Dave: তথ্য ফাঁস

Dave-এর রেকর্ডে তালিকাভুক্ত তথ্যগুলো আর্থিক অ্যাপের প্রেক্ষাপটে উচ্চ ঝুঁকির। নাম, ইমেইল ঠিকানা, ফোন নম্বর ও বাসা বা অন্য স্থানের ঠিকানা একসঙ্গে থাকলে ব্যবহারকারীর পরিচয় জানা এবং তাঁর সঙ্গে সরাসরি যোগাযোগ করা সম্ভব হয়। কিছু সেবায় অ্যাকাউন্ট পুনরুদ্ধার বা গ্রাহক সহায়তার সময় পরিচয় যাচাইয়ে জন্মতারিখ ব্যবহার করা যেতে পারে। সোশ্যাল সিকিউরিটি নম্বরের ফিল্ডটি এনক্রিপ্ট করা বলে উল্লেখ করা হয়েছে; এর অর্থ এই নয় যে সরাসরি পড়া যায় এমন নম্বর ফাঁস হয়েছে। তবে রেকর্ডে ফিল্ডটি থাকাই ঘটনাটির সংবেদনশীলতা বাড়ায়। পাসওয়ার্ডের ফিল্ডটিকেও bcrypt হ্যাশ মান হিসেবে বিবেচনা করতে হবে, প্লেইনটেক্সট হিসেবে নয়।

Bcrypt পাসওয়ার্ড সংরক্ষণের একটি শক্তিশালী পদ্ধতি হলেও পাসওয়ার্ড-সংক্রান্ত ঝুঁকি পুরোপুরি দূর হয় না। দুর্বল বা আগে ব্যবহার করা পাসওয়ার্ড বেশি ঝুঁকিপূর্ণ হতে পারে। কোনো ব্যবহারকারী ইমেইল, আর্থিক সেবা, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম বা কাজের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করে থাকলে, আক্রমণকারীরা হ্যাশ ভেঙে উদ্ধার করা বা অনুমান করা সেই পাসওয়ার্ড বিভিন্ন প্ল্যাটফর্মে ব্যবহার করার চেষ্টা করতে পারে। বাসা বা অন্য স্থানের ঠিকানা ও ফোন নম্বর জানা থাকলে আর্থিক প্রতিষ্ঠানের প্রতিনিধি সেজে ভুয়া কল, অ্যাকাউন্ট যাচাইয়ের বার্তা, অগ্রিম নগদ অর্থের বিজ্ঞপ্তি, ঋণের প্রস্তাব বা পরিচয় যাচাইয়ের অজুহাতের মতো সোশ্যাল ইঞ্জিনিয়ারিং প্রচেষ্টা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে।

এই রেকর্ডে দেখানো 29,64,182 সংখ্যাটি যাচাই করা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা বোঝায়। ঘটনাটির সঙ্গে সম্পর্কিত কাঁচা ডেটায় প্রায় 7.5 মিলিয়ন সারি ছিল বলে জানানো হয়েছে; তবে এই সারিগুলোর সংখ্যা স্বতন্ত্র ব্যবহারকারীর সংখ্যার সমান নয়। ব্যবহারকারীদের অপ্রয়োজনীয় আতঙ্ক এড়াতে এবং তথ্য ফাঁসের প্রকৃত পরিসর যথাযথভাবে তুলে ধরতে এই পার্থক্যটি গুরুত্বপূর্ণ। ঘটনাটির সময় 2020 সালের জুন হিসেবে নথিভুক্ত আছে। পরে বিভিন্ন ফোরাম বা ডেটা সূচিতে তথ্য প্রকাশিত হলেও তা তথ্য ফাঁসের প্রকৃত সময়কাল বদলে দেয় না। এই রেকর্ডটি শুধু Dave-এর ব্যবহারকারীদের তথ্য নিয়ে; তৃতীয় পক্ষের সেবাদাতার অন্য গ্রাহকদের তথ্যের সঙ্গে এটিকে গুলিয়ে ফেলা উচিত নয়।

তথ্য ফিল্ডগুলোর সীমা বোঝার ক্ষেত্রেও সতর্ক থাকতে হবে। এই রেকর্ডে জন্মতারিখ, ইমেইল ঠিকানা, নাম, bcrypt পাসওয়ার্ড হ্যাশ, ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা এবং এনক্রিপ্ট করা সোশ্যাল সিকিউরিটি নম্বরের ফিল্ড যাচাই করা হয়েছে। ফিল্ডটি এনক্রিপ্ট করা থাকার অর্থ এই নয় যে নম্বরটি প্লেইনটেক্সট হিসেবে পড়া যায়। একইভাবে, ঘটনাটি একটি আর্থিক অ্যাপের সঙ্গে সম্পর্কিত হওয়ার অর্থ এই নয় যে এই রেকর্ডে লেনদেনের বিবরণ বা সরাসরি অ্যাকাউন্টে প্রবেশের তথ্য রয়েছে। ব্যবহারকারীকে সঠিকভাবে জানাতে হবে যে ব্যক্তিগত পরিচয় ও যোগাযোগের ফিল্ডগুলো উচ্চ ঝুঁকির, একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার করা হয়েছে কি না তা যাচাই করা উচিত এবং আর্থিক বিষয়কে কেন্দ্র করে প্রতারণার চেষ্টা সম্পর্কে সতর্ক থাকা দরকার।

যাঁরা Dave অ্যাপ ব্যবহার করেছেন এবং অন্য আর্থিক বা ব্যক্তিগত অ্যাকাউন্টে একই ইমেইল বা পাসওয়ার্ড ব্যবহার করেছেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। আর্থিক অ্যাপের ব্যবহারকারীদের লক্ষ্য করে ভুয়া অ্যাকাউন্ট যাচাই, পেমেন্টের সমস্যা, অগ্রিম নগদ অর্থের হালনাগাদ, ক্রেডিট স্কোর, পরিচয় যাচাই বা গ্রাহক সহায়তার কলের মতো পরিস্থিতি তৈরি করা হতে পারে। আক্রমণকারী ব্যক্তির নাম, ফোন নম্বর, ঠিকানা ও জন্মতারিখ জানলে এ ধরনের যোগাযোগ আরও বিশ্বাসযোগ্য হয়ে ওঠে। তাই ব্যবহারকারীদের শুধু আসা ইমেইল নয়, ফোন কল ও টেক্সট মেসেজ সম্পর্কেও সন্দেহপ্রবণ থাকা উচিত।

যাঁরা প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে Dave অ্যাকাউন্ট খুলেছেন, তাঁদের ক্ষেত্রে ঝুঁকির পরিসর আরও বিস্তৃত হতে পারে। ব্যক্তিগত আর্থিক অ্যাপে কোনো কর্মীর তথ্য ফাঁস হওয়ার অর্থ এই নয় যে প্রতিষ্ঠানের সিস্টেমে অনুপ্রবেশ ঘটেছে। তবে কাজের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হলে বা আক্রমণকারী প্রতিষ্ঠানের ইমেইল ঠিকানায় বার্তা পাঠিয়ে কাউকে লক্ষ্য করলে প্রতিষ্ঠানের জন্য ঝুঁকি তৈরি হতে পারে। একই ঠিকানা, একই ফোন বা পারিবারিক অ্যাকাউন্ট একাধিক ব্যক্তি ব্যবহার করলে ঝুঁকি অন্যদের ওপরও প্রভাব ফেলতে পারে। ভুয়া চিঠিপত্র, ভুয়া পণ্য সরবরাহ বা পরিচয় যাচাইয়ের অজুহাতে প্রতারণার চেষ্টায় বাসা বা অন্য স্থানের ঠিকানাও ব্যবহার করা যেতে পারে।

যাঁদের তথ্য Dave রেকর্ডের সঙ্গে মিলে যায়, তাঁদের প্রথম করণীয় হলো Dave অ্যাকাউন্টের পাসওয়ার্ড এবং একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা। ইমেইল অ্যাকাউন্ট, আর্থিক অ্যাপ, ব্যাংকিং সেবা, পেমেন্ট প্ল্যাটফর্ম, কেনাকাটার সাইট ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলো আগে যাচাই করা উচিত। নতুন পাসওয়ার্ডগুলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও শক্তিশালী হতে হবে; সম্ভব হলে পাসওয়ার্ড ম্যানেজার দিয়ে তৈরি করা উচিত। গুরুত্বপূর্ণ অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেন্টিকেশন (একাধিক উপাদানভিত্তিক পরিচয় যাচাই) চালু করতে হবে, অপরিচিত সেশন বন্ধ করতে হবে এবং অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করতে হবে।

দ্বিতীয় করণীয় হলো আর্থিক বিষয়কে কেন্দ্র করে সোশ্যাল ইঞ্জিনিয়ারিং প্রচেষ্টার বিরুদ্ধে সতর্কতামূলক ব্যবস্থা নেওয়া। কলকারী বা বার্তা প্রেরক নিজেকে Dave, কোনো আর্থিক প্রতিষ্ঠান, সহায়তাকারী দল বা পরিচয় যাচাই ইউনিটের প্রতিনিধি দাবি করলেও ব্যবহারকারীর যাচাইকরণ কোড, পাসওয়ার্ড, অ্যাকাউন্টে প্রবেশের সুযোগ বা অতিরিক্ত ব্যক্তিগত তথ্য দেওয়া উচিত নয়। অ্যাকাউন্টের অবস্থা দেখতে হলে পরিচিত অ্যাপ বা আনুষ্ঠানিক লগইন মাধ্যম ব্যবহার করতে হবে। ইমেইল অ্যাকাউন্টের ফরওয়ার্ডিং নিয়ম, পুনরুদ্ধারের ইমেইল ঠিকানা এবং সাম্প্রতিক লগইন কার্যক্রম যাচাই করা উচিত। প্রতারণামূলক আর্থিক লেনদেন বা পরিচয়ের অপব্যবহারের সন্দেহ হলে সংশ্লিষ্ট সেবাদাতাদের সঙ্গে সরাসরি যোগাযোগ করতে হবে।

Dave-এর ঘটনাটি দেখায় যে আর্থিক অ্যাপে সংরক্ষিত ব্যক্তিগত তথ্যের সুরক্ষা শুধু পাসওয়ার্ডের নিরাপত্তায় সীমাবদ্ধ নয়। আর্থিক কার্যক্রম, ইমেইল ও পরিচয় যাচাইয়ের কাজে ব্যবহৃত সব অ্যাকাউন্টে আলাদা পাসওয়ার্ড এবং মাল্টি-ফ্যাক্টর অথেন্টিকেশনের সুরক্ষা ব্যবহার করা উচিত। ফোন নম্বর ও বাসা বা অন্য স্থানের ঠিকানাও প্রতারণায় ব্যবহার করা যেতে পারে, এ কথা ভুলে যাওয়া উচিত নয়। অপ্রত্যাশিত অ্যাকাউন্ট খোলা, ভুয়া আবেদন বা সন্দেহজনক আর্থিক বিজ্ঞপ্তি শনাক্ত করতে ক্রেডিট-সংক্রান্ত কার্যক্রম ও পরিচয়ের ব্যবহার নিয়মিত পর্যবেক্ষণের অভ্যাস উপকারী হতে পারে। পুরোনো আর্থিক অ্যাপের অ্যাকাউন্ট ব্যবহার না করলে সেগুলো বন্ধ করা বা তথ্য সংরক্ষণের সেটিংস পর্যালোচনা করা উচিত।

আর্থিক প্রযুক্তি প্রতিষ্ঠানগুলোর জন্য শিক্ষা হলো, তৃতীয় পক্ষের সেবাদাতার ঝুঁকি সরাসরি গ্রাহকের নিরাপত্তায় প্রভাব ফেলতে পারে। বিশ্লেষণ, উন্নয়ন বা সহায়তার কাজে নিয়োজিত সেবাদাতারা গ্রাহকের কোন কোন তথ্যে প্রবেশ করতে পারবে, তার সীমা স্পষ্টভাবে নির্ধারণ করা উচিত। পাসওয়ার্ড শক্তিশালী পদ্ধতিতে সংরক্ষণ করতে হবে, সংবেদনশীল পরিচয়সংক্রান্ত ফিল্ড এনক্রিপ্ট করে রাখতে হবে, অপ্রয়োজনীয় তথ্য আদান-প্রদান কমাতে হবে এবং তৃতীয় পক্ষের প্রবেশাধিকার নিয়মিত নিরীক্ষা করতে হবে। তথ্য ফাঁসের পর কোন কোন অংশ প্রভাবিত হয়েছে এবং কোন কোন অংশ প্রভাবিত হয়নি, তা ব্যবহারকারীকে স্পষ্টভাবে জানাতে হবে।

এই পৃষ্ঠার যাচাইয়ের ফল Dave রেকর্ডের সঙ্গে মিলে গেলে ব্যবহারকারীর ফলটিকে সংবেদনশীল হিসেবে বিবেচনা করা উচিত। প্রথমে একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার বন্ধ করতে হবে, তারপর ইমেইল ও আর্থিক অ্যাকাউন্টে অতিরিক্ত যাচাই চালু করতে হবে। Dave বা অন্য কোনো আর্থিক সেবার নামে আসা অপ্রত্যাশিত লিংক, যাচাইকরণ কোডের অনুরোধ, অ্যাকাউন্ট লক হওয়ার বার্তা এবং পরিচয় হালনাগাদের ফরম সম্পর্কে সতর্ক থাকতে হবে। বাসা বা অন্য স্থানের ঠিকানা ও ফোনের তথ্যও ঝুঁকির পরিসরে থাকায় শুধু ইমেইল নয়, কল ও বার্তার মাধ্যমগুলোর দিকেও নজর রাখা উচিত।

Dave-এর তথ্য ফাঁসের ঘটনাটি পুরোনো হলেও ব্যক্তিগত পরিচয় ও যোগাযোগের তথ্য দীর্ঘ সময় ধরে মূল্যবান থাকে। Bcrypt পাসওয়ার্ড হ্যাশ থাকার অর্থ সরাসরি পড়া যায় এমন পাসওয়ার্ড থাকা নয়; তবে দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকে যায়। এনক্রিপ্ট করা সোশ্যাল সিকিউরিটি নম্বরের ফিল্ডও সরাসরি উন্মুক্ত নম্বর বোঝায় না, তবে এটি রেকর্ডটিকে সংবেদনশীল করে তোলে। পাসওয়ার্ড ব্যবহারের ধরন বদলানো, আর্থিক অ্যাকাউন্ট সুরক্ষিত করা, পরিচয়ের অপব্যবহারের লক্ষণ পর্যবেক্ষণ করা এবং অপ্রত্যাশিত আর্থিক যোগাযোগের ক্ষেত্রে আরও কঠোর যাচাই করার জন্য ব্যবহারকারীর এই রেকর্ডকে একটি সুনির্দিষ্ট সতর্কসংকেত হিসেবে নেওয়া উচিত।