BitRewards (2020)-এর তথ্য ফাঁস

যাচাইয়ের মূল্যায়নে একই ঘটনায় BitRewards নাম, bitrewards.com ডোমেইন, জুলাই 2020 সময়কাল, 4,27,000-এর বেশি অ্যাকাউন্টের সংখ্যা এবং ইমেইল, নাম, ফোন ও হ্যাশ করা পাসওয়ার্ডের ক্ষেত্র একসঙ্গে পাওয়ার বিষয়টি বিবেচনা করা হয়েছে। ক্রিপ্টো পুরস্কার ও গ্রাহক আনুগত্যভিত্তিক প্ল্যাটফর্মে অ্যাকাউন্টের নিরাপত্তা বিশেষভাবে গুরুত্বপূর্ণ, কারণ ব্যবহারকারীরা একই ইমেইল বা ফোন নম্বর দিয়ে বিভিন্ন এক্সচেঞ্জ, ওয়ালেট, কেনাকাটা ও পুরস্কার-সংক্রান্ত অ্যাকাউন্টও ব্যবহার করতে পারেন। নথিভুক্ত করার সময় শুধু প্রমাণসমর্থিত অ্যাকাউন্ট তথ্যের ক্ষেত্রগুলো অন্তর্ভুক্ত করা হয়েছে; আর্থিক সম্পদে প্রবেশাধিকার পাওয়া গিয়েছিল, এমন ধারণা দিয়ে এর পরিসর বাড়ানো হয়নি।

BitRewards-এর তথ্য ফাঁস ব্যবহারকারীদের জন্য অ্যাকাউন্টের নিয়ন্ত্রণ দখল, ক্রিপ্টো-সংক্রান্ত ফিশিং ও লয়্যালটি পয়েন্ট জালিয়াতির মতো ঝুঁকি তৈরি করে। ইমেইল ঠিকানা ও ফোন নম্বর থাকলে ইমেইল এবং টেক্সট মেসেজ, দুই মাধ্যমেই ব্যবহারকারীর কাছে পৌঁছানো সহজ হয়। নামের তথ্য ব্যবহার করে বার্তাটি ব্যক্তিগতভাবে সাজানো যায়। হ্যাশ করা পাসওয়ার্ডের তথ্য থাকলে অন্য সেবায় একই বা দুর্বল পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টা করার ঝুঁকি বাড়ে। আক্রমণকারীরা পুরস্কার দাবি, পয়েন্ট উত্তোলন, ওয়ালেট সংযুক্ত করা, অ্যাকাউন্টের নিরাপত্তা বা প্রচারাভিযান যাচাইয়ের নামে ভুয়া বার্তা তৈরি করতে পারে।

এই ঘটনায় দৃশ্যমান তথ্যের ধরনগুলো সংবেদনশীল, কারণ এগুলো ক্রিপ্টো ও পুরস্কার কর্মসূচির প্রেক্ষাপটের সঙ্গে যুক্ত। নথিতে প্রাইভেট কী বা সম্পূর্ণ পেমেন্ট তথ্য রয়েছে বলে বিবেচনা করা হয়নি। তবে ইমেইল, ফোন ও পাসওয়ার্ড হ্যাশের তথ্যই কোনো ব্যবহারকারীকে লক্ষ্যবস্তু করার জন্য যথেষ্ট হতে পারে। হ্যাশ করা পাসওয়ার্ডের ক্ষেত্রে দুর্বল পাসওয়ার্ডের ব্যবহার, অভিধানের শব্দভিত্তিক পাসওয়ার্ড বা অন্য তথ্য ফাঁসের ঘটনায় দেখা যাওয়া পাসওয়ার্ড অ্যাকাউন্টে প্রবেশের তথ্য অনুমান করে আক্রমণের সুযোগ তৈরি করতে পারে। বিভিন্ন প্ল্যাটফর্মে একই লগইন তথ্য ব্যবহার করেন এমন ব্যক্তিরা বিশেষভাবে ঝুঁকিতে আছেন।

যাঁদের BitRewards অ্যাকাউন্ট আছে বা যাঁরা ক্রিপ্টো, কেনাকাটা কিংবা পুরস্কার কর্মসূচিতে একই ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের সংশ্লিষ্ট অ্যাকাউন্টের পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের পাসওয়ার্ড নতুন করে নির্ধারণ করা উচিত। ইমেইল, ক্রিপ্টো এক্সচেঞ্জ, ওয়ালেট, কেনাকাটা, পেমেন্ট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলো অগ্রাধিকার ভিত্তিতে যাচাই করা উচিত। যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা, পুরোনো সেশন বন্ধ করা এবং অপ্রত্যাশিত লগইন সতর্কতা পর্যালোচনা করা উচিত। পুরস্কার উত্তোলন, ওয়ালেট সংযুক্ত করা বা অ্যাকাউন্ট যাচাইয়ের লিংক আলাদা একটি মাধ্যম দিয়ে যাচাই করা উচিত।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে BitRewards-এর তথ্য ফাঁসের ঘটনাটি দেখায় যে পুরস্কার ও গ্রাহক আনুগত্য কর্মসূচিতে অ্যাকাউন্টের নিরাপত্তা এবং গ্রাহকদের সঙ্গে যোগাযোগ, দুটোকেই একসঙ্গে সুরক্ষিত রাখা প্রয়োজন। সহায়তা দলের শুধু ইমেইল, ফোন বা নামের তথ্যের ভিত্তিতে অ্যাকাউন্টে পরিবর্তন করা উচিত নয়। পয়েন্ট স্থানান্তর, ইমেইল পরিবর্তন, ফোন নম্বর হালনাগাদ, অ্যাকাউন্ট পুনরুদ্ধার ও প্রচারাভিযানের বৈধতা যাচাইয়ের প্রক্রিয়ায় অতিরিক্ত যাচাই প্রয়োজন। ক্রিপ্টো বা পুরস্কার-সংক্রান্ত প্ল্যাটফর্মগুলোর উচিত ব্যবহারকারীদের স্পষ্ট নিরাপত্তা সতর্কতা দেওয়া এবং ভুয়া ওয়ালেট লিংক ও পয়েন্ট উত্তোলনের বার্তা কীভাবে চেনা যায়, তা ব্যাখ্যা করা।

BitRewards-এর তথ্য ফাঁসের নথি যাচাইয়ের পরিসরে সমর্থিত তথ্যের ক্ষেত্রগুলোর মধ্যেই সীমিত রাখা হয়েছে। 4,27,133টি অ্যাকাউন্ট নথিভুক্ত করা হয়েছে; বেশি দেখা যাওয়া সারির সংখ্যাকে সরাসরি স্বতন্ত্র ব্যবহারকারীর সংখ্যা হিসেবে লেখা হয়নি। নথিতে ওয়ালেটের প্রাইভেট কী, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট বা সরকারি পরিচয়পত্রের তথ্য থাকার দাবি অন্তর্ভুক্ত করা হয়নি। তা সত্ত্বেও ইমেইল, ফোন, নাম ও হ্যাশ করা পাসওয়ার্ডের সমন্বয় অ্যাকাউন্টের নিরাপত্তার জন্য অত্যন্ত গুরুতর ঝুঁকি তৈরি করে। ক্রিপ্টো পুরস্কারের প্রেক্ষাপট ব্যবহার করে আক্রমণকারীরা তাদের বার্তাকে আরও আকর্ষণীয় ও জরুরি বলে উপস্থাপন করতে পারে।

সামগ্রিক ঝুঁকির মাত্রা অত্যন্ত গুরুতর হিসেবে মূল্যায়ন করা হয়েছে, কারণ BitRewards-এর তথ্য ফাঁসের ঘটনায় ক্রিপ্টোকারেন্সি পুরস্কারের প্রেক্ষাপটের সঙ্গে অ্যাকাউন্ট ID, ফোন ও হ্যাশ করা পাসওয়ার্ডের তথ্য একত্র হয়েছে। BitRewards-এর তথ্য ফাঁস সম্পর্কে খোঁজ করছেন এমন ব্যবহারকারীদের জন্য সবচেয়ে কার্যকর করণীয় হলো একই পাসওয়ার্ড পুনরায় ব্যবহার না করা, ইমেইল ও ক্রিপ্টো অ্যাকাউন্টে অতিরিক্ত যাচাই চালু করা, পুরস্কার বা ওয়ালেটের লিংক স্বাধীনভাবে যাচাই করা, ফোনের মাধ্যমে কোড চেয়ে আসা অনুরোধ বিশ্বাস না করা এবং পুরোনো অ্যাকাউন্টের তথ্য দিয়ে তৈরি বার্তা সতর্কভাবে পর্যালোচনা করা। অসমর্থিত আর্থিক দাবি যোগ না করে অ্যাকাউন্টের নিরাপত্তার ওপর প্রকৃত প্রভাব ব্যাখ্যা করার জন্য প্রতিবেদনটি প্রস্তুত করা হয়েছে।