CafePress: তথ্য ফাঁস

যাচাইকৃত মূল তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, বাসস্থান বা অন্যান্য স্থানের ঠিকানা এবং পাসওয়ার্ড। পাসওয়ার্ডগুলো SHA-1 হ্যাশ হিসেবে সংরক্ষিত ছিল বলে ছোট বা বহুল ব্যবহৃত পাসওয়ার্ড অফলাইনে অনুমান করে বের করার ঝুঁকি বেশি ছিল। কোনো ইমেইল ঠিকানার সঙ্গে নাম, ফোন নম্বর বা বাড়ির ঠিকানা যুক্ত থাকলে লক্ষ্যভিত্তিক ফিশিং, ভুয়া ডেলিভারি বিজ্ঞপ্তি, ফোনে প্রতারণা এবং অ্যাকাউন্ট পুনরুদ্ধার ব্যবস্থার অপব্যবহার অনেক বেশি বিশ্বাসযোগ্য হয়ে উঠতে পারে। একটি নিয়ন্ত্রক সংস্থার তদন্তে কয়েক মিলিয়ন নিরাপত্তা প্রশ্ন ও উত্তর, 1,80,000-এর বেশি সোশ্যাল সিকিউরিটি নম্বর এবং কয়েক দশ হাজার আংশিক পেমেন্ট কার্ড নম্বর ও মেয়াদ শেষ হওয়ার তারিখ ফাঁসের কথাও জানানো হয়। এই অতিরিক্ত তথ্যের ধরনগুলো অপেক্ষাকৃত ছোট কিছু গোষ্ঠীর সঙ্গে সংশ্লিষ্ট ছিল; এগুলো সব 23.2 মিলিয়ন ইমেইল ঠিকানার ক্ষেত্রে প্রযোজ্য বলে ধরে নেওয়া যাবে না। সম্পূর্ণ কার্ড নম্বর, CVV কোড বা প্রত্যেক ব্যবহারকারীর আর্থিক তথ্য ফাঁস হয়েছে, এমন দাবি করার কোনো যাচাইকৃত ভিত্তি নেই।

এই ঘটনার জন্য উল্লেখ করা তারিখ হলো 20 ফেব্রুয়ারি 2019। প্রকাশিত তথ্য অনুযায়ী, ওই মাসে একজন আক্রমণকারী নিরাপত্তার ত্রুটি কাজে লাগিয়েছিল। প্রায় এক মাস পর প্রতিষ্ঠানটিকে একটি দুর্বলতা এবং গ্রাহকদের চুরি হওয়া তথ্য সম্পর্কে জানানো হয়। দুর্বলতাটি সংশোধন করা হলেও পূর্ণাঙ্গ তদন্ত শুরু করতে কয়েক মাস দেরি হয়। এপ্রিল 2019-এ আরও একটি সতর্কবার্তা পাওয়ার পরও গ্রাহকদের তাৎক্ষণিকভাবে স্পষ্ট তথ্য জানানো হয়নি। আগস্টে ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তন করতে বাধ্য করা হয়, তবে শুরুতে এই অনুরোধকে পাসওয়ার্ড নীতির সাধারণ হালনাগাদ হিসেবে উপস্থাপন করা হয়েছিল। ক্ষতিগ্রস্ত গ্রাহকদের সেপ্টেম্বর 2019 পর্যন্ত না জানানোর কারণে চুরি হওয়া পাসওয়ার্ড ও অ্যাকাউন্ট পুনরুদ্ধারের উত্তর অপব্যবহারের সুযোগ আরও দীর্ঘ হয়। প্রথমবার প্রবেশাধিকার পাওয়ার সুনির্দিষ্ট কৌশল প্রকাশ্যে বিস্তারিত জানানো হয়নি। তাই ঘটনাটিকে কোনো নির্দিষ্ট দুর্বলতা কাজে লাগানোর কৌশল বা আক্রমণ পদ্ধতির ফল বলে দাবি করা অনুমাননির্ভর হবে।

সবচেয়ে বড় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই ব্যক্তিরা, যাঁদের ইমেইল ঠিকানা ঘটনার সময় CafePress অ্যাকাউন্টের সঙ্গে যুক্ত ছিল। যাঁরা অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করেছেন, তাঁরা ক্রেডেনশিয়াল স্টাফিংয়ের ঝুঁকিতে আছেন। আর যাঁদের নাম, ঠিকানা বা ফোন নম্বর ফাঁস হয়েছে, তাঁরা তাঁদের ব্যক্তিগত তথ্য ব্যবহার করে সাজানো প্রতারণামূলক বার্তা বা অনুরোধ পেতে পারেন। যাঁদের নিরাপত্তা প্রশ্নের উত্তর অন্তর্ভুক্ত ছিল, তাঁদের উচিত অন্য সেবায় ব্যবহৃত একই উত্তরগুলোকে ফাঁস হয়ে যাওয়া অ্যাকাউন্ট পুনরুদ্ধারের গোপন তথ্য হিসেবে বিবেচনা করা। অপেক্ষাকৃত ছোট যে গোষ্ঠীর সোশ্যাল সিকিউরিটি নম্বর ফাঁস হয়েছে, তাঁদের পরিচয় চুরি ও প্রতারণামূলক অ্যাকাউন্ট খোলার ঝুঁকি বেশি। যাঁদের কার্ডের আংশিক তথ্য ছিল, তাঁদের কার্ডের লেনদেন ও ব্যাংকের বার্তা সতর্কভাবে পর্যবেক্ষণ করা উচিত। ঘটনার আগে অ্যাকাউন্ট বন্ধ করা হয়েছে বলেই প্রমাণ হয় না যে আগে সংরক্ষিত তথ্য ক্ষতিগ্রস্ত সিস্টেমগুলোতে ছিল না।

আপনার CafePress পাসওয়ার্ড এবং অন্য সেবায় ব্যবহৃত প্রতিটি একই বা অনুরূপ পাসওয়ার্ড পরিবর্তন করুন। প্রতিটির বদলে দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড ব্যবহার করুন। যেখানে সুবিধাটি আছে, সেখানে মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করুন এবং ভবিষ্যতে একই পাসওয়ার্ড আবার ব্যবহার করা এড়াতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন। একাধিক সেবায় ব্যবহার করা নিরাপত্তা প্রশ্নের উত্তর পরিবর্তন করুন এবং গুরুত্বপূর্ণ অ্যাকাউন্টের সঙ্গে যুক্ত পুনরুদ্ধারের ইমেইল ঠিকানা ও ফোন নম্বর যাচাই করুন। CafePress-এর নামে আসা অপ্রত্যাশিত পাসওয়ার্ড রিসেট, অর্ডার, অর্থ ফেরত বা ডেলিভারি-সংক্রান্ত বার্তার লিংকে যাবেন না; নিজে পরিচিত ঠিকানা লিখে সেবাটিতে প্রবেশ করুন। যাঁদের নির্দিষ্টভাবে জানানো হয়েছে যে তাঁদের সোশ্যাল সিকিউরিটি নম্বর এই ঘটনায় জড়িত থাকতে পারে, তাঁদের ক্রেডিট রিপোর্ট পর্যালোচনা করা এবং প্রযোজ্য ক্ষেত্রে প্রতারণার সতর্কতা চালু করা বা ক্রেডিট ফ্রিজের কথা বিবেচনা করা উচিত। যাঁদের কার্ডের আংশিক তথ্য ফাঁস হয়েছে, তাঁদের লেনদেন পর্যবেক্ষণ করা এবং সন্দেহজনক কার্যকলাপ দ্রুত কার্ড ইস্যুকারীকে জানানো উচিত।

স্বতন্ত্র পাসওয়ার্ড, মাল্টি-ফ্যাক্টর প্রমাণীকরণ এবং নিয়মিত অ্যাকাউন্ট পুনরুদ্ধার ব্যবস্থা পর্যালোচনা বিভিন্ন সেবায় প্রয়োগযোগ্য সবচেয়ে শক্তিশালী মৌলিক সুরক্ষা দেয়। ফাঁস হওয়া ইমেইল ঠিকানা পরিবর্তন করা সম্ভব না হলে অপ্রত্যাশিত সাইন-ইন ও পাসওয়ার্ড রিসেটের বার্তাকে আগাম সতর্কসংকেত হিসেবে বিবেচনা করুন। অপরাধীরা প্রকৃত ঠিকানা, ফোন নম্বর ও কেনাকাটার তথ্য ব্যবহার করে অনুরোধকে বৈধ বলে মনে করাতে পারে। তাই জরুরি কোনো দাবি বা অনুরোধ আলাদা একটি বিশ্বস্ত যোগাযোগমাধ্যমে যাচাই করুন। যাঁদের পরিচয়-সংক্রান্ত তথ্য ফাঁস হয়েছে, তাঁদের দীর্ঘমেয়াদে ক্রেডিট রিপোর্ট পর্যবেক্ষণ করা উচিত। অব্যবহৃত অ্যাকাউন্ট বন্ধ করার সময় তথ্য মুছে ফেলার জন্য আলাদা অনুরোধ করুন অথবা কত দিন তথ্য সংরক্ষণ করা হবে, তা স্পষ্ট করে জানতে চান। সেবা পরিচালনাকারীদের জন্য আধুনিক পাসওয়ার্ড হ্যাশিং, সংবেদনশীল শনাক্তকারী তথ্য এনক্রিপ্ট করা, অপ্রয়োজনীয় তথ্য মুছে ফেলা, পরীক্ষিত ঘটনা মোকাবিলা ব্যবস্থা এবং সময়মতো গ্রাহকদের জানানো, এসব দীর্ঘস্থায়ী সুরক্ষাব্যবস্থা ভবিষ্যতের তথ্য ফাঁসের ক্ষতি সীমিত করে।

আপনার ইমেইল ঠিকানা CafePress-এর তথ্য ফাঁসের রেকর্ডের সঙ্গে মেলে কি না, তা দেখতে LeakData-তে খুঁজুন। শুধু আপনার নিজের বা যে ঠিকানা যাচাই করার অনুমতি আপনার আছে, সেই ঠিকানাগুলোই যাচাই করুন। মিল পাওয়া মানে ঠিকানাটি যাচাইকৃত ডেটাসেটে আছে; এতে প্রমাণ হয় না যে অ্যাকাউন্টটি অন্য কারও নিয়ন্ত্রণে চলে গিয়েছিল বা তালিকাভুক্ত প্রতিটি ধরনের তথ্য আপনার নির্দিষ্ট রেকর্ডে ছিল। কোনো ফল না পাওয়া গেলে অন্য বিশ্বস্ত মাধ্যমে পাওয়া নিরাপত্তা বিজ্ঞপ্তি উপেক্ষা করবেন না, কারণ ডেটাসেটের আওতা ও যাচাইয়ের অবস্থা সময়ের সঙ্গে বদলাতে পারে। মিল পাওয়া গেলে প্রথমে একাধিক সেবায় ব্যবহৃত পাসওয়ার্ড পরিবর্তনকে অগ্রাধিকার দিন। এরপর আপনার ক্ষেত্রে প্রাসঙ্গিক তথ্যের ধরন অনুযায়ী অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস ও আর্থিক কার্যকলাপ পর্যালোচনা করুন।