DoorDash: তথ্য ফাঁস

DoorDash-এর এই রেকর্ডে যাচাই করা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, ডেলিভারির ঠিকানা বা পোস্টাল কোড, অর্ডারের প্রাথমিক তথ্য এবং পেমেন্ট কার্ডের আংশিক তথ্য। ইমেইল, নাম ও ফোন নম্বর একসঙ্গে থাকলে ভুয়া সহায়তার বার্তা, ডেলিভারিতে সমস্যা হয়েছে বলে পাঠানো নোটিশ কিংবা অ্যাকাউন্ট যাচাইয়ের অনুরোধ আরও বিশ্বাসযোগ্য মনে হতে পারে। ডেলিভারির ঠিকানা ও পোস্টাল কোড থেকে ব্যক্তি কোথায় থাকেন বা কোন এলাকায় নিয়মিত অর্ডার করেন, সে সম্পর্কে ধারণা পাওয়া যায়। শুধু এই তথ্য থাকলেই কারও পরিচয় পুরোপুরি চুরি হয়েছে বলা যায় না, তবে ব্যক্তির সঙ্গে মিল রেখে প্রতারণামূলক বার্তা সাজানো সহজ হয়।

কার্ডের আংশিক তথ্য সীমিত হলেও তা একেবারে গুরুত্বহীন নয়। ভুয়া গ্রাহকসেবার কথোপকথনে কার্ডের ধরন ও শেষ চারটি অঙ্ক ব্যবহার করে ব্যবহারকারীর বিশ্বাস অর্জনের চেষ্টা করা যেতে পারে। সম্পূর্ণ কার্ড নম্বর বা ব্যাংক অ্যাকাউন্টের তথ্য না থাকায় এই রেকর্ডের ভিত্তিতে কার্ড থেকে সরাসরি অর্থ তুলে নেওয়ার ঝুঁকি নিশ্চিত করা যায় না; তবে আরও তথ্য দিতে ব্যবহারকারীকে রাজি করানোর উদ্দেশ্যে বার্তা আসার আশঙ্কা রয়েছে। গ্রাহকদের একটি ছোট অংশের অর্ডারের প্রাথমিক তথ্যে প্রবেশ করা হয়ে থাকলে, পণ্য ফেরত, ডেলিভারি না পাওয়া, কুপন বা ফি সমন্বয়ের নামে সাজানো প্রতারণা আরও বাস্তবসম্মত মনে হতে পারে।

যাচাই করা ঘটনাটি 2022 সালের আগস্টের এবং এটি সরবরাহকারী নেটওয়ার্কের মাধ্যমে শুরু হওয়া একটি ফিশিং হামলার সঙ্গে যুক্ত। DoorDash জানায়, অস্বাভাবিক কার্যক্রম নজরে আসার পর তারা সরবরাহকারীর প্রবেশাধিকার বন্ধ করে এবং ঘটনাটি আর ছড়াতে দেয়নি। এই প্রতিবেদনে আক্রান্ত ব্যক্তিদের হিসাব হিসেবে 3,67,476টি স্বতন্ত্র ব্যক্তিগত ইমেইল ঠিকানা নথিভুক্ত রয়েছে। আনুষ্ঠানিক বিবৃতিতে বলা হয়নি যে DoorDash-এর সব ব্যবহারকারী আক্রান্ত হয়েছেন; বরং ব্যবহারকারীদের একটি ছোট অংশের তথ্য প্রভাবিত হয়েছে বলে জানানো হয়েছে। কোন কোন তথ্য প্রভাবিত হয়েছে, তা ব্যক্তিভেদেও ভিন্ন হতে পারে।

এখানে সীমাবদ্ধতাগুলো বিশেষভাবে গুরুত্বপূর্ণ। এই ঘটনায় যেসব তথ্যে প্রবেশ করা হয়েছে বলে জানানো হয়েছিল, সেগুলোর মধ্যে পাসওয়ার্ড, সম্পূর্ণ পেমেন্ট কার্ড নম্বর, ব্যাংক অ্যাকাউন্ট নম্বর, সোশ্যাল সিকিউরিটি নম্বর ও সোশ্যাল ইনস্যুরেন্স নম্বর ছিল না। তাই ব্যবহারকারীর পাসওয়ার্ড বা কার্ডের সম্পূর্ণ তথ্য ফাঁস হয়েছে ধরে নেওয়া উচিত নয়। কার্ডের আংশিক তথ্য বলতে শুধু কার্ড শনাক্ত করার সীমিত কিছু তথ্য বোঝায়। এ ছাড়া, এই রেকর্ডটি 2019 সালে DoorDash-এর প্রায় 49 লাখ মানুষকে প্রভাবিত করা ঘটনার রেকর্ড নয়। 2022 সালের সরবরাহকারী-সংক্রান্ত ঘটনাটির পরিসর ছোট হলেও, ডেলিভারি ও পেমেন্টের আংশিক তথ্য জড়িত থাকায় একটি স্বতন্ত্র তথ্য ফাঁসের ঘটনা হিসেবে এটি গুরুত্বের সঙ্গে দেখা প্রয়োজন।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই গ্রাহকেরা, যাঁদের তথ্য 2022 সালে DoorDash-এর কাছে ছিল এবং যাঁরা এই ঘটনা সম্পর্কে নোটিশ পেয়েছেন। যাঁদের ফোন নম্বর ও ডেলিভারির ঠিকানা রয়েছে, তাঁদের কাছে ডেলিভারি চালক বা গ্রাহকসেবাকর্মী সেজে কিংবা অর্ডারের টাকা ফেরত দেওয়ার নামে ভুয়া বার্তা পাঠানো হতে পারে। কার্ডের আংশিক তথ্য বা অর্ডারের প্রাথমিক তথ্য থাকা ছোট গোষ্ঠীর ব্যবহারকারীদের কাছে এসব বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। কারণ, আক্রমণকারী কার্ডের শেষ চারটি অঙ্ক বা আগের অর্ডারের বিবরণ ব্যবহার করে কথোপকথনকে বিশ্বাসযোগ্য করার চেষ্টা করতে পারে।

Dashers নামে পরিচিত ডেলিভারিকর্মীরাও এই ঘটনার আওতায় থাকতে পারেন। আনুষ্ঠানিক বিবৃতিতে জানানো হয়েছিল, এই গোষ্ঠীর নাম, ফোন নম্বর বা ইমেইল ঠিকানা প্রভাবিত হয়ে থাকতে পারে। তাঁদের কাছে ভুয়া পেমেন্ট, উপার্জনের অর্থ স্থানান্তর বা অ্যাকাউন্ট যাচাইয়ের বার্তা আসতে পারে, কিংবা সহায়তাকর্মী পরিচয়ে ফোন করা হতে পারে। রেস্তোরাঁ ও বিক্রেতাদের তথ্য এই রেকর্ডের মূল বিষয় নয়; তবে DoorDash-এর ব্যবস্থায় বিভিন্ন ভূমিকার অ্যাকাউন্ট থাকায়, কোনো বার্তা কোন ধরনের অ্যাকাউন্টকে উদ্দেশ্য করে পাঠানো হয়েছে তা ব্যবহারকারীদের সতর্কভাবে যাচাই করা উচিত। DoorDash-এর এই তথ্য ফাঁস বিশেষ করে ফোন ও টেক্সট মেসেজের মাধ্যমে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি বাড়ায়।

DoorDash-সংক্রান্ত অপ্রত্যাশিত ইমেইল, টেক্সট মেসেজ বা ফোনকলের সূত্রে পাওয়া কোনো লিংকে ক্লিক করবেন না এবং একবার ব্যবহারযোগ্য কোড কাউকে জানাবেন না। ডেলিভারির ঠিকানা, অর্ডার ফেরত, অ্যাকাউন্ট যাচাই বা পেমেন্ট সংশোধনের বিষয়ে এসেছে বলে দাবি করা বার্তা সরাসরি আনুষ্ঠানিক অ্যাপ বা ওয়েব অ্যাকাউন্টের মাধ্যমে যাচাই করুন। ফোন করা ব্যক্তি কার্ডের আংশিক তথ্য জানেন বলেই তাঁকে বিশ্বাস করবেন না; প্রকৃত সহায়তাকর্মীদের সম্পূর্ণ কার্ড নম্বর, ব্যাংক অ্যাকাউন্টের তথ্য, পাসওয়ার্ড বা একবার ব্যবহারযোগ্য যাচাইকরণ কোড চাওয়ার কথা নয়।

আপনার DoorDash অ্যাকাউন্টে শক্তিশালী এবং অন্য কোথাও ব্যবহার করা হয়নি এমন পাসওয়ার্ড রাখা এখনো একটি ভালো নিরাপত্তা ব্যবস্থা। তবে এই ঘটনায় পাসওয়ার্ডের তথ্যে অননুমোদিত অ্যাক্সেসের কথা জানানো হয়নি বলে প্রধান জরুরি করণীয় হলো সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি সম্পর্কে সতর্ক থাকা। ফোনে স্প্যাম বেড়ে গেলে ডিভাইস ও মোবাইল অপারেটর, উভয় পর্যায়ের ফিল্টার ব্যবহার করুন। সাধারণ নিরাপত্তা অভ্যাস হিসেবে কার্ডের বিবরণীতে অস্বাভাবিক লেনদেন হচ্ছে কি না, তা নিয়মিত দেখুন; তবে এই রেকর্ডের যাচাই করা পরিসরে সম্পূর্ণ কার্ড নম্বর বা ব্যাংক অ্যাকাউন্ট অন্তর্ভুক্ত নেই। Dashers-এর ক্ষেত্রে উপার্জনের অর্থ স্থানান্তর, ব্যাংক অ্যাকাউন্ট পরিবর্তনের অনুরোধ বা সহায়তার নামে আসা ফোনকল আরও যাচাই করা উচিত।

দীর্ঘমেয়াদে ডেলিভারি ও কেনাকাটার অ্যাকাউন্টে রাখা ঠিকানা, ফোন নম্বর এবং পেমেন্ট পদ্ধতির তথ্য নিয়মিত পর্যালোচনা করা উচিত। যেসব ঠিকানা আর ব্যবহার করা হয় না, সেগুলো মুছে ফেলুন, অপ্রয়োজনীয় পেমেন্ট পদ্ধতি সরিয়ে দিন এবং প্রচারসংক্রান্ত অ্যাকাউন্টের জন্য প্রধান ইমেইলের বদলে আলাদা ইমেইল ঠিকানা ব্যবহার করুন। বিভিন্ন ডেলিভারি প্ল্যাটফর্মে একই ছাঁচের পাসওয়ার্ড ব্যবহার করবেন না। ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করুন, কারণ ডেলিভারি অ্যাকাউন্ট পুনরুদ্ধারের লিংক প্রায়ই ইমেইলের মাধ্যমে আসে।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে DoorDash-এর ঘটনাটি দেখায় যে তৃতীয় পক্ষের সরবরাহকারীর প্রবেশাধিকার গ্রাহকের তথ্যের জন্য সরাসরি ঝুঁকি তৈরি করে। সরবরাহকারীদের ক্ষেত্রে ন্যূনতম প্রয়োজনীয় অনুমতির নীতি, সাময়িক প্রবেশাধিকার, শক্তিশালী পরিচয় প্রমাণীকরণ, অস্বাভাবিক প্রবেশের সতর্কবার্তা এবং ফিশিং-প্রতিরোধী কর্মী যাচাই প্রয়োজন। ডেলিভারি প্ল্যাটফর্মগুলোকে শুধু নিজেদের ব্যবস্থায় নয়, তাদের ব্যবহৃত সরবরাহকারীদের মাধ্যমেও ব্যবহারকারীর তথ্য সুরক্ষিত রাখতে হবে। কার্ডের আংশিক তথ্য ও অর্ডারের তথ্য সীমিত মনে হলেও, গ্রাহকের আস্থা ও প্রতারণার ঝুঁকির ওপর এর প্রভাব উল্লেখযোগ্য।

এই রেকর্ডে আপনার তথ্যের মিল পাওয়া গেলে, আপনার ইমেইল ঠিকানাটি 2022 সালের DoorDash-এর তথ্য ফাঁসের সঙ্গে যুক্ত 3,67,476টি স্বতন্ত্র ইমেইলের মধ্যে পাওয়া গিয়ে থাকতে পারে। মিল পাওয়ার অর্থ এই নয় যে আপনার পাসওয়ার্ড বা সম্পূর্ণ কার্ড নম্বর ফাঁস হয়েছে। তবে এটি ইঙ্গিত করে যে আপনার নাম, ইমেইল, ফোন নম্বর, ডেলিভারির ঠিকানা অথবা একটি ছোট গোষ্ঠীর ক্ষেত্রে অর্ডারের প্রাথমিক তথ্য ও কার্ডের আংশিক তথ্য ঝুঁকি তৈরি করতে পারে। প্রথম পদক্ষেপ হলো আনুষ্ঠানিক মাধ্যম দিয়ে আপনার DoorDash অ্যাকাউন্ট যাচাই করা এবং অপ্রত্যাশিত বার্তার ব্যাপারে সন্দেহপ্রবণ থাকা।

প্রতারণামূলক বার্তায় আপনার ডেলিভারির ঠিকানা, ফোন নম্বর বা পেমেন্ট-সংক্রান্ত আংশিক তথ্য ব্যবহার করা হতে পারে। তাই সহায়তাকর্মী পরিচয় দেওয়া কাউকে একবার ব্যবহারযোগ্য কোড, সম্পূর্ণ কার্ড নম্বর, ব্যাংকের তথ্য বা পাসওয়ার্ড দেবেন না। Dashers-এর উপার্জনের অর্থ স্থানান্তর ও অ্যাকাউন্ট যাচাইয়ের অনুরোধ সরাসরি আনুষ্ঠানিক অ্যাপ থেকে যাচাই করা উচিত। DoorDash-এর এই তথ্য ফাঁসের ক্ষেত্রে সঠিক প্রতিক্রিয়া হলো ঘটনাটিকে সম্পূর্ণ আর্থিক তথ্য ফাঁস হিসেবে অতিরঞ্জিত না করে, সরবরাহকারীর মাধ্যমে ফাঁস হওয়া যাচাই করা তথ্য যে সামাজিক প্রকৌশলভিত্তিক প্রতারণায় ব্যবহার হতে পারে তা স্বীকার করা এবং অ্যাকাউন্ট ও যোগাযোগের নিরাপত্তা জোরদার করা।