Condo.com: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর ও বাসা বা অন্য কোনো স্থানের ঠিকানা। ইমেইল ঠিকানা ব্যবহার করে ব্যবহারকারীর অন্যান্য অনলাইন অ্যাকাউন্টের সঙ্গে মিল খোঁজা যেতে পারে। নাম ও ফোন নম্বর ভুয়া গ্রাহকসেবার কল, বিজ্ঞাপন যাচাইয়ের বার্তা, রিয়েল এস্টেট এজেন্ট সেজে যোগাযোগ বা অর্থপ্রদানের গন্তব্য বদলে দেওয়ার চেষ্টায় কাজে লাগতে পারে। যেসব রেকর্ডে বাসা বা অন্য কোনো স্থানের ঠিকানা রয়েছে, সেগুলো থেকে ব্যবহারকারী কোথায় থাকেন বা কোন এলাকার প্রতি আগ্রহী, সে সম্পর্কে আরও সরাসরি তথ্য পাওয়া যেতে পারে।

এই রেকর্ডে পাসওয়ার্ডকে যাচাইকৃত তথ্যের ধরন হিসেবে অন্তর্ভুক্ত করা হয়নি; তাই ঝুঁকির মূল বিষয় অ্যাকাউন্টের পাসওয়ার্ড নয়, বরং ফিশিং, ফোনে প্রতারণা এবং রিয়েল এস্টেটের প্রসঙ্গ ব্যবহার করে মানুষকে প্রভাবিত করার কৌশল। নাম, ইমেইল ও ফোন নম্বর একসঙ্গে থাকলে একজন ব্যক্তির কাছে পৌঁছানোর জন্য যথেষ্ট যোগাযোগের মাধ্যম পাওয়া যায়। আক্রমণকারী যদি ধরে নেয় যে ব্যবহারকারী বাড়ি খোঁজা, ভাড়া নেওয়া, কেনা বা কোনো অ্যাপার্টমেন্টের বিষয়ে আগ্রহী, তাহলে সেই অনুযায়ী বার্তা সাজাতে পারে। সাধারণ বিজ্ঞাপন বা গণহারে পাঠানো ফিশিং বার্তার তুলনায় এভাবে সাজানো বার্তা আরও বেশি বিশ্বাসযোগ্য হতে পারে।

এই রেকর্ডে 14,81,555টি ক্ষতিগ্রস্ত অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে এবং ঘটনার তারিখ নথিভুক্ত করা হয়েছে 1 জুন 2019। জানা যায়, পরে ফাঁস হওয়া তথ্যের একটি বড় সংকলনের মধ্যে এই তথ্য আবার ছড়িয়ে পড়ে। এর অর্থ হলো, ঘটনাটি পুরোনো হলেও ইমেইল ও ফোনের তথ্য বর্তমান প্রতারণার তালিকায় আবার ব্যবহার করা হতে পারে। রেকর্ডের পরিসর মূল্যায়ন করতে হবে স্বতন্ত্র অ্যাকাউন্টের সংখ্যার ভিত্তিতে; প্রতিটি সারি একটি বর্তমান, সক্রিয় বা পূর্ণাঙ্গ ব্যবহারকারী প্রোফাইলের প্রতিনিধিত্ব করে, এমনটি ধরে নেওয়া উচিত নয়।

যাচাইকৃত তথ্যের ক্ষেত্রগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর এবং অল্প কিছু রেকর্ডে বাসা বা অন্য কোনো স্থানের ঠিকানা। এই রেকর্ডে পাসওয়ার্ড, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সামাজিক নিরাপত্তা নম্বর, জন্মতারিখ, পরিচয়পত্র বা রিয়েল এস্টেট লেনদেনের নথিকে যাচাইকৃত তথ্যের ধরন হিসেবে অন্তর্ভুক্ত করা হয়নি। এ ছাড়া বাসা বা অন্য কোনো স্থানের ঠিকানা সব রেকর্ডে নয়, বরং অল্প কিছু রেকর্ডে দেখা যায়। এই পার্থক্যটি গুরুত্বপূর্ণ; ব্যবহারকারীকে প্রকৃত ঝুঁকি বোঝানোর সময় যোগাযোগের তথ্যের গুরুত্বকে খাটো করা যাবে না, আবার যাচাই করা হয়নি এমন তথ্যের ধরনগুলোও উপস্থিত আছে বলে তুলে ধরা যাবে না।

যাঁরা Condo.com-এ নিজের আসল নাম, প্রধান ইমেইল ঠিকানা ও সচল ফোন নম্বর ব্যবহার করেছেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। রিয়েল এস্টেট খুঁজছেন এমন ব্যবহারকারীরা সাধারণত বাসা বদল, বিনিয়োগ, ভাড়া নেওয়া বা কেনার মতো বড় অঙ্কের আর্থিক সিদ্ধান্ত নিয়ে ভাবেন। তাই আক্রমণকারীরা ভুয়া পরামর্শসেবা, ভুয়া বিজ্ঞাপন, জামানত অন্য হিসাবে পাঠানোর নির্দেশনা, ঋণের প্রাথমিক অনুমোদন, সম্পত্তির মূল্যায়ন ফি, রক্ষণাবেক্ষণ ফির নোটিশ বা বাসা বদলের সেবার মতো বিষয় দিয়ে ব্যবহারকারীদের লক্ষ্য করতে পারে।

যেসব ব্যবহারকারীর বাসা বা অন্য কোনো স্থানের ঠিকানাও রয়েছে, তাঁদের ক্ষেত্রে ঝুঁকি আরও ব্যক্তিনির্দিষ্ট হয়ে ওঠে। ঠিকানার তথ্য সঠিক হলে আক্রমণকারী পাড়া, ভবন, পণ্য সরবরাহ, রক্ষণাবেক্ষণ, সাবস্ক্রিপশন বা ব্যবস্থাপনার বিজ্ঞপ্তির মতো বিষয় ব্যবহার করে বার্তাটিকে বিশ্বাসযোগ্য করার চেষ্টা করতে পারে। যাঁদের ফোন নম্বর রয়েছে, তাঁদের সরাসরি টেক্সট মেসেজ ও কলের মাধ্যমে লক্ষ্য করা যেতে পারে। যাঁরা কর্মস্থলের ইমেইল দিয়ে নিবন্ধন করেছেন, তাঁদের ক্ষেত্রে প্রাতিষ্ঠানিক ফিশিংয়ের ঝুঁকিও রয়েছে; কারণ রিয়েল এস্টেট ও ভবন-সুবিধা ব্যবস্থাপনার প্রসঙ্গযুক্ত বার্তা কর্মক্ষেত্রে স্বাভাবিক বলে মনে হতে পারে।

এই রেকর্ডে নিজের তথ্যের মিল পাওয়া ব্যবহারকারীর প্রথমেই ইমেইল ও ফোনে আসা রিয়েল এস্টেটসংক্রান্ত বার্তার বিষয়ে সতর্ক থাকা উচিত। অপ্রত্যাশিত বিজ্ঞাপনের প্রস্তাব, জামানত চাওয়া, দ্রুত অর্থপ্রদানের নির্দেশনা, ঋণের আবেদনের লিংক, ভাড়ার চুক্তির ফাইল বা অ্যাকাউন্ট যাচাইয়ের বার্তাকে সরাসরি বিশ্বাসযোগ্য ধরে নেওয়া উচিত নয়। কোনো রিয়েল এস্টেট লেনদেন করতে হলে সংশ্লিষ্ট পক্ষের পরিচয়, বিজ্ঞাপনের উৎস, অর্থপ্রদানের তথ্য ও যোগাযোগের মাধ্যম স্বাধীনভাবে যাচাই করা উচিত।

ইমেইল অ্যাকাউন্টে একাধিক উপাদানভিত্তিক পরিচয় যাচাই (মাল্টি-ফ্যাক্টর অথেনটিকেশন) চালু করা এবং সন্দেহজনক সেশন আছে কি না পরীক্ষা করা উচিত। এই রেকর্ডে পাসওয়ার্ডের কোনো যাচাইকৃত ক্ষেত্র না থাকলেও ইমেইল অ্যাকাউন্ট প্রতারণামূলক বার্তার প্রধান লক্ষ্য হতে পারে। ফোন নম্বরে পাঠানো একবার ব্যবহারযোগ্য কোড, পরিচয়পত্র চাওয়ার অনুরোধ, জামানত পরিশোধের নির্দেশনা বা দূরবর্তী প্রবেশাধিকারের অনুরোধ অন্যের সঙ্গে শেয়ার করা উচিত নয়। যাঁদের বাসা বা অন্য কোনো স্থানের ঠিকানা ফাঁস হয়ে থাকতে পারে, তাঁদের ঠিকানা যাচাই বা পণ্য সরবরাহের অজুহাতে আসা বার্তাকেও সন্দেহজনক হিসেবে বিবেচনা করা উচিত।

Condo.com-এর ঘটনাটি দেখায় যে পাসওয়ার্ড না থাকলেও যোগাযোগের তথ্য নিরাপত্তা ও গোপনীয়তার ওপর গুরুতর প্রভাব ফেলতে পারে। রিয়েল এস্টেট, বিজ্ঞাপন, সাবস্ক্রিপশন ও কেনাকাটার সেবায় ব্যবহারকারীদের সম্ভব হলে আলাদা ইমেইল ঠিকানা বা আসল ইমেইল ঠিকানা আড়াল করার ব্যবস্থা ব্যবহার করা উচিত। বাধ্যতামূলক না হলে ফোন নম্বর দেওয়া উচিত নয়; বাধ্যতামূলক হলে ভবিষ্যতে সম্ভাব্য বিপণন, প্রতারণা ও ফিশিং বার্তার বিষয়ে সচেতন থাকা উচিত। বাসা বা অন্য কোনো স্থানের ঠিকানা শুধু সেই লেনদেনেই দেওয়া উচিত, যেখানে তা সত্যিই প্রয়োজন।

দীর্ঘমেয়াদে ব্যবহারকারীদের পুরোনো রিয়েল এস্টেট অ্যাকাউন্ট ও বিজ্ঞাপনের প্রোফাইল পর্যালোচনা করা উচিত। অব্যবহৃত অ্যাকাউন্ট বন্ধ করা, প্রোফাইলে সবার জন্য উন্মুক্ত তথ্য কমানো এবং একই যোগাযোগের তথ্য দিয়ে কোন কোন সেবায় নিবন্ধন করা হয়েছে, তা নজরে রাখা উচিত। রিয়েল এস্টেট লেনদেনে বড় অঙ্কের অর্থ জড়িত থাকে বলে শুধু ইমেইল বা টেক্সট মেসেজে পাওয়া নির্দেশনা অনুসরণ করে কখনো অর্থপ্রদান করা উচিত নয়। অপর পক্ষের লাইসেন্স, বিজ্ঞাপিত সম্পত্তির মালিকানা, ব্যাংকের তথ্য ও চুক্তির বিস্তারিত আলাদা মাধ্যমে যাচাই করা উচিত।

এই রেকর্ডে মিল পাওয়া গেলে বোঝায় যে সংশ্লিষ্ট ইমেইল ঠিকানাটি Condo.com-এর তথ্য ফাঁসের সঙ্গে সম্পর্কিত রেকর্ডগুলোর মধ্যে রয়েছে। এই মিলের ক্ষেত্রে যাচাইকৃত পরিসর যোগাযোগ ও পরিচয়সংক্রান্ত তথ্যে সীমিত; পাসওয়ার্ড বা অর্থপ্রদানের তথ্য এই রেকর্ডের যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে নেই। তবে ইমেইল, নাম ও ফোন নম্বর একসঙ্গে থাকলে ব্যবহারকারীর জন্য বিশেষভাবে তৈরি বলে মনে হয় এমন বার্তা বানানোর জন্য যথেষ্ট তথ্য পাওয়া যেতে পারে। তাই রেকর্ডটি পুরোনো হলেও সতর্ক থাকা প্রয়োজন।

ব্যবহারকারীর প্রথমে নিজের ইমেইল অ্যাকাউন্ট সুরক্ষিত করা, রিয়েল এস্টেট ও বাসা বদলসংক্রান্ত অপ্রত্যাশিত বার্তা আলাদা মাধ্যমে যাচাই করা এবং ফোনে আসা অর্থপ্রদান বা পরিচয়সংক্রান্ত অনুরোধ প্রত্যাখ্যান করা উচিত। যাঁদের মনে হয় তাঁদের বাসা বা অন্য কোনো স্থানের ঠিকানা অন্যের জানা থাকতে পারে, তাঁদের পণ্য সরবরাহ, রক্ষণাবেক্ষণ, ভবন ব্যবস্থাপনা বা সাবস্ক্রিপশনসংক্রান্ত বার্তা সতর্কভাবে পরীক্ষা করা উচিত। রিয়েল এস্টেট লেনদেনে কোনো অর্থ পাঠানোর আগে বিজ্ঞাপন, ব্যক্তি, কোম্পানি ও অ্যাকাউন্টের তথ্য স্বাধীন উৎসের মাধ্যমে যাচাই করা উচিত।