Catho: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ব্যবহারকারীর নাম এবং পাসওয়ার্ড। সবচেয়ে গুরুত্বপূর্ণ তথ্য হলো পাসওয়ার্ড, কারণ প্লেইনটেক্সট পাসওয়ার্ড অন্য কোনো সেবায় ব্যবহার করে দেখার আগে সেটি ক্র্যাক করার অতিরিক্ত প্রক্রিয়ার প্রয়োজন হয় না। কোনো ব্যবহারকারী বিভিন্ন অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করে থাকলে, একটি তথ্য ফাঁসের ঘটনা থেকে ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, চাকরি খোঁজার অ্যাকাউন্ট, আর্থিক সেবা বা প্রতিষ্ঠানের অভ্যন্তরীণ ব্যবস্থায় ধারাবাহিক ঝুঁকি তৈরি হতে পারে। অন্যদিকে, ইমেইল ঠিকানা ও ব্যবহারকারীর নাম হামলাকারীদের অ্যাকাউন্ট খুঁজে বের করা, স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা করা এবং পাসওয়ার্ড পুনর্নির্ধারণের প্রক্রিয়াকে লক্ষ্য করার সুযোগ দেয়।

শুধু নামের তথ্যকে খুব বেশি গোপনীয় মনে না-ও হতে পারে। তবে ইমেইল ঠিকানা ও ব্যবহারকারীর নামের সঙ্গে যুক্ত হলে তা ব্যক্তিভিত্তিক বার্তা তৈরির জন্য যথেষ্ট প্রাসঙ্গিক তথ্য দেয়। বিশেষ করে চাকরির বিজ্ঞাপন প্ল্যাটফর্মের ব্যবহারকারীরা স্বাভাবিকভাবেই চাকরির প্রস্তাব, জীবনবৃত্তান্ত হালনাগাদ, প্রতিষ্ঠানের আমন্ত্রণ বা সাক্ষাৎকারের সময় নির্ধারণের মতো বিষয়ে বেশি সাড়া দিতে পারেন। তাই ফাঁস হওয়া তথ্য লক্ষ্যভিত্তিক ফিশিং, ভুয়া চাকরির বিজ্ঞপ্তি, ক্ষতিকর ফাইলযুক্ত আবেদন ফরম এবং অ্যাকাউন্ট যাচাইয়ের ছদ্মবেশে পাঠানো লিংকে ব্যবহার করা হতে পারে। পাসওয়ার্ড প্লেইনটেক্সটে থাকায় ঝুঁকি আরও বাড়ে, কারণ ব্যবহারকারী কোন পাসওয়ার্ড ব্যবহার করতে পছন্দ করেন, তা হামলাকারী সরাসরি দেখতে পারেন।

এই রেকর্ডে যাচাইকৃত প্রভাবিত অ্যাকাউন্টের সংখ্যা 11,73,012টি স্বতন্ত্র ইমেইল ঠিকানার ভিত্তিতে নির্ধারিত হয়েছে। ঘটনাটির সঙ্গে সংশ্লিষ্ট ডেটাসেটে প্রায় 11 মিলিয়ন রেকর্ড রয়েছে বলেও উল্লেখ করা হয়েছে। তবে এই বড় সংখ্যাকে স্বতন্ত্র ব্যবহারকারীর সংখ্যা হিসেবে ধরা উচিত নয়। প্রকাশ্যে নিশ্চিত করা যাচাইয়ের ফলাফলে ফাঁস হওয়া তথ্য হিসেবে নাম, ব্যবহারকারীর নাম, ইমেইল ঠিকানা এবং প্লেইনটেক্সট পাসওয়ার্ড তালিকাভুক্ত করা হয়েছে। ফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা, পরিচয়পত্রের নম্বর, পেমেন্ট কার্ড, ব্যাংকের তথ্য বা জীবনবৃত্তান্তের বিষয়বস্তুর মতো তথ্যের ক্ষেত্রে একই মাত্রায় যাচাইকৃত প্রমাণ না থাকায় এই রেকর্ডে সেসব তথ্যের ধরন অন্তর্ভুক্ত করা হয়নি।

ঘটনাটির আনুমানিক সময় 2020 সালের মার্চ হিসেবে চিহ্নিত করা হয়েছে। পরে ডেটাসেটটি অন্যান্য তথ্য ফাঁসের ঘটনার ডেটাসেটের সঙ্গে বিক্রির জন্য তোলা হয়েছিল বলে জানা গেছে। এই সময়ক্রম থেকে বোঝা যায়, ব্যবহারকারীরা হয়তো তথ্য ফাঁসের বিষয়টি সঙ্গে সঙ্গে জানতে পারেননি এবং তৃতীয় পক্ষ দীর্ঘ সময় ধরে পাসওয়ার্ডগুলো ব্যবহার করে দেখার সুযোগ পেয়ে থাকতে পারে। তাই Catho অ্যাকাউন্ট পরে বন্ধ করা হলেও, অন্য অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে ঝুঁকি থেকে যায়। ঘটনার পরিসর মূল্যায়নের সময় পুনরাবৃত্ত সারি ও স্বতন্ত্র ইমেইলের সংখ্যার পার্থক্য বজায় রাখতে হবে। ব্যবহারকারীকে প্রকৃত পরিসরের চেয়ে বড় বা যাচাই করা হয়নি এমন প্রভাবের ধারণা দেওয়া উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা Catho-তে অ্যাকাউন্ট খুলেছেন এবং অন্য সেবায়ও একই পাসওয়ার্ড ব্যবহার করেছেন। অন্যান্য তথ্য ফাঁসের ঘটনার তুলনায় এই ব্যবহারকারীদের অ্যাকাউন্ট দখল হওয়ার আশঙ্কা বেশি, কারণ হামলাকারীর কাছে সরাসরি এমন একটি পাসওয়ার্ড রয়েছে যা ব্যবহার করে দেখা যায়। চাকরি খুঁজছেন এমন ব্যবহারকারীরাও ভুয়া নিয়োগসংক্রান্ত বার্তায় বেশি সহজে প্রভাবিত হতে পারেন, কারণ সত্যিকারের কর্মজীবনের সুযোগ ও ক্ষতিকর লিংকের মধ্যে পার্থক্য করা সব সময় সহজ নয়। নাম, ইমেইল ও প্ল্যাটফর্মসংক্রান্ত প্রেক্ষাপট একত্র হলে বার্তাগুলো আরও ব্যক্তিগত ও বিশ্বাসযোগ্য মনে হতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন তাঁরা, যাঁরা Catho অ্যাকাউন্টের ইমেইল ঠিকানাটি কর্মস্থলের ইমেইল, শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্ট বা দীর্ঘদিন ধরে ব্যবহৃত ব্যক্তিগত অ্যাকাউন্ট হিসেবেও ব্যবহার করেন। এ ধরনের ঠিকানা সামাজিক যোগাযোগের পরিধি, কর্মজীবনের ইতিহাস ও অন্যান্য অনলাইন অ্যাকাউন্টের সঙ্গে যুক্ত করা যায়। ব্যবহারকারীর নাম ফাঁস হলে একই ছদ্মনাম অন্য প্ল্যাটফর্মেও খোঁজা হতে পারে। প্রতিষ্ঠানের নিরাপত্তা দলের দৃষ্টিকোণ থেকে, কর্মীরা করপোরেট অ্যাকাউন্টে তাঁদের ব্যক্তিগত চাকরি খোঁজার অ্যাকাউন্টের মতো পাসওয়ার্ড ব্যবহার করলে ঝুঁকি বাড়ে। তাই শুধু Catho অ্যাকাউন্ট নয়, একই লগইন তথ্যের সঙ্গে যুক্ত সব অ্যাকাউন্ট পর্যালোচনা করা প্রয়োজন।

Catho অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ডকে আর নিরাপদ বলে বিবেচনা করা উচিত নয়। প্রথমে Catho-তে একটি স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করুন। এরপর যেসব অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করেছেন, সেগুলোর প্রতিটির জন্যও স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করুন। একাধিক জায়গায় একই পাসওয়ার্ড ব্যবহার করেছেন কি না মনে না থাকলে, আগে ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট, চাকরি খোঁজার সাইট, ক্লাউড স্টোরেজ সেবা এবং আর্থিক অ্যাকাউন্টগুলো পরীক্ষা করুন। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা সহজ হয়।

ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ (মাল্টি-ফ্যাক্টর অথেনটিকেশন) চালু করুন এবং সাম্প্রতিক লগইন ও সংযুক্ত অ্যাপ্লিকেশনগুলো পর্যালোচনা করুন। সন্দেহজনক সেশন বন্ধ করুন এবং অপরিচিত ইমেইল ফরওয়ার্ডিং নিয়ম, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানা ও ফোন নম্বর সরিয়ে দিন। Catho বা চাকরি খোঁজা সংক্রান্ত বার্তার সংযুক্তি ও লিংক সতর্কভাবে পরীক্ষা করুন। অর্থ প্রদান করতে হয় এমন চাকরির প্রস্তাব, ব্যক্তিগত নথি চাওয়া ফরম, দ্রুত নিয়োগের প্রতিশ্রুতিসংবলিত বার্তা এবং অ্যাকাউন্ট যাচাইয়ের অজুহাতে পাসওয়ার্ড চাওয়া পেজকে উচ্চ ঝুঁকির হিসেবে বিবেচনা করুন।

এই ঘটনা দেখায় যে চাকরি খোঁজার প্ল্যাটফর্মে ব্যবহৃত অ্যাকাউন্টগুলোতেও মূল্যবান পরিচয়সংক্রান্ত তথ্য থাকে। দীর্ঘমেয়াদে প্রতিটি প্ল্যাটফর্মের জন্য আলাদা পাসওয়ার্ড ব্যবহার করাই মূল নিয়ম হওয়া উচিত। নিয়োগ ও কর্মজীবনসংক্রান্ত অ্যাকাউন্টে সবার কাছে প্রকাশিত ইমেইল ঠিকানার বদলে একটি আলাদা ঠিকানা ব্যবহার করে ঝুঁকি সীমিত করা যায়। পুরোনো চাকরি খোঁজার অ্যাকাউন্ট নিয়মিত পরীক্ষা করা, অব্যবহৃত অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলে রাখার প্রয়োজন নেই এমন তথ্য সরিয়ে দেওয়া উচিত। এতে ভবিষ্যতের কোনো ঘটনায় প্রকাশ হয়ে যেতে পারে এমন তথ্যের পরিমাণ কমে।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীদের সচেতনতামূলক প্রশিক্ষণে স্পষ্টভাবে বোঝানো উচিত যে ব্যক্তিগত অ্যাকাউন্টের পাসওয়ার্ড পুনরায় ব্যবহার করলে করপোরেট ঝুঁকি তৈরি হতে পারে। করপোরেট অ্যাকাউন্টে মাল্টি-ফ্যাক্টর প্রমাণীকরণ, সন্দেহজনক লগইন পর্যবেক্ষণ, পাসওয়ার্ডের পুনর্ব্যবহার কমানোর নীতি এবং ফিশিং প্রতিরোধের সক্ষমতা বাড়ায় এমন নিয়ন্ত্রণব্যবস্থা প্রয়োগ করা উচিত। ব্যক্তিগত ও কর্মস্থলের অ্যাকাউন্টে একই ধরনের পাসওয়ার্ড ব্যবহার থেকে ব্যবহারকারীদের বিরত রাখা না গেলেও, আগাম সতর্কতা ও দ্রুত পাসওয়ার্ড পরিবর্তনের প্রক্রিয়া ক্ষতি কমাতে পারে। নিরাপত্তা দলের পর্যবেক্ষণ পরিকল্পনায় চাকরি খোঁজা সংক্রান্ত প্রতারণামূলক বার্তা শনাক্ত করার বিষয়টিও অন্তর্ভুক্ত করা উচিত।

এই রেকর্ডে মিল পাওয়ার অর্থ হলো সংশ্লিষ্ট ইমেইল ঠিকানাটি Catho-র তথ্য ফাঁসের সঙ্গে যুক্ত স্বতন্ত্র ইমেইলের তালিকায় রয়েছে। মিল পাওয়া মানেই ব্যবহারকারীর সব অ্যাকাউন্টের নিয়ন্ত্রণ অন্যের হাতে চলে গেছে, এমন নয়। তবে ফাঁস হওয়া পাসওয়ার্ড অন্য সেবায় ব্যবহার করে দেখার চেষ্টা হয়ে থাকতে পারে বলে ধরে নেওয়া উচিত। অগ্রাধিকার হলো একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো এবং ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা। ইমেইল অ্যাকাউন্ট সুরক্ষিত না হওয়া পর্যন্ত অন্য অ্যাকাউন্টগুলোকে নিরাপদ হিসেবে বিবেচনা করা যায় না, কারণ পাসওয়ার্ড পুনর্নির্ধারণের লিংক সাধারণত ইমেইলে আসে।

Catho ব্যবহারের সময়কার পুরোনো বার্তা, সংরক্ষিত পাসওয়ার্ডের রেকর্ড এবং একই সময়ে ব্যবহার করা অ্যাকাউন্টগুলো পরীক্ষা করুন। সন্দেহজনক লগইনের সতর্কতা, অপ্রত্যাশিত পাসওয়ার্ড পুনর্নির্ধারণের ইমেইল বা চাকরির প্রস্তাব বলে মনে হয় এমন লিংককে গুরুত্বের সঙ্গে নিন। এই ঘটনার যাচাইকৃত পরিসর সীমিত হলেও, প্লেইনটেক্সট পাসওয়ার্ড অন্তর্ভুক্ত থাকায় এর প্রভাব দীর্ঘস্থায়ী হতে পারে। সবচেয়ে নিরাপদ পন্থা হলো ফাঁস হওয়া পাসওয়ার্ড আর কোথাও ব্যবহার হচ্ছে না তা নিশ্চিত করা, মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করা এবং চাকরি খোঁজা সংক্রান্ত বার্তার বিষয়ে আরও সতর্ক থাকা।