Coachella তথ্য ফাঁস

Coachella-এর ঘটনায় যেসব ধরনের তথ্য থাকার বিষয়টি নিশ্চিত করা হয়েছে, সেগুলো হলো ইমেইল ঠিকানা, ব্যবহারকারীর নাম, IP ঠিকানা, নাম, ফোন নম্বর, পণ্য পৌঁছে দেওয়ার ঠিকানা, জন্মতারিখ ও পাসওয়ার্ড হ্যাশ। ইমেইল ঠিকানা ও ব্যবহারকারীর নামের সাহায্যে আক্রমণকারীরা সরাসরি ব্যবহারকারীর সঙ্গে যোগাযোগ করতে এবং অ্যাকাউন্টের সঙ্গে যুক্ত পরিচয় শনাক্ত করতে পারে। নাম, ফোন নম্বর ও পণ্য পৌঁছে দেওয়ার ঠিকানা ব্যবহার করে উৎসবে অংশগ্রহণকারীদের উদ্দেশে পাঠানো ভুয়া টিকিট, পণ্য পাঠানো, ক্যাম্পিংয়ের স্থান, থাকার ব্যবস্থা বা গ্রাহকসেবা-সংক্রান্ত বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব।

পাসওয়ার্ডের তথ্যক্ষেত্রটি বিশেষ সতর্কতার সঙ্গে ব্যাখ্যা করা উচিত। এই ঘটনায় পেমেন্টের তথ্য থাকার বিষয়টি যাচাই করা না হলেও, ফোরামের সঙ্গে যুক্ত পাসওয়ার্ড হ্যাশ একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহারকারী ব্যক্তিদের জন্য ঝুঁকি তৈরি করতে পারে। ব্যবহারকারী তাঁর ইমেইল অ্যাকাউন্ট, উৎসবের অ্যাকাউন্ট, টিকিট বিক্রির প্ল্যাটফর্ম বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকলে, আক্রমণকারীরা বিভিন্ন সেবায় এই তথ্য ব্যবহার করে প্রবেশের চেষ্টা করতে পারে। IP ঠিকানা থেকে সরাসরি বাসার ঠিকানা জানা যায় না; তবে এটি ইন্টারনেট সংযোগের আনুমানিক এলাকা বা সেশনের পরিস্থিতি সম্পর্কে বাড়তি সূত্র দিতে পারে। এসব তথ্য একসঙ্গে থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং চালানোর জন্য যথেষ্ট প্রাসঙ্গিক তথ্য পাওয়া যায়।

এই রেকর্ডে যাচাইকৃত প্রভাবিত অ্যাকাউন্টের সংখ্যা 5,99,802। ঘটনার তারিখ হিসেবে 22 ফেব্রুয়ারি 2017 নথিভুক্ত রয়েছে। তথ্যের ধরন হিসেবে ইমেইল ঠিকানা, IP ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড হ্যাশ, নাম, ফোন নম্বর, ঠিকানা ও জন্মতারিখ বিবেচনা করা উচিত। প্রত্যেক ব্যবহারকারীর ক্ষেত্রে এসব তথ্যক্ষেত্রের সবগুলো রয়েছে বলে ধরে নেওয়া উচিত নয়; কিছু তথ্য উৎসবের ওয়েব অ্যাকাউন্টের অংশে দেখা গেছে, আর অন্য কিছু তথ্য ফোরাম বা মেসেজ বোর্ডের অংশে দেখা গেছে। এই পৃথক অংশগুলোকে একত্র করে সরাসরি পড়া যায় এমন পাসওয়ার্ড বা পেমেন্টের তথ্য ফাঁসের একটি ঘটনা হিসেবে উপস্থাপন করা উচিত নয়।

এই রেকর্ডে পেমেন্ট কার্ড নম্বর, ব্যাংক অ্যাকাউন্ট, আর্থিক লেনদেনের ইতিহাস, টিকিট কেনার বিবরণ বা সরকারি পরিচয়পত্রকে যাচাইকৃত তথ্য হিসেবে গণ্য করা হয় না। উৎসবে অংশগ্রহণকারীদের তথ্য হাতে পাওয়া সামাজিক কৌশলে প্রতারণার গুরুতর ঝুঁকি তৈরি করে; তবে এই ঝুঁকির অর্থ সরাসরি কার্ডের তথ্য বা আর্থিক অ্যাকাউন্টে প্রবেশাধিকার পাওয়া নয়। ব্যবহারকারীর যোগাযোগের তথ্য, পণ্য পৌঁছে দেওয়ার বিবরণ, অ্যাকাউন্টের পরিচয় এবং ফোরামের অংশে থাকা পাসওয়ার্ড হ্যাশের ভিত্তিতে ঘটনাটির সঠিক পরিধি নির্ধারণ করা উচিত।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা তাঁদের Coachella ওয়েব অ্যাকাউন্ট বা ফোরাম অ্যাকাউন্টের ইমেইল ঠিকানা ও পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন। টিকিট বিক্রি ও ভ্রমণ পরিকল্পনার কারণে উৎসবকে ঘিরে আক্রমণকারীদের কার্যকর টোপ তৈরির সুযোগ থাকে। ভুয়া টিকিট হস্তান্তর, ক্যাম্পিংয়ের স্থানের হালনাগাদ তথ্য, পণ্য পাঠানোর বিজ্ঞপ্তি, গ্রাহকসেবা-সংক্রান্ত অনুরোধ, টাকা ফেরত বা অপেক্ষমাণ তালিকার বিজ্ঞপ্তির মতো বার্তা বাস্তব বলে মনে হতে পারে। নাম, ফোন নম্বর ও ঠিকানার তথ্য এসব বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন সেই ব্যক্তিরা, যাঁরা টিকিট বিক্রির প্ল্যাটফর্ম, পেমেন্ট সেবা, সামাজিক যোগাযোগমাধ্যম ও ভ্রমণ-সংক্রান্ত অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন। উৎসবের অ্যাকাউন্ট থেকে পাওয়া যোগাযোগের তথ্য অন্য প্ল্যাটফর্মের প্রোফাইলের সঙ্গে মেলানো যেতে পারে। IP ঠিকানা ও ব্যবহারকারীর নামও এই মিল খুঁজতে সাহায্য করতে পারে। অনুষ্ঠান ও উৎসব-সংক্রান্ত সেবায় ব্যবহারকারীরা প্রায়ই তৃতীয় পক্ষের বিক্রেতা, থাকার ব্যবস্থা প্রদানকারী ও পরিবহনসেবার সঙ্গে যোগাযোগ করেন, ফলে প্রতারণামূলক বার্তা আলাদা করে চেনা কঠিন হয়ে পড়ে। তাই ঘটনাটিকে শুধু পুরোনো একটি উৎসবের অ্যাকাউন্টের সমস্যা হিসেবে দেখা উচিত নয়।

Coachella বা সংশ্লিষ্ট ফোরাম অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে, তা অবিলম্বে বদলানো উচিত। প্রথমে ইমেইল অ্যাকাউন্ট, টিকিট বিক্রির অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট ও পেমেন্ট সেবা পরীক্ষা করা উচিত। প্রতিটি সেবার জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড ব্যবহার করা উচিত এবং যেখানে সম্ভব, মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করা উচিত। পাসওয়ার্ড হ্যাশ কারও হাতে থাকার অর্থ এই নয় যে সবাই পাসওয়ার্ডটি পড়তে পারে; তবে দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকেই যায়।

Coachella, টিকিট হস্তান্তর, ক্যাম্পিং, পণ্য পাঠানো, টাকা ফেরত, থাকার ব্যবস্থা বা গ্রাহকসেবাকে কেন্দ্র করে পাঠানো বার্তার লিংক সম্পর্কে ব্যবহারকারীদের সতর্ক থাকা উচিত। কোনো লেনদেন করতে হলে উৎসব বা টিকিট প্ল্যাটফর্মের ওয়েব ঠিকানা সরাসরি ব্রাউজারে লিখতে হবে, অথবা বিশ্বস্ত বুকমার্ক ব্যবহার করতে হবে। ফোন বা ইমেইলের মাধ্যমে যাচাইকরণ কোড, পাসওয়ার্ড, কার্ডের তথ্য বা ব্যক্তিগত পরিচয়ের তথ্য চাওয়া হলে তা সন্দেহজনক হিসেবে বিবেচনা করা উচিত। উৎসব পরিচালনাকারী দল বা বৈধ সেবাদাতারা ব্যবহারকারীদের বর্তমান পাসওয়ার্ড জানতে চায় না।

অনুষ্ঠান ও উৎসবের অ্যাকাউন্টের সঙ্গে ব্যবহারকারীদের ভ্রমণ, ঠিকানা, ফোন নম্বর ও সামাজিক জীবনের তথ্য যুক্ত থাকতে পারে। দীর্ঘমেয়াদে ব্যবহারকারীদের অনুষ্ঠান-সংক্রান্ত অ্যাকাউন্ট থেকে অপ্রয়োজনীয় পুরোনো ঠিকানা ও ফোন নম্বর মুছে ফেলা, অব্যবহৃত ফোরাম অ্যাকাউন্ট বন্ধ করা এবং টিকিট প্ল্যাটফর্মে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। অনেক অনুষ্ঠান, ভ্রমণ ও পেমেন্ট সেবায় একই ইমেইল ঠিকানা ব্যবহার করলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তার ঝুঁকি বাড়ে। আলাদা ইমেইল ঠিকানা ব্যবহার করলে কিছু ব্যবহারকারীর ঝুঁকি কমতে পারে।

আয়োজক ও অনুষ্ঠান-সংক্রান্ত প্ল্যাটফর্মগুলোর দিক থেকে, ব্যবহারকারীর অ্যাকাউন্ট ও ফোরাম অ্যাকাউন্টের জন্য পৃথক নিরাপত্তাব্যবস্থা থাকা উচিত। পাসওয়ার্ড সংরক্ষণের পদ্ধতি শক্তিশালী হওয়া উচিত, পুরোনো মেসেজ বোর্ড সফটওয়্যার হালনাগাদ রাখা উচিত এবং ব্যবহারকারীর তথ্য শুধু প্রয়োজনীয় সময় পর্যন্ত সংরক্ষণ করা উচিত। ঘটনার পর পাঠানো বিজ্ঞপ্তিতে পেমেন্টের তথ্য, পাসওয়ার্ড হ্যাশ ও যোগাযোগের তথ্যের মতো বিষয়গুলো আলাদাভাবে জানালে ব্যবহারকারীরা সঠিক পদক্ষেপ নিতে পারেন। ব্যবহারকারীদের জন্য স্থায়ী কৌশল হলো আলাদা পাসওয়ার্ড ব্যবহার করা, মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু রাখা এবং উৎসবকে কেন্দ্র করে পাঠানো ফিশিং বার্তা সম্পর্কে সতর্ক থাকা।

এই রেকর্ডে মিল পাওয়া গেলে বোঝায় যে সংশ্লিষ্ট ইমেইল ঠিকানাটি Coachella-এর তথ্য ফাঁসের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর মধ্যে রয়েছে। মিল পাওয়ার অর্থ এই নয় যে এই রেকর্ডের যাচাইকৃত তথ্যের মধ্যে পেমেন্ট কার্ড বা ব্যাংকের তথ্য রয়েছে। যাচাইকৃত ঝুঁকি ইমেইল, ব্যবহারকারীর নাম, IP ঠিকানা, নাম, ফোন নম্বর, ঠিকানা, জন্মতারিখ এবং ফোরামের অংশে থাকা পাসওয়ার্ড হ্যাশের সঙ্গে সম্পর্কিত। ব্যবহারকারীর প্রথমে নিশ্চিত হওয়া উচিত যে একই পাসওয়ার্ড অন্য অ্যাকাউন্টে ব্যবহার করা হচ্ছে না।

পরের ধাপ হলো আপনার ইমেইল অ্যাকাউন্ট এবং টিকিট ও ভ্রমণ-সংক্রান্ত অ্যাকাউন্টগুলোর নিরাপত্তা পরীক্ষা করা। অপরিচিত সেশন বন্ধ করা উচিত, মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করা উচিত এবং সন্দেহজনক টিকিট হস্তান্তর বা টাকা ফেরতের বার্তা আনুষ্ঠানিক যোগাযোগমাধ্যমে যাচাই করা উচিত। ফোন নম্বর ও ঠিকানার তথ্য ফাঁস হওয়ার কারণে পণ্য পাঠানো, পৌঁছে দেওয়া বা থাকার ব্যবস্থা-সংক্রান্ত বার্তার বিষয়েও সতর্ক থাকা উচিত। ঘটনাটি পুরোনো হলেও, একই যোগাযোগের তথ্য ব্যবহার করে বহু বছর পরও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে উৎসব ও টিকিট-সংক্রান্ত প্রতারণা চালানো হতে পারে।