DriveSure: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, ঠিকানা, গাড়ির তথ্য এবং সীমিতসংখ্যক পাসওয়ার্ড হ্যাশ। এখানে গাড়ির তথ্য বলতে নির্মাতা, মডেল, VIN নম্বর এবং কিছু রেকর্ডে গাড়ির চলার দূরত্ব বা সার্ভিসিং-সংক্রান্ত বিবরণ বোঝায়। VIN নম্বর ও গাড়ির ইতিহাস কোনো ব্যক্তির মালিকানাধীন বা ব্যবহৃত গাড়ির সঙ্গে সরাসরি যোগসূত্র তৈরি করতে পারে। বীমা, সার্ভিসিং, ওয়ারেন্টি, গাড়ি প্রত্যাহার, ক্ষয়ক্ষতির রেকর্ড কিংবা গাড়ি কেনাবেচার প্রতারণামূলক বার্তায় বিশ্বাসযোগ্যতা তৈরি করতে এই তথ্য ব্যবহার করা যেতে পারে।

পাসওয়ার্ডের ক্ষেত্রে সবচেয়ে গুরুত্বপূর্ণ পার্থক্য হলো, তথ্যটি সরাসরি পড়া যায় এমন পাসওয়ার্ড হিসেবে নাকি bcrypt পাসওয়ার্ড হ্যাশ হিসেবে উল্লেখ করা হয়েছে। Bcrypt-এর কারণে পাসওয়ার্ড সরাসরি পড়া কঠিন হয়; তবে দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ঝুঁকি পুরোপুরি দূর হয় না। ঠিকানা, ফোন ও গাড়ির তথ্য একসঙ্গে ফিশিং ও ফোনে প্রতারণার জন্য একটি কার্যকর ব্যক্তিগত প্রোফাইল তৈরি করে। কোনো আক্রমণকারী আপনার গাড়ির নির্মাতা বা সার্ভিসিংয়ের ইতিহাসের তথ্য ব্যবহার করে ভুয়া ওয়ারেন্টির মেয়াদ বাড়ানোর প্রস্তাব, রক্ষণাবেক্ষণে ছাড়, বীমা নবায়নের বার্তা বা গাড়ির নিরাপত্তা-সংক্রান্ত নোটিশ তৈরি করতে পারে।

যাচাইকৃত ঘটনার তারিখ হিসেবে 19 ডিসেম্বর 2020 নথিভুক্ত রয়েছে। 2020 সালের ডিসেম্বরে অননুমোদিত প্রবেশ শনাক্ত হয় এবং 2021 সালের জানুয়ারিতে জানা যায় যে অননুমোদিত পক্ষের কাছে তথ্য বিক্রির চেষ্টা করা হয়েছিল। এই রেকর্ডে 36,75,099টি স্বতন্ত্র ইমেইল ঠিকানা রয়েছে। কিছু সংবাদ প্রতিবেদনে আনুমানিক 32 লাখ বা 37 লাখ মানুষের কথা উল্লেখ থাকতে পারে। সারির সংখ্যা ও স্বতন্ত্র ইমেইলের সংখ্যা গণনার পার্থক্য এবং আনুমানিক সংখ্যা ব্যবহারের কারণে এই তারতম্য দেখা যায়। এই রেকর্ডে মূল সংখ্যা হিসেবে স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা ব্যবহার করা হয়েছে।

ঘটনার পরিসর বাড়িয়ে দেখানো উচিত নয়। কোম্পানির বিবৃতিতে বলা হয়েছিল, অননুমোদিত পক্ষ এমন কোনো তথ্যে প্রবেশাধিকার পায়নি যা দিয়ে ঋণ অ্যাকাউন্ট খোলা যেতে পারে। এই রেকর্ডেও তথ্যের শ্রেণিতে ক্রেডিট কার্ড, ব্যাংক অ্যাকাউন্ট বা সরকারিভাবে ইস্যু করা পরিচয়পত্রের নম্বর অন্তর্ভুক্ত করা হয়নি। তবে নাম, ঠিকানা, ফোন, ইমেইল, VIN ও গাড়ির বিবরণ পরিচয় চুরি ছাড়াও অন্য ধরনের প্রতারণার জন্য মূল্যবান। পাসওয়ার্ড হ্যাশের সংখ্যা কম হওয়ায় সব রেকর্ডে পাসওয়ার্ড-সংক্রান্ত ঝুঁকি সমান নয়। তবুও একই পাসওয়ার্ড অন্য সেবায় ব্যবহার করা হয়ে থাকতে পারে, এই সম্ভাবনা উপেক্ষা করা উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই গ্রাহকেরা, যাঁরা DriveSure ব্যবহারকারী ডিলারশিপ থেকে গাড়ি কেনেন, সার্ভিসিং করান বা রক্ষণাবেক্ষণ/লয়্যালটি কর্মসূচির অন্তর্ভুক্ত। তাঁরা হয়তো কখনো DriveSure নামটিই দেখেননি; ডিলারশিপের সেবার মাধ্যমে তাঁদের নিবন্ধন তৈরি হয়ে থাকতে পারে। গাড়ির সাবেক মালিক, ব্যবহৃত গাড়ির ক্রেতা, যাঁদের ওয়ারেন্টির অবস্থা পর্যবেক্ষণ করা হচ্ছে এমন গ্রাহক এবং নির্দিষ্ট কিছু সার্ভিসিং কর্মসূচিতে অংশগ্রহণকারীরাও ঝুঁকিতে থাকতে পারেন। গাড়ির তথ্য হাতে থাকলে আক্রমণকারীরা সাধারণ ফিশিং আক্রমণের বদলে গাড়িকে কেন্দ্র করে আরও বিশ্বাসযোগ্য পরিস্থিতি সাজাতে পারে।

যাঁদের ঠিকানা ও ফোনের তথ্য হালনাগাদ নয়, তাঁদের ক্ষেত্রেও ঝুঁকি পুরোপুরি দূর হয় না। পুরোনো ঠিকানা থেকে আগের বাসস্থান, গাড়ির পূর্ববর্তী মালিকানা বা সার্ভিসিংয়ের ইতিহাসের সঙ্গে যোগসূত্র পাওয়া যেতে পারে। বর্তমান ইমেইল ঠিকানার সঙ্গে পুরোনো গাড়ির তথ্য মিলিয়ে কোনো ব্যবহারকারীকে ভুয়া ওয়ারেন্টি, রক্ষণাবেক্ষণ, গাড়ি প্রত্যাহার বা বীমা-সংক্রান্ত বার্তার লক্ষ্য করা যেতে পারে। অল্পসংখ্যক ব্যবহারকারীর পাসওয়ার্ড হ্যাশ রয়েছে; তাঁদের জন্য বাড়তি ঝুঁকি হলো, একই পাসওয়ার্ড অন্য অ্যাকাউন্টে ব্যবহার করে প্রবেশের চেষ্টা করা হতে পারে। তাই DriveSure-এর তথ্য ফাঁসের ক্ষেত্রে গাড়িসংশ্লিষ্ট সেবায় প্রতারণা ও অ্যাকাউন্টের নিরাপত্তা, দুই দিকেই নজর রাখা উচিত।

DriveSure, গাড়ির ডিলারশিপ, ওয়ারেন্টি, সার্ভিসিংয়ের অ্যাপয়েন্টমেন্ট বা বীমা নবায়ন-সংক্রান্ত অপ্রত্যাশিত ইমেইল ও ফোনকলের বিষয়ে সতর্ক থাকুন। ফোনকারী গাড়ির নির্মাতা, মডেল বা VIN জানেন বলেই তাঁকে বিশ্বাসযোগ্য ধরে নেবেন না। অর্থ প্রদান, কার্ডের তথ্য, একবার ব্যবহারযোগ্য কোড, ব্যাংক অ্যাকাউন্টের বিবরণ বা পরিচয়পত্র চাওয়া হলে সেই অনুরোধে সাড়া দেওয়া বন্ধ করুন এবং পরিচিত ফোন নম্বর ব্যবহার করে সংশ্লিষ্ট ডিলারশিপ বা সেবাদাতার সঙ্গে সরাসরি যোগাযোগ করুন। সন্দেহজনক লিংকের মাধ্যমে অ্যাপয়েন্টমেন্ট নেওয়া বা ওয়ারেন্টি নবায়নের লেনদেন করা উচিত নয়।

DriveSure বা সংশ্লিষ্ট ডিলারশিপের অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড আপনার জানা থাকলে তা বদলে ফেলুন। একই পাসওয়ার্ড অন্য গাড়িসংশ্লিষ্ট সেবা, বীমা, ইমেইল বা কেনাকাটার অ্যাকাউন্টে ব্যবহার করে থাকলে সেগুলোর প্রতিটিতেও আলাদা পাসওয়ার্ড দিন। ইমেইল অ্যাকাউন্টের সুরক্ষা জোরদার করুন, দুই ধাপের প্রমাণীকরণ চালু করুন এবং অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করুন। গাড়ির কাগজপত্র, সার্ভিসিংয়ের রেকর্ড ও বীমা-সংক্রান্ত বার্তা নিয়মিত পরীক্ষা করুন; অপরিচিত ওয়ারেন্টি বা রক্ষণাবেক্ষণের অর্থ পরিশোধের বিষয়টি যাচাই করুন। ফোনের স্প্যাম ফিল্টার ও ইমেইল বাছাইয়ের নিয়মও সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি কমায়।

দীর্ঘমেয়াদে, গাড়ি কেনা ও সার্ভিসিংয়ের প্রক্রিয়ায় কোন তৃতীয় পক্ষের সেবাগুলো তথ্যে প্রবেশাধিকার পায়, তা জানতে চাওয়া উচিত। ডিলারশিপে দেওয়া অপ্রয়োজনীয় বিপণনের অনুমতি বন্ধ করুন এবং সম্ভব হলে পুরোনো গাড়ি ও ঠিকানার তথ্য হালনাগাদ করুন বা মুছে ফেলুন। গাড়িসংশ্লিষ্ট সেবায় প্রধান ইমেইল ঠিকানার বদলে যোগাযোগের জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করলে তথ্য ফাঁসের কারণে প্রধান অ্যাকাউন্টগুলোতে প্রভাব কমতে পারে। গাড়িসংশ্লিষ্ট সংবেদনশীল নথি ও VIN তথ্য প্রকাশ্য প্রোফাইলে শেয়ার করবেন না; এসব তথ্য ভুয়া সার্ভিসিং ও বীমা-সংক্রান্ত বার্তায় ব্যবহার করা যেতে পারে।

প্রতিষ্ঠানের দিক থেকে DriveSure-এর ঘটনা দেখায়, ডিলার ও সেবাদাতাদের কাছে থাকা গ্রাহকের তথ্য সুরক্ষিত রাখা জরুরি। গাড়ির তথ্য কেবল একটি কারিগরি রেকর্ড নয়; এটি ব্যক্তিগত তথ্য, যা কোনো ব্যক্তির সঙ্গে তাঁর ঠিকানা, সার্ভিসিংয়ের ইতিহাস ও কেনাকাটার আচরণের যোগসূত্র তৈরি করে। তথ্য সংরক্ষণের সময়সীমা কমানো, পুরোনো গ্রাহকের রেকর্ড সরিয়ে ফেলা, বড় পরিমাণে তথ্য এক্সপোর্ট করার কার্যক্রম পর্যবেক্ষণ করা এবং সরবরাহকারীদের প্রবেশাধিকার সীমিত করা উচিত। পাসওয়ার্ড হ্যাশ শক্তিশালী পদ্ধতিতে সুরক্ষিত রাখতে হবে এবং গ্রাহকদের স্পষ্টভাবে ও সময়মতো অবহিত করতে হবে।

এই রেকর্ডে আপনার তথ্যের মিল দেখা গেলে, DriveSure-এর তথ্য ফাঁসের সঙ্গে যুক্ত 36,75,099টি স্বতন্ত্র ইমেইল ঠিকানার মধ্যে আপনার ইমেইল ঠিকানা পাওয়া গিয়ে থাকতে পারে। মিল পাওয়া মানেই আপনি সরাসরি DriveSure অ্যাকাউন্ট খুলেছিলেন (এমন নয়; গাড়ির ডিলারশিপ বা সেবা নেওয়ার সম্পর্কের মাধ্যমে আপনার তথ্য DriveSure-এর সিস্টেমে প্রবেশ করে থাকতে পারে। তাই আপনার গাড়ির ইতিহাস, আগে কোন কোন ডিলারশিপের সঙ্গে লেনদেন বা যোগাযোগ ছিল এবং সংশ্লিষ্ট ইমেইল ঠিকানা) এসব একসঙ্গে যাচাই করা দরকার। পাসওয়ার্ড হ্যাশের ঝুঁকি সীমিতসংখ্যক রেকর্ডের ক্ষেত্রে প্রযোজ্য হলেও, একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড বদলে ফেলা উচিত।

ঠিকানা, ফোন নম্বর, ইমেইল ও গাড়ির তথ্য একসঙ্গে ব্যবহার করে প্রতারণামূলক বার্তাকে খুব বিশ্বাসযোগ্য করে তোলা যেতে পারে। আপনার গাড়ির সার্ভিসিং, ওয়ারেন্টি বা বীমা নিয়ে অপ্রত্যাশিত কোনো প্রস্তাব এলে সংশ্লিষ্ট প্রতিষ্ঠানের আনুষ্ঠানিক যোগাযোগমাধ্যমে সরাসরি তা যাচাই করুন। ঋণ অ্যাকাউন্ট খোলার মতো পর্যাপ্ত আর্থিক তথ্য না থাকলেও, ফিশিং ও গাড়িকেন্দ্রিক প্রতারণার ঝুঁকি বাস্তব। DriveSure-এর তথ্য ফাঁসের পর সঠিক পদক্ষেপ হলো, বিষয়টিকে শুধু পাসওয়ার্ড বদলানোর মধ্যে সীমাবদ্ধ না রেখে গাড়ি, ঠিকানা ও যোগাযোগের তথ্য দীর্ঘমেয়াদে অপব্যবহারের সম্ভাবনাও বিবেচনায় নেওয়া।