Drizly: তথ্য ফাঁস

Drizly অ্যাকাউন্টের ক্ষেত্রে যাচাই করে নিশ্চিত হওয়া তথ্যের ধরনগুলো হলো জন্মতারিখ, ডিভাইসের তথ্য, ইমেইল ঠিকানা, IP ঠিকানা, নাম, ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা এবং bcrypt পাসওয়ার্ড হ্যাশ। জন্মতারিখ ও ঠিকানার তথ্য একজন ব্যক্তির পরিচয়-সংক্রান্ত প্রোফাইলকে আরও পূর্ণাঙ্গ করে। ফোন নম্বর ও ইমেইল একসঙ্গে থাকলে সহায়তা, ডেলিভারি, বয়স যাচাই বা অ্যাকাউন্ট হালনাগাদের নামে পাঠানো ভুয়া বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। IP ঠিকানা ও ডিভাইসের তথ্য থেকে ব্যবহারকারীর নেটওয়ার্ক পরিবেশ সম্পর্কে আনুমানিক ধারণা এবং তিনি কী ধরনের ডিভাইস ব্যবহার করছেন, সে সম্পর্কে বাড়তি সূত্র পাওয়া যেতে পারে।

পাসওয়ার্ড হ্যাশ bcrypt দিয়ে সুরক্ষিত থাকায় পরিস্থিতি সরাসরি পাঠযোগ্য পাসওয়ার্ড ফাঁসের তুলনায় ভালো। তবুও দুর্বল, ছোট বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকে যায়। অন্য কেনাকাটা, ডেলিভারি, ইমেইল বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ও পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে আক্রমণকারীরা সেই জোড়া দিয়ে প্রবেশের চেষ্টা করতে পারে। এটি অ্যালকোহলযুক্ত পানীয় অর্ডার করার সেবা হওয়ায় গোপনীয়তার বিষয়টিও আরও গুরুত্বপূর্ণ। ব্যবহারকারীর বয়স, ঠিকানা ও পানীয় গ্রহণের প্রেক্ষাপট ব্যবহার করে আরও সুনির্দিষ্টভাবে তাঁকে লক্ষ্য করে বার্তা পাঠানো হতে পারে। তাই Drizly-এর তথ্য ফাঁসের ঘটনাটি শুধু পাসওয়ার্ড পরিবর্তনের দিক থেকে নয়, যোগাযোগ ও ঠিকানার নিরাপত্তার দিক থেকেও মূল্যায়ন করা উচিত।

যাচাইকৃত ঘটনাটি জুলাই 2020-এর এবং এর সঙ্গে 24,79,044টি স্বতন্ত্র ইমেইল ঠিকানা সংশ্লিষ্ট। বিভিন্ন উৎসে প্রায় 25 লাখ গ্রাহকের উল্লেখ থাকতে পারে। এই আনুমানিক সংখ্যাটি রেকর্ডে থাকা স্বতন্ত্র ইমেইলের সংখ্যার সঙ্গে সামঞ্জস্যপূর্ণ। নিয়ন্ত্রক সংস্থার নথিতে Drizly-এর আগের নিরাপত্তা দুর্বলতা এবং কর্মীদের অ্যাকাউন্টের নিরাপত্তায় ঘাটতির বিষয়ও আলোচিত হয়েছে। এই তথ্য ঘটনার প্রযুক্তিগত প্রেক্ষাপট তুলে ধরে। তবে ব্যবহারকারীর কাছে তুলে ধরার মূল ঝুঁকি হলো যাচাইকৃত গ্রাহকতথ্যের ধরনগুলো এবং সেগুলোর সম্ভাব্য অপব্যবহার।

ঘটনার পরিসর বাড়িয়ে না দেখানো গুরুত্বপূর্ণ। এই রেকর্ডে সম্পূর্ণ ক্রেডিট কার্ড নম্বর, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্রের নম্বর, অর্ডারের বিবরণ বা সরাসরি পাঠযোগ্য পাসওয়ার্ডকে যাচাইকৃত তথ্যের শ্রেণি হিসেবে দেখানো হয়নি। পাসওয়ার্ডের ঝুঁকি bcrypt হ্যাশিংয়ের বিষয়টি বিবেচনায় নিয়ে ব্যাখ্যা করা হয়েছে। পরে Drizly বন্ধ হয়ে যাওয়ায় 2020 সালের তথ্যের প্রভাব শেষ হয়ে যায় না, কারণ ইমেইল, ফোন নম্বর, জন্মতারিখ ও ঠিকানার মতো তথ্য দীর্ঘ সময় অপরিবর্তিত থাকতে পারে। এই রেকর্ড শুধু Drizly-এর 2020 সালের গ্রাহকতথ্য-সংক্রান্ত ঘটনার মধ্যেই সীমিত। এর সঙ্গে Uber-এর অন্য সেবা বা পরবর্তী পৃথক ঘটনাগুলো গুলিয়ে ফেলা উচিত নয়।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই গ্রাহকেরা, যাঁরা 2020 সালের আগে Drizly অ্যাকাউন্ট খুলেছিলেন বা Drizly-এর মাধ্যমে অ্যালকোহলযুক্ত পানীয় অর্ডার করেছিলেন। যাঁরা অন্য ডেলিভারি, নিত্যপণ্য কেনাকাটা, সাধারণ কেনাকাটা বা ইমেইল অ্যাকাউন্টেও একই ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের আরও সহজে লক্ষ্যবস্তু করা যেতে পারে। জন্মতারিখ ও ঠিকানার তথ্য থাকলে প্রতারণামূলক বার্তাকে ওই ব্যক্তির জন্যই তৈরি করা হয়েছে বলে মনে হতে পারে। যেসব ব্যবহারকারীর ফোন নম্বর রয়েছে, তাঁদের কাছে ডেলিভারি, বয়স যাচাই, অ্যাকাউন্ট হালনাগাদ বা প্রচারমূলক অফারের নামে ভুয়া কল আসতে পারে।

যাঁরা বিভিন্ন সেবায় একই পাসওয়ার্ড ব্যবহার করেন, তাঁরাও ঝুঁকিতে আছেন। bcrypt হ্যাশের সুরক্ষা পাসওয়ার্ড সঙ্গে সঙ্গে পড়ে ফেলা কঠিন করে তোলে, তবে পুরোনো ও দুর্বল পাসওয়ার্ডের ক্ষেত্রে অপব্যবহারের চেষ্টার ঝুঁকি থেকে যায়। Drizly আর স্বতন্ত্র সেবা হিসেবে ব্যবহার না করলেও আপনার পুরোনো Drizly পাসওয়ার্ডটি এখনও আপনার ইমেইল অ্যাকাউন্ট, Uber অ্যাকাউন্ট, ডেলিভারি প্ল্যাটফর্ম বা অন্য দোকানের অ্যাকাউন্টে ব্যবহৃত হতে পারে। বাসা বা অন্য স্থানের ঠিকানা এবং জন্মতারিখের মতো অপরিবর্তিত তথ্য ঘটনার কয়েক বছর পরও ব্যক্তিকে লক্ষ্য করে তৈরি ফিশিং বার্তায় ব্যবহার করা যেতে পারে।

Drizly অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ডটি এখনও অন্য কোথাও ব্যবহার করলে তা অবিলম্বে পরিবর্তন করুন। ইমেইল, কেনাকাটা, ডেলিভারি, পেমেন্ট-সংযুক্ত অ্যাকাউন্ট বা Uber অ্যাকাউন্টে একই বা কাছাকাছি ধরনের পাসওয়ার্ড ব্যবহার করে থাকলে প্রতিটির জন্য আলাদা পাসওয়ার্ড নির্ধারণ করুন। ইমেইল অ্যাকাউন্টে দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করে সুরক্ষা নিশ্চিত করুন। পুরোনো Drizly অ্যাকাউন্টে প্রবেশ করা সম্ভব না হলে একই ইমেইল ঠিকানার সঙ্গে যুক্ত অন্য অ্যাকাউন্টগুলো পরীক্ষা করুন এবং সন্দেহজনক সেশন বন্ধ করুন।

ফোন ও ইমেইলে আসা ডেলিভারি, বয়স যাচাই, সদস্যপদ হালনাগাদ বা প্রচারণা-সংক্রান্ত বার্তার ব্যাপারে সতর্ক থাকুন। বার্তায় কারও জন্মতারিখ, ঠিকানা বা ফোন নম্বর সঠিকভাবে উল্লেখ থাকলেও সেটিকে নির্ভরযোগ্য ধরে নেবেন না। লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা সরাসরি খুলুন। কার্ড নম্বর, একবার ব্যবহারযোগ্য কোড, ব্যাংকিং তথ্য বা পাসওয়ার্ড চাওয়া হলে সেই অনুরোধ প্রত্যাখ্যান করুন। এই রেকর্ডে আর্থিক তথ্য যাচাইকৃত না হলেও ফাঁস হওয়া ব্যক্তিগত তথ্য পরে কাউকে প্রতারণার মাধ্যমে আর্থিক তথ্য দিতে প্ররোচিত করতে ব্যবহার করা যেতে পারে।

দীর্ঘমেয়াদে ডেলিভারি ও খুচরা বিক্রেতার অ্যাকাউন্টে সংরক্ষিত ঠিকানা, ফোন নম্বর ও জন্মতারিখের তথ্য নিয়মিত পর্যালোচনা করুন। অব্যবহৃত অ্যাকাউন্ট বন্ধ করুন, পুরোনো ঠিকানা মুছে ফেলুন এবং প্রচারণা-সংক্রান্ত অ্যাকাউন্টে প্রধান ইমেইলের বদলে আলাদা ইমেইল ঠিকানা ব্যবহারকে অগ্রাধিকার দিন। পুরোনো Drizly পাসওয়ার্ড অন্য অ্যাকাউন্টে এখনও ব্যবহৃত হচ্ছে কি না, তা পরীক্ষা করা পাসওয়ার্ড ম্যানেজারের সাহায্যে সহজ হয়। বাসা বা অন্য স্থানের ঠিকানা ও জন্মতারিখ অপরিবর্তিত থাকে বলে এসব তথ্যের ভিত্তিতে আপনাকে লক্ষ্য করে তৈরি বার্তা কয়েক বছর পরও সতর্কতার সঙ্গে বিবেচনা করা উচিত।

প্রতিষ্ঠানের দিক থেকে Drizly-এর ঘটনা দেখায় যে ডেভেলপার অ্যাকাউন্ট ও ক্লাউড অ্যাক্সেসের তথ্য গ্রাহক ডেটাবেসের জন্য সরাসরি ঝুঁকি তৈরি করতে পারে। ন্যূনতম প্রয়োজনীয় প্রবেশাধিকার দেওয়ার নীতি, নিয়মিত অ্যাক্সেস কী পরিবর্তন, কর্মীদের অ্যাকাউন্টে শক্তিশালী পরিচয় যাচাই, অস্বাভাবিক তথ্য অ্যাক্সেসের সতর্কবার্তা এবং অপ্রয়োজনীয় গ্রাহকতথ্য মুছে ফেলা, সবই গুরুত্বপূর্ণ ব্যবস্থা। Drizly-সংক্রান্ত নিয়ন্ত্রক সিদ্ধান্তগুলোতে তথ্য ন্যূনতম রাখা ও ব্যক্তিগত দায়িত্বের গুরুত্বও তুলে ধরা হয়েছে। ন্যূনতম পরিমাণ গ্রাহকতথ্য সংরক্ষণ করলে তথ্য ফাঁসের ঘটনায় ক্ষতির পরিসরও কমে।

এই রেকর্ডে আপনার তথ্যের মিল পাওয়া গেলে আপনার ইমেইল ঠিকানাটি Drizly-এর তথ্য ফাঁসের ঘটনার সঙ্গে সংশ্লিষ্ট 24,79,044টি স্বতন্ত্র ইমেইলের মধ্যে থাকতে পারে। মিল পাওয়ার অর্থ এই নয় যে আপনার সম্পূর্ণ কার্ড নম্বর বা সরাসরি পাঠযোগ্য পাসওয়ার্ড ফাঁস হয়েছে। তবে এটি নির্দেশ করে যে জন্মতারিখ, ঠিকানা, ফোন নম্বর, ডিভাইসের তথ্য, IP ঠিকানা ও bcrypt পাসওয়ার্ড হ্যাশের মতো তথ্য নিরাপত্তাঝুঁকি তৈরি করছে। প্রথমে পরীক্ষা করুন, Drizly ব্যবহারের সময়কার পাসওয়ার্ডটি আপনি অন্য অ্যাকাউন্টেও ব্যবহার করছেন কি না।

Drizly আর স্বতন্ত্র অ্যাপ না থাকলেও পুরোনো ইমেইল, ফোন নম্বর ও ঠিকানার তথ্যের মাধ্যমে ফাঁস হওয়া তথ্য এখনও কাজে লাগানো যেতে পারে। ডেলিভারি, বয়স যাচাই, অ্যাকাউন্ট হালনাগাদ বা প্রচারণা-সংক্রান্ত বার্তার ব্যাপারে সতর্ক থাকুন। বার্তায় আপনার সম্পর্কে বিস্তারিত তথ্য থাকলেই তা বিশ্বাসযোগ্য হয়ে যায় না। আপনার সংশ্লিষ্ট ইমেইল অ্যাকাউন্ট, ডেলিভারি অ্যাকাউন্ট ও পেমেন্ট-সংযুক্ত অ্যাকাউন্ট সুরক্ষিত করুন। Drizly-এর তথ্য ফাঁসের ঘটনাকে শুধু বন্ধ হয়ে যাওয়া একটি সেবার পুরোনো রেকর্ড হিসেবে দেখা ঠিক নয়। বরং দীর্ঘদিন অপরিবর্তিত থাকা ব্যক্তিগত তথ্য এখনও সামাজিক প্রকৌশলভিত্তিক প্রতারণায় ব্যবহার করা যেতে পারে, এই বিষয়টি মেনে নিয়ে ব্যবস্থা নেওয়াই সঠিক পন্থা।