AWS-এ সম্ভাব্য ক্রেতাদের তথ্যের Elasticsearch ইনস্ট্যান্স

AWS-এ সম্ভাব্য ক্রেতাদের তথ্যের Elasticsearch ইনস্ট্যান্স রেকর্ডে নথিভুক্ত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নিয়োগকারী প্রতিষ্ঠানের তথ্য, পূর্ণ নামের তথ্য এবং বাসা বা অফিসের ঠিকানা। ইমেইল ঠিকানা লক্ষ্যভিত্তিক ফিশিং, পাসওয়ার্ড রিসেটের পরিস্থিতি এবং বিভিন্ন সেবায় অ্যাকাউন্টের মিল খোঁজার কাজে ব্যবহার করা হতে পারে। নিয়োগকারী প্রতিষ্ঠানের তথ্য করপোরেট ফিশিং, সরবরাহকারীর নামে ভুয়া বার্তা এবং লক্ষ্যভিত্তিক বিক্রয়চাপ তৈরিতে ব্যবহার করা হতে পারে। পূর্ণ নামের তথ্য ভুয়া সাপোর্ট, ভুয়া ডেলিভারি, ভুয়া চালান এবং গ্রাহকসেবার বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে। বাসা বা অফিসের ঠিকানা ডেলিভারি, চালান, সাবস্ক্রিপশন এবং স্থানীয় সেবার বিষয় নিয়ে সোশ্যাল ইঞ্জিনিয়ারিং বার্তায় ব্যবহার করা হতে পারে।

নিয়োগকারী প্রতিষ্ঠানের নাম ও ইমেইলের তথ্য একসঙ্গে থাকলে বিক্রয়, অফার, বৈঠক, অংশীদারত্ব বা সরবরাহকারীর নামে পাঠানো ভুয়া বার্তা আরও বিশ্বাসযোগ্য হয়। বাসা বা অফিসের ঠিকানা প্রতিষ্ঠান বা ব্যক্তি সম্পর্কে প্রেক্ষাপটকে আরও জোরালো করে, ফলে লক্ষ্যভিত্তিক যোগাযোগের ঝুঁকি বাড়ে।

এই রেকর্ডটি সম্ভাব্য ক্রেতাদের তথ্যের একটি উন্মুক্ত Elasticsearch ডেটাসেটের সঙ্গে সম্পর্কিত। এটিকে কোনো নির্দিষ্ট ডোমেইনের ব্যবহারকারী ডেটাবেস হিসেবে উপস্থাপন করা উচিত নয়। এর পরিধি ইমেইল ঠিকানা, নিয়োগকারী প্রতিষ্ঠানের তথ্য, পূর্ণ নাম এবং বাসা বা অফিসের ঠিকানার মধ্যে সীমাবদ্ধ। এই রেকর্ডে পাসওয়ার্ড, পেমেন্ট-সংক্রান্ত তথ্য বা অ্যাকাউন্টের ব্যক্তিগত কনটেন্ট থাকার বিষয়টি যাচাই করে নিশ্চিত করা হয়নি।

এই রেকর্ডে যেসব তথ্য নেই, সেগুলো ফাঁস হয়েছে এমনভাবে বর্ণনা করা উচিত নয়। পেমেন্ট কার্ডের সম্পূর্ণ তথ্য, সরকারি পরিচয়পত্র, ব্যক্তিগত বার্তা, স্বাস্থ্যতথ্য, ব্যাংকের তথ্য, ডিভাইসের কনটেন্ট বা অন্য প্ল্যাটফর্মের তথ্য কেবল তখনই ঝুঁকি মূল্যায়নে অন্তর্ভুক্ত করা উচিত, যখন সেগুলো রেকর্ডে স্পষ্টভাবে উপস্থিত থাকে। এই বিবরণ যাচাইযোগ্য তথ্যের ধরন এবং ঘটনার জানা সীমার ওপর ভিত্তি করে লেখা।

তালিকায় যেসব কর্মীর করপোরেট ইমেইল ঠিকানা রয়েছে, বিক্রয় ও ক্রয় বিভাগের দল, প্রতিষ্ঠানের ঠিকানার সঙ্গে সংশ্লিষ্ট ব্যক্তি এবং যাঁদের কাজের কারণে বাইরের পক্ষের অফারের বার্তা আসে, তাঁরা তুলনামূলক বেশি ঝুঁকিতে আছেন।

যেসব ব্যবহারকারী বিভিন্ন সেবায় একই ইমেইল ঠিকানা ব্যবহার করেন, পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করেন, অনেক অনলাইন কমিউনিটিতে একই ডাকনাম রাখেন অথবা কর্মক্ষেত্রের ও ব্যক্তিগত অ্যাকাউন্ট আলাদা রাখেন না, তাঁরা তুলনামূলক বেশি ঝুঁকিতে আছেন। প্রোফাইল ও ডেটা ব্রোকারের রেকর্ডে ঝুঁকি তৈরি হয় যখন একটি অ্যাকাউন্টের সূত্রে সম্পূর্ণ ভিন্ন ভিন্ন ডোমেইনের তথ্য একত্র হয় এবং ব্যক্তি সম্পর্কে বিস্তারিত প্রেক্ষাপট গড়ে ওঠে।

যেসব ব্যবহারকারীর তথ্যের মিল পাওয়া গেছে, তাঁদের অপ্রত্যাশিত অফার, বৈঠক, সরবরাহকারী পরিবর্তন এবং অর্থ পরিশোধের অনুরোধসংক্রান্ত বার্তা প্রতিষ্ঠানের অভ্যন্তরীণ যাচাইপ্রক্রিয়ার মাধ্যমে পরীক্ষা করা উচিত। এই রেকর্ডে পাসওয়ার্ড নেই বলে করপোরেট ফিশিংয়ের ঝুঁকি মোকাবিলাই অগ্রাধিকার।

যেসব ব্যবহারকারীর তথ্যের মিল পাওয়া গেছে, তাঁদের একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড পরিবর্তন করা, যেখানে সম্ভব দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা এবং সাম্প্রতিক সেশনগুলো পরীক্ষা করা উচিত। যেসব রেকর্ডে পাসওয়ার্ড নেই, কিন্তু যোগাযোগ, বিলিং, ঠিকানা বা প্রোফাইলের তথ্য আছে, সেগুলোর ক্ষেত্রে অপ্রত্যাশিত ফোনকল এবং অফার, সাপোর্ট, বিলিং ও যাচাইসংক্রান্ত বার্তার দিকে নজর রাখা উচিত।

দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার ব্যবহার, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড রাখা, দুই উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার এবং অ্যাকাউন্ট থেকে অপ্রয়োজনীয় ব্যক্তিগত তথ্য সরিয়ে ফেলার অভ্যাস ঝুঁকি কমায়। বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা পুনরায় ব্যবহার করলে আলাদা আলাদা তথ্য ফাঁসের ঘটনার তথ্য একত্র করা সহজ হয়; গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা অ্যালিয়াস ব্যবহারের কথা বিবেচনা করা যেতে পারে।

কর্মীদের যোগাযোগের তথ্য উন্মুক্ত ও তৃতীয় পক্ষের ডেটাসেটে কীভাবে দেখা যাচ্ছে, তা প্রতিষ্ঠানগুলোর নিয়মিত পর্যালোচনা করা উচিত। করপোরেট ইমেইল ব্যবহারকারীদের বাইরের লিংক ও ফাইলসহ পাঠানো প্রস্তাবের বার্তা অতিরিক্তভাবে যাচাই করা উচিত।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি এই রেকর্ডে আছে কি না তা জানা যায়। মিল পাওয়া গেলেই সব তথ্যক্ষেত্র নিশ্চিতভাবে সেই ব্যবহারকারীর, এমনটি বোঝায় না; তবে সতর্কতামূলক ব্যবস্থা নেওয়ার জন্য এটি যথেষ্ট সংকেত। মিল না পাওয়া কেবল বোঝায় যে এই ডেটাসেটে কোনো মিল নেই; এতে অন্য কোনো তথ্য ফাঁসের ঘটনায় ইমেইল ঠিকানাটি থাকার সম্ভাবনা নাকচ হয় না।

মিল পাওয়ার ফলাফল বোঝায় যে ইমেইল ঠিকানাটি Elasticsearch-এর সম্ভাব্য ক্রেতাদের তথ্যের ডেটাসেটে রয়েছে। এই ফলাফলের অর্থ ব্যক্তিগত অ্যাকাউন্টে অনধিকার প্রবেশ হয়েছে, এমন নয়; তবে এটি করপোরেট পর্যায়ে লক্ষ্যবস্তু হওয়ার ঝুঁকি নির্দেশ করে।