Duolingo: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, নাম, ব্যবহারকারীর নাম, বলতে পারা বা শেখা ভাষা এবং শেখার অগ্রগতি সম্পর্কে কিছু তথ্য। ইমেইল ঠিকানা, ব্যবহারকারীর নাম ও নাম একসঙ্গে থাকলে বিভিন্ন প্ল্যাটফর্মে একই ব্যক্তির প্রোফাইলগুলোকে পরস্পরের সঙ্গে যুক্ত করা যায়। পছন্দের ভাষা দেখে একজন আক্রমণকারী বুঝতে পারেন কোন ভাষায় বার্তা পাঠানো উচিত এবং শেখার কোন লক্ষ্যের সঙ্গে বার্তাটি যুক্ত করা যায়। শেখার অগ্রগতি বা স্কোরের মতো তথ্যও অ্যাকাউন্টটি সত্যিই একজন Duolingo ব্যবহারকারীর, এমন ধারণা জোরালো করতে পারে।

এই ঘটনায় পাসওয়ার্ডের তথ্য যাচাইকৃত তথ্যের অন্তর্ভুক্ত নয়। তাই ব্যবহারকারীর মনে এমন ধারণা তৈরি করা উচিত নয় যে তাঁর পাসওয়ার্ড ফাঁস হয়েছে। এখানে সরাসরি অ্যাকাউন্টের নিয়ন্ত্রণ হারানোর চেয়ে ইমেইল ঠিকানার সঙ্গে Duolingo প্রোফাইল মিলিয়ে নেওয়া এবং সেই তথ্য ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বার্তা পাঠানোর ঝুঁকি বেশি। যেমন, ভাষার কোর্স, সদস্যপদ নবায়ন, অ্যাকাউন্ট যাচাই, অর্জিত স্তর হারানো বা টানা শেখার ধারাবাহিকতা নিয়ে সতর্কবার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। কোনো বার্তায় আপনার ব্যবহারকারীর নাম বা আপনি যে ভাষা শিখছেন তার উল্লেখ থাকলেই সেটিকে বার্তার সত্যতার প্রমাণ হিসেবে ধরে নেবেন না।

ঘটনাটির যাচাইকৃত সময় জানুয়ারি 2023 হিসেবে নথিভুক্ত রয়েছে; ডেটাসেটটি আগস্ট 2023-এ আরও ব্যাপকভাবে ছড়িয়ে পড়ে। ক্ষতিগ্রস্ত রেকর্ডের সংখ্যা 26,76,696 হিসেবে রাখা হয়েছে। কিছু সূত্রে প্রায় 26 লাখ বা 27 লাখ ব্যবহারকারীর কথা বলা হতে পারে; এগুলো একই ঘটনার সংখ্যাকে কাছাকাছি পূর্ণ সংখ্যায় প্রকাশ করে। এই রেকর্ডে ব্যবহৃত সংখ্যাটি অনুসন্ধানে ব্যবহৃত স্বতন্ত্র রেকর্ডের গণনা। তথ্যের পরিসর ভাষা শেখার প্রোফাইল এবং তার সঙ্গে ইমেইল মিলিয়ে নেওয়ার মধ্যেই সীমিত।

ঘটনার পরিসর বাড়িয়ে দেখানো উচিত নয়। এই রেকর্ডে পাসওয়ার্ড, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র, ফোন নম্বর, বাসা বা অন্য কোনো স্থানের ঠিকানা, ব্যক্তিগত পাঠের বিষয়বস্তু কিংবা ব্যক্তিগত বার্তা যাচাইকৃত তথ্যের শ্রেণি হিসেবে অন্তর্ভুক্ত নয়। প্রোফাইলের কিছু তথ্য প্রকাশ্য হলেও ব্যাপক পরিসরে সেগুলোর সঙ্গে ব্যক্তিগত ইমেইল ঠিকানা মিলিয়ে নেওয়া গোপনীয়তার ওপর প্রভাব বাড়ায়। তাই এই রেকর্ডকে প্রকাশ্য প্রোফাইলের তালিকার মতো একেবারে গুরুত্বহীন মনে করা উচিত নয়। সরাসরি অ্যাকাউন্টের নিয়ন্ত্রণ দখলের ভিত্তিতে নয়, বরং ইমেইল ও প্রোফাইলের তথ্য একত্র করার ফলে তৈরি হওয়া ঝুঁকির ভিত্তিতে সঠিক মূল্যায়ন করা উচিত।

যাঁরা Duolingo-এ নিজের আসল নাম, সহজে চেনা যায় এমন ব্যবহারকারীর নাম বা প্রধান ইমেইল ঠিকানা ব্যবহার করেন, তাঁরা সবচেয়ে বেশি ঝুঁকিতে আছেন। সামাজিক যোগাযোগমাধ্যম, শিক্ষামূলক প্ল্যাটফর্ম বা কাজের প্রোফাইলে একই ব্যবহারকারীর নাম ব্যবহার করলে প্রোফাইলগুলো যে একই ব্যক্তির, তা শনাক্ত করা সহজ হয়। পছন্দের ভাষা ও শেখার অগ্রগতি থেকে ব্যবহারকারীর ব্যক্তিগত লক্ষ্য বা কোন দেশ নিয়ে তাঁর আগ্রহ আছে, সে সম্পর্কে আভাস পাওয়া যেতে পারে। এই তথ্যগুলো একা অত্যন্ত সংবেদনশীল তথ্য হিসেবে বিবেচিত না হলেও ইমেইল ও নামের সঙ্গে মিলিয়ে ব্যবহার করলে নির্দিষ্ট ব্যক্তিকে পাঠানো বার্তা আরও যথার্থ মনে হয়।

শিক্ষার্থী, শিক্ষক, পরীক্ষার প্রস্তুতি নিচ্ছেন এমন ব্যক্তি, অভিবাসন বা কাজের জন্য ভাষা শিখছেন এমন ব্যক্তি এবং শিক্ষাসংক্রান্ত অ্যাকাউন্টে প্রধান ইমেইল ব্যবহার করেন এমন ব্যক্তিদের শনাক্ত করা আরও সহজ হতে পারে। আক্রমণকারীরা এসব বিষয়কে কাজে লাগিয়ে পরীক্ষা, সনদ, সাবস্ক্রিপশন, উপহার, অ্যাকাউন্ট যাচাই বা ধারাবাহিক পাঠ নিয়ে ভুয়া বিজ্ঞপ্তি পাঠাতে পারেন। পাসওয়ার্ড ফাঁস না হওয়ায় সরাসরি অ্যাকাউন্টের নিয়ন্ত্রণ দখলের ঝুঁকি সীমিত; তবে সোশ্যাল ইঞ্জিনিয়ারিং, স্প্যাম এবং প্রোফাইলের তথ্য মিলিয়ে নেওয়ার ঝুঁকি বাস্তব।

আপনার Duolingo অ্যাকাউন্টে শক্তিশালী ও অন্য কোথাও ব্যবহার না করা পাসওয়ার্ড রাখা নিরাপত্তার জন্য ভালো পদক্ষেপ। তবে এই ঘটনায় পাসওয়ার্ড ফাঁস হয়েছে বলে নিশ্চিত হওয়া যায়নি, তাই সন্দেহজনক বার্তা চিনতে পারাই প্রধান অগ্রাধিকার। Duolingo-এর নামে আসা অ্যাকাউন্ট যাচাই, সদস্যপদ, অর্জিত স্তর হারানো, টানা শেখার ধারাবাহিকতা, সনদ বা প্রচারাভিযানসংক্রান্ত বার্তার লিংক সম্পর্কে সতর্ক থাকুন। বার্তায় আপনার নাম, ব্যবহারকারীর নাম বা আপনি যে ভাষা শিখছেন তা সঠিকভাবে উল্লেখ থাকলেও এসব তথ্য কোনো ডেটাসেট থেকে নেওয়া হয়ে থাকতে পারে। কোনো পদক্ষেপ নেওয়ার প্রয়োজন হলে সেবাটির আনুষ্ঠানিক ওয়েব ঠিকানায় সরাসরি গিয়ে তা করুন।

আপনার আসল নাম, প্রকাশ্য ব্যবহারকারীর নাম ও প্রধান ইমেইলের মধ্যে যোগসূত্র কমাতে প্রোফাইলের দৃশ্যমান অংশগুলো পর্যালোচনা করুন। প্রধান ইমেইল ঠিকানা যদি অনেক প্রশিক্ষণ কার্যক্রম, প্রচারাভিযান বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে ব্যবহার করা হয়, তাহলে আলাদা ইমেইল ঠিকানা ব্যবহার করার কথা বিবেচনা করতে পারেন। অপ্রত্যাশিত ইমেইল বা বার্তায় পাসওয়ার্ড, পেমেন্টের তথ্য বা একবার ব্যবহারযোগ্য কোড শেয়ার করবেন না। ইমেইল অ্যাকাউন্টে দুই স্তরের প্রমাণীকরণ চালু করুন এবং সন্দেহজনক সেশন আছে কি না পরীক্ষা করুন। এই ঘটনায় পাসওয়ার্ড ফাঁস হয়নি বলেই সব ঝুঁকি উপেক্ষা করা উচিত নয়।

দীর্ঘমেয়াদে শিক্ষামূলক ও সামাজিক প্ল্যাটফর্মগুলোতে প্রোফাইলের কোন তথ্য প্রকাশ্যে দেখা যায়, ব্যবহারকারীদের তা নিয়মিত পরীক্ষা করা উচিত। আসল নাম, ব্যবহারকারীর নাম, ভাষা শেখার লক্ষ্য, প্রোফাইলের ছবি এবং ইমেইলের যোগসূত্র একসঙ্গে থাকলে একজন ব্যক্তিকে সহজেই শনাক্ত করা যায়। প্রতিটি সেবায় প্রধান ইমেইল ঠিকানা ব্যবহার না করে বিভিন্ন উদ্দেশ্যে আলাদা ঠিকানা ব্যবহার করলে এ ধরনের বিপুল পরিমাণে ডেটা সংগ্রহের ঘটনার প্রভাব কমে। সামগ্রিকভাবে অ্যাকাউন্টের নিরাপত্তা বজায় রাখতে পাসওয়ার্ড ম্যানেজার ও দুই স্তরের প্রমাণীকরণ ব্যবহারও চালিয়ে যাওয়া উচিত।

প্ল্যাটফর্ম পরিচালকদের দৃষ্টিকোণ থেকে Duolingo-এর ঘটনা দেখায়, আপাতদৃষ্টিতে প্রকাশ্য তথ্যও ব্যক্তিগত ইমেইল ঠিকানার সঙ্গে মিলিয়ে নেওয়া হলে গোপনীয়তার ঝুঁকি তৈরি করতে পারে। অপব্যবহার ঠেকাতে অ্যাকাউন্টের তথ্য খোঁজার প্রক্রিয়ায় সীমা আরোপ করা উচিত, বিপুল পরিমাণে ডেটা সংগ্রহের কার্যকলাপ আগেভাগে শনাক্ত করা উচিত এবং ব্যক্তিগত তথ্যের সঙ্গে প্রোফাইলের তথ্যের যোগসূত্র অপ্রয়োজনে উন্মুক্ত রাখা উচিত নয়। শিক্ষামূলক প্ল্যাটফর্মগুলোর উচিত নয় ব্যবহারকারীর শেখার লক্ষ্য ও পছন্দের ভাষার মতো তথ্যকে কেবল প্রোফাইলের সাধারণ তথ্য হিসেবে দেখা।

এই রেকর্ডে আপনার তথ্যের সঙ্গে মিল পাওয়া গেলে আপনার অ্যাকাউন্টটি Duolingo-এর ডেটা ফাঁসের সঙ্গে সম্পর্কিত 26,76,696টি রেকর্ডের মধ্যে থাকতে পারে। মিল পাওয়ার অর্থ এই নয় যে আপনার পাসওয়ার্ড বা পেমেন্টের তথ্য ফাঁস হয়েছে। যাচাইকৃত তথ্যের মধ্যে রয়েছে ইমেইল, নাম, ব্যবহারকারীর নাম, বলতে পারা বা শেখা ভাষা এবং শেখার অগ্রগতি সম্পর্কে কিছু তথ্য। প্রথম পদক্ষেপ হলো, এই ইমেইল ঠিকানায় আসা Duolingo-সংক্রান্ত বার্তা সম্পর্কে আরও সতর্ক থাকা এবং সরাসরি লিংকে ক্লিক না করা।

আপনার Duolingo প্রোফাইলে দেখানো তথ্য পরীক্ষা করুন, অপ্রয়োজনীয় জায়গায় প্রধান ইমেইল ঠিকানার দৃশ্যমানতা যতটা সম্ভব কমান এবং ইমেইল অ্যাকাউন্টে বাড়তি যাচাইকরণ চালু রাখুন। অন্য প্ল্যাটফর্মেও একই ব্যবহারকারীর নাম ব্যবহার করলে প্রোফাইলের তথ্য মিলিয়ে নেওয়ার ঝুঁকি বিবেচনা করুন। Duolingo-এর ডেটা ফাঁসের ক্ষেত্রে সঠিক করণীয় হলো ঘটনাটিকে পাসওয়ার্ড ফাঁস হিসেবে বাড়িয়ে না দেখিয়ে, আপনার প্রোফাইল ও শেখার তথ্যের সঙ্গে ইমেইল ঠিকানা মিলিয়ে নেওয়ার ফলে তৈরি হওয়া লক্ষ্যভিত্তিক বার্তা ও গোপনীয়তার ঝুঁকি কমানো।