পরামর্শটি এত চেনা যে আর কানে ঢোকে না: পাসওয়ার্ড পুনর্ব্যবহার করবেন না, একটি পাসওয়ার্ড ম্যানেজার নিন। গবেষণাটিকে আকর্ষণীয় করে তোলে এই যে, ওই বাক্যের দ্বিতীয় অর্ধেকটি শুনতে যতটা কার্যকর, আসলে তার চেয়ে অনেক দুর্বল সমাধান।
সংখ্যাগুলো আসলে যা বলে
হিসাবগুলো একই এলাকায় মিলে যায়। মোটামুটি ৮০ শতাংশ মানুষ কোনো না কোনোভাবে পাসওয়ার্ড পুনর্ব্যবহার করেন; গড়ে একটি পাসওয়ার্ড ব্যবহার হয় প্রায় ২.৭ বার, আর সাধারণ ব্যবহারকারী বিভিন্ন অ্যাকাউন্টের মধ্যে ভাগাভাগি করেন প্রায় আটটি পাসওয়ার্ড—অফিস আর ব্যক্তিগত অ্যাকাউন্টের মধ্যেও।
সরবরাহের দিকটিও তেমনই বড়। ক্রেডেনশিয়াল স্টাফিং তালিকাগুলোতে আছে প্রায় ২০০ কোটি অনন্য ই-মেইল ঠিকানা আর ১০০ কোটির বেশি পাসওয়ার্ড; শুধু ২০২৫ সালের প্রথম ছয় মাসেই ইনফোস্টিলার ম্যালওয়্যার সংগ্রহ করেছে প্রায় ১৮০ কোটি ক্রেডেনশিয়াল। প্রায় ২২ শতাংশ তথ্য ফাঁসে ক্রেডেনশিয়াল স্টাফিং জড়িত, আর চুরি যাওয়া ক্রেডেনশিয়ালই মোটামুটি অর্ধেক ফাঁসের প্রাথমিক পথ।
আক্রমণটি আসলে যেভাবে চলে
ক্রেডেনশিয়াল স্টাফিং আন্দাজ করা নয়। এটি একটি সরবরাহ শিকল।
- সংগ্রহ। ক্রেডেনশিয়াল আসে তথ্য ফাঁস থেকে, সংক্রমিত যন্ত্রে থাকা ইনফোস্টিলার ম্যালওয়্যার থেকে, বা ফিশিং থেকে।
- স্টাফিং। বট প্রতিটি ইউজারনেম-পাসওয়ার্ড জোড়া চালিয়ে দেখে সম্পর্কহীন কয়েক শ সেবায়—ব্যাংক, ই-মেইল, কেনাকাটা, ক্লাউড স্টোরেজ, অফিসের লগইন।
- অর্থায়ন। যা খোলে, তা দিয়ে প্রতারণা হয়, তা বিক্রি হয়, কিংবা তা হয়ে ওঠে নিয়োগকর্তার ভেতরে ঢোকার পা রাখার জায়গা।
যে ধাপটি বেশির ভাগ মানুষ কম গুরুত্ব দেন, তা হলো এতে এখন ছক পূর্বানুমানও যুক্ত। ফাঁস হওয়া পাসওয়ার্ড যদি হয় Summer2024!, আধুনিক সরঞ্জাম চেষ্টা করবে Winter2025!, Summer2025! আর এমন লম্বা সারি। প্রচলিত প্রতিরক্ষা—একটি মূল পাসওয়ার্ড রেখে সাইটভেদে সামান্য বদল—ঠিক এটিই এ পদ্ধতি হারিয়ে দেয়। ফাঁস হওয়া পাসওয়ার্ডের সঙ্গে ৯০ শতাংশ মিলে যাওয়া পাসওয়ার্ড আলাদা পাসওয়ার্ড নয়।
যে ফল প্রচলিত পরামর্শকে জটিল করে
এ ফলটি নিয়ে ভাবা দরকার। এক একাডেমিক গবেষণায় দেখা গেছে, অংশগ্রহণকারীরা নিজেদের অর্ধেকের বেশি পাসওয়ার্ড পুনর্ব্যবহার করেছেন—অথচ ৯৪ শতাংশ জানিয়েছেন তাঁরা পাসওয়ার্ড ম্যানেজার ব্যবহার করেন। পাসওয়ার্ড তৈরি করতে নিয়মিত ম্যানেজার ব্যবহার করেছেন মাত্র ২৬ শতাংশ।
পরামর্শটি যে সমস্যার কথা বলে, এটি তার চেয়ে ভিন্ন সমস্যা। এই মানুষেরা সরঞ্জামটি বসিয়েছেন। তাতে পাসওয়ার্ড রাখছেনও। তবু তাঁরা নিজের বানানো আর মনে রাখা একটি পাসওয়ার্ডই টাইপ করছেন, পুনর্ব্যবহার করছেন—আর ম্যানেজারটি কাজ করছে জেনারেটর হিসেবে নয়, ফাইল রাখার আলমারি হিসেবে।
আলাদাভাবে, মাত্র প্রায় ৩০ শতাংশ মানুষ আদৌ ম্যানেজার ব্যবহার করেন—অর্থাৎ ছবিটি হলো, সংখ্যালঘু একটি অংশ সরঞ্জামটি ব্যবহার করছেন, আর তাঁদের মধ্যেও সংখ্যালঘু একটি অংশ ব্যবহার করছেন সেই অংশটি, যা আসলে সমস্যার সমাধান করে।
এ থেকে যা আসে
- তৈরি করাই মূল সুবিধা, রেখে দেওয়া নয়। এখনো নিজে পাসওয়ার্ড বাছলে ম্যানেজারটি কাজটিই করছে না। প্রতিবার জেনারেট বোতামটি ব্যবহার করুন, আর কী তৈরি হলো তা দেখার দরকারই নেই।
- ক্ষতির ক্রম অনুযায়ী ঠিক করুন। আগে ই-মেইল—কারণ বাকি সবকিছুর রিসেট পথ ওটিই—তারপর ব্যাংক আর পেমেন্টের তথ্য রাখা সবকিছু, তারপর বাকিগুলো। এক সন্ধ্যায় ২০০ অ্যাকাউন্ট করার দরকার নেই।
- যেখানে গুরুত্বপূর্ণ সেখানে দ্বিতীয় স্তর চালু করুন, সম্ভব হলে পাসকি বা অথেনটিকেটর অ্যাপ। পাসওয়ার্ডের চেয়ে বেশি কিছু লাগে এমন অ্যাকাউন্টে ক্রেডেনশিয়াল স্টাফিং ব্যর্থ হয়—এ কারণেই একটিমাত্র সঠিক পাসওয়ার্ড আর পুরো প্রতিরক্ষা নয়।
- নিজের ঝুঁকি যাচাই করুন। ফাঁস-বিজ্ঞপ্তির সেবাগুলো জানিয়ে দেয়, আপনার কোন ঠিকানা পরিচিত ডাম্পে আছে। সেখানে যা আছে, তা বদলান—সামান্য ঘুরিয়ে নয়।
সূত্র: এনজোয়িকের পাসওয়ার্ড পুনর্ব্যবহারবিষয়ক পরিসংখ্যান; ডিপস্ট্রাইকের ক্রেডেনশিয়াল স্টাফিং গবেষণা; ভেরাইজন ডেটা ব্রিচ ইনভেস্টিগেশনস রিপোর্ট; পাসওয়ার্ড ম্যানেজার ব্যবহারবিষয়ক একাডেমিক গবেষণা; আর প্রথম আলোর মূল প্রতিবেদন।
