Couchsurfing (2020): তথ্য ফাঁস

সে সময় পর্যালোচনা করা নমুনা এবং সমসাময়িক প্রতিবেদনে বিক্রির জন্য দেওয়া তথ্যে ইমেইল ঠিকানা, প্রকৃত নাম, ব্যবহারকারী ID ও অ্যাকাউন্টের সেটিংস পাওয়া গিয়েছিল। বিক্রির জন্য দেওয়া প্যাকেজে পাসওয়ার্ড ছিল না বলে প্রতিবেদনে স্পষ্টভাবে জানানো হয়েছিল, তাই এই বিবরণে পাসওয়ার্ড হ্যাশ, সরাসরি পাঠযোগ্য পাসওয়ার্ড বা সরাসরি লগইন করার তথ্য ফাঁস হয়েছিল বলে দাবি করা চলবে না। নির্ভরযোগ্য প্রমাণ থেকেও নিশ্চিত হওয়া যায় না যে সেখানে ফোন নম্বর, পেমেন্ট কার্ড, ব্যক্তিগত বার্তা, পরিচয়পত্র, সুনির্দিষ্ট অবস্থান, ভ্রমণের ইতিহাস বা প্রোফাইলে লেখা বিবরণ ছিল। তবে ইমেইল ঠিকানা, নাম ও প্ল্যাটফর্মের নির্দিষ্ট ব্যবহারকারী ID একত্র করে লক্ষ্যভিত্তিক ফিশিং, স্প্যাম, ভুয়া সহায়তা-বার্তা পাঠানো এবং উন্মুক্ত উৎসে পাওয়া প্রোফাইলের সঙ্গে তথ্য মিলিয়ে দেখা সম্ভব হতে পারে। প্রায় 1 কোটি 70 লাখ সংখ্যাটি বিক্রির বিজ্ঞাপনে উল্লেখ করা অ্যাকাউন্ট রেকর্ডের সংখ্যা বোঝায়; এটি আলাদা ব্যক্তিদের সম্পূর্ণ যাচাইকৃত সংখ্যা নয়।

2020 সালের জুলাইয়ের প্রথমভাগে তথ্যসমষ্টিটি প্রথমে ব্যক্তিগত বার্তা আদান-প্রদানের চ্যানেলে এবং পরে অপরাধীদের উন্মুক্ত ফোরামে দেখা যায়। বিক্রেতা দাবি করেন, রেকর্ডগুলো Couchsurfing-এর সার্ভার থেকে নেওয়া হয়েছে, এবং প্যাকেজটির দাম নির্ধারণ করেন US$700। নিরাপত্তাবিষয়ক সাংবাদিকদের দেওয়া একটি ছোট নমুনায় ব্যবহারকারী ID, প্রকৃত নাম, ইমেইল ঠিকানা ও অ্যাকাউন্টের সেটিংস-সংক্রান্ত ফিল্ড ছিল। প্রতিষ্ঠানটি জানায়, তদন্তের জন্য তারা একটি বাইরের সাইবার নিরাপত্তা প্রতিষ্ঠানকে নিয়োগ দিয়েছে এবং আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষের সঙ্গে যোগাযোগ করেছে। প্রকাশ্যে আসা কোনো চূড়ান্ত ঘটনা-প্রতিবেদনে ঠিক কোন তারিখে তথ্যে প্রবেশ করা হয়েছিল বা কোন পদ্ধতিতে অনুপ্রবেশ ঘটেছিল, তা নিশ্চিত করা হয়নি। ভুল জায়গায় রাখা একটি ব্যাকআপ ফাইলকে সম্ভাব্য উৎস হিসেবে প্রস্তাব করা হয়েছিল, তবে সেটি ছিল একটি অনুমান, প্রমাণিত মূল কারণ নয়। তাই এই বিবরণে নির্দিষ্ট দিন দাবি না করে 2020 সালের জুলাইয়ের শুরুর দিককে ঘটনার সময়কাল হিসেবে ব্যবহার করা হয়েছে। Couchsurfing অ্যাকাউন্টের কাঠামোবদ্ধ ফিল্ডগুলো এই তথ্যকে সাধারণ লগইন-তথ্যের সংগ্রহ থেকে আলাদা করে, তবে প্রকাশ্যে চূড়ান্ত যাচাই না হওয়ায় বিবরণে এই অনিশ্চয়তা বজায় রাখা জরুরি।

যাঁদের 2020 সালের আগে Couchsurfing অ্যাকাউন্ট ছিল এবং যাঁরা প্রধান ইমেইল ঠিকানার সঙ্গে প্রকৃত নাম ব্যবহার করতেন, তাঁদের তথ্য উন্মুক্ত হওয়ার ঝুঁকি সবচেয়ে বেশি। প্ল্যাটফর্মের নাম, অ্যাকাউন্ট থাকার তথ্য ও ব্যবহারকারী ID জানা থাকলে আক্রমণকারী নিরাপত্তা, সদস্যপদের ফি, প্রোফাইল যাচাই, আতিথেয়তার অনুরোধ বা ভ্রমণসংক্রান্ত বার্তা নিয়ে বিশ্বাসযোগ্য মনে হয় এমন নোটিশ তৈরি করতে পারে। প্রতিবেদনে উল্লেখ করা তথ্যসমষ্টিতে পাসওয়ার্ড না থাকলেও অ্যাকাউন্ট দখলের ঝুঁকি দূর হয় না: আক্রমণকারীরা ইমেইল ব্যবহার করে পাসওয়ার্ড পুনর্নির্ধারণের লিংক চুরি করতে, এককালীন কোড চাইতে বা কোনো সদস্যকে ভুয়া সাইন-ইন পৃষ্ঠায় নিয়ে যেতে পারে। একই ইমেইল অন্য পরিষেবায় থাকলে রেকর্ডগুলো প্রোফাইলের মধ্যে যোগসূত্র খুঁজে বের করতে এবং ব্যক্তির তথ্য অনুযায়ী প্রতারণা সাজাতে সহায়তা করতে পারে। অতীতের পরিচয়সংক্রান্ত তথ্য বহু বছর পরেও প্রতারণাকে বিশ্বাসযোগ্য করে তুলতে পারে। বিক্রির প্যাকেজে তথ্য থাকা মানেই কোনো অ্যাকাউন্টে প্রবেশ করা হয়েছিল বা ব্যক্তিগত বার্তা পড়া হয়েছিল, এমন নয়; এসব সিদ্ধান্তের জন্য আলাদা প্রমাণ প্রয়োজন।

আপনার 2020 সালের দিকে ব্যবহৃত Couchsurfing পাসওয়ার্ডটি এখনও চালু থাকলে, বা আপনি সেটি অন্য কোথাও ব্যবহার করে থাকলে, সতর্কতামূলক ব্যবস্থা হিসেবে প্রতিটি জায়গায় তার বদলে একটি দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড দিন, যদিও এই প্যাকেজে পাসওয়ার্ড ছিল বলে জানানো হয়নি। প্রথমে প্রধান ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন: অপরিচিত সেশন, ফরওয়ার্ডিংয়ের নিয়ম ও অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানাগুলো পর্যালোচনা করুন, তারপর মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করুন। Couchsurfing-এ প্রোফাইল, গোপনীয়তা ও যোগাযোগের সেটিংস পরীক্ষা করুন এবং আপনার করা নয় এমন কোনো পরিবর্তন পেলে আনুষ্ঠানিক সহায়তা চ্যানেলে জানান। সদস্যপদ নবায়ন, পেমেন্টের সমস্যা, প্রোফাইল অনুমোদন, আতিথেয়তার অনুরোধ বা জরুরি ভ্রমণ-সহায়তা নিয়ে আসা বার্তার লিংকে যাবেন না। নিজে সরাসরি সাইট বা অ্যাপ খুলুন এবং প্রেরকের ডোমেইন পরীক্ষা করুন। কেউ আপনার নাম বা ব্যবহারকারী ID জানেন বলেই তাঁকে প্রকৃত কর্মী, আতিথ্যদাতা বা ভ্রমণকারী ধরে নেবেন না। অযাচিত বার্তার জবাবে কখনো পাসওয়ার্ড, এককালীন কোড বা পেমেন্টের তথ্য দেবেন না; আলাদা একটি বিশ্বস্ত চ্যানেলের মাধ্যমে অনুরোধটি যাচাই করুন।

প্রতিটি পরিষেবার জন্য স্বতন্ত্র লগইন-তথ্য তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন, যাতে ভবিষ্যতে অন্য কোনো উৎস থেকে লগইন-তথ্য ফাঁস হলেও তার প্রভাব একাধিক অ্যাকাউন্টে ছড়িয়ে না পড়ে। ইমেইলে মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু রাখুন এবং অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো নিয়মিত পর্যালোচনা করুন; ভ্রমণসংক্রান্ত বার্তা দিয়ে সংশ্লিষ্ট ইমেইল অ্যাকাউন্ট দখলের চেষ্টা শুরু হতে পারে। প্রকৃত নামসংক্রান্ত অপ্রয়োজনীয় বিবরণ, ব্যক্তিগত লিংক ও প্রোফাইলে লেখা তথ্য সবার জন্য উন্মুক্ত থাকলে সেগুলোর দৃশ্যমানতা সীমিত করুন। আর ব্যবহার করেন না এমন ভ্রমণসংক্রান্ত অ্যাকাউন্ট বন্ধ করুন, অপ্রয়োজনীয় পুরোনো তৃতীয় পক্ষের সংযোগ সরিয়ে দিন এবং নিয়মিত পুরোনো সেশন বন্ধ করুন। কোনো বার্তায় অ্যাকাউন্টের সঠিক তথ্য থাকলেই তার প্রেরক আসল বা অনুমোদিত বলে প্রমাণিত হয় না; ফাঁস হওয়া তথ্য ব্যবহার করে অপরাধীরা বাস্তব মনে হয় এমন প্রেক্ষাপট তৈরি করতে পারে। অপ্রত্যাশিত পাসওয়ার্ড পুনর্নির্ধারণ, নতুন সেশন ও ইমেইল পরিবর্তনের সতর্কবার্তার দিকে নজর রাখুন। পরবর্তী নিরাপত্তা বিজ্ঞপ্তিগুলো কেবল প্রতিষ্ঠানের আনুষ্ঠানিক ডোমেইনের মাধ্যমে দেখুন।

2020 সালের আগে Couchsurfing-এ ব্যবহার করে থাকতে পারেন এমন প্রতিটি বর্তমান ও পুরোনো ইমেইল ঠিকানা যাচাই করতে এই পৃষ্ঠার নিরাপদ অনুসন্ধান ঘরটি ব্যবহার করুন। কোনো মিল পাওয়া গেলে তা বোঝাতে পারে যে ঠিকানাটি এই ঘটনার সঙ্গে সংশ্লিষ্ট রেকর্ডে রয়েছে; এর অর্থ এই নয় যে পাসওয়ার্ড ফাঁস হয়েছে, অ্যাকাউন্ট দখল করা হয়েছে বা সম্পূর্ণ প্রোফাইল প্রকাশ্যে এসেছে। কোনো ফল পাওয়া গেলে অ্যাকাউন্টটির জন্য ব্যবহৃত ইমেইল অ্যাকাউন্ট শনাক্ত করুন, সেটির নিরাপত্তার ইতিহাস ও Couchsurfing-এর সেটিংস পর্যালোচনা করুন এবং একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড বদলে দিন। কোনো ফল না পাওয়া সম্পূর্ণ নিশ্চয়তা দেয় না, কারণ তথ্যসমষ্টি অসম্পূর্ণ হতে পারে, কোনো ঠিকানা ভিন্নভাবে লেখা থাকতে পারে বা অন্য কোনো ঘটনা প্রাসঙ্গিক হতে পারে। শুধু সমর্থিত শনাক্তকারীটি লিখুন; তথ্য ফাঁস যাচাইয়ের কোনো ব্যবস্থায় কখনো পাসওয়ার্ড, এককালীন কোড, পেমেন্ট কার্ড বা ব্যক্তিগত বার্তার বিষয়বস্তু জমা দেবেন না। কোনো অপ্রত্যাশিত সতর্কবার্তা দেখলে সেটির মধ্যে থাকা লিংক এড়িয়ে আনুষ্ঠানিক অ্যাপ্লিকেশন বা ডোমেইনের মাধ্যমে আপনার অ্যাকাউন্টে যান।