Estante Virtual: তথ্য ফাঁস

এই ঘটনায় যেসব ধরনের তথ্য ফাঁস হওয়ার বিষয়টি নিশ্চিত করা হয়েছে, সেগুলোর মধ্যে রয়েছে নাম, ব্যবহারকারীর নাম, ইমেইল ঠিকানা, বাসা বা অন্য স্থানের ঠিকানা, ফোন নম্বর, জন্মতারিখ ও পাসওয়ার্ড। পাসওয়ার্ডগুলো সল্টবিহীন SHA-1 ফরম্যাটে সংরক্ষিত থাকায় ঝুঁকি বেড়ে যায়। কারণ এ ধরনের পাসওয়ার্ড হ্যাশ তাত্ত্বিকভাবে শক্তিশালী, স্বতন্ত্র ও দীর্ঘ পাসওয়ার্ডের ক্ষেত্রেও সুরক্ষা দিলেও, দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে অনুমান করে ও মিলিয়ে দেখার আক্রমণ সহজ করে দিতে পারে। ইমেইল ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে থাকলে আক্রমণকারীরা বিভিন্ন অ্যাকাউন্টে একই ব্যক্তিকে শনাক্ত করতে পারে। অন্যদিকে, ফোন নম্বর ও ঠিকানার তথ্য ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণা চালানো যেতে পারে, যেমন ভুয়া ডেলিভারি বিজ্ঞপ্তি, ভুয়া গ্রাহকসেবার কল, পেমেন্ট নবায়নের অজুহাত বা অ্যাকাউন্ট যাচাইয়ের ফাঁদ।

শুধু জন্মতারিখ আর্থিক পরিচয়ের প্রমাণ নয়; তবে ঠিকানা, ফোন নম্বর ও ইমেইলের তথ্যের সঙ্গে যুক্ত হলে ঝুঁকি আরও বাস্তব হয়ে ওঠে। একজন আক্রমণকারী এই তথ্যগুলো একত্রে ব্যবহার করে এমন বার্তা তৈরি করতে পারে, যা কোনো ব্যক্তির কেনাকাটার অভ্যাসের সঙ্গে সামঞ্জস্যপূর্ণ মনে হয়। একই তথ্য দিয়ে পাসওয়ার্ড রিসেটের প্রশ্নের উত্তর অনুমান করার বা অন্য প্ল্যাটফর্মের অ্যাকাউন্ট দখলের চেষ্টাও করতে পারে। বইয়ের বাজারের প্রেক্ষাপটে ব্যবহারকারীর পড়ার পছন্দ, বিক্রেতা-ক্রেতার সম্পর্ক ও ডেলিভারির ইতিহাসও সামাজিক প্রকৌশলভিত্তিক প্রতারণাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। তাই শুধু Estante Virtual অ্যাকাউন্টের নিরাপত্তা নয়, একই যোগাযোগের তথ্য দিয়ে খোলা অন্য অ্যাকাউন্টগুলোর নিরাপত্তাও পর্যালোচনা করা উচিত।

এই নথির ভিত্তি হিসেবে ব্যবহৃত আক্রান্ত অ্যাকাউন্টের যাচাই করা সংখ্যা হলো 54,12,603, আর তথ্য ফাঁসের তারিখ নথিভুক্ত হয়েছে 2019 সালের 28 ফেব্রুয়ারি হিসেবে। কিছু তথ্যের তালিকায় মূল ডেটার সারির সংখ্যা বেশি দেখা যেতে পারে; তবে সারির সংখ্যা সব সময় পৃথক ব্যক্তি বা পৃথক গ্রাহকের সংখ্যার সমান হয় না। একই ব্যবহারকারী, বিক্রেতার প্রোফাইল, ঠিকানার অংশ, অ্যাকাউন্টের তথ্যক্ষেত্র বা বারবার থাকা তথ্যের একাধিক সারি আলাদা রেকর্ড হিসেবে গণনা করা হতে পারে। তাই প্রকাশ্যে উপলব্ধ এই নথিতে অ্যাকাউন্টের ওপর প্রভাব বোঝাতে যাচাই করা 54 লাখের পর্যায়ের সংখ্যাটিই ব্যবহার করা উচিত। সারির সংখ্যা বেশি হওয়ার দাবিকে পৃথক ভুক্তভোগীর সংখ্যা হিসেবে উপস্থাপন করা উচিত নয়।

তথ্যের ধরন মূল্যায়নের পরিসর নাম, ব্যবহারকারীর নাম, ইমেইল ঠিকানা, বাসা বা অন্য স্থানের ঠিকানা, ফোন নম্বর, জন্মতারিখ ও পাসওয়ার্ডের মতো তথ্যক্ষেত্রের মধ্যে সীমিত রাখা উচিত। এই নথিতে যাচাই করা তথ্যের শ্রেণিগুলো ওপরের ব্যক্তিগত যোগাযোগের তথ্য, অ্যাকাউন্ট শনাক্তকারী ও পাসওয়ার্ডের ক্ষেত্রেই সীমাবদ্ধ রাখা উচিত। পাসওয়ার্ডের তথ্য থাকলেও ধরে নেওয়া উচিত নয় যে সব ব্যবহারকারীর ক্ষেত্রে তা একইভাবে উন্মুক্ত হয়েছে বা সব পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় ছিল; নথিটি নিরাপদভাবে সল্ট যুক্ত করা SHA-1 পাসওয়ার্ড হ্যাশের ঝুঁকির আলোকে বর্ণনা করা উচিত। ব্যবহারকারীকে ঝুঁকির সঠিক মাত্রা জানাতে এবং ঘটনার পরিসর বাড়িয়ে বলা এড়াতে এই পার্থক্যটি গুরুত্বপূর্ণ।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা Estante Virtual অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন। একই পাসওয়ার্ড ইমেইল অ্যাকাউন্ট, কেনাকাটার সাইট, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল বা পেমেন্ট-সংশ্লিষ্ট প্ল্যাটফর্মে ব্যবহার করা হলে আক্রমণকারীরা আগের তথ্যসমষ্টি থেকে পাওয়া তথ্য দিয়ে স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা করতে পারে। বিশেষ করে ইমেইল অ্যাকাউন্ট দখল হয়ে গেলে পাসওয়ার্ড রিসেটের লিংকের মাধ্যমে আরও অনেক সংযুক্ত অ্যাকাউন্ট আক্রান্ত হতে পারে। তাই তথ্য ফাঁসের পর অনেক সময় পেরিয়ে গেলেই ঝুঁকি দূর হয় না; পুরোনো পাসওয়ার্ড অন্য কোথাও এখনও ব্যবহার করা হলে বিপদ থেকে যায়।

বিক্রেতা, নিয়মিত ক্রেতা, বই সংগ্রাহক এবং দীর্ঘদিন ধরে প্ল্যাটফর্মে নিজের ঠিকানা হালনাগাদ করেননি এমন ব্যবহারকারীদের জন্যও আলাদা ঝুঁকি রয়েছে। ব্যবসায়িক যোগাযোগ, ডেলিভারির ঠিকানা ও গ্রাহকদের সঙ্গে সম্পর্কের কারণে বিক্রেতাদের প্রোফাইলে তাঁদের লক্ষ্য করে তৈরি করা বার্তা বেশি আসতে পারে। অন্যদিকে, ক্রেতাদের ভুয়া অর্ডারের বিজ্ঞপ্তি, পণ্য ফেরতের অনুরোধ, শিপিংয়ের হালনাগাদ তথ্য বা অ্যাকাউন্ট পুনরায় সক্রিয় করার অজুহাত দিয়ে প্রতারিত করা হতে পারে। যাঁদের ফোন নম্বর রয়েছে, তাঁদের SMS ও কলভিত্তিক প্রতারণার বিষয়ে বেশি সতর্ক থাকা উচিত; যাঁদের জন্মতারিখ রয়েছে, তাঁদের পরিচয় যাচাইয়ের প্রশ্নকে লক্ষ্য করে চালানো প্রচেষ্টার বিষয়ে বেশি সতর্ক থাকা উচিত। যাঁরা বছরের পর বছর একই ইমেইল ঠিকানা ব্যবহার করছেন, তাঁদের ক্ষেত্রে এই তথ্য অন্য পুরোনো ফাঁসের তথ্যের সঙ্গে মিলিয়ে প্রোফাইল তৈরির ঝুঁকি বাড়ে।

প্রথমে নির্ধারণ করতে হবে, Estante Virtual অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড এখনও অন্য কোথাও ব্যবহার করা হচ্ছে কি না। একই বা কাছাকাছি পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে কার্যকর থাকলে প্রতিটি সেবার জন্য আলাদা, দীর্ঘ ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করা উচিত। পাসওয়ার্ড পরিবর্তন শুধু Estante Virtual-এর মধ্যে সীমিত রাখা উচিত নয়; একই ইমেইল ও পাসওয়ার্ডের সমন্বয় ব্যবহৃত হয় এমন কেনাকাটা, ইমেইল, পেমেন্ট, সামাজিক যোগাযোগমাধ্যম ও ক্লাউড অ্যাকাউন্টগুলোর পাসওয়ার্ডও পরিবর্তন করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড শনাক্ত করা ও শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়।

ইমেইল অ্যাকাউন্টে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত এবং সাম্প্রতিক সেশন ও পাসওয়ার্ড রিসেটের কার্যক্রম পরীক্ষা করা উচিত। ফোন নম্বর ও ঠিকানার তথ্য ফাঁস হয়ে থাকতে পারে বলে অপ্রত্যাশিত শিপিং-সংক্রান্ত বার্তা, ভুয়া গ্রাহকসেবার কল, অ্যাকাউন্ট যাচাইয়ের লিংক ও পেমেন্টের তথ্য হালনাগাদের অনুরোধ সতর্কভাবে পরীক্ষা করা উচিত। জন্মতারিখ বা ঠিকানার মতো ব্যক্তিগত তথ্য পাসওয়ার্ড, PIN বা নিরাপত্তা প্রশ্নের উত্তর হিসেবে ব্যবহার করা উচিত নয়। অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা উচিত এবং আর ব্যবহার করা হয় না এমন পুরোনো পুনরুদ্ধার ইমেইল ঠিকানা ও ফোন নম্বর সরিয়ে ফেলা উচিত।

এ ধরনের পুরোনো তথ্য ফাঁসের ঘটনা এখনও প্রভাব ফেলতে পারে, তাই ব্যবহারকারীদের পাসওয়ার্ড ব্যবহারের অভ্যাস স্থায়ীভাবে বদলানো প্রয়োজন। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা, যেখানে সম্ভব একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা এবং নিয়মিত পুরোনো অ্যাকাউন্ট বন্ধ করা সুরক্ষার মৌলিক পদক্ষেপ। সব সেবায় একই ইমেইল ঠিকানা ব্যবহার না করে গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ঠিকানা বা ইমেইল ঠিকানা আড়াল করার ব্যবস্থা বেছে নেওয়া যেতে পারে। এতে কেনাকাটার প্ল্যাটফর্মের কোনো তথ্যসমষ্টি সরাসরি আর্থিক বা ব্যক্তিগত যোগাযোগের অ্যাকাউন্টের সঙ্গে মেলানো যায় না।

প্রাতিষ্ঠানিক দৃষ্টিকোণ থেকে Estante Virtual-এর ঘটনা পাসওয়ার্ড সংরক্ষণের পদ্ধতি ও প্রয়োজনের অতিরিক্ত তথ্য না রাখার গুরুত্ব তুলে ধরে। পাসওয়ার্ড হ্যাশ সুরক্ষিত রাখতে আধুনিক, ধীরগতির ও সল্টযুক্ত অ্যালগরিদম ব্যবহার করা উচিত; ঠিকানা, ফোন নম্বর ও জন্মতারিখের মতো তথ্য আর প্রয়োজন না হলে মুছে ফেলা উচিত; এবং বিক্রেতা ও ক্রেতার তথ্য আলাদা প্রবেশাধিকার নিয়ন্ত্রণের মাধ্যমে সুরক্ষিত রাখা উচিত। ব্যবহারকারীদের ক্ষেত্রে পুরোনো অ্যাকাউন্টের তালিকা রাখা, অব্যবহৃত অ্যাকাউন্ট বন্ধ করা, ইমেইল অ্যালিয়াস ব্যবহার করা এবং নিয়মিত নিরাপত্তা বিজ্ঞপ্তি পর্যালোচনা করা দীর্ঘমেয়াদি ক্ষতির সম্ভাবনা কমায়।

আপনি Estante Virtual ব্যবহার করে থাকলে বা আগে estantevirtual.com.br-এ অ্যাকাউন্ট খুলে থাকলে, নিবন্ধন যাচাইয়ের সময় আপনার ইমেইল ঠিকানা এই ঘটনার সঙ্গে যুক্ত কি না তা পরীক্ষা করা প্রয়োজন। মিল পাওয়া গেলে প্রথমে একই পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলো শনাক্ত করুন, তারপর সেগুলোর প্রতিটির জন্য আলাদা পাসওয়ার্ড নির্ধারণ করুন। পুরোনো পাসওয়ার্ড সামান্য বদলে আবার ব্যবহার করাই যথেষ্ট নয়; আক্রমণকারীরা পাসওয়ার্ডের প্রচলিত পরিবর্তিত রূপগুলো দিয়ে স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা করতে পারে। আপনার ইমেইল অ্যাকাউন্টকে অগ্রাধিকার দিন, কারণ অন্য অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়া সাধারণত ইমেইলের মাধ্যমেই চলে।

ফোন নম্বর, ঠিকানা ও জন্মতারিখের মতো তথ্যক্ষেত্রও ঘটনার প্রভাব বাড়ায়, তাই শুধু পাসওয়ার্ড পরিবর্তন করেই নিশ্চিন্ত হবেন না। শিপিং, বইয়ের অর্ডার, পণ্য ফেরত, পেমেন্ট, অ্যাকাউন্ট যাচাই ও গ্রাহক সহায়তা-সংক্রান্ত বার্তায় কোনো লিংকে ক্লিক করার আগে ডোমেইনের নাম পরীক্ষা করুন। কেউ আপনার তথ্য চাইলে ফোন কেটে দিন এবং নিজে প্রতিষ্ঠানের অফিসিয়াল ওয়েবসাইট খুলে প্রয়োজনীয় কাজ করুন। Estante Virtual-এর তথ্য ফাঁসের ঘটনায় অ্যাকাউন্টের ওপর যাচাই করা প্রভাব ও ফাঁস হওয়া তথ্যের ধরনকে ব্যবহারকারীর করণীয়ে রূপ দিতে এই নথি প্রস্তুত করা হয়েছে। এর লক্ষ্য হলো অতিরঞ্জন ছাড়া ঝুঁকি স্পষ্ট করা এবং একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহারের ঝুঁকি ও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার সম্ভাবনা তুলে ধরা।