ClixSense তথ্য ফাঁস

ClixSense-এর তথ্য ফাঁসের অন্তর্ভুক্ত ক্ষেত্রগুলো ব্যবহারকারীর অ্যাকাউন্টের নিরাপত্তা এবং বাস্তব জীবনের পরিচয়, দুটিকেই প্রভাবিত করতে পারে। ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও প্লেইনটেক্সট পাসওয়ার্ড একসঙ্গে থাকলে আক্রমণকারী অন্য সেবায় সরাসরি লগইন করার চেষ্টা করতে পারে। প্লেইনটেক্সটে পাসওয়ার্ড সংরক্ষণ সবচেয়ে ঝুঁকিপূর্ণ, কারণ এমন পাসওয়ার্ড ব্যবহার করতে হ্যাশিং বা অনুমান করার প্রক্রিয়ার প্রয়োজন হয় না। ব্যবহারকারী যদি ইমেইল অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম, অর্থপ্রদানের সেবা বা অন্য জরিপ সাইটে একই পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে ঝুঁকি শুধু ClixSense অ্যাকাউন্টে সীমাবদ্ধ থাকে না।

নাম, জন্মতারিখ, লিঙ্গ, ঠিকানা ও IP ঠিকানার মতো তথ্য সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি বাড়ায়। অ্যাকাউন্টের ব্যালান্স, অর্থপ্রদানের ইতিহাস, অর্থপ্রদানের পদ্ধতি ও সাইটে কার্যকলাপ থেকে প্ল্যাটফর্মে ব্যবহারকারীর আয়ের ধরন সম্পর্কে ধারণা পাওয়া যেতে পারে। এসব তথ্য ব্যবহার করে অর্থপ্রদানের ভুয়া বিজ্ঞপ্তি, অ্যাকাউন্টের ব্যালান্স ফেরত দেওয়ার বার্তা, পুরস্কার নিশ্চিতকরণ, করসংক্রান্ত ফরম, জরিপের পারিশ্রমিক বা প্রোফাইল হালনাগাদের বার্তা তৈরি করা সম্ভব। অনলাইনে বাড়তি আয়ের প্ল্যাটফর্মের ওপর আস্থা রেখে ব্যবহারকারীরা ব্যক্তিগত ও আর্থিক পরিস্থিতির তথ্য শেয়ার করলে, সেই তথ্য আক্রমণকারীদের বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

এই রেকর্ডে যাচাইকৃত ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা 24,24,784। আক্রমণকারীরা আরও বড় একটি তথ্যসমষ্টির কথা বলেছিল বলে জানা গেলেও, এই রেকর্ডটি যাচাইকৃত এবং প্রকাশ্যে উঠে আসা অ্যাকাউন্টগুলোর পরিসরের ভিত্তিতে সংরক্ষিত হচ্ছে। ঘটনার তারিখ হিসেবে 4 সেপ্টেম্বর 2016 উল্লেখ করা হয়েছে। তথ্যের ধরনগুলো অ্যাকাউন্টের ব্যালান্স, জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গ, IP ঠিকানা, নাম, পাসওয়ার্ড, অর্থপ্রদানের ইতিহাস, অর্থপ্রদানের পদ্ধতি, ঠিকানা, ব্যবহারকারীর নাম এবং সাইটে কার্যকলাপের মধ্যে সীমাবদ্ধ।

এই রেকর্ডে পেমেন্ট কার্ড নম্বর, ব্যাংক অ্যাকাউন্ট নম্বর, সরকারি পরিচয়পত্র, সামাজিক নিরাপত্তা নম্বর বা স্বাস্থ্যসংক্রান্ত তথ্য যাচাইকৃত তথ্যের ধরন হিসেবে অন্তর্ভুক্ত নয়। অর্থপ্রদানের পদ্ধতি বলতে ব্যবহারকারীর পছন্দের অর্থপ্রদানের মাধ্যম বা প্ল্যাটফর্মের ভেতরে ব্যবহৃত অর্থপ্রদানের ধরন বোঝাতে হবে। এর অর্থ এই নয় যে কার্ড নম্বর বা ব্যাংক অ্যাকাউন্ট যাচাইকৃত পরিসরের অন্তর্ভুক্ত। সাইটে কার্যকলাপ বলতে প্ল্যাটফর্মে ব্যবহারকারীর কাজ, বিজ্ঞাপন, জরিপ বা অ্যাকাউন্টে হওয়া কার্যক্রমের প্রসঙ্গ বোঝায়। এই ক্ষেত্রের তথ্য সব ব্যবহারকারীর ক্ষেত্রে সমান বিস্তারিত বলে ধরে নেওয়া উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা ClixSense অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। পাসওয়ার্ডটি প্লেইনটেক্সটে পাওয়া যাওয়ায়, আক্রমণকারীর পক্ষে একই তথ্য দিয়ে অন্য সাইটে লগইন করার চেষ্টা করা খুব সহজ। ইমেইল অ্যাকাউন্ট, অর্থপ্রদানের সেবা, সামাজিক যোগাযোগমাধ্যম, কেনাকাটার সাইট এবং অন্যান্য জরিপ বা পুরস্কারভিত্তিক প্ল্যাটফর্ম আগে পরীক্ষা করা উচিত। ইমেইল অ্যাকাউন্টের নিয়ন্ত্রণ আক্রমণকারীর হাতে চলে গেলে, অন্য অ্যাকাউন্টের পাসওয়ার্ড পুনর্নির্ধারণের লিংকও তার হাতে পড়তে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলেন সেই ব্যক্তিরা, যাঁরা নিয়মিত অনলাইনে বাড়তি আয়ের প্ল্যাটফর্ম ব্যবহার করেন এবং এসব সেবায় অর্থপ্রদানের পদ্ধতির তথ্য শেয়ার করেন। অ্যাকাউন্টের ব্যালান্স ও অর্থপ্রদানের ইতিহাস থেকে বোঝা যেতে পারে যে ব্যবহারকারী প্ল্যাটফর্মটি থেকে আয় করেন। এই তথ্য অর্থপ্রদানের ভুয়া অনুরোধ, করসংক্রান্ত বিজ্ঞপ্তি, পুরস্কার স্থানান্তর বা ব্যালান্স পুনরুদ্ধারের বার্তা তৈরিতে ব্যবহার করা হতে পারে। যেসব ব্যবহারকারীর ঠিকানা ও জন্মতারিখ রয়েছে, তাঁদের ব্যক্তিগত তথ্যের সঙ্গে আরও বেশি সামঞ্জস্য রেখে ফিশিং বার্তা পাঠানো হতে পারে। প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, ব্যক্তিগত পুরস্কারভিত্তিক অ্যাকাউন্টের পাসওয়ার্ড কর্মস্থলের অ্যাকাউন্টে আবার ব্যবহার করা গুরুতর নিরাপত্তাঝুঁকি তৈরি করে।

ClixSense-এ ব্যবহৃত পাসওয়ার্ডকে আর নিরাপদ হিসেবে বিবেচনা করা উচিত নয়। যেসব অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করেছেন, সেগুলোর সবকটির পাসওয়ার্ড পরিবর্তন করা উচিত। পাসওয়ার্ড ম্যানেজার দিয়ে প্রতিটি সেবার জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা উচিত। পুরোনো পাসওয়ার্ডের শেষে একটি সংখ্যা যোগ করা, একটি অক্ষর বদলানো বা একই ধরনের ছক ব্যবহার করা যথেষ্ট নয়। সুরক্ষার ক্ষেত্রে ইমেইল অ্যাকাউন্ট, অর্থপ্রদানের সেবা, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট এবং অন্যান্য আয়ের প্ল্যাটফর্মকে অগ্রাধিকার দেওয়া উচিত।

ইমেইল অ্যাকাউন্টে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। পাশাপাশি সাম্প্রতিক সেশন, সংযুক্ত ডিভাইস, অ্যাকাউন্ট পুনরুদ্ধারের জন্য যুক্ত ঠিকানা এবং ইমেইল ফরওয়ার্ড করার নিয়মগুলো পরীক্ষা করা উচিত। অর্থপ্রদান বা জরিপসংক্রান্ত বার্তার প্রতি সতর্ক থাকতে হবে। অ্যাকাউন্টের ব্যালান্স ফেরত, অর্থপ্রদানের পদ্ধতি হালনাগাদ, করসংক্রান্ত ফরম, গিফট কার্ড বা প্রোফাইল যাচাইয়ের অনুরোধ এলে আনুষ্ঠানিক মাধ্যমে যাচাই না করে কোনো পদক্ষেপ নেওয়া উচিত নয়। আপনার বর্তমান পাসওয়ার্ড, যাচাইকরণ কোড, কার্ডের তথ্য বা ব্যাংকের তথ্য চাওয়া বার্তাকে উচ্চ ঝুঁকির বলে বিবেচনা করা উচিত।

ClixSense-এর ঘটনা দেখায়, ব্যক্তিগত তথ্যের ক্ষেত্রে অনলাইন পুরস্কার ও ছোট কাজের প্ল্যাটফর্মগুলোকে কম ঝুঁকিপূর্ণ মনে করা উচিত নয়। এ ধরনের সেবায় নাম, ঠিকানা, জন্মতারিখ, অর্থপ্রদানের পদ্ধতি ও অ্যাকাউন্টের ব্যালান্সের মতো তথ্য একসঙ্গে থাকতে পারে। দীর্ঘমেয়াদে ব্যবহারকারীদের জরিপ ও পুরস্কারভিত্তিক সেবার জন্য আলাদা ইমেইল ঠিকানা ব্যবহার, প্রোফাইলের অপ্রয়োজনীয় তথ্য মুছে ফেলা এবং অব্যবহৃত অ্যাকাউন্ট বন্ধ করার কথা বিবেচনা করা উচিত। অর্থপ্রদানের পদ্ধতির তথ্য কেবল প্রয়োজন হলেই শেয়ার করা উচিত এবং পুরোনো অর্থপ্রদানের রেকর্ড নিয়মিত পর্যালোচনা করা উচিত।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে, প্লেইনটেক্সটে পাসওয়ার্ড সংরক্ষণ গ্রহণযোগ্য নয়। শক্তিশালী, আধুনিক এবং প্রক্রিয়াকরণে সময় লাগে এমন পাসওয়ার্ড সংরক্ষণপদ্ধতি দিয়ে পাসওয়ার্ড সুরক্ষিত করা উচিত। প্রবেশাধিকার, পুরোনো সার্ভার ও ডেটাবেস সংযোগ নিয়মিত নিরীক্ষা করা উচিত। ব্যবহারকারীর ব্যালান্স ও অর্থপ্রদানের ইতিহাসের মতো তথ্যও ব্যক্তিগত তথ্যের নিরাপত্তার আওতায় পরিচালনা করতে হবে। প্রতিষ্ঠানের নিরাপত্তা দলগুলোর বিবেচনায় রাখা উচিত যে কর্মীরা ব্যক্তিগত বাড়তি আয়ের প্ল্যাটফর্মের পাসওয়ার্ড কর্মস্থলের অ্যাকাউন্টেও ব্যবহার করতে পারেন। ফাঁস হওয়া পাসওয়ার্ড পরীক্ষা এবং একাধিক উপাদানভিত্তিক পরিচয় যাচাইকে তাঁদের নিয়মিত মানসম্মত প্রক্রিয়ার অংশ করা উচিত।

এই রেকর্ডে মিল পাওয়া গেলে বোঝায় যে সংশ্লিষ্ট ইমেইল ঠিকানাটি ClixSense-এর তথ্য ফাঁসের সঙ্গে সম্পর্কিত অ্যাকাউন্টগুলোর মধ্যে রয়েছে। মিল পাওয়ার অর্থ এই নয় যে পেমেন্ট কার্ড বা ব্যাংক অ্যাকাউন্টের তথ্য এই রেকর্ডের যাচাইকৃত পরিসরে অন্তর্ভুক্ত। তবে প্লেইনটেক্সট পাসওয়ার্ড, অ্যাকাউন্টের ব্যালান্স, অর্থপ্রদানের ইতিহাস ও অর্থপ্রদানের পদ্ধতির মতো তথ্যের কারণে ঝুঁকিটি গুরুতর। ব্যবহারকারীর প্রথমেই নিশ্চিত হওয়া উচিত যে একই পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে ব্যবহার করা হচ্ছে না।

পাসওয়ার্ড পরিবর্তন করা হয়ে গেলে ইমেইল অ্যাকাউন্ট ও অর্থপ্রদানের সেবাগুলোর সেশন পরীক্ষা করা উচিত। অপরিচিত সেশন বন্ধ করা, একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা এবং অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা উচিত। জরিপ, পুরস্কার, ব্যালান্স ফেরত বা অর্থপ্রদানের তথ্য হালনাগাদসংক্রান্ত বার্তা আনুষ্ঠানিক মাধ্যমে যাচাই না করে সে অনুযায়ী কোনো পদক্ষেপ নেওয়া উচিত নয়। ঘটনাটি পুরোনো হলেও, প্লেইনটেক্সট পাসওয়ার্ড ও অর্থপ্রদানসংক্রান্ত তথ্য বহু বছর পরও ফিশিং এবং স্বয়ংক্রিয় লগইন প্রচেষ্টায় ব্যবহার করা হতে পারে।