DemandScience by Pure Incubation: তথ্য ফাঁস

DemandScience by Pure Incubation রেকর্ডে চিহ্নিত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নিয়োগদাতা প্রতিষ্ঠানের তথ্য, চাকরির পদবি, নামের প্রথম ও শেষ অংশ, ফোন নম্বর, ভৌত ঠিকানা এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক। ইমেইল ঠিকানা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, পাসওয়ার্ড রিসেটের নামে প্রতারণা এবং বিভিন্ন সেবার অ্যাকাউন্টের মধ্যে মিল খুঁজতে ব্যবহার করা যেতে পারে। নিয়োগদাতা প্রতিষ্ঠানের তথ্য করপোরেট ফিশিং, ভুয়া সরবরাহকারীর বার্তা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পণ্য বা সেবা কেনার চাপ দেওয়ার কাজে ব্যবহার করা যেতে পারে। চাকরির পদবি থেকে কর্তৃত্বের স্তর, বিভাগ এবং সিদ্ধান্ত গ্রহণে ভূমিকা বোঝা যেতে পারে। নামের প্রথম ও শেষ অংশের তথ্য থাকলে ভুয়া সহায়তা, পণ্য পৌঁছে দেওয়া, চালান ও গ্রাহকসেবার বার্তা আরও বিশ্বাসযোগ্য হয়ে ওঠে। ফোন নম্বর ব্যবহার করে SMS, কল ও মেসেজিং অ্যাপের মাধ্যমে ব্যক্তির তথ্য অনুযায়ী প্রতারণার ছক তৈরি করা যায়। পণ্য পৌঁছে দেওয়া, বিল, সাবস্ক্রিপশন ও স্থানীয় সেবাসংক্রান্ত সামাজিক প্রকৌশলভিত্তিক বার্তায় ভৌত ঠিকানা ব্যবহার করা যেতে পারে। সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক কোনো ব্যক্তির বাস্তব পরিচয়, কর্মজীবন ও অনলাইন অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র তৈরি করতে পারে।

নিয়োগদাতা প্রতিষ্ঠান, চাকরির পদবি, ফোন নম্বর, ঠিকানা এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংক একসঙ্গে থাকলে সরবরাহকারী, বিক্রয়কর্মী, নিয়োগদাতা বা ঊর্ধ্বতন কর্মকর্তার পরিচয়ে পাঠানো ভুয়া বার্তা কিংবা সম্মেলন ও চালানসংক্রান্ত ভুয়া বার্তা আরও বাস্তবসম্মত হয়ে ওঠে। একটি করপোরেট ইমেইল ঠিকানা আক্রমণের ক্ষেত্রকে ব্যক্তিগত অ্যাকাউন্ট থেকে প্রতিষ্ঠানের দিকে নিয়ে যেতে পারে।

DemandScience রেকর্ডের সঙ্গে demandscience.com ডোমেইন, Pure Incubation-এর ইতিহাস এবং 2024 সালের শুরুতে সামনে আসা B2B ডেটাসেটের সম্পর্ক রয়েছে। এর পরিসর করপোরেট ইমেইল, নিয়োগদাতা প্রতিষ্ঠান, চাকরির পদবি, পূর্ণ নাম, ফোন নম্বর, ভৌত ঠিকানা এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইলের লিংকের মধ্যে সীমিত। এতে পাসওয়ার্ড, ব্যাংক-সংক্রান্ত তথ্য বা ব্যক্তিগত অ্যাকাউন্টের বিষয়বস্তু নেই বলে ধরে নিতে হবে।

DemandScience রেকর্ডে যেসব তথ্যের ক্ষেত্র নেই, সেগুলো ফাঁস হয়েছে বলে বর্ণনা করা উচিত নয়। পেমেন্ট কার্ডের সম্পূর্ণ তথ্য, সরকারি পরিচয়পত্র, ব্যক্তিগত বার্তা, স্বাস্থ্যতথ্য, ব্যাংকের তথ্য বা ডিভাইসের বিষয়বস্তুর মতো তথ্য কেবল তখনই ঝুঁকি মূল্যায়নে অন্তর্ভুক্ত করা উচিত, যখন সেগুলো রেকর্ডে স্পষ্টভাবে উপস্থিত থাকে। এই বিবরণ যাচাইযোগ্য তথ্যের ধরন এবং ঘটনার জানা সীমার ওপর ভিত্তি করে তৈরি।

যেসব কর্মীর করপোরেট ইমেইল ঠিকানা তালিকায় রয়েছে; বিক্রয়, বিপণন, অর্থ, ব্যবস্থাপনা, মানবসম্পদ ও ক্রয়সংক্রান্ত দায়িত্বে থাকা ব্যক্তিরা; যেসব ব্যবহারকারীর LinkedIn প্রোফাইলের সঙ্গে কাজের ইমেইলের মিল রয়েছে; এবং বাইরের পক্ষের প্রস্তাবের বার্তা গ্রহণ করে এমন দলগুলো বেশি ঝুঁকিতে রয়েছে।

যেসব ব্যবহারকারী বিভিন্ন সেবায় একই ইমেইল ঠিকানা ব্যবহার করেন, পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করেন, কাজের ও ব্যক্তিগত অ্যাকাউন্ট আলাদা রাখেন না অথবা একাধিক প্ল্যাটফর্মে ফোন নম্বর ও ঠিকানা শেয়ার করেন, তাঁরা বেশি ঝুঁকিতে রয়েছেন। তথ্য সংগ্রহ বা B2B প্রোফাইল নিবন্ধনের ক্ষেত্রে শুধু একটি অ্যাকাউন্টের ভিত্তিতে নয়, বরং বিভিন্ন উৎসের তথ্য একত্র করে তৈরি প্রোফাইলের প্রভাবের ভিত্তিতেও ঝুঁকি মূল্যায়ন করা উচিত।

যেসব ব্যবহারকারীর ইমেইল ঠিকানার সঙ্গে রেকর্ডের মিল পাওয়া গেছে, তাঁদের অপ্রত্যাশিত চাকরির প্রস্তাব, বিক্রয়সংক্রান্ত যোগাযোগ, চালান, সভা, সরবরাহকারী পরিবর্তন এবং অর্থ পরিশোধের অনুমোদনসংক্রান্ত বার্তা প্রতিষ্ঠানের অভ্যন্তরীণ যাচাইপ্রক্রিয়ার মাধ্যমে যাচাই করা উচিত। DemandScience রেকর্ডে পাসওয়ার্ড না থাকায় সামাজিক প্রকৌশল ও করপোরেট ফিশিং সম্পর্কে সচেতনতাই অগ্রাধিকার পায়।

যেসব ব্যবহারকারীর ইমেইল ঠিকানার সঙ্গে রেকর্ডের মিল পাওয়া গেছে, তাঁদের একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড পরিবর্তন করা, সম্ভব হলে দুই ধাপে পরিচয় যাচাই চালু করা এবং সাম্প্রতিক লগইন সেশনগুলো পরীক্ষা করা উচিত। যেসব রেকর্ডে পাসওয়ার্ড নেই, কিন্তু যোগাযোগ বা প্রোফাইলের তথ্য রয়েছে, সেগুলোর ক্ষেত্রে অপ্রত্যাশিত কল, প্রস্তাব, ফেরত-সংক্রান্ত যোগাযোগ, অংশীদারত্ব এবং যাচাইসংক্রান্ত বার্তার বিষয়ে সতর্ক থাকা উচিত।

দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার ব্যবহার, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড রাখা, দুই ধাপে পরিচয় যাচাই ব্যবহার এবং অ্যাকাউন্ট থেকে অপ্রয়োজনীয় ব্যক্তিগত তথ্য সরিয়ে ফেলার অভ্যাস ঝুঁকি কমায়। বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা ব্যবহার করলে আলাদা আলাদা তথ্য ফাঁসের ঘটনা থেকে পাওয়া তথ্য একত্র করা সহজ হয়; গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা ইমেইল অ্যালিয়াস ব্যবহারের কথা বিবেচনা করা যেতে পারে।

প্রতিষ্ঠানগুলোর উচিত কর্মীদের যোগাযোগের তথ্যের প্রকাশ্য দৃশ্যমানতা কমানো, অর্থ ও ক্রয়সংক্রান্ত লেনদেনে দ্বিতীয় অনুমোদনের ব্যবস্থা রাখা এবং চাকরির পদবি অনুযায়ী লক্ষ্য করে চালানো ফিশিং প্রচেষ্টা সম্পর্কে কর্মীদের প্রশিক্ষণ দেওয়া। ব্যক্তিগত ব্যবহারকারীদের কাজের ও ব্যক্তিগত অ্যাকাউন্ট আলাদা রাখা উচিত।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি DemandScience রেকর্ডে আছে কি না জানা যায়। মিল পাওয়া মানেই সব তথ্য নিশ্চিতভাবে সেই ব্যবহারকারীর, এমন নয়; তবে সুরক্ষামূলক ব্যবস্থা নেওয়ার জন্য এটি যথেষ্ট সতর্কসংকেত। মিল না পাওয়া শুধু বোঝায় যে এই ডেটাসেটে কোনো মিল নেই; অন্য কোনো তথ্য ফাঁসের ঘটনায় ঠিকানাটি থাকার সম্ভাবনা এতে নাকচ হয় না।

মিল পাওয়া বোঝায় যে ইমেইল ঠিকানাটি DemandScience/Pure Incubation-এর সঙ্গে যুক্ত B2B ডেটাসেটে রয়েছে। এই ফলাফলের অর্থ পাসওয়ার্ড ফাঁস হয়েছে, এমন নয়; তবে করপোরেট পর্যায়ে লক্ষ্যবস্তু হওয়া এবং সামাজিক প্রকৌশলের ঝুঁকি বিবেচনায় এটিকে গুরুত্ব দেওয়া উচিত।