PDL গ্রাহকের তথ্য সমৃদ্ধকরণ ডেটা উন্মুক্ত হওয়ার ঘটনা

যাচাই করা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নিয়োগকর্তার তথ্য, ভৌগোলিক অবস্থান, পদবি, নাম, ফোন নম্বর ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইল। এই ঘটনার যাচাই করা তথ্যক্ষেত্রগুলোর মধ্যে পাসওয়ার্ড, পেমেন্ট কার্ড, সরকারি পরিচয়পত্রের নম্বর বা অ্যাকাউন্টের সম্পূর্ণ বিষয়বস্তু নেই। তবুও নাম, নিয়োগকর্তা, পদবি, ফোন নম্বর ও সামাজিক প্রোফাইল একসঙ্গে থাকায় আক্রমণকারীরা একজন ব্যক্তির ভূমিকা ও যোগাযোগের নেটওয়ার্ক সম্পর্কে বিস্তারিত ধারণা পেতে পারে।

ফিশিং, ভুয়া নিয়োগবার্তা, সরবরাহকারী-সংক্রান্ত প্রতারণা, CEO সেজে যোগাযোগ, ভুয়া চালান, লক্ষ্যভিত্তিক বিজ্ঞাপনের অপব্যবহার ও ফোনের মাধ্যমে প্রতারণার মতো পরিস্থিতিতে এসব তথ্য কাজে লাগে। বিশেষ করে কর্মক্ষেত্রের ইমেইল ও ফোন নম্বর একসঙ্গে পাওয়া গেলে আক্রমণকারী ওই ব্যক্তির প্রাতিষ্ঠানিক ভূমিকার সূত্র ধরে তাঁর সঙ্গে যোগাযোগ করতে পারে। সামাজিক যোগাযোগমাধ্যমের প্রোফাইল ব্যবহার করেও ভুয়া সংযোগের অনুরোধ বা আপাতদৃষ্টিতে বিশ্বাসযোগ্য বার্তার আদান-প্রদানকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব।

ঘটনার তারিখ 16 অক্টোবর 2019 হিসেবে নথিভুক্ত করা উচিত। রেকর্ডটি 22 নভেম্বর 2019-এ তথ্য ফাঁস যাচাইয়ের নির্ভরযোগ্য তালিকাগুলোতে যুক্ত করা হয় এবং এর সর্বশেষ সংশোধনের টাইমস্ট্যাম্পও একই। আক্রান্ত অ্যাকাউন্টের সংখ্যা হিসেবে 62,21,61,052টি স্বতন্ত্র ইমেইল ঠিকানা উল্লেখ করা হয়েছে। পুনরাবৃত্ত তথ্য এবং বিভিন্ন ডেটাসেট একত্র করার কারণে মূল প্রোফাইল বা সারির সংখ্যা বেশি হতে পারে; সেই সংখ্যাকে সরাসরি স্বতন্ত্র ব্যবহারকারীর সংখ্যা হিসেবে ধরা উচিত নয়।

ঘটনার পরিসর ব্যাখ্যা করতে গিয়ে People Data Labs-এর অভ্যন্তরীণ সিস্টেমের নিরাপত্তা নিশ্চিতভাবেই লঙ্ঘিত হয়েছে, এমন দাবি করা উচিত নয়। সঠিক ব্যাখ্যা হলো, অরক্ষিত অবস্থায় উন্মুক্ত রাখা কোনো গ্রাহক বা তৃতীয় পক্ষের ডেটাবেসে People Data Labs-এর সঙ্গে সম্পর্কিত তথ্য সমৃদ্ধকরণের ক্ষেত্র রয়েছে। ব্যবহারকারীর জন্য এর অর্থ হলো, তাঁর ইমেইল ঠিকানাটি এই পেশাগত প্রোফাইলের ডেটাসেটে রয়েছে এবং এর সঙ্গে যুক্ত তথ্যক্ষেত্রগুলো সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বাড়ায়।

বিশেষ করে যেসব পেশাজীবীর কর্মক্ষেত্রের ইমেইল, ফোন নম্বর, পদবি, নিয়োগকর্তা ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইল একসঙ্গে মিলে যায়, তাঁরা ঝুঁকিতে আছেন। বিক্রয়, অর্থ, মানবসম্পদ, নির্বাহী, প্রযুক্তি, গ্রাহক সম্পর্ক ও সরবরাহ-সংক্রান্ত দায়িত্বে থাকা ব্যক্তিরা লক্ষ্যভিত্তিক বার্তার জন্য বেশি মূল্যবান লক্ষ্য হতে পারেন। ভুয়া সভার আমন্ত্রণ, প্রস্তাবসংবলিত ফাইল, অর্থ পরিশোধের অনুরোধ বা তথাকথিত ব্যবসায়িক যোগাযোগের মাধ্যমে তাঁদের লক্ষ্য করে প্রতারণার চেষ্টা চালানো হতে পারে।

ব্যক্তিগত ব্যবহারকারীদের ক্ষেত্রে ব্যক্তিগত ইমেইল ও সামাজিক প্রোফাইলের সঙ্গে কর্মজীবনের ইতিহাস যুক্ত হওয়া থেকে ঝুঁকি তৈরি হয়। আক্রমণকারীরা ব্যক্তির নিয়োগকর্তা, শহর, আগের পদবি বা সর্বজনীন প্রোফাইলের লিংক ব্যবহার করে বাস্তবসম্মত বার্তা তৈরি করতে পারে। প্রতিষ্ঠানের ক্ষেত্রে ঝুঁকি শুধু কর্মীদের গোপনীয়তার মধ্যে সীমাবদ্ধ নয়; কর্মীদের প্রোফাইল সরবরাহকারী-সংক্রান্ত প্রতারণা, ব্যবস্থাপক সেজে ভুয়া নির্দেশনা দেওয়া এবং বিশ্বাসযোগ্য মনে হয় এমন সংযোগের অনুরোধ পাঠানোর কাজে ব্যবহার করা যেতে পারে।

আপনার তথ্যের সঙ্গে মিল পাওয়া গেলে প্রথমেই আপনার ইমেইল অ্যাকাউন্ট, কর্মক্ষেত্রের অ্যাকাউন্ট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোর নিরাপত্তা পরীক্ষা করা উচিত। শক্তিশালী ও প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করুন, দুই ধাপে পরিচয় যাচাই চালু করুন এবং অপরিচিত সেশনগুলো বন্ধ করুন। এই ঘটনার যাচাই করা তথ্যের ধরনগুলোর মধ্যে পাসওয়ার্ড না থাকলেও ইমেইল অ্যাকাউন্টের সুরক্ষাকে অগ্রাধিকার দেওয়া উচিত, কারণ এটি অন্যান্য অ্যাকাউন্ট পুনরুদ্ধারের মূল মাধ্যম।

ইনবক্সে আসা চাকরির প্রস্তাব, ফাইল শেয়ারিং, চালান, সভার আমন্ত্রণ, সংযোগের অনুরোধ, নিয়োগবার্তা ও অর্থ পরিশোধের পদ্ধতি পরিবর্তনের অনুরোধও আলাদাভাবে পরীক্ষা করা উচিত। ফোনে যোগাযোগ করা ব্যক্তি আপনার নাম, নিয়োগকর্তা, পদবি বা পুরোনো প্রোফাইলের তথ্য জানেন বলেই তিনি বিশ্বাসযোগ্য, এমনটি প্রমাণিত হয় না। অর্থ কোথায় পাঠাতে হবে সে বিষয়ে নির্দেশনা, লগইন কোড, পাসওয়ার্ড বা গোপন নথি চাওয়া হলে আলাদা একটি যোগাযোগমাধ্যমে যাচাই করা বাধ্যতামূলক হওয়া উচিত।

দীর্ঘমেয়াদে আপনার পেশাগত ও ব্যক্তিগত পরিচয় আরও স্পষ্টভাবে আলাদা রাখা উচিত। গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা অ্যালিয়াস ব্যবহার করা, সামাজিক প্রোফাইলে অপ্রয়োজনীয়ভাবে ফোন নম্বর ও ব্যক্তিগত ইমেইল প্রকাশ কমানো, পুরোনো কর্মজীবনের ইতিহাস প্রকাশ সীমিত রাখা এবং প্রোফাইলের দৃশ্যমান অংশগুলো নিয়মিত পর্যালোচনা করা ঝুঁকি কমায়। মৌলিক সুরক্ষাব্যবস্থা হিসেবে পাসওয়ার্ড ম্যানেজার ও দুই ধাপে পরিচয় যাচাইয়ের ব্যবহার বজায় রাখা উচিত।

প্রতিষ্ঠানগুলোর উচিত এ ধরনের তথ্য সমৃদ্ধকরণ-সংক্রান্ত ঘটনাকে কর্মীদের সচেতনতা, ইমেইল নিরাপত্তা ও সরবরাহকারী যাচাইয়ের কর্মপ্রক্রিয়ায় অন্তর্ভুক্ত করা। উচ্চ ঝুঁকির কাজ করেন এমন ব্যক্তিদের প্রশিক্ষণে ভুয়া চালান, নির্বাহী সেজে ভুয়া নির্দেশনা, ভুয়া নিয়োগ ও ভুয়া ফাইল শেয়ারিংয়ের পরিস্থিতিগুলো অন্তর্ভুক্ত করা উচিত। আর্থিক লেনদেন বা প্রবেশাধিকারের পরিবর্তন প্রয়োজন এমন অনুরোধের ক্ষেত্রে লিখিত অনুমোদনের পাশাপাশি আলাদা একটি যোগাযোগমাধ্যমে যাচাই বাধ্যতামূলক করা উচিত।

LeakData-তে মিল পাওয়া গেলে বোঝা যায় যে অনুসন্ধান করা ইমেইল ঠিকানাটি ‘PDL গ্রাহকের তথ্য সমৃদ্ধকরণ ডেটা উন্মুক্ত হওয়ার ঘটনা’ ডেটাসেটে রয়েছে। এই ফলাফলের অর্থ এই নয় যে ওই ব্যক্তি People Data Labs-এর গ্রাহক বা কোনো নির্দিষ্ট অ্যাকাউন্টের পাসওয়ার্ড ফাঁস হয়েছে। এর মূল অর্থ হলো, ঠিকানাটি নাম, নিয়োগকর্তা, পদবি, ফোন নম্বর, অবস্থান বা সামাজিক প্রোফাইলের মতো তথ্যক্ষেত্রের সঙ্গে দেখা যেতে পারে এবং লক্ষ্যভিত্তিক যোগাযোগের ঝুঁকি বেড়েছে।

ফলাফলে মিল না পাওয়া গেলে বোঝা যায় যে এই ডেটাসেটে কোনো মিল পাওয়া যায়নি; তবে একই ইমেইল ঠিকানা তথ্য সমৃদ্ধকরণ-সংক্রান্ত অন্য ঘটনা বা অন্য কোনো তথ্য ফাঁসে থাকতে পারে। আপনার উচিত নিয়মিত যাচাই চালিয়ে যাওয়া, কর্মক্ষেত্রের ও ব্যক্তিগত অ্যাকাউন্টগুলোর জন্য আলাদা পাসওয়ার্ড ব্যবহার করা, দুই ধাপে পরিচয় যাচাই চালু রাখা এবং কাজ-সংক্রান্ত অপ্রত্যাশিত বার্তা আলাদা একটি যোগাযোগমাধ্যমে যাচাই করার অভ্যাস বজায় রাখা।