Eatigo: তথ্য ফাঁস
Eatigo-এর তথ্য ফাঁস ব্যক্তিগত তথ্যের জন্য উচ্চ ঝুঁকির একটি ঘটনা। রেস্তোরাঁয় টেবিল বুকিংয়ের এই সেবার একটি পুরোনো ডেটাবেসের সঙ্গে যুক্ত 27,89,609টি অ্যাকাউন্ট এতে প্রভাবিত হয়েছে। রেকর্ড সংরক্ষণ ব্যবস্থায় তথ্য ফাঁসের তারিখ 16 অক্টোবর 2018 হিসেবে নথিভুক্ত আছে। 2020 সালে একটি অনলাইন ফোরামে তথ্যগুলো বিক্রির জন্য তোলা হলে বিষয়টি আনুষ্ঠানিকভাবে নজরে আসে। তখন উল্লেখ করা হয় যে প্ল্যাটফর্ম পরিবর্তনের সময় পুরোনো ডেটাবেসটির ওপর যথাযথ নজর রাখা হয়নি। তাই ঘটনাটি শুধু পুরোনো ব্যবহারকারী প্রোফাইলের বিষয় নয়; এটি এমন একটি ঝুঁকির তালিকা, যেখানে রেস্তোরাঁয় টেবিল বুকিংয়ের তথ্য, ফোন নম্বর, ইমেইল ঠিকানা এবং দুর্বল হ্যাশিং পদ্ধতিতে সংরক্ষিত পাসওয়ার্ডের তথ্য একসঙ্গে রয়েছে।
উন্মুক্ত হওয়া তথ্যের ধরন
6- ইমেইল ঠিকানা
- লিঙ্গ
- নাম
- পাসওয়ার্ড
- ফোন নম্বর
- সামাজিক মাধ্যমের প্রোফাইল
এই তথ্য ফাঁস সম্পর্কে
যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, লিঙ্গ-সংক্রান্ত তথ্য, নামের প্রথম ও শেষ অংশ, পাসওয়ার্ড, ফোন নম্বর এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইল। বলা হয়েছে, পাসওয়ার্ডগুলো প্লেইন টেক্সট হিসেবে নয়, বরং সল্ট ছাড়া MD5 হ্যাশ আকারে সংরক্ষিত আছে। এই পার্থক্যটি গুরুত্বপূর্ণ: হ্যাশ আকারে সংরক্ষিত থাকার অর্থ এই নয় যে হামলাকারী সরাসরি পাসওয়ার্ড দেখতে পারবে। তবে আধুনিক মানদণ্ডে MD5 দ্রুত কাজ করে এবং দুর্বল। পাসওয়ার্ডটি অন্য কোথাও ব্যবহার করা হয়ে থাকলে বা দুর্বল হলে, হামলাকারীরা অন্য অ্যাকাউন্টে প্রবেশের উদ্দেশ্যে এসব হ্যাশ ভাঙার চেষ্টা করতে পারে।
ফাঁস হওয়া তথ্যের ধরন ও ঝুঁকি
Eatigo-এর রেকর্ডে থাকা ইমেইল ঠিকানা, ফোন নম্বর এবং নাম ও পদবির তথ্য ব্যবহারকারীর সঙ্গে সরাসরি যোগাযোগ করা সহজ করে দেয়। রেস্তোরাঁয় টেবিল বুকিংয়ের প্রেক্ষাপটে এসব তথ্য ব্যবহার করে ভুয়া বুকিং নিশ্চিতকরণ বার্তা, বাতিলের নোটিশ, ছাড়ের কুপন, অ্যাকাউন্ট যাচাই বা গ্রাহকসেবার বার্তার মতো সামাজিক প্রকৌশলভিত্তিক প্রতারণাকে আরও বিশ্বাসযোগ্য করে তোলা যায়। এর সঙ্গে লিঙ্গ-সংক্রান্ত তথ্য ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইল যুক্ত হলে হামলাকারী লক্ষ্য করা ব্যক্তিকে আরও ব্যক্তিনির্ভর বার্তা পাঠাতে পারে।
পাসওয়ার্ডের ঘরটি সবচেয়ে গুরুতর ঝুঁকিগুলোর একটি। স্বতন্ত্র সল্ট মান দিয়ে শক্তিশালী করা আধুনিক পাসওয়ার্ড সংরক্ষণ পদ্ধতির তুলনায় সল্ট ছাড়া MD5 হ্যাশ দুর্বল। এর অর্থ এই নয় যে প্রতিটি পাসওয়ার্ড সঙ্গে সঙ্গে ভাঙা সম্ভব। তবে প্রচলিত পাসওয়ার্ডের তালিকায় থাকা এবং একাধিক জায়গায় ব্যবহার করা পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি উল্লেখযোগ্যভাবে বেড়ে যায়। ফোন নম্বরের সঙ্গে যুক্ত হলে পাসওয়ার্ড-সংক্রান্ত ঝুঁকি শুধু ইমেইলভিত্তিক ফিশিং নয়, ভুয়া ফোনকল ও SMS-এর মাধ্যমে প্রতারণাকেও আরও কার্যকর করতে পারে।
যাচাইকৃত পরিসর ও সীমা
এই রেকর্ডের যাচাইকৃত মূল পরিসর হলো 27,89,609টি অ্যাকাউন্ট। ঘটনাটির প্রযুক্তিগত প্রেক্ষাপট হলো, প্ল্যাটফর্ম পরিবর্তনের পর একটি পুরোনো ডেটাবেসকে তথ্যসম্পদের তালিকায় যথাযথভাবে নথিভুক্ত রাখা হয়নি এবং সেটি ইন্টারনেট থেকে প্রবেশযোগ্য রয়ে গিয়েছিল। তথ্য বিক্রির বিষয়টি 2020 সালে নজরে এলেও ডেটাবেসের সর্বশেষ হালনাগাদ ও ঘটনার প্রেক্ষাপট 2018 সালের সময়কাল নির্দেশ করে। তাই তথ্য ফাঁসের তারিখ এবং ঘটনাটি জনসমক্ষে আসার তারিখকে এক করে দেখা উচিত নয়।
যাচাইকৃত তথ্যের শ্রেণিগুলো হলো ইমেইল ঠিকানা, লিঙ্গ, নাম, পাসওয়ার্ড, ফোন নম্বর এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইল। এই ঘটনার যাচাইকৃত পরিসরে পেমেন্ট কার্ডের তথ্য নেই; কোম্পানির বিবৃতিতে জানানো হয়েছিল যে সিস্টেমে ক্রেডিট কার্ডের তথ্য সংরক্ষণ করা হয় না। বিভিন্ন উৎসে সামাজিক যোগাযোগমাধ্যমের সঙ্গে যুক্ত তথ্যের ঘরগুলো নিয়ে আরও বিস্তারিত বক্তব্য থাকলেও, এই রেকর্ডে তথ্যের শ্রেণি হিসেবে শুধু সামাজিক যোগাযোগমাধ্যমের প্রোফাইলই রাখা উচিত। এতে ঝুঁকিটি স্পষ্ট হয়, আবার যাচাই না করা অতিরিক্ত তথ্যও ব্যবহারকারীর কাছে নিশ্চিত তথ্য হিসেবে উপস্থাপিত হয় না।
ঝুঁকিতে থাকা ব্যবহারকারী গোষ্ঠী
যাঁরা Eatigo অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন, তাঁরা সবচেয়ে বেশি ঝুঁকিতে আছেন। সামাজিক যোগাযোগমাধ্যম, ইমেইল, খাবার সরবরাহ, কেনাকাটা বা লয়্যালটি প্রোগ্রামের অ্যাকাউন্টে একই ইমেইল ও পাসওয়ার্ডের জোড়া ব্যবহার করা হলে, রেস্তোরাঁয় টেবিল বুকিংয়ের একটি পুরোনো রেকর্ড থেকে ঝুঁকি অন্য অ্যাকাউন্টেও ছড়িয়ে পড়তে পারে। ফোন নম্বর এবং নাম ও পদবির তথ্য ব্যবহার করে হামলাকারী সরাসরি ব্যবহারকারীর সঙ্গে যোগাযোগ করে ভুয়া নিরাপত্তা বা বুকিং-সংক্রান্ত প্রক্রিয়া শুরু করার চেষ্টাও করতে পারে।
সিঙ্গাপুর, হংকং, থাইল্যান্ড এবং ওই অঞ্চলে রেস্তোরাঁয় টেবিল বুকিং করা ব্যবহারকারীদেরও স্থানীয় প্রচারণা ও বুকিং-সংক্রান্ত ভাষা ব্যবহার করে লক্ষ্য করা হতে পারে। কেউ নিজের Eatigo অ্যাকাউন্টের সঙ্গে সামাজিক যোগাযোগমাধ্যমের প্রোফাইল যুক্ত করে থাকলে, হামলাকারী সেই প্রোফাইল থেকে আরও প্রাসঙ্গিক তথ্য সংগ্রহ করে বার্তাটি তাঁর উপযোগী করে সাজাতে পারে। প্রাতিষ্ঠানিক ইমেইল ঠিকানা দিয়ে নিবন্ধন করা ব্যবহারকারীদের ক্ষেত্রে ঝুঁকি তাঁদের কাজের অ্যাকাউন্ট পর্যন্ত পৌঁছাতে পারে। রেস্তোরাঁয় টেবিল বুকিং বা অনুষ্ঠানের অজুহাতে আসা বার্তা কর্মীদের লক্ষ্য করে ফিশিংয়ের প্রচেষ্টায় পরিণত হতে পারে।
অবিলম্বে যেসব ব্যবস্থা নেওয়া উচিত
আপনার ইমেইল ঠিকানা Eatigo-এর রেকর্ডে থাকলে প্রথমেই নিশ্চিত করুন, Eatigo অ্যাকাউন্টের পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে ব্যবহার করা হচ্ছে না। একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে ইমেইল, সামাজিক যোগাযোগমাধ্যম, খাবার সরবরাহ, কেনাকাটা এবং পেমেন্টের সঙ্গে যুক্ত অ্যাকাউন্টগুলোর পাসওয়ার্ড অবিলম্বে বদলানো উচিত। নতুন পাসওয়ার্ডগুলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা হওয়া উচিত এবং পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করা উচিত। পুরোনো পাসওয়ার্ডের শেষে শুধু একটি সংখ্যা যোগ করা যথেষ্ট নয়।
আপনার ফোন নম্বর এবং নাম ও পদবির তথ্যও ফাঁস হয়ে থাকতে পারে, এটি মাথায় রেখে টেক্সট বার্তা ও ফোনকলের ব্যাপারে সতর্ক থাকুন। বুকিং বাতিল, রেস্তোরাঁর ছাড়, অ্যাকাউন্ট যাচাই বা নিরাপত্তা পরীক্ষার অজুহাতে আসা লিংকে সরাসরি ক্লিক করবেন না। অ্যাকাউন্টে প্রবেশ করতে হলে ব্রাউজারে নিজে ঠিকানা লিখুন অথবা অফিসিয়াল অ্যাপ ব্যবহার করুন। যেসব অ্যাকাউন্টে দুই উপাদানভিত্তিক প্রমাণীকরণের সুবিধা রয়েছে, সেখানে এই সুরক্ষা চালু করুন এবং আপনার ইমেইল অ্যাকাউন্টে অপরিচিত কোনো সেশন আছে কি না দেখুন।
দীর্ঘমেয়াদি নিরাপত্তা কৌশল
Eatigo-এর ঘটনা দেখায়, প্ল্যাটফর্ম পরিবর্তনের সময় ফেলে রাখা পুরোনো ডেটাবেস ও সিস্টেম গুরুতর ঝুঁকি তৈরি করতে পারে। প্রতিষ্ঠানগুলোর উচিত তথ্যসম্পদের তালিকা হালনাগাদ রাখা, অব্যবহৃত ডেটাবেস বন্ধ করা এবং প্রবেশাধিকার নিয়ন্ত্রণের মাধ্যমে ব্যাকআপ ও পুরোনো সিস্টেমের পরিবেশ আলাদা রাখা। পাসওয়ার্ড সংরক্ষণের ক্ষেত্রে সল্ট ছাড়া MD5-এর মতো পুরোনো পদ্ধতি ব্যবহার করা উচিত নয়; শক্তিশালী, সল্টযুক্ত এবং ধীরগতির হ্যাশ অ্যালগরিদমকে অগ্রাধিকার দেওয়া উচিত। ব্যক্তিগত তথ্য শুধু প্রয়োজনীয় সময় পর্যন্ত সংরক্ষণ করা উচিত এবং পুরোনো রেকর্ড নিয়মিত মুছে ফেলা উচিত।
ব্যবহারকারীর দীর্ঘমেয়াদি কৌশল হলো কখনো একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার না করা, অপ্রয়োজনীয় অ্যাকাউন্টে ফোন নম্বর না দেওয়া এবং সামাজিক যোগাযোগমাধ্যমের সঙ্গে সংযোগ সীমিত রাখা। রেস্তোরাঁ, ভ্রমণ, কেনাকাটা ও সরবরাহসেবার অ্যাকাউন্টগুলো আলাদা ইমেইল ঠিকানা দিয়ে পরিচালনা করলে একটি সেবার তথ্য ফাঁসের সঙ্গে অন্য প্রোফাইলগুলোকে মেলানো কঠিন হবে। প্রতিষ্ঠানগুলোরও উচিত ব্যক্তিগত সেবায় কর্মীদের কাজের ইমেইল ঠিকানার ব্যবহার কমানো এবং ফিশিং সম্পর্কে সচেতনতা তৈরির পাশাপাশি পাসওয়ার্ড ফাঁস হয়েছে কি না পরীক্ষা করা।
রেকর্ড পরীক্ষা ও ব্যবহারকারীর করণীয়
আপনার ইমেইল ঠিকানা এই রেকর্ডে থাকলে শুধু Eatigo অ্যাকাউন্ট নয়, একই সময়ে একই পাসওয়ার্ড বা ফোন নম্বর দিয়ে ব্যবহার করা অন্য অ্যাকাউন্টগুলোও পরীক্ষা করুন। পাসওয়ার্ড হ্যাশ আকারে সংরক্ষিত হলেও সল্ট ছাড়া MD5-এর দুর্বলতার কারণে অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করা গুরুতর ঝুঁকি। ফোন নম্বর ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইল একসঙ্গে ব্যবহার করে ভুয়া সহায়তার বার্তা পাঠানো বা ব্যক্তিনির্ভর ফিশিংয়ের চেষ্টা করা হতে পারে।
সঠিক করণীয় হলো প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড রাখা, গুরুত্বপূর্ণ অ্যাকাউন্টে দুই ধাপের যাচাইকরণ চালু করা এবং সন্দেহজনক বুকিং ও নিরাপত্তা-সংক্রান্ত বার্তা যাচাই না করে কোনো পদক্ষেপ না নেওয়া। মনে রাখা উচিত, এই রেকর্ডে পেমেন্ট কার্ডের তথ্য যাচাই করা হয়নি। তবে ইমেইল, ফোন নম্বর, নাম, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল এবং দুর্বল হ্যাশিং পদ্ধতিতে সংরক্ষিত পাসওয়ার্ডের সমন্বয়ই যথেষ্ট গুরুতর। এসব পদক্ষেপ Eatigo-এর তথ্য ফাঁসের প্রভাব আপনার অন্য অ্যাকাউন্ট এবং বর্তমান পরিচয়ের নিরাপত্তা পর্যন্ত ছড়িয়ে পড়ার ঝুঁকি কমায়।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
