EatStreet: তথ্য ফাঁস

EatStreet-এর রেকর্ডে বিভিন্ন তথ্য একসঙ্গে থাকার ফলে একাধিক স্তরের ঝুঁকি তৈরি হয়। ইমেইল ঠিকানা, ফোন নম্বর, পূর্ণ নাম ও ঠিকানা একসঙ্গে পাওয়া গেলে আক্রমণকারী সরাসরি ব্যবহারকারীর সঙ্গে যোগাযোগ করে ডেলিভারি, অর্ডার, পণ্য ফেরত বা কার্ড যাচাইয়ের ভুয়া বার্তা পাঠাতে পারে। জন্মতারিখ ও লিঙ্গসংক্রান্ত তথ্য থেকে আরও কিছু প্রাসঙ্গিক তথ্য পাওয়া যায়, যা অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়া বা পরিচয় যাচাইয়ের প্রশ্নে অপব্যবহার করা হতে পারে। অন্যদিকে, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল সেই ব্যক্তির অন্য অনলাইন অ্যাকাউন্টগুলো শনাক্ত করতে সাহায্য করতে পারে।

পাসওয়ার্ডের ঘরটি bcrypt হ্যাশ আকারে থাকলেও ঝুঁকি থেকে যায়। Bcrypt একটি আধুনিক ও ধীরগতির হ্যাশ অ্যালগরিদম, কিন্তু দুর্বল বা একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড তখনও আক্রমণকারীদের লক্ষ্য হতে পারে। ক্রেডিট কার্ডের আংশিক তথ্য সম্পূর্ণ কার্ডের তথ্যের মতো একই মাত্রার নিশ্চিত আর্থিক ঝুঁকি তৈরি না-ও করতে পারে; তবে কার্ডের শেষের অঙ্ক, বিলিং ঠিকানা বা ফোন নম্বরের সঙ্গে মিলিয়ে ব্যবহার করলে তা ব্যাংকের পরিচয়ে ভুয়া ফোনকল ও পেমেন্ট যাচাইয়ের নামে প্রতারণাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। অংশীদারদের ক্ষেত্রে ব্যাংক অ্যাকাউন্ট ও রাউটিং তথ্যসংক্রান্ত ঝুঁকিও বিবেচনায় নেওয়া উচিত।

এই রেকর্ডের যাচাইকৃত মূল পরিসর হলো 63,53,564টি অ্যাকাউন্ট। ঘটনার তারিখ হিসেবে 3 মে 2019 নথিভুক্ত করা হয়েছে; প্রতিবেদন অনুযায়ী, 17 মে 2019 তারিখে অননুমোদিত প্রবেশ শনাক্ত করে বন্ধ করা হয়। তথ্যের ধরন অনেক হলেও প্রত্যেক ব্যবহারকারীর জন্য প্রতিটি ঘরে তথ্য রয়েছে (এমনটি ধরে নেওয়া উচিত নয়। গ্রাহক, রেস্তোরাঁ অংশীদার ও ডেলিভারি অংশীদারদের রেকর্ডে ভিন্ন ভিন্ন তথ্যের ঘর থাকতে পারে। তাই সব ব্যবহারকারীর ব্যাংক অ্যাকাউন্টের তথ্য বা সম্পূর্ণ কার্ড নম্বর ফাঁস হয়েছে) এমন ধারণা দেয় এমন নিশ্চিত বক্তব্য এই বিবরণে ব্যবহার করা উচিত নয়।

জনসাধারণের জন্য উন্মুক্ত অনুসন্ধানের আওতায় যাচাই করা প্রধান তথ্যের ধরনগুলো হলো জন্মতারিখ, ইমেইল, লিঙ্গ, নাম, ক্রেডিট কার্ডের আংশিক তথ্য, পাসওয়ার্ড, ফোন নম্বর, ঠিকানা এবং সামাজিক যোগাযোগমাধ্যমের প্রোফাইল। অংশীদারদের পাঠানো বিজ্ঞপ্তিতে ডেলিভারি সেবার নাম, অংশীদারের নাম, ইমেইল, ফোন নম্বর এবং ব্যাংক/রাউটিং তথ্যের মতো ঘর রয়েছে; প্রতিটি অংশীদারের ক্ষেত্রে এসব তথ্য আলাদাভাবে মূল্যায়ন করা উচিত। গ্রাহকদের ক্ষেত্রে কার্ডের আংশিক তথ্য এবং বিলিং ও ডেলিভারিসংক্রান্ত প্রাসঙ্গিক তথ্য সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বাড়ায়। ব্যবহারকারীকে অপ্রয়োজনীয়ভাবে আতঙ্কিত না করে সঠিক সতর্কতামূলক ব্যবস্থা নেওয়া নিশ্চিত করতে এই পার্থক্যটি গুরুত্বপূর্ণ।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই গ্রাহকেরা, যাঁরা EatStreet-এর মাধ্যমে অর্ডার দেন এবং অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেন। ইমেইল, ফোন নম্বর, ঠিকানা ও অর্ডারসংক্রান্ত প্রাসঙ্গিক তথ্য ব্যবহার করে আক্রমণকারী বাস্তব বলে মনে হয় এমন ডেলিভারি বা পেমেন্টের বার্তা তৈরি করতে পারে। সঙ্গে কার্ডের আংশিক তথ্যও থাকলে ব্যাংকের পরিচয়ে বা কার্ড যাচাইয়ের নামে ভুয়া ফোনকলের সময় ব্যবহারকারীকে আরও সহজে বিশ্বাস করানো সম্ভব হতে পারে। জন্মতারিখ জানা থাকলে অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়ায় ব্যবহৃত দুর্বল যাচাইকরণ প্রশ্নের উত্তর অনুমান করা সহজ হতে পারে।

রেস্তোরাঁ ও ডেলিভারি অংশীদারেরাও উচ্চ ঝুঁকিতে রয়েছেন। অংশীদারদের বিজ্ঞপ্তিতে ব্যাংক অ্যাকাউন্ট ও রাউটিং নম্বরের মতো আর্থিক তথ্যের ঘর থাকায় এই গোষ্ঠীর নিরাপত্তার বিষয়টি শুধু পাসওয়ার্ড বা ইমেইলের মধ্যে সীমাবদ্ধ রাখা উচিত নয়। ব্যবসায়িক অ্যাকাউন্টের পেমেন্ট, ব্যাংক লেনদেন এবং অননুমোদিত অর্থ স্থানান্তরের চেষ্টা পর্যবেক্ষণ করা উচিত। প্রাতিষ্ঠানিক ইমেইল ঠিকানা দিয়ে নিবন্ধন করা রেস্তোরাঁর কর্মী বা ব্যবসার মালিকদের ভুয়া চালান, পেমেন্টের হালনাগাদ তথ্য এবং প্ল্যাটফর্মের সহায়তা বিভাগের নামে পাঠানো বার্তার মাধ্যমে লক্ষ্যবস্তু করা হতে পারে।

EatStreet অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করা হয়ে থাকলে তা অবিলম্বে বদলানো উচিত। Bcrypt হ্যাশ ব্যবহার ভালো প্রযুক্তিগত সুরক্ষা হলেও তা একাধিক অ্যাকাউন্টে ব্যবহৃত একই পাসওয়ার্ডকে নিরাপদ করে তোলে না। ইমেইল, সামাজিক যোগাযোগমাধ্যম, খাবার ডেলিভারি, কেনাকাটা এবং পেমেন্টের সঙ্গে যুক্ত অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা উচিত এবং দুই-ফ্যাক্টর পরিচয় যাচাই চালু করা উচিত। পাসওয়ার্ড তৈরির সময় একই বা কাছাকাছি মূল শব্দ বা অক্ষরের সমন্বয় ব্যবহার করাও এড়ানো উচিত; ফাঁস হওয়া পাসওয়ার্ডের সূত্র ধরে আক্রমণকারীরা বিভিন্ন রূপ চেষ্টা করে দেখতে পারে।

গ্রাহকদের কার্ডের লেনদেন, সন্দেহজনক ডেলিভারি বার্তা এবং অ্যাকাউন্ট যাচাইয়ের অনুরোধ সতর্কভাবে পর্যবেক্ষণ করা উচিত। আপনার কার্ড প্রদানকারীর সন্দেহজনক লেনদেনের সতর্কবার্তা চালু রাখা উপকারী। ঠিকানা ও ফোনের তথ্য ফাঁস হয়ে থাকতে পারে বলে শুধু ইমেইল নয়, টেক্সট বার্তা ও ফোনকলের দিকেও খেয়াল রাখা উচিত। রেস্তোরাঁ ও ডেলিভারি অংশীদারদের ব্যাংক অ্যাকাউন্টের লেনদেন যাচাই করা, পেমেন্টের নির্দেশনায় কোনো অপ্রত্যাশিত পরিবর্তন হয়েছে কি না তা পরীক্ষা করা এবং ব্যবসায়িক অ্যাকাউন্টে অনুমোদিত ব্যবহারকারীদের তালিকা পর্যালোচনা করা উচিত।

EatStreet-এর ঘটনাটি দেখায় যে খাবার অর্ডার ও ডেলিভারি ব্যবস্থায় গ্রাহকের তথ্য এবং অংশীদারদের আর্থিক তথ্য একই নিরাপত্তা কাঠামোর অধীনে সুরক্ষিত রাখা উচিত। প্রতিষ্ঠানগুলোর উচিত ডেটাবেসে প্রবেশ নিবিড়ভাবে পর্যবেক্ষণ করা, অপ্রয়োজনীয় তথ্যের ঘর সংরক্ষণ না করা, নিয়মিত পুরোনো রেকর্ড সরিয়ে ফেলা এবং সম্ভব হলে কার্ডের তথ্য কেবল টোকেন বা শেষের অঙ্কগুলোর মধ্যে সীমাবদ্ধ রাখা। পাসওয়ার্ড সংরক্ষণের জন্য bcrypt-এর মতো শক্তিশালী পদ্ধতি ব্যবহার করা উচিত; পাশাপাশি শক্তিশালী পাসওয়ার্ড নীতি ও মাল্টি-ফ্যাক্টর পরিচয় যাচাইও কার্যকর করা উচিত।

ব্যবহারকারীদের জন্য দীর্ঘমেয়াদি করণীয় হলো খাবার অর্ডার, কেনাকাটা ও পেমেন্টের অ্যাকাউন্টগুলোতে আলাদা পাসওয়ার্ড ব্যবহার করা এবং অপ্রয়োজনে প্রোফাইলের তথ্য শেয়ার না করা। ঠিকানা, ফোন নম্বর ও জন্মতারিখের মতো তথ্য বদলানো কঠিন, তাই একবার ফাঁস হলে সেগুলো দীর্ঘদিন ধরে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণায় ব্যবহার করা যেতে পারে। আর্থিক অ্যাকাউন্টের তথ্য রয়েছে এমন প্ল্যাটফর্মে ব্যবসা প্রতিষ্ঠান ও অংশীদারদের উচিত ভূমিকার ভিত্তিতে প্রবেশাধিকার, লেনদেন অনুমোদন এবং ব্যাংক লেনদেন পর্যবেক্ষণের প্রক্রিয়া আরও শক্তিশালী করা।

এই রেকর্ডে আপনার ইমেইল ঠিকানা থাকলে শুধু EatStreet অ্যাকাউন্ট নয়, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টও যাচাই করুন। সন্দেহজনক খাবারের অর্ডার, ডেলিভারি, পণ্য ফেরত এবং ব্যাংক বা কার্ড যাচাইয়ের বার্তার ব্যাপারে সতর্ক থাকুন। ক্রেডিট কার্ডের আংশিক তথ্য ও ঠিকানার তথ্য ভুয়া গ্রাহকসেবা প্রতিনিধির কথাবার্তাকে বিশ্বাসযোগ্য করে তুলতে পারে। আপনার কার্ডে অপরিচিত কোনো লেনদেন দেখলে সরাসরি কার্ড প্রদানকারীর সঙ্গে যোগাযোগ করুন এবং বার্তায় থাকা লিংকে ক্লিক করবেন না।

আপনি রেস্তোরাঁ বা ডেলিভারি অংশীদার হলে আর্থিক অ্যাকাউন্টের লেনদেন ও পেমেন্ট সেটিংসও পর্যালোচনা করুন। ব্যাংক অ্যাকাউন্ট বা রাউটিং তথ্যসম্বলিত বিজ্ঞপ্তিগুলো অংশীদারদের ক্ষেত্রে প্রযোজ্য; তাই ব্যবসায়িক অ্যাকাউন্টে কোনো অননুমোদিত পরিবর্তন হয়েছে কি না, তা যাচাই করা গুরুত্বপূর্ণ। EatStreet-এর তথ্য ফাঁসের ঘটনাটি দেখায় যে গ্রাহকের প্রোফাইলের তথ্য, আংশিক আর্থিক তথ্য ও পাসওয়ার্ডের হ্যাশ একসঙ্গে থাকলে তা দীর্ঘমেয়াদে সোশ্যাল ইঞ্জিনিয়ারিং ও অ্যাকাউন্টের নিরাপত্তার ঝুঁকি তৈরি করতে পারে।