Exactis: তথ্য ফাঁস

Exactis-এর রেকর্ডে ইমেইল ঠিকানা, পূর্ণ নাম, ফোন নম্বর, ঠিকানা, IP ঠিকানা ও জন্মতারিখের মতো সরাসরি পরিচয় শনাক্ত করার তথ্য রয়েছে। পাশাপাশি ঋণসংক্রান্ত অবস্থা, শিক্ষাগত স্তর, জাতিগত পটভূমি, পারিবারিক অবস্থা, আর্থিক বিনিয়োগে আগ্রহ, লিঙ্গ, বাড়ির মালিকানার অবস্থা, আয়ের স্তর, বৈবাহিক অবস্থা, নিট সম্পদের পরিসর, পেশা, ব্যক্তিগত আগ্রহ, ধর্ম এবং কোন কোন ভাষায় কথা বলেন, এ ধরনের প্রোফাইল তথ্যও তালিকাভুক্ত আছে। এসব তথ্য একত্রে থাকলে আক্রমণকারীরা একটি পাসওয়ার্ডও না জেনে ব্যক্তিকে মাথায় রেখে প্রতারণার কৌশল, লক্ষ্যভিত্তিক বার্তা, ভুয়া গ্রাহকসেবার কল বা ফিশিংয়ের পরিস্থিতি তৈরি করতে পারে।

এই তথ্য ফাঁসের সবচেয়ে গুরুতর দিক হলো, এতে এমন সব তথ্য একত্র হয়েছে যেগুলো আলাদাভাবে দেখলে সীমিত মনে হতে পারে। ইমেইল ঠিকানা, ফোন নম্বর ও ঠিকানা থাকলে কোনো ব্যক্তির সঙ্গে সহজে যোগাযোগ করা যায়। আর আয়, পরিবার ও গৃহস্থালি এবং আগ্রহের তথ্য থেকে বোঝা যায় কোন প্রতিশ্রুতি বা চাপ দেওয়ার কৌশল তাঁকে বেশি প্রভাবিত করতে পারে। তাই Exactis-এর তথ্য উন্মুক্ত হওয়ার ঘটনায় অ্যাকাউন্ট দখলের ঝুঁকির চেয়ে সামাজিক প্রকৌশল, লক্ষ্যভিত্তিক বিজ্ঞাপনের অপব্যবহার, প্রতারণা এবং প্রোফাইলের ভিত্তিতে বৈষম্যের ঝুঁকি বেশি বেড়েছে।

যাচাইকৃত পরিধি হিসেবে 13,15,77,763টি স্বতন্ত্র অ্যাকাউন্ট ধরা উচিত। এই সংখ্যাকে বৃহত্তর অপরিশোধিত ডেটাসেট নিয়ে করা দাবি থেকে আলাদা রাখা হয়েছে এবং ব্যবহারকারীর নিয়ন্ত্রণ পর্দায় এই সংখ্যাই ব্যবহার করা হয়। তথ্য ফাঁসের তারিখ 1 জুন 2018 এবং রেকর্ড যোগ ও সর্বশেষ পরিবর্তনের তারিখ 25 জুলাই 2018 নির্ধারণ করা হয়েছে। Exactis-এর ডোমেইন exactis.com হিসেবে রাখা হয়েছে। প্রতিষ্ঠানটির দেশ যুক্তরাষ্ট্র এবং এর খাত হিসেবে তথ্য কেনাবেচা ও বিপণনের তথ্য নির্ধারণ করা হয়েছে।

Exactis-এর ক্ষেত্রে পাসওয়ার্ড, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট বা সামাজিক নিরাপত্তা নম্বর যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে নেই। তবে এর অর্থ এই নয় যে ঝুঁকি কম। ঋণসংক্রান্ত অবস্থা, আয়, ঠিকানা, পরিবার ও বিশ্বাসের মতো প্রোফাইল তথ্য একত্র হলে নিরাপত্তামূলক প্রশ্ন ব্যবহার করে আক্রমণ, লক্ষ্যভিত্তিক প্রতারণার প্রক্রিয়া এবং প্রতিষ্ঠানের নামে পাঠানো ভুয়া চিঠিপত্রের ক্ষেত্রে ব্যক্তি আরও ঝুঁকিতে পড়তে পারেন। তাই ঝুঁকির মাত্রা, রেকর্ডের সংখ্যা ও প্রোফাইলের বিস্তারিত তথ্যের কারণে এর ঝুঁকির শ্রেণি অতি গুরুতর রাখা হয়েছে।

এই ঘটনায় সবচেয়ে বেশি প্রভাবিত হওয়ার সম্ভাবনা রয়েছে যুক্তরাষ্ট্রভিত্তিক ভোক্তা প্রোফাইল বা বিপণন তালিকায় অন্তর্ভুক্ত ব্যক্তিদের। কেউ কখনো Exactis ব্যবহার না করলেও তথ্য কেনাবেচার এই ব্যবসায়িক পদ্ধতির কারণে তৃতীয় পক্ষের তালিকা থেকে তাঁর নাম, ইমেইল ঠিকানা বা ঠিকানা সংগ্রহ করা হয়ে থাকতে পারে। তাই প্রচলিত অর্থে সত্যিকারের কোনো ব্যবহারকারী অ্যাকাউন্ট থাকা এই ঝুঁকির শর্ত নয়।

যাঁরা বিক্রয়, আবাসন, আর্থিক সেবা, স্বাস্থ্য, শিক্ষা বা অনুদান সংগ্রহের প্রচারাভিযানে প্রায়ই সাড়া দেন বা অংশ নেন, তাঁরা আক্রমণকারীদের কাছে আরও দৃশ্যমান লক্ষ্যবস্তু হয়ে উঠতে পারেন। একইভাবে, যাঁরা দীর্ঘদিন ধরে একই ফোন নম্বর ও ইমেইল ঠিকানা ব্যবহার করছেন, তাঁদের পুরোনো প্রোফাইল তথ্যও এখনো প্রতারণার চেষ্টায় ব্যবহার করা হতে পারে। বৈবাহিক অবস্থা, পেশা, আয় ও আগ্রহের মতো তথ্য আক্রমণকারীকে এমন বার্তা তৈরি করতে সাহায্য করতে পারে, যা ব্যক্তিগত ও বিশ্বাসযোগ্য মনে হয়। এ কারণে বিশেষ করে ফোন কল, টেক্সট মেসেজ ও ইমেইলে আসা অনুরোধের ব্যাপারে আরও সতর্ক থাকা প্রয়োজন।

Exactis-এর রেকর্ডে যাচাইকৃত পাসওয়ার্ডের কোনো তথ্যশ্রেণি নেই বলে প্রাথমিক পদক্ষেপ শুধু পাসওয়ার্ড বদলানোর মধ্যে সীমিত রাখা উচিত নয়। ব্যবহারকারীদের প্রথমে তাঁদের ইমেইল ঠিকানা, ফোন ও ঠিকানায় আসা অপ্রত্যাশিত অনুরোধগুলো আরও কঠোরভাবে যাচাই করা উচিত। আর্থিক সেবা, পণ্য পরিবহন, সরকারি প্রতিষ্ঠান, বিমা, স্কুল, দাতব্য প্রচারাভিযান বা সাবস্ক্রিপশন নবায়নের অজুহাতে আসা কোনো বার্তার লিংকে ক্লিক করার আগে সংশ্লিষ্ট প্রতিষ্ঠানের আনুষ্ঠানিক যোগাযোগমাধ্যম দিয়ে বিষয়টি যাচাই করতে হবে।

ইমেইল অ্যাকাউন্টের জন্য শক্তিশালী ও অন্য কোথাও ব্যবহার করা হয়নি এমন পাসওয়ার্ড ব্যবহার করা উচিত এবং সম্ভব হলে একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা উচিত। SIM পরিবর্তন, নম্বর অন্য অপারেটরে স্থানান্তর এবং গ্রাহকসেবার মাধ্যমে করা কার্যক্রমের জন্য মোবাইল অপারেটরের অ্যাকাউন্টে অতিরিক্ত PIN বা নিরাপত্তা পাসওয়ার্ড সেট করা উচিত। Exactis-এর তথ্যে ঠিকানা ও ফোন নম্বর রয়েছে বলে ভুয়া ডেলিভারি, দেনার নোটিশ, বিনিয়োগের প্রস্তাব বা জরিপের কলের জবাবে সরাসরি তথ্য দেওয়া উচিত নয়। জন্মতারিখ, আয় ও পরিবারের তথ্য চাওয়া ফর্মগুলোও সতর্কতার সঙ্গে বিবেচনা করা উচিত।

এ ধরনের তথ্য কেনাবেচাকারী প্রতিষ্ঠানের মাধ্যমে তথ্য উন্মুক্ত হলে দীর্ঘমেয়াদি কৌশলের লক্ষ্য হওয়া উচিত শুধু একটি অ্যাকাউন্টের সমস্যা ঠিক করা নয়, বরং ব্যক্তিগত প্রোফাইলের তথ্য আবার ব্যবহার করা কঠিন করে তোলা। সব সেবায় একই ইমেইল ঠিকানা ব্যবহার না করে ব্যবহারকারীরা আর্থিক সেবা, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম ও নিউজলেটারের জন্য আলাদা ঠিকানা ব্যবহার করতে পারেন। কোনো সেবা শুধু একটি প্রচারাভিযান বা পরীক্ষামূলক ব্যবহারের জন্য নিলে স্থায়ী প্রধান ইমেইল ঠিকানার বদলে আলাদা ঠিকানা ব্যবহার করা ভবিষ্যতে তথ্য মিলিয়ে প্রোফাইল তৈরির ঝুঁকি কমায়।

ঋণসংক্রান্ত প্রতিবেদন ও আর্থিক লেনদেন নিয়মিত পর্যালোচনা করা উচিত। নতুন অ্যাকাউন্ট খোলা বা সন্দেহজনকভাবে ঋণসংক্রান্ত তথ্য যাচাইয়ের অনুরোধ করা হলে বিজ্ঞপ্তি দেয়, এমন সেবাও চালু করা উচিত। তথ্য কেনাবেচাকারীদের তালিকা থেকে নাম সরানোর আনুষ্ঠানিক ফর্মগুলো দেখা যেতে পারে। তবে মনে রাখতে হবে, এসব প্রক্রিয়া সব সময় স্থায়ী ফল দেয় না। সবচেয়ে শক্তিশালী প্রতিরক্ষা হলো অপ্রত্যাশিত যোগাযোগের ক্ষেত্রে তাড়াহুড়ো করে সিদ্ধান্ত না নেওয়া, অপ্রয়োজনীয় ফর্মে ব্যক্তিগত প্রোফাইলের তথ্য না দেওয়া এবং উচ্চমূল্যের অ্যাকাউন্টের জন্য অতিরিক্ত যাচাই ব্যবহার করা।

LeakData-তে Exactis-এর ফলাফলে যাঁদের তথ্য দেখা যায়, তাঁদের এই রেকর্ডকে পাসওয়ার্ড ফাঁস হিসেবে নয়, বরং বিস্তারিত প্রোফাইলের তথ্য উন্মুক্ত হওয়া হিসেবে বিবেচনা করা উচিত। ইমেইল ঠিকানা, ফোন নম্বর, ঠিকানা ও জনমিতিক তথ্য একসঙ্গে থাকলে বিশ্বাসযোগ্য ফিশিং বার্তা পাঠানো, ব্যক্তির তথ্য অনুযায়ী কল করা এবং নিরাপত্তামূলক প্রশ্নের উত্তর অনুমান করার চেষ্টা সহজ হতে পারে। তাই সতর্কবার্তা দেখলে শুধু সংশ্লিষ্ট সাইটটি যাচাই না করে একই ইমেইল ও ফোন নম্বর ব্যবহার করা সব গুরুত্বপূর্ণ অ্যাকাউন্ট পর্যালোচনা করা উচিত।

যাচাইয়ের পর সবচেয়ে উপযুক্ত পদক্ষেপ হলো ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা, একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই চালু করা, মোবাইল অপারেটরের অ্যাকাউন্টে অতিরিক্ত নিরাপত্তা কোড যোগ করা, আর্থিক লেনদেন নজরে রাখা এবং অপ্রত্যাশিত যোগাযোগ এড়িয়ে চলা। ঠিকানায় আসা আনুষ্ঠানিক বলে মনে হয় এমন চিঠি, ফোনে যাচাইকরণ কোড চাওয়ার অনুরোধ এবং ব্যক্তিগত তথ্য জানতে চাওয়া জরিপও খতিয়ে দেখা উচিত। পরিচয় যাচাইয়ের তথ্য ফাঁস না হলেও Exactis-এর রেকর্ডকে বড় ধরনের প্রভাব ফেলতে পারে এমন তথ্য ফাঁস হিসেবে বিবেচনা করা উচিত। এটি নির্দেশ করে যে একজন ব্যক্তির ডিজিটাল ও সরাসরি যোগাযোগের মাধ্যমগুলোকে লক্ষ্যবস্তু করা যেতে পারে।