Bulgarian National Revenue Agency: তথ্য ফাঁস

এই রেকর্ডে ইমেইল ঠিকানা, নাম, ফোন নম্বর, ডাক ঠিকানা ও কর-সংক্রান্ত রেকর্ড যাচাইকৃত তথ্যের শ্রেণি। ইমেইল ও ফোনের তথ্য সরাসরি যোগাযোগের জন্য ব্যবহার করা যেতে পারে। নাম ও ডাক ঠিকানা ব্যবহার করলে ফিশিং বা প্রতারণামূলক বার্তা আরও ব্যক্তিগত বলে মনে হতে পারে। কর-সংক্রান্ত রেকর্ডে কোনো ব্যক্তির আয়, ঋণ, সামাজিক নিরাপত্তা বা সরকারি প্রশাসনের সঙ্গে সংশ্লিষ্ট সংবেদনশীল বিবরণ থাকতে পারে।

এই রেকর্ডে পাসওয়ার্ড কোনো যাচাইকৃত তথ্যক্ষেত্র নয়; তাই ঝুঁকি মূল্যায়নের ভিত্তি হওয়া উচিত ফিশিং, সরকারি প্রতিষ্ঠানের পরিচয় ব্যবহার করে প্রতারণা, করের বকেয়া নিয়ে প্রতারণা, ভুয়া বিজ্ঞপ্তি এবং পরিচয় যাচাই প্রক্রিয়ার অপব্যবহার, পাসওয়ার্ড ভাঙার ঝুঁকি নয়। কোনো আক্রমণকারী এমন বার্তা তৈরি করতে পারে, যা দেখে মনে হবে সেটি কর কর্তৃপক্ষের কাছ থেকে এসেছে, অথবা সেটি অর্থ পরিশোধের বিজ্ঞপ্তি, অর্থ ফেরত পাওয়ার প্রক্রিয়া বা সরকারি সেবার আবেদনসংক্রান্ত বার্তা। এসব বার্তায় প্রকৃত নাম, ঠিকানা বা কর-সংক্রান্ত তথ্য থাকলে সেগুলো বিশ্বাসযোগ্য বলে মনে হতে পারে।

এই রেকর্ডের পরিসর হলো 4,71,167টি স্বতন্ত্র ইমেইল ঠিকানা। যাচাইকৃত তথ্যের শ্রেণিগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, ডাক ঠিকানা ও কর-সংক্রান্ত রেকর্ড। পুরো ঘটনাটি আরও বিস্তৃত একটি জাতীয় তথ্য ফাঁসের অংশ হিসেবে বিবেচিত হতে পারে। তবে এই পৃষ্ঠায় ইমেইলের সঙ্গে মেলানো যায় এমন যাচাইকৃত রেকর্ডের সংখ্যাকেই প্রধান সংখ্যা হিসেবে ব্যবহার করা হয়েছে। এই পার্থক্যটি গুরুত্বপূর্ণ, যাতে ব্যবহারকারীরা ভুল করে মনে না করেন যে ওই 4,71,167 জনই ঘটনাটিতে মোট ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা।

প্রতিবেদন অনুযায়ী, বৃহত্তর তথ্যসমষ্টিতে নাগরিক ও কোম্পানির প্রশাসনিক রেকর্ড রয়েছে; তবে এই পৃষ্ঠায় ব্যবহারকারীকে দেখানো তথ্যক্ষেত্রগুলো যাচাইকৃত প্রধান তথ্যের শ্রেণির মধ্যেই সীমিত। পেমেন্ট কার্ড, অ্যাকাউন্টের পাসওয়ার্ড, ব্যক্তিগত বার্তা বা স্বাস্থ্যসংক্রান্ত রেকর্ড এই রেকর্ডের প্রধান যাচাইকৃত তথ্যের শ্রেণির অন্তর্ভুক্ত নয়। কর-সংক্রান্ত প্রতারণা ও পরিচয় চুরির ঝুঁকি বিবেচনায় ব্যবহারকারীর করণীয় নির্ধারণ করা উচিত।

বুলগেরিয়ায় করের উদ্দেশ্যে নিবন্ধিত নাগরিক, দেশটিতে আয় আছে বা সরকারি প্রশাসনের সঙ্গে সংশ্লিষ্ট বিদেশি ব্যক্তি এবং কোম্পানির প্রতিনিধিরা সবচেয়ে বেশি ঝুঁকিতে থাকতে পারেন। এই তথ্যসমষ্টিতে যাঁদের ইমেইল ঠিকানা রয়েছে, তাঁদের সরকারি প্রতিষ্ঠানের পরিচয় ব্যবহার করে পাঠানো বার্তার মাধ্যমে লক্ষ্যবস্তু করা হতে পারে। যাঁদের ফোন নম্বর ও ডাক ঠিকানা রয়েছে, তাঁদের ক্ষেত্রে শুধু ইমেইল নয়, ফোন কল, SMS ও ডাকযোগেও প্রতারণার চেষ্টা হতে পারে।

কর-সংক্রান্ত রেকর্ডে কোনো ব্যক্তির আর্থিক অবস্থা বা সরকারের কাছে তাঁর দায় সম্পর্কে সংবেদনশীল সূত্র থাকতে পারে। তাই ঝুঁকি শুধু অ্যাকাউন্ট দখলে সীমাবদ্ধ নয়। পরিচয় চুরি, ঋণ বা বকেয়ার ভুয়া বিজ্ঞপ্তি, সরকারি পাওনা পরিশোধের অনুরোধ, কর ফেরত দেওয়ার প্রতিশ্রুতি কিংবা কোম্পানির প্রতিনিধিদের লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টা হতে পারে। কর্পোরেট ইমেইল ঠিকানার সঙ্গে মিলে যাওয়া রেকর্ডগুলো কর্মক্ষেত্রের নিরাপত্তা ও অর্থ বিভাগের প্রক্রিয়ার দিক থেকেও পর্যালোচনা করা উচিত।

যাঁরা তথ্য মিলে যাওয়ার বিজ্ঞপ্তি পান, তাঁদের উচিত কর কর্তৃপক্ষ বা সরকারি প্রশাসনের কাছ থেকে এসেছে বলে মনে হয় এমন যেকোনো বার্তা নির্ভরযোগ্য কোনো মাধ্যমে সরাসরি যাচাই করা। প্রাপ্ত বার্তার লিংক দিয়ে লগইন না করে প্রতিষ্ঠানের ওয়েব ঠিকানা নিজে টাইপ করা বা প্রতিষ্ঠানের আনুষ্ঠানিক যোগাযোগমাধ্যম ব্যবহার করা উচিত। করের বকেয়া, কর ফেরত, জরিমানা, নিবন্ধন হালনাগাদ বা সরকারি সেবার আবেদনসংক্রান্ত বার্তায় অর্থ পরিশোধ বা নথি দেওয়ার অনুরোধ থাকলে বাড়তি সতর্কতা প্রয়োজন।

ব্যবহারকারীদের উচিত শক্তিশালী পাসওয়ার্ড দিয়ে ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখা এবং সম্ভব হলে দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করা। এই তথ্য ফাঁসে পাসওয়ার্ড না থাকলেও, ইমেইল অ্যাকাউন্টের নিয়ন্ত্রণ হারালে সরকারি সেবা ও কর-সংক্রান্ত বিজ্ঞপ্তির ওপর আরও বড় প্রভাব পড়তে পারে। ফোন কলে ব্যক্তিগত তথ্য দেওয়া উচিত নয়। কেউ সরকারি প্রতিষ্ঠানের পক্ষে ফোন করছেন বলে দাবি করলে, তাঁর অনুরোধ আলাদা একটি যোগাযোগমাধ্যমে যাচাই করা উচিত। অর্থ ও হিসাবসংক্রান্ত প্রক্রিয়ায় প্রতারণামূলক নির্দেশনার ঝুঁকি সম্পর্কে কোম্পানির প্রতিনিধিদের অবহিত করা উচিত।

Bulgarian National Revenue Agency-এর ঘটনাটি দেখায় যে সরকারি প্রতিষ্ঠানে সংরক্ষিত বাধ্যতামূলকভাবে দেওয়া তথ্য অত্যন্ত সংবেদনশীল। সরকারি সেবায় ব্যবহৃত ইমেইল ঠিকানা শক্তভাবে সুরক্ষিত রাখা, সরকারি প্রতিষ্ঠান থেকে আসা বার্তা নিয়মিত যাচাই করা এবং ব্যক্তিগত তথ্যযুক্ত নথি পাঠানোর সময় ব্যবহৃত মাধ্যমের নিরাপত্তার দিকে খেয়াল রাখা উচিত। কর, সামাজিক নিরাপত্তা ও সরকারি অর্থ পরিশোধসংক্রান্ত বিজ্ঞপ্তি সব সময় আনুষ্ঠানিক মাধ্যমে যাচাই করা উচিত।

প্রতিষ্ঠানগুলোর জন্য এই ঘটনা মনে করিয়ে দেয় যে কর-সংক্রান্ত ও প্রশাসনিক রেকর্ডের সুরক্ষায় প্রবেশাধিকার নিয়ন্ত্রণ, নেটওয়ার্কের নিরাপত্তা, তথ্য পৃথকীকরণ, রেকর্ড সংরক্ষণের মেয়াদ এবং ঘটনা জানানোর প্রক্রিয়া বিবেচনায় রাখা উচিত। ব্যবহারকারীদের ক্ষেত্রে ফিশিং সম্পর্কে সচেতনতা, ইমেইলের নিরাপত্তা, দুই-উপাদানভিত্তিক প্রমাণীকরণ এবং আর্থিক ও সরকারি বিজ্ঞপ্তি নিয়মিত যাচাই করার অভ্যাস দীর্ঘমেয়াদি সুরক্ষা দেয়। সরকারি তথ্য ফাঁসের বহু বছর পরও সেই তথ্য সোশ্যাল ইঞ্জিনিয়ারিংয়ের কাজে ব্যবহার করা যেতে পারে।

এই রেকর্ডে ইমেইল ঠিকানার সঙ্গে মিল পাওয়া গেলে তা বোঝায় যে ব্যবহারকারী Bulgarian National Revenue Agency-এর তথ্যসমষ্টিতে থাকা এমন একটি রেকর্ডে অন্তর্ভুক্ত, যা ইমেইল দিয়ে মেলানো যায়। ব্যবহারকারীর প্রথমে নির্ধারণ করা উচিত, এই ইমেইল ঠিকানা সরকারি, কর-সংক্রান্ত বা কর্পোরেট লেনদেনে ব্যবহার করা হয়েছে কি না। এরপর কর কর্তৃপক্ষ, হিসাবরক্ষণ, অর্থ ও সরকারি সেবাসংক্রান্ত বার্তা আরও সতর্কভাবে যাচাই করা উচিত।

মিল পাওয়ার অর্থ এই নয় যে ব্যবহারকারীর পাসওয়ার্ড বা পেমেন্ট কার্ডের তথ্য উন্মুক্ত হয়েছে; তবে ইমেইল, নাম, ফোন নম্বর, ডাক ঠিকানা ও কর-সংক্রান্ত রেকর্ড একসঙ্গে থাকা সংবেদনশীল তথ্যের বিষয়ে একটি গুরুত্বপূর্ণ সতর্কসংকেত। সরকারি প্রতিষ্ঠানের বার্তা বিশ্বস্ত কোনো মাধ্যমে সরাসরি যাচাই করা, দুই-উপাদানভিত্তিক প্রমাণীকরণ দিয়ে ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখা, অপ্রত্যাশিত অর্থ পরিশোধের অনুরোধের সত্যতা নিয়ে প্রশ্ন তোলা এবং কোম্পানির প্রক্রিয়ায় দ্বিতীয় অনুমোদনের ব্যবস্থা ব্যবহার করা, এসব পদক্ষেপ এই তথ্য ফাঁস থেকে তৈরি হতে পারে এমন প্রতারণা ও ফিশিংয়ের ঝুঁকি কমায়।