অ্যাকাউন্ট সুরক্ষিত রাখা

অধিকাংশ অ্যাকাউন্ট হাতছাড়া হওয়া বা হ্যাক হওয়ার পেছনে কোনো জটিল কারসাজি থাকে না। একটি পাসওয়ার্ড কোনো সাইট থেকে লিক হয়ে যায় কিংবা কোনো ভুয়া পেজে টাইপ করা হয়ে যায়, আর কেউ একজন (বা কোনো স্বয়ংক্রিয় সফটওয়্যার) সেটি অন্য সব জায়গায় চেষ্টা করে। অ্যাকাউন্ট সুরক্ষিত রাখার অর্থ মূলত সেই প্রথম ধাপটিকে ব্যর্থ করে দেওয়া, এবং প্রথম ধাপ ব্যর্থ না হলে দ্বিতীয় একটি ধাপের মাধ্যমে আক্রমণকারীকে থামানো নিশ্চিত করা।

তিনটি অভ্যাস বেশিরভাগ ঝুঁকি দূর করে: প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, দ্বিতীয় একটি যাচাইকরণ ধাপ (বা পাসওয়ার্ডের বদলে পাসকী), এবং আপনার ইমেইল অ্যাকাউন্টের বিশেষ যত্ন নেওয়া—কারণ ইমেইল অন্য প্রায় সবকিছুই রিসেট করে দিতে পারে। এটি সম্পন্ন করতে একটি সন্ধ্যা সময় নেওয়ার পরিকল্পনা করুন। নিচের অ্যাকশন তালিকার প্রথম দুটি ধাপ সবচেয়ে বেশি গুরুত্বপূর্ণ।

এই পেজটি মূলত ব্যক্তিগত অ্যাকাউন্টগুলোকে কাভার করে। এটি কোনো কোম্পানির সিস্টেম রক্ষা করার বিষয়গুলোকে অন্তর্ভুক্ত করে না, এবং এটি রাষ্ট্র-পর্যায়ের কোনো শত্রুর মুখোমুখি হওয়া ব্যক্তির জন্য কোনো পরিকল্পনা নয়, কারণ তাদের সম্পূর্ণ ভিন্ন পদ্ধতির প্রয়োজন (দেখুন থ্রেট মডেলিং)।

বাস্তবে অ্যাকাউন্ট নিরাপত্তার অর্থ কী

একটি কাল্পনিক কিন্তু সাধারণ ঘটনা দেখা যাক। ২০১৯ সালে আপনি আপনার ইমেইল ঠিকানা এবং ইমেইলে ব্যবহৃত একই পাসওয়ার্ড দিয়ে একটি ছোট শখের ফোরামে যুক্ত হলেন। ২০২৪ সালে ফোরামটির ডাটাবেস হ্যাক হলো এবং এর ব্যবহারকারী তালিকা বিক্রি হয়ে গেল। সফটওয়্যার তখন সেই লিক হওয়া ইমেইল ও পাসওয়ার্ডের জোড়াটি জনপ্রিয় সাইটগুলোতে স্বয়ংক্রিয়ভাবে চেষ্টা করা শুরু করল। কেউ আপনাকে নির্দিষ্ট করে বেছে নেয়নি; একটি স্ক্রিপ্ট বা বট এই কাজ করেছে।

একে ক্রিডেনশিয়াল স্টাফিং (Credential stuffing) বলা হয়, এবং মাইক্রোসফটের নিরাপত্তা দল জানায় যে পাসওয়ার্ডের পুনরাবৃত্তিই এই আক্রমণকে সফল করে তোলে (Microsoft, 2019)। স্ক্রিপ্টটি যদি আপনার ইমেইলে প্রবেশ করতে পারে, তবে এটি “Forgot password” ব্যবহার করে আপনার অন্যান্য অ্যাকাউন্টগুলোতেও পৌঁছে যেতে পারবে। যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (NCSC) ঠিক এই বিষয়টিই তুলে ধরেছে: আপনার ইমেইলের ভেতরে থাকা কোনো অপরাধী আপনার অন্যান্য অ্যাকাউন্টের পাসওয়ার্ড রিসেট করতে পারে, ব্যক্তিগত তথ্য পড়তে পারে এবং আপনার ছদ্মবেশ ধারণ করতে পারে (NCSC)।

সুতরাং একটি অ্যাকাউন্ট সুরক্ষিত রাখার কাজ হলো ৩টি: অন্য কোথাও থেকে পাসওয়ার্ড খুঁজে পাওয়া যেকোনো ব্যক্তির কাছে পাসওয়ার্ডটিকে মূল্যহীন করে তোলা। এমন একটি দ্বিতীয় যাচাইকরণ যোগ করা যা লিক হওয়া পাসওয়ার্ড পূরণ করতে পারে না। এবং অ্যাকাউন্ট উদ্ধারের পথটি (আপনার ইমেইল, ফোন নম্বর, ব্যাকআপ কোড) যেন আপনারই বিরুদ্ধে ব্যবহার করা না যায় তা নিশ্চিত করা।

কীভাবে অ্যাকাউন্টগুলো হাতছাড়া হয়

সাধারণ মানুষ মূলত ৪টি উপায়ে আক্রমণের শিকার হন:

• পুনরায় ব্যবহার করা পাসওয়ার্ড: ওপরের উদাহরণটি। এতে কোনো দক্ষতার প্রয়োজন হয় না এবং এটি নিজে নিজেই স্বয়ংক্রিয়ভাবে চলে।
• ফিশিং (Phishing): কোনো বার্তা আপনাকে একটি ভুয়া লগইন পেজে নিয়ে যায় যা আপনার পাসওয়ার্ড সংগ্রহ করে এবং আপনি টাইপ করলে আপনার এককালীন কোডটিও হাতিয়ে নেয়। NIST-এর গাইডলাইনে উল্লেখ করা হয়েছে যে কি-স্ট্রোক লগিং, ফিশিং এবং সোশ্যাল ইঞ্জিনিয়ারিং ছোট পাসওয়ার্ডের মতো বড় ও জটিল পাসওয়ার্ডের বিরুদ্ধেও সমানভাবে কাজ করে (NIST SP 800-63B-4, appendix A)। ভেরাইজন (Verizon)-এর ২০২৬ সালের ব্রিচ রিপোর্ট বলছে মানুষ ইমেইল ফিশিংয়ের চেয়ে মোবাইল ফাঁদে (মেসেজ, কল) বেশি পা দেয় (Verizon, 2026)।
• ফোন নম্বর দখল (SIM swap): সিম সোয়াপের মাধ্যমে কোনো প্রতারক আপনার মোবাইল অপারেটরকে বলে যে আপনার ফোনটি হারিয়ে গেছে এবং তারা যেই সিম কার্ডটি ধারণ করে আছে সেটিতে আপনার নম্বরটি স্থানান্তরিত করার অনুরোধ জানায় (FTC, 2019)। আপনার টেক্সট ও কল (লগইন কোডসহ) তখন তাদের কাছে চলে যায়। গুগল সতর্ক করে যে টেক্সট বা কলের মাধ্যমে পাঠানো কোডগুলো ফোন নম্বর-ভিত্তিক আক্রমণের মুখে পড়তে পারে (Google Account Help)। বিশ্বব্যাপী সিম সোয়াপের কোনো নির্ভরযোগ্য সংখ্যা আমরা পাইনি, তাই এটি হওয়ার সম্ভাবনা কতটুকু তা সুনির্দিষ্টভাবে বলা সম্ভব নয়। এর জন্য আপনার টেলিকম অপারেটরের কোনো কর্মচারীকে বিভ্রান্ত বা ঘুষ দিতে হয়, যা স্বয়ংক্রিয় পাসওয়ার্ড আক্রমণের চেয়ে তুলনামূলক কম, তবে এটি একটি বাস্তব হুমকি।
• অ্যাকাউন্ট উদ্ধারের পথ (Recovery path): কোনো আক্রমণকারী যদি একটি দুর্বল ইমেইল অ্যাকাউন্ট বা অনুমানযোগ্য উত্তরের সিকিউরিটি প্রশ্নের মাধ্যমে আপনার পাসওয়ার্ড রিসেট করতে পারে, তবে আপনার শক্তিশালী পাসওয়ার্ড কখনোই কাজে আসবে না। NCSC আরও উল্লেখ করে যে অপরাধীরা মাঝে মাঝে হ্যাক হওয়া ইমেইল অ্যাকাউন্টে ফরোয়ার্ডিং রুল সেট করে রাখে যাতে তারা আপনার মেইলের কপি পেতে পারে এবং অন্যান্য পাসওয়ার্ড রিসেট করতে পারে (NCSC)।

একটি প্রাসঙ্গিক তথ্য: ভেরাইজনের ২০২৬ সালের রিপোর্টে ইতিহাসের প্রথমবারের মতো দেখা গেছে যে সফটওয়্যার সংক্রান্ত ত্রুটির অপব্যবহার (৩১% তথ্য চুরি) চুরি হওয়া ইউজারনেম ও পাসওয়ার্ডকে পেছনে ফেলে সংস্থায় প্রবেশের শীর্ষ উপায়ে পরিণত হয়েছে। এটি বিভিন্ন প্রতিষ্ঠানের ডাটা চুরির ঘটনা গণনা করে, ব্যক্তিগত অ্যাকাউন্ট নয়, তাই এটি আপনার নিজস্ব ঝুঁকি সরাসরি বলে না। তবে এটি একটি ভালো স্মারক যে আপডেট না করা বা অরক্ষিত ডিভাইসও আক্রমণের অন্যতম পথ।

প্রতিটি সুরক্ষাব্যবস্থা কীভাবে কাজ করে

লম্বা, ইউনিক পাসওয়ার্ড এবং পাসওয়ার্ড ম্যানেজার

NIST-এর বর্তমান নির্দেশিকা পাসওয়ার্ডের দৈর্ঘ্যকে এর প্রধান শক্তি হিসেবে বিবেচনা করে। তারা উল্লেখ করে যে গঠনমূলক নিয়মাবলী (বড় হাতের অক্ষর, সংখ্যা, চিহ্ন থাকা বাধ্যতামূলক করা) মানুষকে Password1!-এর মতো অনুমানযোগ্য পছন্দের দিকে ঠেলে দেয়। যেসব সার্ভিসে পাসওয়ার্ডই একমাত্র লগইন মাধ্যম, সেখানে NIST অন্তত ১৫ অক্ষরের বাধ্যবাধকতা রাখা, অন্তত ৬৪ অক্ষর পর্যন্ত গ্রহণ করা, নতুন পাসওয়ার্ডগুলো লিক হওয়া পাসওয়ার্ডের তালিকার সাথে মিলিয়ে দেখা এবং পাসওয়ার্ড ম্যানেজার ও পেস্ট করার সুবিধা দেওয়ার কথা বলেছে (NIST SP 800-63B-4)।

একটি পাসওয়ার্ড ম্যানেজার প্রতিটি সাইটের জন্য একটি আলাদা পাসওয়ার্ড তৈরি করে সেভ রাখে, ফলে একটি লিক কেবল একটি লিক হিসেবেই থেকে যায়। NCSC দুই ধরণের কথা উল্লেখ করেছে: আপনার ব্রাউজার বা ফোনে থাকা ইনবিল্ট ম্যানেজার, এবং থার্ড-পার্টি অ্যাপ। তাদের পরামর্শ হলো সুবিধা পাওয়ার জন্য ইনবিল্ট ম্যানেজার ব্যবহার করুন, আর বাড়তি ফিচার চাইলে, একাধিক ডিভাইসে ব্যবহার করলে বা কোনো নির্দিষ্ট ব্র্যান্ডের সাথে যুক্ত থাকতে না চাইলে একটি স্বনামধন্য থার্ড-পার্টি ম্যানেজার ব্যবহার করুন (NCSC, 2025)। এর একমাত্র ঝুঁকি হলো কেন্দ্রীভূত হওয়া: এখন আপনি একটি মাত্র মাস্টার পাসওয়ার্ড এবং একটি অ্যাকাউন্টের ওপর নির্ভরশীল। NCSC আরও যোগ করে যে আপনার আনলক করা ল্যাপটপে প্রবেশ করা কেউ আপনার সেভ করা পাসওয়ার্ডগুলোতেও পৌঁছে যেতে পারে, তাই ডিভাইস লক রাখুন এবং ম্যানেজার অ্যাকাউন্টটিকে দ্বিতীয় একটি ধাপ দিয়ে সুরক্ষিত করুন।

দ্বিতীয় একটি যাচাইকরণ ধাপ

দ্বিতীয় একটি ধাপ থাকার অর্থ হলো চুরি হওয়া পাসওয়ার্ড একাই কোনো কাজে আসবে না। কোনটি কী থামায় তা নিচে দেওয়া হলো (২০২৬ সালের অক্টোবরের হিসাব অনুযায়ী):

“না” উত্তর দেওয়া অংশগুলো এসেছে NIST থেকে, যারা বলে যে আপনি টাইপ করেন বা অনুমোদন করেন এমন পদ্ধতিগুলো ফিশিং-প্রতিরোধী নয় কারণ তথ্যটি আসল সাইটের সাথে যুক্ত থাকে না। NIST ফোন নেটওয়ার্কে পাঠানো কোডকে একটি “সীমাবদ্ধ” পদ্ধতি হিসেবে বিবেচনা করে, যার অর্থ সার্ভিসগুলোর অন্য বিকল্প দেওয়া উচিত। সিম সোয়াপ কলামটি পদ্ধতিগুলো কীভাবে কাজ করে তার ওপর ভিত্তি করে লেখা: অথেনটিকেটর অ্যাপ বা প্রম্পট আপনার ফোন নম্বরের ওপর নির্ভর করে না, এবং গুগল বলে যে তাদের প্রম্পটগুলো সিম সোয়াপ থেকে রক্ষা করতে সাহায্য করে। কোনো সার্ভিস যদি কাউকে টেক্সট মেসেজের মাধ্যমে তা এড়িয়ে যাওয়ার সুযোগ দেয় তবে একটি শক্তিশালী দ্বিতীয় ধাপও ব্যর্থ হতে পারে, তাই আপনার রিকভারি অপশনগুলো কী অনুমোদন করে তা পরীক্ষা করে নিন।

মার্কিন সাইবার সংস্থা CISA FIDO/WebAuthn স্ট্যান্ডার্ডকে (পাসকী এবং সিকিউরিটি কি-র পেছনের প্রযুক্তি) মাল্টি-ফ্যাক্টর অথেনটিকেশনের সবচেয়ে শক্তিশালী রূপ বলে অভিহিত করে (CISA, 2022)।

পাসকী (Passkeys)

একটি পাসকী মূলত পাসওয়ার্ডের জায়গা দখল করে। আপনার ডিভাইস প্রতিটি সাইটের জন্য এক জোড়া ক্রিপ্টোগ্রাফিক কি তৈরি করে: সাইটটি পাবলিক কি সংরক্ষণ করে, আপনার ডিভাইস প্রাইভেট কি সংরক্ষণ করে, এবং আপনি আপনার ফোন আনলক করার উপায়েই (আঙুলের ছাপ, মুখ বা পিন) লগইন অনুমোদন করেন। প্রাইভেট কি-টি পড়তে পারা যায় এমন অবস্থায় কখনোই আপনার ডিভাইস ছাড়ে না, এবং এটি কেবল আসল ওয়েবসাইটের ঠিকানাতেই কাজ করে, ফলে ভুয়া পেজ কিছুই পায় না। সাইটটি হ্যাক হলেও সেখান থেকে অন্য কোথাও ব্যবহার করা যায় এমন কিছুই লিক হয় না (FIDO Alliance, 2026; NCSC, 2025)।

পাসকী কোনো সেবাদাতার (Apple, Google, Microsoft বা একটি পাসওয়ার্ড ম্যানেজার) মাধ্যমে আপনার ডিভাইসগুলোর মধ্যে সিঙ্ক হতে পারে অথবা কোনো একটি একক ডিভাইসে (যেমন হার্ডওয়্যার সিকিউরিটি কি) থেকে যেতে পারে। পাসকী প্রচারকারী সংস্থা FIDO অ্যালায়েন্স জানায় যে সিঙ্কিং ব্যবস্থাটি এন্ড-টু-এন্ড এনক্রিপ্ট করা থাকে, এবং হার্ডওয়্যারে থাকা ডিভাইস-বাউন্ড কি সর্বোচ্চ নিশ্চয়তা দেয়। ব্যবহারিক দিক হলো যে সিঙ্ক হওয়া পাসকী কেবল ততটাই নিরাপদ যতটা নিরাপদ সেটি সিঙ্ক করা অ্যাকাউন্টটি। তাই সেই অ্যাকাউন্টটিকে আপনার ইমেইলের মতোই সুরক্ষিত রাখুন।

২০২৬ সালের এপ্রিলের হিসাব অনুযায়ী NCSC কোনো সার্ভিস সুযোগ দেওয়া মাত্রই মানুষের প্রথম পছন্দ হিসেবে পাসকী ব্যবহারের সুপারিশ করে; তারা জানায় যে পাসকী সবচেয়ে শক্তিশালী পাসওয়ার্ড প্লাস দ্বিতীয় ধাপের মতোই নিরাপদ। যেসব সার্ভিস এটি সমর্থন করে না, সেগুলোর জন্য এটি পাসওয়ার্ড ম্যানেজার প্লাস দুই ধাপের যাচাইকরণের পরামর্শ দেয় (NCSC, 2026)। NCSC ইমপ্লিমেন্টেশন সংক্রান্ত সমস্যার কারণে এক বছর আগে এই পরামর্শ থেকে পিছিয়ে ছিল, তাই বিভিন্ন ডিভাইস বা প্ল্যাটফর্মের মধ্যে স্থানান্তরের সময় কিছু জটিলতার সম্মুখীন হতে পারেন।

অ্যাকাউন্ট উদ্ধারের পথ বা রিকভারি পাথ (Recovery paths)

ফোন হারিয়ে গেলে ব্যাকআপ কোডগুলোই নিরাপত্তা হিসেবে কাজ করে। উদাহরণস্বরূপ, গুগল আপনাকে কতগুলো কোড প্রিন্ট বা ডাউনলোড করে কোনো নিরাপদ স্থানে রাখার সুযোগ দেয় (Google Account Help)। NIST সার্ভিসগুলোকে নির্দেশ দেয় যেন পাসওয়ার্ডের জন্য জ্ঞান-ভিত্তিক প্রশ্ন (“প্রথম পোষা প্রাণীর নাম”) ব্যবহার না করা হয়, কারণ এগুলোর উত্তর অনুমান বা খুঁজে বের করা সহজ; তাই কোনো সার্ভিস যদি তা বাধ্যতামূলক করে, তবে উত্তরগুলোকে অতিরিক্ত পাসওয়ার্ড হিসেবে গণ্য করুন এবং সত্য উত্তর দেওয়া থেকে বিরত থাকুন। NCSC রিকভারি কী বা বিশ্বস্ত পরিচিতদের মাধ্যমে আপনার রিকভারি অপশনগুলো ব্যাকআপ রাখার সুপারিশ করে।

এটি কী থেকে রক্ষা করে এবং কী থেকে করে না

একত্রে এগুলো প্রয়োগ করা হলে সাধারণ মানুষের ওপর পরিচালিত সবচেয়ে প্রচলিত আক্রমণটি বন্ধ হয়ে যায়: লিক হওয়া পাসওয়ার্ডের স্বয়ংক্রিয় চেষ্টা। মাইক্রোসফট ২০১৯ সালে জানিয়েছে যে তাদের ক্লাউড সার্ভিসে মাল্টি-ফ্যাক্টর অথেনটিকেশন ৯৯.৯%-এর বেশি অ্যাকাউন্ট হ্যাক আক্রমণ বন্ধ করে দেয়। এটিকে একজন বিক্রেতার নিজস্ব ট্রাফিক পরিমাপের তথ্য হিসেবে দেখুন। এতে প্রতিদিনের ৩০ কোটি জালিয়াতিমূলক লগইন অন্তর্ভুক্ত যা মূলত বটের কাজ, তাই এই সংখ্যাটি কোনো নির্দিষ্ট ব্যক্তির ওপর আক্রমণের চেয়ে স্বয়ংক্রিয় আক্রমণ সম্পর্কে বেশি কথা বলে।

এগুলো যা থামায় না:

• একটি রিয়েল-টাইম ফিশিং পেজ যা আপনার কোড সংগ্রহ করে মুহূর্তের মধ্যে ব্যবহার করে ফেলে—যদি না আপনি কোনো পাসকী বা সিকিউরিটি কি ব্যবহার করেন।
• আপনার ফোন বা কম্পিউটারে থাকা ম্যালওয়্যার, যা আপনার টাইপ করা বা সেভ করা জিনিস পড়তে পারে।
• আপনার আনলক করা ফোন হাতে থাকা কেউ, বা আপনার ম্যানেজারের মাস্টার পাসওয়ার্ড জেনে ফেলা কেউ।
• কোনো টেলিকম অপারেটর বা সাপোর্ট এজেন্ট যাকে প্রতারিত করে আক্রমণকারী আপনার সবকিছু রিসেট করিয়ে নিয়েছে।
• যেসব স্ক্যামে আপনি নিজেই ইচ্ছাকৃতভাবে টাকা বা কোড তুলে দেন, যেমন আপনার ব্যাংক বা সেবাদাতা দাবি করা কোনো ফোনকারী। গুগল স্পষ্ট জানায় যে তারা কোড যাচাই করার জন্য কখনোই আপনাকে ফোন করবে না।

আপনার ব্যবহৃত কোনো সার্ভিস হ্যাক হলে তবুও আপনার নাম, ইমেইল এবং অন্যান্য তথ্য প্রকাশ হয়ে যেতে পারে। ইউনিক বা আলাদা পাসওয়ার্ড ক্ষতিকে কেবল সেই একটি সার্ভিসের মধ্যেই সীমাবদ্ধ রাখে।

সাধারণ কিছু ভুল ধারণা

“কয়েক মাস পর পর পাসওয়ার্ড পরিবর্তন করা উচিত।” NIST বলছে সার্ভিসগুলোর নির্দিষ্ট সময় পর পর পরিবর্তনের বাধ্যবাধকতা রাখা উচিত নয়, কেবল লিক হওয়ার প্রমাণ থাকলে চাওয়া উচিত। ঘন ঘন বাধ্যবাধকতামূলক পরিবর্তনের ফলে মানুষ সহজ অনুমানযোগ্য পরিবর্তনের দিকে ঝুঁকে পড়ে।

“চিহ্ন এবং বড় হাতের অক্ষর থাকা পাসওয়ার্ড বেশি শক্তিশালী।” পাসওয়ার্ডের দৈর্ঘ্য বেশি গুরুত্বপূর্ণ। NIST-এর গাইডলাইন বলে গঠনমূলক নিয়মগুলো মানুষকে এমন প্যাটার্নের দিকে ঠেলে দেয় যা আক্রমণকারীরা আগেই অনুমান করে রাখে। কয়েকটি এলোমেলো শব্দের একটি পাসফ্রেজ (অন্তত ১৫ অক্ষরের) Tr0ub4dor&3-এর চেয়ে অনেক বেশি কার্যকর।

“টেক্সট মেসেজের কোড একদম বেকার।” তারা বেকার নয়। তারা বেশিরভাগ স্বয়ংক্রিয় আক্রমণ থামিয়ে দেয়, এবং ভালো কিছুর আশায় এটি বন্ধ রাখলে আপনি আরও বেশি অরক্ষিত হয়ে পড়বেন। আরও শক্তিশালী বিকল্প থাকলে আপডেট করুন; যা আছে তা বাদ দেবেন না।

“সব পাসওয়ার্ড এক জায়গায় রাখা ঝুঁকিপূর্ণ।” এটি ঝুঁকির এক জায়গায় কেন্দ্রীভূত হওয়া সত্য, তবে অধিকাংশ মানুষের জন্য এর বিকল্প হলো পাসওয়ার্ডের পুনরাবৃত্তি, যা আরও খারাপ। NCSC-এর মতে আপনি একটি স্বনামধন্য ম্যানেজার বেছে নিয়ে তা সঠিকভাবে সুরক্ষিত রাখলে তা স্মৃতি, চিরকুট বা বারবার একই পাসওয়ার্ড ব্যবহারের চেয়ে অনেক বেশি নিরাপদ।

ক্রমানুসারে আপনার করণীয়

১. প্রথমে আপনার ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন (প্রায় ১৫ মিনিট): এতে এমন একটি লম্বা পাসওয়ার্ড দিন যা অন্য কোনো অ্যাকাউন্টে ব্যবহার করেননি, এবং একটি দ্বিতীয় ধাপ যুক্ত করুন। আপনি যদি সেই পাসওয়ার্ডটি কখনো অন্য কোথাও ব্যবহার করে থাকেন, তবে আজই তা বদলে দিন। ইমেইল হলো আপনার অন্য সকল রিসেটের মূল চাবিকাঠি।
২. আপনার গুরুত্বপূর্ণ পাসওয়ার্ডগুলো পাসওয়ার্ড ম্যানেজারে নিয়ে যান (প্রায় এক ঘণ্টা): ইমেইল, ব্যাংকিং ও পেমেন্ট, ফোন অপারেটর, অ্যাপল, গুগল বা মাইক্রোসফট অ্যাকাউন্ট এবং সোশ্যাল মিডিয়া দিয়ে শুরু করুন। ম্যানেজারকে দিয়ে এগুলো তৈরি করান, এবং মাস্টার পাসওয়ার্ড হিসেবে অন্তত ১৫ অক্ষরের একাধিক এলোমেলো শব্দের পাসফ্রেজ তৈরি করুন। আপনার ফোন বা ব্রাউজারের ইনবিল্ট ম্যানেজার একটি চমৎকার সূচনা হতে পারে।
৩. একটি দ্বিতীয় ধাপ চালু করুন, প্রতিটি সার্ভিস যে সবচেয়ে শক্তিশালী মাধ্যম দেয় তা ব্যবহার করুন: পাসকী বা সিকিউরিটি কি-কে অগ্রাধিকার দিন, তারপর অথেনটিকেটর অ্যাপ বা প্রম্পট, এবং সবশেষে টেক্সট কোড। ২০২৬ সালের অক্টোবরের হিসাব অনুযায়ী একটি গুগল অ্যাকাউন্টে Security & sign-in পেজে গিয়ে 2-Step Verification বেছে নিন। যে ফোনটিতে কোড আসে সেটি ছাড়া অন্য কোথাও ব্যাকআপ কোডগুলো সেভ করে রাখুন।
৪. যেসব সার্ভিস সুযোগ দেয় সেগুলোতে পাসকী তৈরি করুন: ব্যাকআপ হিসেবে একটি দ্বিতীয় ডিভাইস বা সিকিউরিটি কি রাখুন, এবং যেসব অ্যাকাউন্ট এগুলো সিঙ্ক করে সেগুলোকে সুরক্ষিত রাখুন।
৫. আপনার ফোন নম্বর সুরক্ষিত রাখুন: FTC-র পরামর্শ অনুযায়ী আপনার টেলিকম অ্যাকাউন্টে একটি পিন বা পাসকোড যোগ করুন। যেখানে বেছে নেওয়ার সুযোগ রয়েছে, সেখানে টেক্সট কোডের বদলে পাসকী, অ্যাপ বা প্রম্পট ব্যবহার করুন। আপনার সাথে যোগাযোগ করা কাউকে কখনোই লগইন কোড বলবেন না।
৬. চেক করুন, তারপর এটি হালনাগাদ রাখুন: Have I Been Pwned-এ আপনার ইমেইল ঠিকানাগুলো সার্চ করুন—যা ২০১৩ সাল থেকে নিরাপত্তা গবেষক ট্রয় হান্ট দ্বারা পরিচালিত একটি ফ্রি লিক-লুকআপ সার্ভিস। সেখানে আসা যেকোনো পাসওয়ার্ড এবং তা শেয়ার করা অন্য যেকোনো অ্যাকাউন্ট অবিলম্বে বদলে দিন। আপনার ডিভাইসগুলোর অটোমেটিক আপডেট চালু রাখুন, এবং বছরে একবার আপনার রিকভারি ইমেইল ও ফোন নম্বর পুনরায় পরীক্ষা করুন।

অ্যাকাউন্ট হ্যাক হয়েছে বলে মনে হলে করণীয়

NCSC-এর পরামর্শ অনুযায়ী ক্রমানুসারে:

১. প্রোভাইডারের অ্যাকাউন্ট রিকভারি প্রক্রিয়া ব্যবহার করুন।
২. এটি ইমেইল অ্যাকাউন্ট হলে, এর ফিল্টার এবং ফরোয়ার্ডিং রুলে আপনার না যোগ করা কিছু আছে কি না পরীক্ষা করুন।
৩. পাসওয়ার্ড পরিবর্তন করুন, এবং এই পাসওয়ার্ড শেয়ার করা অন্য যেকোনো অ্যাকাউন্টের পাসওয়ার্ড বদলে দিন।
৪. সমস্ত ডিভাইস এবং অ্যাপ থেকে অ্যাকাউন্টটি লগ আউট করুন।
৫. একটি দ্বিতীয় ধাপ বা টু-ফ্যাক্টর অথেনটিকেশন সেটআপ করুন।
৬. আপনার অ্যাপ ও ডিভাইসগুলো আপডেট করুন, পরিচিতদের জানিয়ে দিন যেন সাম্প্রতিক বার্তাকে বিশ্বাস না করে, এবং ব্যাংক স্টেটমেন্ট পরীক্ষা করুন।

অর্থ স্থানান্তরিত হয়ে থাকলে আপনার কার্ডের পেছনে বা অফিশিয়াল ওয়েবসাইটে থাকা নম্বর ব্যবহার করে ব্যাংকে ফোন করুন। এই পেজটি সাধারণ তথ্যমাত্র, আর্থিক বা আইনি পরামর্শ নয়। আপনার জাতীয় সংস্থায় জালিয়াতির রিপোর্ট করুন (NCSC যুক্তরাজ্যের পাঠকদের ‘Report Fraud’-এর দিকে নির্দেশ করে; মার্কিন যুক্তরাষ্ট্রে FTC ক্ষতিগ্রস্তদের ‘IdentityTheft.gov’-এর দিকে নির্দেশ করে)।

উৎসসমূহ (Sources)

• Authenticator and Verifier Requirements এবং Strength of Passwords (appendix A), NIST SP 800-63B-4, NIST, 2025: authenticators, passwords
• Use a strong and separate password for your email, NCSC, 2018 (reviewed 2021): link
• Hacked accounts, NCSC, তথ্য সংগ্রহ অক্টোবর ২০২৬: link
• NCSC: Leave passwords in the past - passkeys are the future, NCSC, 2026: link
• Trusting the tech: using password managers and passkeys to help you stay secure online, NCSC, 2025: link
• Turn on 2-Step Verification, Google Account Help, Google, তথ্য সংগ্রহ অক্টোবর ২০২৬: link
• Passkeys, FIDO Alliance, 2026: link
• One simple action you can take to prevent 99.9 percent of attacks on your accounts, Microsoft Security Blog, Microsoft, 2019: link
• Implementing Phishing-Resistant MFA, CISA, 2022: link
• SIM swap scams: how to protect yourself, FTC, 2019: link
• 2026 Data Breach Investigations Report, Verizon, 2026: link
• Who, What & Why, Have I Been Pwned, তথ্য সংগ্রহ অক্টোবর ২০২৬: link

সম্পর্কিত পেজসমূহ

• থ্রেট মডেলিং (Threat modeling)
• ডিজিটাল নিরাপত্তা ও গোপনীয়তা