bigbasket-এর 2020 সালের তথ্য ফাঁস

যাচাই করে নিশ্চিত হওয়া তথ্যের ধরনগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, IP ঠিকানা, নাম, পাসওয়ার্ড, ফোন নম্বর ও বাসা বা অন্য স্থানের ঠিকানা। এসব তথ্য একসঙ্গে থাকলে আক্রমণকারীরা আসল নাম, যোগাযোগের তথ্য ও ডেলিভারির প্রেক্ষাপট ব্যবহার করে পণ্য পাঠানো, অর্ডার বাতিল, অর্থ ফেরত বা ঠিকানা পরিবর্তনের ভুয়া বার্তা তৈরি করতে পারে। পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য অবস্থায় ছিল না; সেগুলো পুরোনো Django(SHA-1) হ্যাশ ফরম্যাটে রাখা হয়েছিল। এই ফরম্যাট পাসওয়ার্ড সংরক্ষণের আধুনিক প্রত্যাশা পূরণ করে না এবং অফলাইনে অনুমান করে দুর্বল পাসওয়ার্ড বের করার ঝুঁকিও দূর করে না। এই রেকর্ডে পেমেন্ট কার্ড ও ব্যাংক অ্যাকাউন্টের তথ্য ফাঁস হয়েছে বলে যাচাই করে নিশ্চিত করা হয়নি।

এই রেকর্ডে তথ্য ফাঁসের নির্ধারিত তারিখ 14 অক্টোবর 2020। 2020 সালের অক্টোবরের শেষ দিকে একটি ডেটাবেস বিক্রির প্রস্তাব দেওয়া হয়, যার আকার প্রায় 15 GB এবং যাতে প্রায় 2 কোটি গ্রাহক-তথ্যের সারি আছে বলে দাবি করা হয়েছিল। 2020 সালের নভেম্বরে bigbasket জানায়, তারা সম্ভাব্য তথ্য ফাঁসের ঘটনা মূল্যায়ন করছে, নিরাপত্তা বিশেষজ্ঞদের সঙ্গে ঘটনার পরিধি তদন্ত করছে এবং Bengaluru Cyber Crime Cell-এ অভিযোগ দায়ের করেছে। কোম্পানি আরও জানায়, তারা আর্থিক তথ্য বা কার্ড নম্বর সংরক্ষণ করত না। 2021 সালের এপ্রিলে তথ্যগুলো আরও ব্যাপকভাবে শেয়ার করা হয় এবং মূল বিশ্লেষণে 2,45,00,011টি স্বতন্ত্র ইমেইল ঠিকানা যাচাই করে নিশ্চিত করা হয়। প্রায় 2 কোটি সারির প্রাথমিক হিসাব এবং 2,45,00,011টি স্বতন্ত্র ইমেইল ঠিকানা একই পরিমাপ নয়, আর এগুলো বিশ্লেষণের একই পর্যায়ের ফলও নয়। ঠিক কোন প্রযুক্তিগত পদ্ধতিতে অনুপ্রবেশ করা হয়েছিল, তা প্রকাশ্যে জানানো হয়নি।

যেসব গ্রাহকের bigbasket অ্যাকাউন্ট ছিল এবং যারা সংশ্লিষ্ট সময়ে ফোন নম্বর বা ডেলিভারির ঠিকানা দিয়েছিলেন, তারাই সবচেয়ে সরাসরি ঝুঁকিতে আছেন। যারা ইমেইল, কেনাকাটা, পেমেন্ট বা কাজের অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেছিলেন, সেই পাসওয়ার্ড দিয়ে এসব অ্যাকাউন্টে লগইনের চেষ্টার ঝুঁকি তাদের বেশি। নাম, ফোন নম্বর, জন্মতারিখ ও ঠিকানা একসঙ্গে থাকলে গ্রাহক সহায়তার নামে ভুয়া ফোনকল এবং ডেলিভারিসংক্রান্ত প্রতারণামূলক বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। শুধু একটি IP ঠিকানা দিয়ে সুনির্দিষ্ট অবস্থান জানা যায় না, তবে প্রোফাইলের অন্য তথ্যের সঙ্গে মিলিয়ে এটি বিভিন্ন অ্যাকাউন্টের মধ্যে সম্পর্ক খুঁজে বের করতে এবং কাউকে লক্ষ্য করে আক্রমণ চালাতে বাড়তি প্রেক্ষাপট দিতে পারে।

তথ্য ফাঁসের সময় bigbasket-এ ব্যবহার করা পাসওয়ার্ড এখনও কোনো অ্যাকাউন্টে ব্যবহার করলে তা অবিলম্বে বদলে ফেলুন এবং তার কাছাকাছি ধরনের পাসওয়ার্ডও আর ব্যবহার করবেন না। প্রথমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন, সক্রিয় সেশন ও অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পর্যালোচনা করুন এবং যেখানে সুবিধাটি আছে, সেখানে বহু-উপাদানভিত্তিক পরিচয় যাচাইকরণ চালু করুন। অর্ডার, কুপন, অর্থ ফেরত, পেমেন্ট সংশোধন বা ঠিকানা পরিবর্তনের অজুহাতে পাঠানো লিংক খুলবেন না; নিজে পরিচিত ওয়েবসাইট বা অফিসিয়াল অ্যাপ্লিকেশন খুলুন। কোনো বার্তায় আপনার আসল নাম, ফোন নম্বর বা ঠিকানা থাকলেই প্রেরক যে আসল, তা প্রমাণিত হয় না। একবার ব্যবহারযোগ্য যাচাইকরণ কোড কখনো কাউকে দেবেন না।

প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন এবং সম্ভব হলে কেনাকাটার অ্যাকাউন্টগুলোর জন্য পৃথক ইমেইল অ্যালিয়াস ব্যবহার করুন। যেসব পুরোনো অ্যাকাউন্ট আর ব্যবহার করেন না, সেগুলো থেকে ডেলিভারির ঠিকানা ও ফোন নম্বর সরিয়ে ফেলুন এবং অ্যাকাউন্ট পুনরুদ্ধারের তথ্য হালনাগাদ রাখুন। ইমেইল ও আর্থিক অ্যাকাউন্টে লগইনের সতর্কতা চালু রাখুন এবং অপ্রত্যাশিত পাসওয়ার্ড রিসেট বা অর্ডারের বিজ্ঞপ্তি অন্য একটি স্বতন্ত্র মাধ্যমে যাচাই করুন। ঠিকানা ও জন্মতারিখের মতো সহজে বদলানো যায় না এমন তথ্য বহু বছর পরও সোশ্যাল ইঞ্জিনিয়ারিংয়ের কাজে লাগতে পারে। তাই একবার পাসওয়ার্ড বদলালেই এই ঘটনার ঝুঁকি মিটে গেছে বলে ধরে নেবেন না।

bigbasket-এ যে ইমেইল ঠিকানা ব্যবহার করেছিলেন, তা দিয়ে এই রেকর্ডে যাচাই করুন। মিল পাওয়ার অর্থ হলো ঠিকানাটি মূল bigbasket ডেটাসেটে আছে; এর অর্থ এই নয় যে পেমেন্ট কার্ড বা ব্যাংকের তথ্য ফাঁস হয়েছে। মিল পাওয়া গেলে পুরোনো পাসওয়ার্ড যেখানে যেখানে আবার ব্যবহার করেছিলেন, সবখানে তা বদলে ফেলুন, ইমেইলের নিরাপত্তাকে অগ্রাধিকার দিন এবং ডেলিভারির নামে প্রতারণার বিষয়ে সতর্ক থাকুন। মিল না পাওয়া গেলে মনে রাখবেন, এই ফল শুধু এই ডেটাসেটের ক্ষেত্রে প্রযোজ্য; অন্য কোনো তথ্য ফাঁসের ঘটনায় আপনার তথ্য উন্মুক্ত হয়ে থাকতে পারে।