Engrenagem Virtual (2020)-এর তথ্য ফাঁস

যাচাইয়ের মূল্যায়নে Engrenagem Virtual নাম, engrenagemvirtual.com.br ডোমেইন, 2020 সালের জুলাইয়ের সময়কাল, 430 হাজারের বেশি রেকর্ড এবং ব্যক্তিগত প্রোফাইলের ক্ষেত্রগুলোর পাশাপাশি সল্টযুক্ত SHA-256 ফরম্যাটে পাসওয়ার্ড হ্যাশের তথ্য পাওয়ার বিষয়টি বিবেচনা করা হয়েছে। CPF বা সরকারি পরিচয়সংক্রান্ত ক্ষেত্র থাকার মতো আরও গুরুতর দাবিগুলোর পক্ষে ধারাবাহিক সমর্থন পাওয়া যায়নি, তাই সেগুলো নথিতে যোগ করা হয়নি। এই নথিকে অ্যাকাউন্টের নিরাপত্তা ও ব্যক্তিগত প্রোফাইলের তথ্যসংক্রান্ত ঘটনা হিসেবেই রাখা হয়েছে; প্রমাণসমর্থনহীন আর্থিক তথ্য বা সরকারি নথিসংক্রান্ত দাবি যোগ করে এর পরিধি বাড়ানো হয়নি।

Virtual Gear-এর তথ্য ফাঁস ব্যবহারকারীদের জন্য অ্যাকাউন্ট দখল, শিক্ষা বা বিপণনের ছদ্মবেশে ফিশিং এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশল কৌশল প্রয়োগের ঝুঁকি তৈরি করে। ইমেইল, নাম, ফোন নম্বর, জন্মতারিখ, লিঙ্গ ও বৈবাহিক অবস্থার ক্ষেত্রগুলো একত্রে থাকলে আক্রমণকারীরা ব্যক্তিভেদে প্রশিক্ষণ, ব্যবসা উন্নয়ন, সাবস্ক্রিপশন, সনদ বা প্রচারাভিযানসংক্রান্ত বার্তা সাজাতে পারে। হ্যাশ করা পাসওয়ার্ডের ক্ষেত্র থাকায় একই বা দুর্বল পাসওয়ার্ড অন্য সেবায় ব্যবহার করে প্রবেশের চেষ্টা চালানোর ঝুঁকিও রয়েছে। তাই ঘটনাটিকে নিছক একটি যোগাযোগের তালিকা হিসেবে দেখা উচিত নয়।

এই ঘটনায় দৃশ্যমান তথ্যের ধরনগুলো ব্যক্তিগত প্রোফাইল ও অ্যাকাউন্টের নিরাপত্তার দিক থেকে গুরুত্বপূর্ণ। সহায়তা ডেস্কের যাচাই প্রক্রিয়ায় জন্মতারিখের অপব্যবহার হতে পারে। ফোন নম্বর থাকলে SMS ও ফোনকলের মাধ্যমে কাউকে লক্ষ্য করা সহজ হয়। বৈবাহিক অবস্থা ও লিঙ্গের মতো প্রোফাইলের ক্ষেত্রগুলো ব্যক্তিভেদে বার্তা সাজাতে ব্যবহার করা যেতে পারে। সল্টযুক্ত SHA-256 পাসওয়ার্ড হ্যাশের তথ্য থাকলেও দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ড অফলাইনে অনুমান করে বের করার ঝুঁকি পুরোপুরি দূর হয় না।

যাঁদের Virtual Gear অ্যাকাউন্ট আছে বা যাঁরা একই ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের সংশ্লিষ্ট অ্যাকাউন্টে এবং একই পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলোতে পাসওয়ার্ড রিসেট করা উচিত। ইমেইল, শিক্ষা প্ল্যাটফর্ম, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, পেমেন্ট ও কাজের অ্যাকাউন্টগুলো আগে পরীক্ষা করা উচিত। যেখানে সম্ভব একাধিক উপাদানভিত্তিক প্রমাণীকরণ চালু করা, পুরোনো সেশন বন্ধ করা এবং অপ্রত্যাশিত লগইন সতর্কতা পর্যালোচনা করা উচিত। সনদ, কোর্স, সাবস্ক্রিপশন বা প্রচারাভিযানের লিংক পরিচিত আনুষ্ঠানিক যোগাযোগমাধ্যমে সরাসরি যাচাই করা উচিত।

প্রতিষ্ঠানগুলোর জন্য Engrenagem Virtual-এর তথ্য ফাঁস দেখায় যে শিক্ষা ও ডিজিটাল বিপণন প্ল্যাটফর্মে প্রোফাইলের তথ্য ও পাসওয়ার্ডের নিরাপত্তা একসঙ্গে সুরক্ষিত রাখা উচিত। সহায়তা দলের শুধু নাম, ফোন নম্বর বা জন্মতারিখের ভিত্তিতে অ্যাকাউন্টে পরিবর্তন করা উচিত নয়। ইমেইল পরিবর্তন, অ্যাকাউন্ট পুনরুদ্ধার, সাবস্ক্রিপশন হালনাগাদ এবং সনদে প্রবেশাধিকারের মতো কাজে অতিরিক্ত যাচাই প্রয়োজন। ভুয়া প্রশিক্ষণের আমন্ত্রণ বা প্রচারাভিযানের বার্তা কীভাবে চেনা যায়, তা প্রতিষ্ঠানগুলোর ব্যবহারকারীদের স্পষ্টভাবে বোঝানো এবং পুরোনো পাসওয়ার্ডের ব্যবহার বন্ধ করতে উৎসাহিত করা উচিত।

Virtual Gear-এর তথ্য ফাঁসের নথিতে পরিধি কেবল প্রমাণসমর্থিত ক্ষেত্রগুলোর মধ্যে সীমিত রাখা হয়েছে। নথিতে রেকর্ডের সংখ্যা 4,30,936 হিসেবেই রাখা হয়েছে; সরকারি পরিচয়পত্র, পেমেন্ট কার্ড বা ব্যাংক অ্যাকাউন্টের তথ্য থাকার কোনো দাবি যোগ করা হয়নি। তথ্যের ধরনগুলো ইমেইল, নাম, ফোন নম্বর, জন্মতারিখ, প্রোফাইলের ক্ষেত্র ও হ্যাশ করা পাসওয়ার্ডের তথ্যের মধ্যে সীমিত। তা সত্ত্বেও ব্যক্তিগত প্রোফাইলের তথ্য ও পাসওয়ার্ড হ্যাশের ক্ষেত্রগুলো একত্রে থাকায় অ্যাকাউন্টের নিরাপত্তায় অত্যন্ত গুরুতর ঝুঁকি তৈরি হয়। অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হলে প্রভাব সংশ্লিষ্ট প্ল্যাটফর্মেই সীমাবদ্ধ না-ও থাকতে পারে।

Engrenagem Virtual-এর তথ্য ফাঁসে ব্যক্তিগত প্রোফাইলের ক্ষেত্রগুলোর সঙ্গে ফোন নম্বর ও হ্যাশ করা পাসওয়ার্ডের ঝুঁকি যুক্ত হওয়ায় সামগ্রিক ঝুঁকির মাত্রা অত্যন্ত গুরুতর হিসেবে মূল্যায়ন করা হয়েছে। Engrenagem Virtual-এর তথ্য ফাঁস সম্পর্কে খোঁজ করা ব্যবহারকারীদের জন্য সবচেয়ে কার্যকর পদক্ষেপ হলো পাসওয়ার্ড রিসেট করা, একই পাসওয়ার্ড পুনর্ব্যবহার না করা, ইমেইল ও গুরুত্বপূর্ণ অ্যাকাউন্টে অতিরিক্ত যাচাই চালু করা, প্রশিক্ষণ বা প্রচারাভিযানের লিংক স্বাধীনভাবে যাচাই করা এবং সঠিক ব্যক্তিগত তথ্যসহ আসা বার্তাকেও বিশ্বাস না করা। প্রমাণসমর্থনহীন তথ্যের ধরন যোগ না করে অ্যাকাউন্টের নিরাপত্তায় প্রকৃত প্রভাব ব্যাখ্যা করার জন্য এই নথি প্রস্তুত করা হয়েছে।