Chowbus: তথ্য ফাঁস

একটি Chowbus অ্যাকাউন্টে নাম, ইমেইল ঠিকানা, ফোন নম্বর ও ঠিকানা একসঙ্গে দেখা যায়। এই চারটি তথ্যের সাহায্যে আক্রমণকারী সরাসরি ব্যবহারকারীর সঙ্গে যোগাযোগ করতে পারে এবং সেই যোগাযোগকে ব্যক্তিগতভাবে প্রাসঙ্গিক করে তুলতে পারে। খাবার ডেলিভারি ও স্থানীয় রেস্তোরাঁর ক্ষেত্রে ঠিকানা বিশেষভাবে গুরুত্বপূর্ণ, কারণ ব্যবহারকারীরা ডেলিভারি, অর্ডার, কুরিয়ার, পণ্য ফেরত বা ঠিকানা যাচাইয়ের বার্তা পেতে অভ্যস্ত। এই অভ্যাসের কারণে ভুয়া বার্তাও বেশি বিশ্বাসযোগ্য মনে হতে পারে। অন্যদিকে, ফোন নম্বর প্রকাশ পাওয়া খুদে বার্তা ও কলের মাধ্যমে প্রতারণার ঝুঁকি বাড়ায়।

এই ঘটনায় পাসওয়ার্ড ও পেমেন্ট কার্ডের তথ্য ফাঁসের বিষয়টি যাচাই করা হয়নি। তাই লগইন-সংক্রান্ত তথ্য ফাঁসের ঘটনার তুলনায় এখানে সরাসরি পাসওয়ার্ড বদলানোর প্রয়োজনীয়তা ততটা জোরালো নয়। তবে ইমেইল ও ফোনে পাওয়া লিংকের মাধ্যমে ব্যবহারকারীদের ভুয়া লগইন পৃষ্ঠায় নিয়ে যাওয়া সম্ভব। নাম ও ঠিকানার তথ্য ব্যবহার করে তৈরি বার্তা আসল ডেলিভারি বিজ্ঞপ্তির মতো মনে হতে পারে। অন্য উৎস থেকে রেস্তোরাঁর নাম, এলাকার তথ্য বা ডেলিভারি নেওয়ার অভ্যাসের মতো অতিরিক্ত তথ্য পাওয়া গেলে আক্রমণটি আরও ব্যক্তিকেন্দ্রিক করা সম্ভব। তাই যাচাইকৃত তথ্যের ক্ষেত্র সীমিত হলেও এই ঝুঁকি বাস্তব এবং এ ধরনের আক্রমণ চালানো সম্ভব।

এই রেকর্ডে ক্ষতিগ্রস্ত অ্যাকাউন্টের যাচাইকৃত সংখ্যা 4,44,224, যা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যার ভিত্তিতে নির্ধারিত। প্রকাশিত তথ্য অনুযায়ী, ঘটনার সঙ্গে সম্পর্কিত বৃহত্তর ডেটাসেটে 8,00,000-এর বেশি গ্রাহক রেকর্ড ছিল। এই সংখ্যাকে স্বতন্ত্র ব্যবহারকারীর সংখ্যা হিসেবে ধরা উচিত নয়, কারণ এতে একই রেকর্ডের পুনরাবৃত্তি বা একই ব্যক্তির তথ্যের একাধিক সারি থাকতে পারে। Chowbus-এর ঘটনায় রেস্তোরাঁর তথ্যের কথাও উল্লেখ করা হয়েছিল; তবে এই রেকর্ডে ব্যবহারকারীদের তথ্যের ধরন হিসেবে নাম, ইমেইল ঠিকানা, ফোন নম্বর ও ঠিকানাই রাখা হয়েছে।

পরিসরের সীমা বিশেষভাবে স্পষ্ট থাকা জরুরি। এই রেকর্ডে পাসওয়ার্ড, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্রের নম্বর, অর্ডারের বিবরণ, পেমেন্টের ইতিহাস বা খাবারের পছন্দ যাচাইকৃত তথ্যের ধরন হিসেবে অন্তর্ভুক্ত নেই। ঠিকানা থাকার অর্থ হলো অবস্থান ও ডেলিভারির প্রসঙ্গ ব্যবহার করে ওই ব্যবহারকারীকে লক্ষ্যবস্তু করা হতে পারে; তবে এর অর্থ এই নয় যে পেমেন্টের তথ্য ফাঁস হয়েছে। ব্যবহারকারীর মধ্যে অপ্রয়োজনীয় আতঙ্ক সৃষ্টি না করে যোগাযোগ ও ঠিকানা-সংক্রান্ত প্রকৃত ঝুঁকিগুলো ব্যাখ্যায় স্পষ্ট করা উচিত।

যাঁরা Chowbus-এর মাধ্যমে ডেলিভারির ঠিকানা ও ফোন নম্বর দিয়েছেন, তাঁরাই সবচেয়ে বেশি ঝুঁকিতে আছেন। ডেলিভারির অবস্থা সম্পর্কে ভুয়া বার্তা, ঠিকানা যাচাই, কুরিয়ারের যোগাযোগ, রেস্তোরাঁর কুপন বা পণ্য ফেরতের বিজ্ঞপ্তির মতো বার্তা দিয়ে তাঁদের লক্ষ্যবস্তু করা হতে পারে। একই রেকর্ডে ইমেইল ঠিকানা ও ফোন নম্বর থাকলে আক্রমণকারী একাধিক মাধ্যমে যোগাযোগ করতে পারে। প্রথমে ইমেইল পাঠিয়ে পরে খুদে বার্তা বা কলের মাধ্যমে যোগাযোগ করলে প্রতারণামূলক বার্তাটি আরও বাস্তব মনে হতে পারে।

যাঁরা নিয়মিত স্থানীয় রেস্তোরাঁর সেবা ব্যবহার করেন, তাঁরা এলাকাভিত্তিক প্রচার ও অর্ডার-সংক্রান্ত বার্তায় সাড়া দিতে আরও আগ্রহী হতে পারেন। ঠিকানা প্রকাশ পাওয়া গোপনীয়তার ঝুঁকি তৈরি করে, বিশেষ করে যাঁরা নিজের বাসার ঠিকানা ব্যবহার করেন তাঁদের জন্য। প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, কর্মীরা ব্যক্তিগত ফোন নম্বর ও ইমেইল ঠিকানা দিয়ে খাবার ডেলিভারি প্ল্যাটফর্ম ব্যবহার করলে কর্মঘণ্টায় বা কাজের জন্য ব্যবহৃত ডিভাইসে সোশ্যাল ইঞ্জিনিয়ারিংয়ের বার্তা আসতে পারে। তাই আপাতদৃষ্টিতে ব্যক্তিগত অ্যাকাউন্ট-সংক্রান্ত মনে হলেও এই ধরনের তথ্য ফাঁসকে প্রতিষ্ঠানের নিরাপত্তার দিক থেকেও বিবেচনা করা উচিত।

Chowbus বা খাবার ডেলিভারির বিষয় নিয়ে আসা ইমেইল ও খুদে বার্তার লিংকে ব্যবহারকারীদের সরাসরি ক্লিক করা উচিত নয়। ডেলিভারির অবস্থা, টাকা ফেরত, ঠিকানা যাচাই বা কুপনের বিজ্ঞপ্তি আসল মনে হলেও সংশ্লিষ্ট লেনদেনের বিষয়টি অফিশিয়াল অ্যাপ বা পরিচিত ডোমেইনের মাধ্যমে যাচাই করা উচিত। কলকারী নিজেকে কুরিয়ার, রেস্তোরাঁ বা গ্রাহকসেবার প্রতিনিধি দাবি করলেও একবার ব্যবহারযোগ্য কোড, পাসওয়ার্ড, পেমেন্টের তথ্য বা অতিরিক্ত ব্যক্তিগত তথ্য দেওয়া উচিত নয়। নাম ও ঠিকানা সঠিকভাবে বলতে পারা কলটির বিশ্বাসযোগ্যতা প্রমাণ করে না।

Chowbus অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করা হলে তা বদলানো উচিত। পাসওয়ার্ড এই রেকর্ডে যাচাইকৃত তথ্য হিসেবে শ্রেণিভুক্ত না হলেও একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করা সব সময়ই একটি আলাদা ঝুঁকি। ইমেইল অ্যাকাউন্টের নিরাপত্তা সতর্কতা চালু রাখা এবং অপ্রত্যাশিত লগইনের দিকে নজর রাখা উচিত। ফোন নম্বরের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর ক্ষেত্রে শুধু SMS-ভিত্তিক যাচাইয়ের ওপর নির্ভর না করে পরিচয় যাচাইয়ের অ্যাপকে অগ্রাধিকার দেওয়া উচিত। ঠিকানার তথ্যসহ আসা পণ্য পাঠানো, ডেলিভারি ও পেমেন্ট-সংক্রান্ত বার্তার বিষয়েও ব্যবহারকারীর আরও সতর্ক থাকা উচিত।

খাবার ডেলিভারি ও স্থানীয় সেবার প্ল্যাটফর্মগুলো দৈনন্দিন জীবনে নিয়মিত ব্যবহৃত হয়, তবে এগুলো বিপুল পরিমাণ ঠিকানা ও যোগাযোগের তথ্য সংরক্ষণ করে। দীর্ঘমেয়াদে ব্যবহারকারীদের অপ্রয়োজনীয় পুরোনো ঠিকানা মুছে ফেলা, এসব প্ল্যাটফর্মে অব্যবহৃত অ্যাকাউন্ট বন্ধ করা এবং সম্ভব হলে ডেলিভারি নির্দেশনায় অতিরিক্ত ব্যক্তিগত তথ্য না দেওয়া উচিত। প্রচার ও অর্ডারের বিজ্ঞপ্তির জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করলে মূল ইমেইল অ্যাকাউন্ট আরও ভালোভাবে সুরক্ষিত রাখা যায়। ফোন নম্বর দেওয়া এড়ানো সম্ভব না হলে অচেনা কল ও বার্তার বিষয়ে সতর্কতা বাড়ানো উচিত।

প্ল্যাটফর্ম পরিচালনাকারীদের দৃষ্টিকোণ থেকে, এই ঘটনা দেখায় যে গ্রাহকদের তথ্য বড় আকারের ফাইলে রপ্তানি করা হলে ব্যবহারকারীদের আস্থা কত দ্রুত নষ্ট হতে পারে। তথ্যে প্রবেশাধিকারের অনুমতি, ফাইল শেয়ার করা, গ্রাহকদের তথ্য রপ্তানি করা এবং ঘটনার পর বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া কঠোরভাবে নিয়ন্ত্রণ করতে হবে। ভুয়া ডেলিভারি, কুরিয়ার, খাবারের ভাউচার ও ঠিকানা যাচাইয়ের বার্তা যে ফিশিংয়ের কাজে ব্যবহার করা হতে পারে, সে বিষয়েও প্রতিষ্ঠানগুলোর কর্মীদের জানানো উচিত। প্রশিক্ষণে দৈনন্দিন জীবনের বিষয় নিয়ে তৈরি বার্তাও অন্তর্ভুক্ত করা উচিত, কারণ প্রচলিত ব্যাংক বা ইমেইল সতর্কতার তুলনায় এগুলো কম সন্দেহজনক মনে হতে পারে।

এই রেকর্ডে মিল পাওয়ার অর্থ হলো সংশ্লিষ্ট ইমেইল ঠিকানাটি Chowbus-এর ডেটা ফাঁসের সঙ্গে সম্পর্কিত স্বতন্ত্র ইমেইল ঠিকানার তালিকায় রয়েছে। মিল পাওয়া মানে এই নয় যে পাসওয়ার্ড বা পেমেন্ট কার্ডের তথ্য এই রেকর্ডের যাচাইকৃত পরিসরে অন্তর্ভুক্ত। যাচাইকৃত ঝুঁকি নাম, ইমেইল, ফোন নম্বর ও ঠিকানার তথ্যের মধ্যেই সীমিত। এসব তথ্য ভুয়া ডেলিভারি ও গ্রাহকসেবার ছলে ব্যবহার করা হতে পারে, এই বিষয়টি মাথায় রেখে ব্যবহারকারীদের পদক্ষেপ নেওয়া উচিত।

প্রথম বাস্তব পদক্ষেপ হলো Chowbus অ্যাকাউন্টে যোগাযোগ ও ঠিকানার তথ্য পরীক্ষা করা, অপ্রয়োজনীয় পুরোনো ঠিকানা সরিয়ে ফেলা এবং অ্যাকাউন্টের জন্য এমন একটি পাসওয়ার্ড নির্ধারণ করা যা অন্য কোথাও ব্যবহার করা হয় না। এরপর ইমেইল ও ফোনে আসা ডেলিভারি-সংক্রান্ত বার্তা অফিশিয়াল যোগাযোগমাধ্যমে যাচাই করা উচিত। ব্যক্তিগত ঠিকানা প্রকাশ পেয়ে থাকতে পারে এমন পরিস্থিতিতে অপ্রত্যাশিত ক্যাশ অন ডেলিভারি, পণ্য ফেরত বা কুরিয়ার-সংক্রান্ত অনুরোধের বিষয়ে ব্যবহারকারীর সতর্ক থাকা উচিত। ঝুঁকিতে সরাসরি পেমেন্ট কার্ডের তথ্য ফাঁস অন্তর্ভুক্ত না থাকলেও ঠিকানাভিত্তিক প্রতারণা ও সোশ্যাল ইঞ্জিনিয়ারিংয়ের সম্ভাবনাকে বাস্তব বলে বিবেচনা করা উচিত।