CDEK-এর অযাচাইকৃত তথ্য ফাঁসের ডেটাসেট (2022)

এই রেকর্ডে তথ্যের ধরন হিসেবে নিরাপদে কেবল ইমেইল ঠিকানা, নাম ও ফোন নম্বর উল্লেখ করা যায়। এখানে গণনা করা হয়েছে 1,92,18,203টি স্বতন্ত্র ইমেইল ঠিকানা; এটিকে CDEK-এর গ্রাহক অ্যাকাউন্ট, ডেলিভারি রেকর্ড বা আলাদা ব্যক্তির নিশ্চিত সংখ্যা হিসেবে ধরা যাবে না। একজনের একাধিক যোগাযোগের তথ্য থাকতে পারে। তাছাড়া, তথ্যের উৎস CDEK-এর সিস্টেম ছিল, এই দাবিও স্বাধীনভাবে প্রতিষ্ঠিত হয়নি। ইমেইল ঠিকানা ফিশিং ও অ্যাকাউন্ট খুঁজে বের করতে কাজে লাগতে পারে, ফোন নম্বর দিয়ে প্রতারণামূলক বার্তা ও কল করা যায়, আর নাম ব্যবহার করে বার্তাকে আরও ব্যক্তিগত করে তোলা যায়। কুরিয়ার ব্র্যান্ডের সঙ্গে যোগসূত্র থাকলে ডেলিভারি, শুল্ক পরিশোধ, ঠিকানা পরিবর্তন বা পণ্য ফেরত দেওয়া নিয়ে প্রতারণা আরও বিশ্বাসযোগ্য মনে হতে পারে। পাসওয়ার্ড, বাসা বা কার্যালয়ের ঠিকানা, পাসপোর্টের বিবরণ, পেমেন্টের তথ্য, পণ্য পাঠানোর ইতিহাস ও প্যাকেজের ভেতরের জিনিসপত্রের তথ্য এই রেকর্ডে যাচাইকৃত তথ্যের ধরন নয়; এগুলো যোগ করলে তা উপলব্ধ প্রমাণের সীমা ছাড়িয়ে যাবে।

2022 সালের মার্চে হ্যাকটিভিস্টদের একটি দল 30 GB-এর বেশি তথ্য প্রকাশ করে। তাদের দাবি ছিল, তথ্যগুলো রাশিয়ার কুরিয়ার ও লজিস্টিকস ব্র্যান্ড CDEK থেকে এসেছে। রেকর্ডের 9 মার্চ 2022 তারিখটি প্রকাশিত ডেটাসেটকে নির্দেশ করে; ওই দিন CDEK-এর নেটওয়ার্কে প্রবেশ করা হয়েছিল বা সেখান থেকে তথ্য বের করা হয়েছিল, তা এই তারিখ প্রমাণ করে না। তথ্যগুলো 17 মার্চ সূচিভুক্ত করা হয় এবং সেগুলোর সত্যতা মূল্যায়নের অবস্থা “অযাচাইকৃত” থেকে যায়। তথ্যগুলো সরাসরি CDEK থেকে, কোনো তৃতীয় পক্ষের মাধ্যমে, নাকি অন্যান্য উৎসের সমন্বয়ে এসেছে, স্বাধীনভাবে পাওয়া প্রকাশ্য প্রমাণ তা প্রতিষ্ঠা করেনি। প্রথমবার প্রবেশের পদ্ধতি, ক্ষতিগ্রস্ত সিস্টেম, কোনো নেটওয়ার্কে কত সময় অবস্থান করা হয়েছিল এবং রেকর্ডগুলো তৈরির তারিখ নির্ভরযোগ্যভাবে প্রকাশ করা হয়নি। তাই ঘটনাটিকে কোম্পানির অভ্যন্তরীণ সিস্টেমে নিশ্চিত নিরাপত্তা লঙ্ঘন, সরবরাহকারী-সম্পর্কিত ঘটনা বা কোনো নির্দিষ্ট দুর্বলতা কাজে লাগানোর ঘটনা হিসেবে শ্রেণিবদ্ধ করা যায় না। উৎসের ঘরে থাকা “অজানা” মানটি এই প্রমাণগত সীমা বোঝায়; এটি প্রমাণ ছাড়া কোনো প্রযুক্তিগত কারণ নির্ধারণ করে না।

ডেটাসেটে যাঁদের ইমেইল, নাম বা ফোন নম্বর রয়েছে, তাঁরা সোশ্যাল ইঞ্জিনিয়ারিংয়ের মাধ্যমে প্রতারণার ঝুঁকিতে থাকতে পারেন। তবে কোনো তথ্য মিলে গেলেই প্রমাণ হয় না যে তাঁরা CDEK-এর গ্রাহক ছিলেন বা তথ্যগুলো CDEK থেকে এসেছে। আক্রমণকারীরা যোগাযোগের তথ্য একত্র করে পার্সেল দেরি হওয়া, ডেলিভারি ব্যর্থ হওয়া, ঠিকানা না থাকা, পণ্য ফেরত, শুল্ক বা গ্রাহকসেবার কল নিয়ে বার্তা তৈরি করতে পারে। ফোন নম্বর থাকলে লিখিত বার্তা, কল ও মেসেজিং অ্যাপের মাধ্যমে লক্ষ্যবস্তু করা যায়; ইমেইল ব্যবহার করে ভুয়া সাইন-ইন পেজে প্রলুব্ধ করা, ক্ষতিকর সংযুক্তি পাঠানো এবং অ্যাকাউন্ট খুঁজে বের করা যায়। পাসওয়ার্ড অন্তর্ভুক্ত থাকার বিষয়টি যাচাই করা হয়নি বলে কোনো তথ্য মিলে যাওয়া মানেই পাসওয়ার্ড উন্মুক্ত হয়েছে বা অ্যাকাউন্ট দখল করা হয়েছে, এমন নয়। 19.2 মিলিয়ন সংখ্যাটিও প্রমাণ করে না যে প্রতিটি সারিতে তিন ধরনের তথ্যই আছে বা প্রতিটি তথ্য এখনো হালনাগাদ। তথ্য উন্মুক্ত হয়ে থাকার সম্ভাবনা, সফল প্রতারণা এবং নিরাপত্তা বিঘ্নিত হওয়ার নিশ্চিত ঘটনা, এগুলো আলাদা ফলাফল।

অপ্রত্যাশিত পার্সেল-সংক্রান্ত বার্তার কোনো লিংক খোলার আগে পরিবহনকারীর অ্যাপ ব্যবহার করে বা তার ওয়েব ঠিকানা নিজে টাইপ করে পার্সেলের অবস্থা দেখুন এবং অফিশিয়াল মাধ্যমে তা যাচাই করুন। বার্তার ভেতরে দেওয়া নম্বরের বদলে কোম্পানির ওয়েবসাইটে থাকা যোগাযোগের তথ্য ব্যবহার করুন। ঠিকানা সংশোধন, শুল্ক পরিশোধ, আবার ডেলিভারি দেওয়া বা পণ্য ফেরতের কথা বলে কার্ডের বিবরণ, পাসওয়ার্ড বা একবার ব্যবহারযোগ্য কোড চাইলে তা দেবেন না। ইমেইলে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য ও সেশনগুলো পর্যালোচনা করুন এবং অপরিচিত ফরওয়ার্ডিং নিয়ম বা অ্যাপ পাসওয়ার্ড সরিয়ে দিন। এখানে পাসওয়ার্ড থাকার বিষয়টি যাচাই করা হয়নি, তাই শুধু এই তথ্যের মিল থেকে বোঝা যায় না যে CDEK-এর পাসওয়ার্ড ফাঁস হয়েছে; অন্য তথ্য ফাঁসের ঘটনায় জড়িত অ্যাকাউন্টগুলোর সঙ্গে একই পাসওয়ার্ড ব্যবহার করে থাকলে তা বদলান। সন্দেহজনক বার্তা ও প্রতারণামূলক পেজের বিষয়ে অভিযোগ জানান এবং অননুমোদিত পেমেন্ট হলে অবিলম্বে আপনার ব্যাংকের সঙ্গে যোগাযোগ করুন।

কেনাকাটা ও ডেলিভারির জন্য আলাদা ইমেইল অ্যালিয়াস ব্যবহার করলে কোনো বার্তা কোন নিবন্ধনের সঙ্গে সম্পর্কিত, তা বোঝা যায় এবং প্রতারণা শনাক্ত করা সহজ হয়। প্রতিটি সেবায় আলাদা পাসওয়ার্ড ব্যবহার করে তা পাসওয়ার্ড ম্যানেজারে রাখলে অন্য তথ্য ফাঁসের ঘটনা থেকে অ্যাকাউন্ট দখলের ঝুঁকি কমে, যদিও এখানে এমন কোনো দখলের ঘটনা যাচাই করা হয়নি। ইমেইল ও গুরুত্বপূর্ণ অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন ব্যবহার করুন, সম্ভব হলে অথেনটিকেটর অ্যাপ বা হার্ডওয়্যার চাবির মাধ্যমে। SIM-swap-এর ঝুঁকি কমাতে মোবাইল অপারেটরের কাছে PIN সেট করুন এবং নম্বর স্থানান্তরের সতর্কবার্তা চালু করুন। কুরিয়ার প্রোফাইল থেকে পুরোনো ঠিকানা ও ফোন নম্বর সরিয়ে দিন, অপ্রয়োজনীয় বিপণন-সংক্রান্ত অনুমতি বন্ধ করুন এবং অব্যবহৃত অ্যাকাউন্ট মুছে দেওয়ার কথা বিবেচনা করুন। প্রদর্শিত নামকে বিশ্বাস না করে প্রেরকের আসল ডোমেইন পরীক্ষা করুন, কারণ ফিল্টার সব প্রতারণা আটকাতে পারে না। যোগাযোগের তথ্য বহু বছর ধরে কাজে লাগতে পারে, তাই নিয়মিত তথ্য উন্মুক্ত হওয়ার বিষয় ও অ্যাকাউন্টের নিরাপত্তা পর্যালোচনা করতে থাকুন।

কোনো ইমেইল মিলে যাওয়ার অর্থ হলো, সেটি 2022 সালের মার্চে প্রকাশিত এবং CDEK থেকে এসেছে বলে দাবি করা অযাচাইকৃত ডেটাসেটে ছিল। এতে প্রমাণ হয় না যে ওই ব্যক্তি CDEK-এর গ্রাহক ছিলেন, কোম্পানির সিস্টেম থেকে তথ্য বের হয়েছে, কোনো অ্যাকাউন্টের নিরাপত্তা বিঘ্নিত হয়েছে বা কোনো পাসওয়ার্ড উন্মুক্ত হয়েছে। এটিকে সতর্কসংকেত হিসেবে নিন: ডেলিভারি-সংক্রান্ত ইমেইল ও ফোনের বার্তা মনোযোগ দিয়ে পরীক্ষা করুন এবং গুরুত্বপূর্ণ অ্যাকাউন্টের সেশন ও পুনরুদ্ধারের বিকল্পগুলো পর্যালোচনা করুন। কোনো মিল না পাওয়াও সম্পূর্ণ নিরাপত্তার নিশ্চয়তা নয়, কারণ আপনি অন্য ঠিকানা ব্যবহার করে থাকতে পারেন, শুধু ফোন নম্বর বা নামের ঘরে আপনার তথ্য থাকতে পারে, অথবা আপনার তথ্য অন্য কোনো অযাচাইকৃত ডেটাসেটে থাকতে পারে। তথ্য পরীক্ষা করার সেবাগুলো কেবল সূচিভুক্ত তথ্যের মধ্যেই সীমিত। “CDEK থেকে এসেছে বলে দাবি করা” এবং “অযাচাইকৃত”, এই কথাগুলো বজায় রাখুন; ফলাফলকে কোম্পানির নিশ্চিত তথ্য ফাঁসের ঘটনা হিসেবে অন্যদের জানাবেন না। সন্দেহজনক বার্তার ক্ষেত্রে প্রেরকের আসল ডোমেইন, লিংকের গন্তব্য, দ্রুত কিছু করার চাপ এবং পেমেন্ট বা যাচাইকরণ কোড চাওয়ার বিষয়গুলো একসঙ্গে মূল্যায়ন করুন।