন কেউ Winn Bet বা অন্য কোনো অনলাইন প্ল্যাটফর্মে লগইন করছে কোনো শেয়ার্ড কম্পিউটার থেকে – যদি সেশন অ্যাক্টিভ থেকে যায় বা ব্রাউজার পাসওয়ার্ড সেভ করে রাখে, তাহলে পরবর্তী ইউজার সেই অ্যাকাউন্টে ঢুকতে পারে। এটা হ্যাকিং না – এটা শুধু অসাবধানতা।

VPN ব্যবহার পাবলিক ওয়াইফাইতে একটা ভালো প্রতিরক্ষা, কিন্তু সেটাও সিলভার বুলেট না। VPN আপনার ডেটা এনক্রিপ্ট করে ট্রান্সমিশনে, কিন্তু ফিশিং লিংকে ক্লিক করা বা দুর্বল পাসওয়ার্ড দেওয়া থেকে রক্ষা করে না। সবচেয়ে কার্যকর অভ্যাস হলো: শেয়ার্ড নেটওয়ার্ক বা ডিভাইসে সেনসিটিভ অ্যাকাউন্টে লগইন এড়িয়ে চলা। যদি একান্তই দরকার হয়, প্রাইভেট/ইনকগনিটো মোডে ব্রাউজার খুলুন, কাজ শেষে লগআউট করুন, এবং সেশন ক্লোজ করুন। ব্রাউজার পাসওয়ার্ড সেভ করতে চাইলে কখনো “Yes” দেবেন না শেয়ার্ড ডিভাইসে।

ডেটা ব্রিচ চেক এবং ডিজিটাল সচেতনতা: টুলের চেয়ে মানসিকতা বেশি গুরুত্বপূর্ণ

অনেকে মনে করে “আমাকে তো কেউ টার্গেট করবে না” কিন্তু বেশিরভাগ ব্রিচ টার্গেটেড না, ম্যাসিভ। একটা সার্ভিসের ডেটাবেস লিক হলে সেখানে লাখ লাখ ইউজারের তথ্য একসাথে বেরিয়ে আসে। ২০২৪ সালে ডার্কনেটে প্রায় ২৮০ কোটি পাসওয়ার্ড বিক্রি বা বিনামূল্যে শেয়ার করা হয়েছে। এই পাসওয়ার্ডগুলো কিনে নিয়ে ক্রেডেনশিয়াল স্টাফিং চালানো হয় – অটোমেটেড স্ক্রিপ্ট হাজার হাজার সাইটে এগুলো ট্রাই করে।

আপনার ইমেইল বা ফোন নম্বর কোনো ব্রিচে আছে কি না সেটা চেক করার উপায় আছে। Have I Been Pwned (haveibeenpwned.com) সবচেয়ে পরিচিত টুল – ইমেইল দিলে দেখায় কোন কোন ব্রিচে সেটা পাওয়া গেছে। Google-এর Password Checkup টুলও Chrome ব্রাউজারে সেভ করা পাসওয়ার্ড ব্রিচ ডেটার সাথে মিলিয়ে দেখে। এই টুলগুলো বিনামূল্যে, এবং এগুলো ব্যবহার করতে কোনো টেকনিক্যাল জ্ঞান দরকার নেই।

যদি দেখেন আপনার ইমেইল কোনো ব্রিচে আছে, তাহলে করণীয়:

1. সেই সার্ভিসের পাসওয়ার্ড তাৎক্ষণিক বদলান
2. অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করলে সেগুলোও বদলান
3. সেই অ্যাকাউন্টে 2FA চালু করুন যদি আগে না থাকে
4. অ্যাকাউন্টের অ্যাক্টিভিটি লগ চেক করুন অপরিচিত লগইনের জন্য
5. ব্রিচে যদি ফিনান্সিয়াল ডেটা থাকে, তাহলে ব্যাংক স্টেটমেন্ট মনিটর করুন

কিন্তু শুধু টুল দিয়ে ব্রিচ চেক করলেই নিরাপত্তা নিশ্চিত হয় না। সাইবারসিকিউরিটি প্রোডাক্ট কেনা যায়, কিন্তু ডিজিটাল সচেতনতা কেনা যায় না – সেটা তৈরি করতে হয়। সচেতনতা মানে প্রতিটা ক্লিকের আগে এক সেকেন্ড ভাবা: এই লিংকটা কোথা থেকে এলো? এই অ্যাপটা কেন আমার কন্টাক্ট লিস্টে অ্যাক্সেস চাইছে? এই ইমেইলটা কি সত্যিই আমার ব্যাংক থেকে এসেছে?

Verizon-এর রিপোর্ট অনুযায়ী ৭৪% ব্রিচে মানবিক উপাদান জড়িত মানে ভুল ক্লিক, দুর্বল পাসওয়ার্ড, ভুল কনফিগারেশন, অথবা সোশ্যাল ইঞ্জিনিয়ারিং-এ পা দেওয়া। এর মানে হলো সবচেয়ে দামি ফায়ারওয়াল বা অ্যান্টিভাইরাসও কাজ করবে না যদি ইউজার নিজে একটা ফিশিং লিংকে পাসওয়ার্ড দিয়ে দেয়।

কিছু অভ্যাস যেগুলো টুলের চেয়ে বেশি কাজ করে:

• প্রতিটা গুরুত্বপূর্ণ অ্যাকাউন্টে আলাদা, র‍্যান্ডম পাসওয়ার্ড ব্যবহার করুন – পাসওয়ার্ড ম্যানেজার দিয়ে
• 2FA চালু করুন সব জায়গায় যেখানে অপশন আছে – অথেন্টিকেটর অ্যাপ প্রাধান্য দিন, SMS শেষ বিকল্প হিসেবে রাখুন
• ইমেইল বা SMS-এ আসা লিংকে ক্লিক না করে সরাসরি ব্রাউজারে গিয়ে সাইটটা খুলুন
• অ্যাকাউন্ট অ্যাক্টিভিটি নিয়মিত চেক করুন – Gmail, Facebook, Instagram সবার “সিকিউরিটি অ্যাক্টিভিটি” সেকশন আছে
• ব্যবহার হচ্ছে না এমন পুরনো অ্যাকাউন্ট ডিলিট করুন – প্রতিটা অ্যাকাউন্ট একটা সম্ভাব্য অ্যাটাক সারফেস

এই পদক্ষেপগুলোর কোনোটাই জটিল না। কোনোটার জন্য টাকা লাগে না। কিন্তু এগুলো ধারাবাহিকভাবে মেনে চললে অনলাইন অ্যাকাউন্টের সুরক্ষা উল্লেখযোগ্যভাবে বাড়ে – কারণ বেশিরভাগ আক্রমণ সবচেয়ে সহজ টার্গেটকে বেছে নেয়, এবং সামান্য সুরক্ষা থাকলেই আক্রমণকারী পরের টার্গেটে চলে যায়।

শেষ কথা হলো, ডিজিটাল নিরাপত্তা কোনো গন্তব্য না এটা একটা চলমান অভ্যাস। নতুন হুমকি আসবে, নতুন টুল আসবে, কিন্তু মূল নীতি একই থাকবে: প্রতিটা অ্যাকাউন্টে আলাদা পাসওয়ার্ড, দ্বিতীয় স্তরের ভেরিফিকেশন, এবং প্রতিটা ক্লিকের আগে এক মুহূর্ত চিন্তা। এই তিনটা অভ্যাস একসাথে মেনে চললে আপনি ইন্টারনেটের ৯৫% স্বয়ংক্রিয় আক্রমণের বাইরে থাকবেন।