ClearVoice Surveys তথ্য ফাঁস

যাচাই করে নিশ্চিত হওয়া তথ্যের মধ্যে রয়েছে 1,50,74,786টি স্বতন্ত্র ইমেইল ঠিকানা, নাম, জন্মতারিখ, লিঙ্গ, IP ঠিকানা, টেলিফোন নম্বর, বাসা বা কার্যালয়ের ঠিকানা এবং প্লেইনটেক্সট পাসওয়ার্ড। উৎস ফাইলগুলোতে 17 মিলিয়নের বেশি সারি ছিল, তবে একই তথ্য একাধিকবার থাকায় এই সংখ্যা স্বতন্ত্র অ্যাকাউন্টের সংখ্যা নয়; প্রকাশিত সংখ্যাটি স্বতন্ত্র ইমেইল ঠিকানার ভিত্তিতে নির্ধারণ করা হয়েছে। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, পরিচয়পত্রের নম্বর, ব্যক্তিগত বার্তা এবং জরিপের উত্তর উন্মুক্ত হয়েছে বলে যাচাই করে নিশ্চিত করা হয়নি, তাই এগুলো উন্মুক্ত হয়েছে, এমন ইঙ্গিত দেওয়া যাবে না। প্লেইনটেক্সট পাসওয়ার্ড ঝুঁকি বাড়ায়, কারণ অন্য সেবায় একই পাসওয়ার্ড পরীক্ষা করার আগে আক্রমণকারীকে কোনো হ্যাশ ভাঙতে হয় না। ইমেইলের সঙ্গে যুক্ত নাম, জন্মতারিখ, টেলিফোন নম্বর ও ঠিকানা ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, সহায়তাকর্মী সেজে যোগাযোগ, অ্যাকাউন্ট পুনরুদ্ধারের নামে প্রতারণা এবং ব্যক্তিগত তথ্যভিত্তিক পরিচয় যাচাইয়ের প্রশ্নের উত্তর অনুমান করাও সম্ভব।

তথ্য ফাঁসের তারিখ হিসেবে উল্লেখ করা 23 আগস্ট 2015 আসলে উন্মুক্ত হয়ে পড়া ডেটাবেস ব্যাকআপের সময়কাল নির্দেশ করে। ঘটনাটি প্রকাশ্যে আসে 2021 সালের এপ্রিলে, যখন পুরোনো, সবার জন্য প্রবেশযোগ্য ব্যাকআপটি সংগ্রহ করে অপরাধীদের একটি ফোরামে পুনরায় বিতরণ করা হয়। কোম্পানিটি জানিয়েছিল যে তারা ঘটনাটি সম্পর্কে অবগত এবং তথ্যগুলো আসল বলে নিশ্চিত করেছিল। প্রমাণ থেকে বোঝা যায়, ClearVoice Surveys-এর ব্যাকআপের তথ্য বাইরের কারও প্রবেশের জন্য উন্মুক্ত অবস্থায় ছিল; সম্পর্কহীন কোনো সরবরাহকারীর সিস্টেম আক্রান্ত হওয়ার কারণে এমনটি ঘটেনি। তাই প্রযুক্তিগত উৎসকে কনফিগারেশনের কারণে তথ্য উন্মুক্ত হওয়ার ঘটনা হিসেবে শ্রেণিবদ্ধ করা হয়েছে। এই বিবরণ কেবল ব্যাকআপ উন্মুক্ত হওয়া ও পুনরায় বিতরণ সম্পর্কে নিশ্চিত তথ্যের মধ্যেই সীমিত। রেকর্ডটি যোগ করার 2021 সালের তারিখটি এই তথ্যগুলো তৈরির তারিখ নয়; নিজের ঝুঁকি মূল্যায়নের সময় আপনার 2015 সালের কাছাকাছি সময়ে ব্যবহৃত যোগাযোগের তথ্য ও পাসওয়ার্ডের দিকে নজর দেওয়া উচিত।

যাঁরা 2015 সালের পাসওয়ার্ড ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা বা কর্মক্ষেত্রের অ্যাকাউন্টে পুনরায় ব্যবহার করেছেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। মূল পাসওয়ার্ড বহু বছর আগে বদলানো হলেও, অন্য সেবায় একই ধরন সামান্য পরিবর্তন করে তৈরি করা পাসওয়ার্ড স্বয়ংক্রিয় সাইন-ইন চেষ্টার মুখে ঝুঁকিপূর্ণ থেকে যেতে পারে। ঠিকানা, টেলিফোন নম্বর, জন্মতারিখ ও লিঙ্গ একসঙ্গে থাকলে আক্রমণকারী কোনো ব্যক্তির বয়স, অবস্থান বা জরিপের সদস্যপদের সঙ্গে মানানসই বার্তা তৈরি করতে পারে। তথ্যের মিল পাওয়া মানেই পরিচয় চুরি, বর্তমানে অ্যাকাউন্ট দখল হয়ে যাওয়া বা আর্থিক তথ্য উন্মুক্ত হওয়ার প্রমাণ নয়। যথাযথ মূল্যায়নের জন্য পাসওয়ার্ড পুনর্ব্যবহার, সাম্প্রতিক ইমেইল সেশন, অপ্রত্যাশিত রিসেট বার্তা এবং ব্যক্তিগত তথ্য ব্যবহার করা সন্দেহজনক কল, সবকিছু একসঙ্গে বিবেচনা করতে হয়। কেউ ঠিকানা বা জন্মতারিখ জানে বলেই স্বতন্ত্রভাবে যাচাই না করে তাকে বিশ্বাস করা উচিত নয়।

আপনি যদি আপনার 2015 সালের ClearVoice Surveys অ্যাকাউন্টের পাসওয়ার্ড বা তার কাছাকাছি কোনো রূপ পুনরায় ব্যবহার করে থাকেন, তাহলে প্রভাবিত প্রতিটি সেবায় আলাদা পাসওয়ার্ড তৈরি করুন। প্রথমে প্রধান ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবা এবং অ্যাকাউন্ট রিসেট করতে ব্যবহার করা যায় এমন অন্যান্য অনলাইন পরিচয় সুরক্ষিত করুন। সক্রিয় সেশনগুলো পর্যালোচনা করুন, অপরিচিত ডিভাইসের প্রবেশাধিকার বন্ধ করুন, পুনরুদ্ধারের ইমেইল ও টেলিফোনের তথ্য যাচাই করুন এবং যেখানে সুযোগ আছে সেখানে পাসকি বা বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করুন। পুরোনো পাসওয়ার্ডে অক্ষর বা সংখ্যার সামান্য পরিবর্তনকে নিরাপদ মনে করবেন না। জরিপ, পুরস্কার, গিফট কার্ড বা অ্যাকাউন্ট যাচাইয়ের অজুহাতে পাঠানো বার্তার লিংকে ক্লিক করা এড়িয়ে চলুন; তার বদলে সেবাটির পরিচিত ঠিকানা দিয়ে সেটি খুলুন। ফোন করা ব্যক্তি আপনার নাম, বাসা বা কার্যালয়ের ঠিকানা কিংবা জন্মতারিখ জানেন বলেই তাঁর পরিচয় প্রমাণিত হয় না। অপরিচিত কোনো রিসেট, ফরওয়ার্ডিং নিয়ম বা নতুন ডিভাইসের সতর্কবার্তা দেখলে সঙ্গে সঙ্গে ইমেইল সেবাদাতার আনুষ্ঠানিক পুনরুদ্ধার প্রক্রিয়া শুরু করুন।

প্রতিটি সেবার জন্য আলাদা র‍্যান্ডম পাসওয়ার্ড তৈরি করে এমন পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একটি পুরোনো প্লেইনটেক্সট পাসওয়ার্ডের কারণে একের পর এক অ্যাকাউন্ট দখল হওয়া ঠেকানো যায়। যেসব সেবায় পাসকি সমর্থিত, সেগুলোতে পাসকি ব্যবহার শুরু করুন এবং প্রধান ইমেইল অ্যাকাউন্টে ফিশিং-প্রতিরোধী পরিচয় যাচাই ব্যবহার করুন। পুনরুদ্ধারের কোডগুলো অফলাইনে রাখুন এবং সংযুক্ত অ্যাপ্লিকেশন ও ইমেইল ফরওয়ার্ডিং নিয়ম নিয়মিত পর্যালোচনা করুন। জন্মতারিখ, টেলিফোন নম্বর ও বাসা বা কার্যালয়ের ঠিকানার মতো দীর্ঘদিন একই থাকা তথ্য কখনো পাসওয়ার্ড বা নিরাপত্তা প্রশ্নের উত্তর হিসেবে ব্যবহার করা উচিত নয়। কর্মীদের ইমেইল ঠিকানা পর্যবেক্ষণকারী প্রতিষ্ঠানগুলোর উচিত শুধু মিল পাওয়া ঠিকানার সংখ্যার ওপর নির্ভর না করে সন্দেহজনক সেশন, পাসওয়ার্ড পুনর্ব্যবহার এবং সোশ্যাল ইঞ্জিনিয়ারিংয়ের প্রতিবেদন একসঙ্গে মূল্যায়ন করা। সেবাদাতাদের উচিত সবার জন্য উন্মুক্ত ওয়েব রুটের বাইরে ব্যাকআপ রাখা, ন্যূনতম প্রয়োজনীয় অনুমতির নীতি অনুযায়ী প্রবেশাধিকার সীমিত করা, স্টোরেজের অনুমতি ধারাবাহিকভাবে পর্যালোচনা করা এবং কখনো প্লেইনটেক্সট পাসওয়ার্ড সংরক্ষণ না করা। পুরোনো ব্যাকআপেরও চালু সেবার তথ্যের মতো একই সুরক্ষা প্রয়োজন, এবং সংরক্ষণের নির্ধারিত মেয়াদ শেষ হলে সেগুলো নিরাপদে মুছে ফেলা উচিত।

ClearVoice Surveys-এর রেকর্ডে আপনার ইমেইল ঠিকানা আছে কি না জানতে নিরাপদ অনুসন্ধান ঘরে ঠিকানাটি যাচাই করুন এবং মিল পাওয়া গেলে পাসওয়ার্ড পরিবর্তনকে অগ্রাধিকার দিন। ফলাফল পাওয়া মানে এই নয় যে আপনার বর্তমান পাসওয়ার্ড অপরিবর্তিত আছে বা কোনো অ্যাকাউন্ট নিশ্চিতভাবে দখল হয়ে গেছে; এটি শুধু জানায় যে ঠিকানাটি যাচাই করা 2015 সালের ব্যাকআপে রয়েছে। সে সময় ব্যবহৃত পাসওয়ার্ডের ধরন মনে করার চেষ্টা করুন, যেখানেই একই বা কাছাকাছি পাসওয়ার্ড এখনো সক্রিয় আছে তা বদলান এবং প্রধান ইমেইল অ্যাকাউন্টের সাম্প্রতিক সেশনগুলো পর্যালোচনা করুন। টেলিফোন নম্বর, ঠিকানা বা জন্মতারিখ উল্লেখ করা অপ্রত্যাশিত বার্তাকে আপনার ব্যক্তিগত তথ্য ব্যবহার করে সাজানো সম্ভাব্য প্রতারণা হিসেবে বিবেচনা করুন। কোনো ফলাফল না পেলেও, ঠিকানাটি অন্য কোনো ঘটনায় ছিল না, এমন নিশ্চয়তা পাওয়া যায় না। বহু বছর পর এই পুরোনো ডেটাসেট আবার ব্যবহার করা হলেও নিয়মিত পর্যবেক্ষণ, প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড এবং শক্তিশালী পরিচয় যাচাই কার্যকর সুরক্ষা দেয়।