Data & Leads: তথ্য ফাঁস

Data & Leads রেকর্ডে যাচাই করা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নিয়োগকর্তা, IP ঠিকানা, পদবি, নাম, ফোন নম্বর ও ডাক ঠিকানা। এসব তথ্য একসঙ্গে থাকলে শুধু কোনো ব্যক্তির যোগাযোগের ঠিকানাই নয়, তাঁর কাজের পরিবেশ ও তাঁর সঙ্গে যোগাযোগের উপায়ও প্রকাশ পায়। আক্রমণকারী বা অসৎ বিপণন নেটওয়ার্ক নাম, প্রতিষ্ঠান, পদবি ও ইমেইল ঠিকানা মিলিয়ে এমন বার্তা তৈরি করতে পারে, যা দেখে মনে হয় সেটি বিশেষভাবে ওই ব্যক্তির জন্য লেখা হয়েছে। ফোন নম্বর ও ডাক ঠিকানার তথ্যও প্রতারণার চেষ্টাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। অন্যদিকে, IP ঠিকানা থেকে অতীতে সংযোগ ব্যবহারের পরিস্থিতি, অঞ্চল বা নেটওয়ার্ক সেবাদাতা সম্পর্কে বাড়তি সূত্র পাওয়া যেতে পারে।

Data & Leads-এর ফাঁস হওয়া তথ্যে পাসওয়ার্ডের কোনো ক্ষেত্র নেই। এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ ব্যবহারকারীকে সরাসরি বলা উচিত নয় যে তাঁর অ্যাকাউন্টের পাসওয়ার্ড ফাঁস হয়েছে। তবু কর্মক্ষেত্রের ইমেইল, ফোন নম্বর ও পদবির মতো তথ্য আক্রমণকারীর জন্য ওই ব্যক্তির সঙ্গে যোগাযোগ করা সহজ করে দেয়। ব্যবস্থাপনা, বিক্রয়, অর্থ, মানবসম্পদ, ক্রয় বা প্রযুক্তিগত সিদ্ধান্ত গ্রহণের দায়িত্বে থাকা ব্যক্তিরা ভুয়া প্রস্তাব, অর্থপ্রদানের গন্তব্য বদলে দেওয়া, চালান পরিবর্তন, সভার আমন্ত্রণ বা অংশীদারের পরিচয়ে যোগাযোগের মতো আক্রমণের শিকার হওয়ার বেশি ঝুঁকিতে থাকতে পারেন। তাই ঝুঁকি মূল্যায়নে পাসওয়ার্ড পরিবর্তনের চেয়ে যোগাযোগের নিরাপত্তা ও সামাজিক প্রকৌশল সম্পর্কে সচেতনতাকে বেশি গুরুত্ব দেওয়া উচিত।

Data & Leads-এর তথ্য ফাঁসের রেকর্ডটি 4,43,20,330টি স্বতন্ত্র ইমেইল ঠিকানার ওপর ভিত্তি করে তৈরি। ঘটনা সম্পর্কিত সংবাদে নিবন্ধন রেকর্ডের অপরিশোধিত মোট সংখ্যা আরও বেশি বলে উল্লেখ করা হতে পারে; তবে তথ্যের মোট সারির সংখ্যা স্বতন্ত্র ব্যক্তি বা স্বতন্ত্র ইমেইলের সংখ্যা বোঝায় না। একই ব্যক্তি একাধিক সারিতে থাকতে পারেন, কিছু রেকর্ড অসম্পূর্ণ হতে পারে এবং কিছু পেশাগত তথ্য পুরোনো হয়ে যেতে পারে। তাই ব্যবহারকারীকে দেখানো সংখ্যাটি যাচাই করা স্বতন্ত্র ইমেইলের পরিসর নির্দেশ করে। তথ্যসমষ্টিটি বিপণন ও সম্ভাব্য গ্রাহক সংগ্রহের কাজের সঙ্গে সম্পর্কিত হওয়ায় এতে থাকা তথ্য বিভিন্ন উৎস থেকে সংকলিত হয়ে থাকতে পারে বলেও বোঝা যায়।

কোন কোন তথ্যক্ষেত্র যাচাই করা হয়েছে, তার সীমাও স্পষ্ট রাখা উচিত। Data & Leads রেকর্ডের যাচাই করা ক্ষেত্রগুলোর মধ্যে পাসওয়ার্ড এবং অত্যন্ত সংবেদনশীল আর্থিক বা চিকিৎসাসংক্রান্ত তথ্য নেই। কোনো ব্যক্তির পদবি বা নিয়োগকর্তার তথ্য থাকা মানেই তাঁর প্রতিষ্ঠানের সিস্টেমে অনুপ্রবেশ ঘটেছে, এমন নয়। একইভাবে, ডাক ঠিকানার ক্ষেত্রটি সবার ক্ষেত্রে বাসার ঠিকানা নাও বোঝাতে পারে; এটি ব্যবসাপ্রতিষ্ঠানের ঠিকানা, কার্যালয়ের ঠিকানা বা বিপণন তালিকায় সংরক্ষিত অন্য ধরনের ঠিকানা হতে পারে। তাই যাচাই করা ক্ষেত্রগুলো স্পষ্টভাবে উল্লেখ করলেও লেখায় এমন দাবি করা উচিত নয় যে প্রত্যেক ব্যক্তির ক্ষেত্রে সব তথ্য সমানভাবে সম্পূর্ণ ও হালনাগাদ রয়েছে।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই পেশাজীবীরা, যাঁদের কর্মক্ষেত্রের ইমেইল ও সরাসরি যোগাযোগের তথ্য এই তথ্যসমষ্টিতে রয়েছে। বিক্রয় দল, ব্যবস্থাপক, ব্যবসার মালিক, পরামর্শক, কর্মী নিয়োগ দল, অর্থ বিভাগের কর্মী এবং প্রযুক্তিগত সিদ্ধান্ত গ্রহণকারীদের বিশেষভাবে লক্ষ্য করা হতে পারে। আক্রমণকারী কোনো ব্যক্তির প্রতিষ্ঠান ও পদবি জানলে আরও বিশ্বাসযোগ্য পরিস্থিতি সাজাতে পারে। যেমন, তারা এমন বার্তা তৈরি করতে পারে, যা নতুন গ্রাহকের অনুরোধ, ব্যবসায়িক অংশীদারত্বের প্রস্তাব, চালান সংশোধন, সভার লিংক, প্রস্তাবসংবলিত ফাইল বা মানবসম্পদ বিভাগের চিঠিপত্র বলে মনে হয়। পাসওয়ার্ডের সঙ্গে সম্পর্ক না থাকলেও এ ধরনের আক্রমণ ব্যবহারকারীকে ক্ষতিকর লিংকে নিয়ে যেতে বা নতুন তথ্য দিতে বাধ্য করতে পারে।

ছোট ব্যবসা ও স্বাধীনভাবে কাজ করা পেশাজীবীদেরও সতর্ক থাকা উচিত। ব্যক্তিগত ফোন নম্বর বা ঠিকানা ব্যবসায়িক যোগাযোগের সঙ্গে মিশে গেলে আক্রমণের সুযোগ বাড়ে। তাঁদের ব্যবসায়িক ও ব্যক্তিগত অ্যাকাউন্ট সাধারণত একই ইমেইল বা ফোনের মাধ্যমে পরিচালিত হওয়ায় বিপণন তালিকা থেকে শুরু হওয়া তথ্য ফাঁস আরও বিস্তৃতভাবে পরিচয়সংক্রান্ত তথ্য একত্র করে প্রোফাইল তৈরির সুযোগ করে দিতে পারে। প্রতিষ্ঠানের ডোমেইন নামের সঙ্গে যুক্ত ইমেইল ঠিকানার ঝুঁকি শুধু ব্যক্তিগত পর্যায়ে সীমাবদ্ধ নয়; আক্রমণকারীরা একই প্রতিষ্ঠানের একাধিক ব্যক্তির তথ্য মিলিয়ে সাংগঠনিক কাঠামোর মানচিত্র তৈরি করতে এবং আরও সুনির্দিষ্ট ব্যক্তিদের লক্ষ্য করে বার্তা পাঠানোর প্রচারাভিযান প্রস্তুত করতে পারে।

যাঁদের তথ্য Data & Leads রেকর্ডের সঙ্গে মিলে যায়, তাঁদের প্রথমেই আসা চাকরির প্রস্তাব, ফাইল শেয়ারের আমন্ত্রণ, চালানসংক্রান্ত বিজ্ঞপ্তি, সভার লিংক ও অ্যাকাউন্ট হালনাগাদের বার্তা আরও সতর্কভাবে পরীক্ষা করা উচিত। বার্তায় থাকা লিংক সরাসরি খোলা উচিত নয়, আর ফাইল ডাউনলোড বা লগইন করতে বলে এমন পৃষ্ঠা আলাদা যোগাযোগমাধ্যমে যাচাই করা উচিত। ফোনে কোনো অনুরোধ এলে পরিচিত প্রাতিষ্ঠানিক নম্বর বা আগে যাচাই করা যোগাযোগমাধ্যম ব্যবহার করে কলদাতার পরিচয় নিশ্চিত করা উচিত। নিয়োগকর্তা বা পদবির তথ্য ব্যবহার করে তৈরি বার্তা বাস্তবসম্মত মনে হতে পারে; তাই শুধু ব্যক্তিগত তথ্য সঠিক থাকলেই বার্তাটি বিশ্বাসযোগ্য হয়ে যায় না।

ব্যবহারকারীদের ব্যবসায়িক ইমেইলের নিরাপত্তাও পর্যালোচনা করা উচিত। পাসওয়ার্ড Data & Leads-এর ফাঁস হওয়া তথ্যের অংশ না হলেও ব্যবসায়িক ইমেইলটি অন্য কোনো তথ্য ফাঁসের ঘটনায় অন্তর্ভুক্ত থাকলে ঝুঁকি বাড়তে পারে। তাই গুরুত্বপূর্ণ অ্যাকাউন্টে প্রতিটির জন্য আলাদা পাসওয়ার্ড ও বহু-উপাদানভিত্তিক পরিচয় যাচাই ব্যবহার করা উচিত। ইমেইল অ্যাকাউন্টের ফরোয়ার্ডিং নিয়ম, অপরিচিত সেশন ও অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পরীক্ষা করা উচিত। প্রতিষ্ঠানের পক্ষ থেকে বিক্রয়, অর্থ ও ব্যবস্থাপনা দলকে জানানো উচিত যে Data & Leads-এর তথ্য ব্যবহার করে তাঁদের লক্ষ্য করে বার্তা আসতে পারে। বিশেষ করে অর্থপ্রদানের গন্তব্য বদলানো ও সরবরাহকারীর তথ্য পরিবর্তনের মতো অনুরোধের ক্ষেত্রে দ্বিতীয় পর্যায়ের অনুমোদনপ্রক্রিয়া চালু করা উচিত।

Data & Leads-এর ঘটনাটি দেখায় যে ব্যক্তিগত নিরাপত্তার ক্ষেত্রে বিপণন ও সম্ভাব্য গ্রাহকদের তথ্যসমষ্টির গুরুত্ব খাটো করে দেখা উচিত নয়। পেশাজীবীদের নিয়মিত পর্যালোচনা করা উচিত, তাঁরা কোথায় ব্যবসায়িক যোগাযোগের তথ্য শেয়ার করছেন। অপ্রয়োজনীয় নিউজলেটারের সাবস্ক্রিপশন বাতিল করা, তথ্য সরবরাহকারীদের তালিকা থেকে নিজেদের তথ্য সরানো এবং কাজসংক্রান্ত ফর্মে ব্যক্তিগত ফোন নম্বর ও ঠিকানা দেওয়ার সময় সতর্ক থাকা উচিত। প্রতিষ্ঠানগুলোরও প্রকাশ্য উৎসে কর্মীদের ইমেইল ঠিকানা ও সরাসরি ফোন নম্বর অতিরিক্তভাবে ছড়িয়ে দেওয়া এড়ানো উচিত। যোগাযোগের তথ্য প্রকাশ্য থাকা অনিবার্য হলে প্রতারণা শনাক্ত করার যাচাইপ্রক্রিয়া আরও জোরদার করা উচিত।

তথ্য প্রক্রিয়াকরণকারী প্রতিষ্ঠানগুলোর জন্য শিক্ষাটি হলো, বিপণন তালিকাও ব্যক্তিগত তথ্য, যার সুরক্ষা নিশ্চিত করা জরুরি। কোনো তালিকায় পাসওয়ার্ড বা অর্থপ্রদানের তথ্য না থাকলেই সেটি কম ঝুঁকিপূর্ণ হয়ে যায় না। ইমেইল, ফোন, নিয়োগকর্তা, পদবি ও ঠিকানার সমন্বয় নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশলভিত্তিক আক্রমণ চালানোর জন্য অত্যন্ত মূল্যবান। তাই প্রবেশাধিকার নিয়ন্ত্রণ, পরিচয় যাচাই, নেটওয়ার্কে প্রবেশের বিধিনিষেধ, কার্যক্রমের লগ সংরক্ষণ এবং অপ্রয়োজনীয় তথ্য সংরক্ষণ না করার নীতি দিয়ে ডেটাবেস সুরক্ষিত রাখা উচিত। তৃতীয় পক্ষের তথ্য সরবরাহকারীদের সঙ্গে কাজ করা প্রতিষ্ঠানগুলোর নিয়মিত নিরীক্ষা করা উচিত, কোন তথ্য কোথায় এবং কত দিন ধরে সংরক্ষণ করা হচ্ছে।

এই পৃষ্ঠায় যাচাইয়ের ফলাফল Data & Leads রেকর্ডের সঙ্গে মিলে গেলে, আপনার ইমেইল ঠিকানা পেশাগত যোগাযোগ বা বিপণনসংক্রান্ত তথ্যে অন্তর্ভুক্ত হয়ে থাকতে পারে। প্রথম পদক্ষেপ হলো এই ইমেইল ঠিকানায় আসা কাজসংক্রান্ত বার্তাগুলো আরও কঠোরভাবে যাচাই করা। কোনো বার্তায় আপনার নিয়োগকর্তা, পদবি বা ফোন নম্বর সঠিকভাবে উল্লেখ করা থাকলেও কোনো লিংকে ক্লিক করা বা ফাইল খোলার আগে আলাদা যোগাযোগমাধ্যমে অনুরোধটির সত্যতা নিশ্চিত করা উচিত। ফোন নম্বর ও ঠিকানাও ফাঁস হওয়া তথ্যের অংশ হতে পারে বলে অপ্রত্যাশিত কল ও ডাকযোগে আসা বিজ্ঞপ্তি সতর্কভাবে মূল্যায়ন করা উচিত।

এই তথ্য ফাঁসের ঘটনায় পাসওয়ার্ড ছিল না বলে শুধু পাসওয়ার্ড পরিবর্তন করাই যথেষ্ট পদক্ষেপ নয়। মূল লক্ষ্য হলো পরিচয়সংক্রান্ত তথ্য একত্র করে প্রোফাইল তৈরি এবং যোগাযোগভিত্তিক প্রতারণার ঝুঁকি কমানো। আপনার উচিত কর্মক্ষেত্রের ইমেইলের নিরাপত্তা জোরদার করা, গুরুত্বপূর্ণ অ্যাকাউন্টে অতিরিক্ত যাচাই ব্যবহার করা, সন্দেহজনক বার্তা প্রতিষ্ঠানের নিরাপত্তা দলকে জানানো এবং অর্থপ্রদান বা নথিসংক্রান্ত অনুরোধ পুনরায় যাচাই করার অভ্যাস গড়ে তোলা। অন্যদিকে, প্রতিষ্ঠানগুলোর উচিত প্রভাবিত ডোমেইনগুলো পর্যবেক্ষণ করা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে কী ধরনের আক্রমণ হতে পারে, সে বিষয়ে কর্মীদের সংক্ষিপ্ত ও স্পষ্ট সতর্কবার্তা দেওয়া।