Experian (দক্ষিণ আফ্রিকা)

এই রেকর্ডে যাচাই করা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নিয়োগদাতার তথ্য, সরকারি পরিচয়পত্রের তথ্য, নাম, পেশাগত তথ্য ও ফোন নম্বর। ইমেইল ও ফোনের তথ্য সরাসরি অনাকাঙ্ক্ষিত যোগাযোগের ঝুঁকি বাড়ায়; নাম, পেশা ও নিয়োগদাতার তথ্য ব্যবহার করে বার্তাকে আরও বাস্তবসম্মত করে তোলা যায়। সরকারি পরিচয়পত্রের নম্বর বা পরিচয় যাচাইয়ের প্রাসঙ্গিক তথ্য থাকা রেকর্ড অন্য ডেটাসেটের সঙ্গে মেলানো হলে পরিচয় যাচাইয়ে অপব্যবহার ও প্রতারণার ঝুঁকি বাড়ে। তাই ঘটনাটিকে শুধু বিপণনের তথ্য বা সাধারণ যোগাযোগের তালিকা ফাঁস হিসেবে দেখা উচিত নয়।

নিয়োগদাতা ও পেশার তথ্য ব্যবহার করে একজন ব্যক্তির কর্মস্থল, পদ বা পেশাগত পরিবেশের ভিত্তিতে তাকে লক্ষ্যবস্তু করা যেতে পারে। ভুয়া চাকরির প্রস্তাব, বিমার প্রস্তাব, ঋণপণ্য, বেতনসংক্রান্ত তথ্য হালনাগাদ, কর্মীর পরিচয় যাচাই বা ব্যাংকের নিরাপত্তা যাচাইয়ের মতো পরিস্থিতি আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। ফোন নম্বর ও ইমেইল ঠিকানা একসঙ্গে পাওয়া গেলে আক্রমণকারী প্রথমে বার্তা পাঠিয়ে পরে ফোন করতে পারেন, যাতে আস্থা তৈরি করা যায়। এই রেকর্ডের ঝুঁকি মূলত পরিচয়, যোগাযোগ ও চাকরিসংক্রান্ত প্রোফাইল ব্যবহার করে সামাজিক প্রকৌশলভিত্তিক প্রতারণার; এটি পাসওয়ার্ডকে কেন্দ্র করে অ্যাকাউন্ট দখলের ঘটনা নয়।

এই রেকর্ডে ব্যবহৃত অনুসন্ধানযোগ্য অ্যাকাউন্টের সংখ্যা 12,84,637, কারণ বৃহত্তর ডেটাসেটের রেকর্ডগুলোর কেবল একটি অংশে ইমেইল ঠিকানা রয়েছে। ঘটনাটির মোট পরিসর প্রায় 2 কোটি 40 লাখ ব্যক্তি ও 7,93,749 ব্যবসাপ্রতিষ্ঠান বলে জানানো হলেও, এই সংখ্যাকে ইমেইলের মাধ্যমে অনুসন্ধানযোগ্য রেকর্ডের সংখ্যার সঙ্গে গুলিয়ে ফেলা উচিত নয়। আনুষ্ঠানিক বিবৃতিতে 24,838 ব্যবসাপ্রতিষ্ঠানের ব্যাংক অ্যাকাউন্ট নম্বর দেওয়ার কথাও উল্লেখ করা হয়েছে; এই তথ্যকে ব্যক্তি পর্যায়ের ভোক্তাদের তথ্যের ধরনগুলোর সঙ্গে গুলিয়ে ফেলা উচিত নয়। ব্যক্তির রেকর্ডের ক্ষেত্রে যাচাই করা তথ্য ইমেইল, নিয়োগদাতা, সরকারি পরিচয়পত্র, নাম, পেশা ও ফোন নম্বরের মধ্যেই সীমাবদ্ধ।

ঘটনাটির সময়রেখাও স্পষ্টভাবে আলাদা করা উচিত। প্রতারণাকারী ব্যক্তিকে তথ্য দেওয়া হয়েছিল 24 ও 27 মে 2020-এ, Experian South Africa ঘটনাটি শনাক্ত করে 22 জুলাই 2020-এ, এবং জনসমক্ষে ঘোষণা দেওয়া হয় 19 আগস্ট 2020-এ। এই রেকর্ডের তারিখ হিসেবে 19 আগস্ট 2020 রাখা হয়েছে, কারণ সেদিন ঘটনাটি জনসমক্ষে জানানো হয় এবং তথ্য ফাঁসের রেকর্ড সংরক্ষণের ব্যবস্থাগুলোতে এই তারিখই ব্যবহৃত হয়। বিবরণে এমন দাবি করা উচিত নয় যে সিস্টেম সরাসরি হ্যাক করা হয়েছিল, ব্যক্তিদের সব আর্থিক তথ্য দেওয়া হয়েছিল বা পাসওয়ার্ড ফাঁস হয়েছিল; এ ধরনের দাবি যাচাই করা পরিসরের বাইরে যাবে।

দক্ষিণ আফ্রিকায় সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই ব্যক্তিরা, যাদের তথ্য ঋণ, যোগাযোগ, চাকরি বা পরিচয় যাচাইয়ের প্রক্রিয়ার সূত্রে Experian-এর তথ্যব্যবস্থায় অন্তর্ভুক্ত রয়েছে। কারও নাম, ফোন নম্বর, ইমেইল, নিয়োগদাতা ও পেশার তথ্য একসঙ্গে পাওয়া গেলে আক্রমণকারীরা তার পেশাগত জীবনের সঙ্গে সামঞ্জস্যপূর্ণ বলে মনে হয় এমন বার্তা তৈরি করতে পারেন। কর্মস্থল থেকে এসেছে বলে মনে হয় এমন বেতন, বিমা, ঋণ, কর্মীর পরিচয় যাচাই বা কর্মস্থলের ফোন নম্বর হালনাগাদসংক্রান্ত বার্তা এই তথ্যগুলোর সমন্বয়ে আরও বিশ্বাসযোগ্য হয়ে ওঠে। সরকারি পরিচয়সংক্রান্ত তথ্যের প্রেক্ষাপট অন্য উৎসের তথ্যের সঙ্গে মিলিয়ে ব্যবহার করা হলে অ্যাকাউন্ট খোলা বা যাচাইয়ের ক্ষেত্রেও ঝুঁকি বাড়তে পারে।

ব্যবসাপ্রতিষ্ঠানের ঝুঁকি আলাদা। কোম্পানির নিবন্ধনসংক্রান্ত তথ্য, ব্যবসায়িক যোগাযোগের তথ্য, ক্রেডিট প্রোফাইল এবং কিছু ব্যবসাপ্রতিষ্ঠানের ব্যাংক অ্যাকাউন্ট নম্বর ভুয়া সরবরাহকারী, চালান, ঋণের আবেদন বা অর্থপ্রদান অন্যত্র পাঠানোর মতো প্রতারণায় ব্যবহার করা যেতে পারে। তাই বিষয়টি শুধু ব্যক্তি পর্যায়ের ভোক্তাদের জন্য নয়; কোম্পানির কর্মকর্তা, অর্থ বিভাগ, ব্যবসা উন্নয়ন দল এবং গ্রাহক যোগাযোগ দলও লক্ষ্যবস্তু হতে পারে। যাদের তথ্য এই রেকর্ডের সঙ্গে মিলে যায়, তাদের নিয়োগদাতা বা পেশাসংক্রান্ত তথ্য ব্যবহার করে পাঠানো বার্তার প্রতি বিশেষ সতর্ক থাকা উচিত।

আপনার তথ্যের মিল পাওয়া গেলে, প্রথমে ইমেইল ও ফোনে আসা ঋণ, বিমা, নিয়োগদাতা যাচাই, অ্যাকাউন্ট হালনাগাদ বা পরিচয় যাচাইয়ের অনুরোধগুলো সতর্কভাবে মূল্যায়ন করুন। শুধু আপনার নাম, নিয়োগদাতা বা পেশা জানেন বলেই ফোনকারীকে বিশ্বাসযোগ্য মনে করবেন না। নিয়মিত আপনার ক্রেডিট রিপোর্ট ও পরিচয় যাচাইসংক্রান্ত কার্যক্রম পর্যবেক্ষণ করুন। অস্বাভাবিক ঋণসংক্রান্ত অনুসন্ধান, নতুন অ্যাকাউন্ট খোলা বা যোগাযোগের তথ্যে পরিবর্তন লক্ষ করলে, সংশ্লিষ্ট প্রতিষ্ঠানের সঙ্গে আপনার আগে থেকে স্থাপিত আনুষ্ঠানিক যোগাযোগমাধ্যমে সরাসরি যোগাযোগ করুন।

ব্যবসাপ্রতিষ্ঠানের ক্ষেত্রে, ব্যাংক অ্যাকাউন্ট নম্বর বা কোম্পানির প্রোফাইল ব্যবহার করে ভুয়া চালান পাঠানো ও অর্থপ্রদান অন্যত্র পাঠানোর ঝুঁকি সম্পর্কে অর্থ বিভাগকে জানানো উচিত। অর্থপ্রদানের তথ্য পরিবর্তনের অনুমোদন শুধু একটি যোগাযোগমাধ্যমের ওপর নির্ভর করে দেওয়া উচিত নয়; দ্বিতীয় একটি মাধ্যমে যাচাই করা উচিত। ব্যক্তি পর্যায়ের ব্যবহারকারীদের ইমেইল অ্যাকাউন্টে শক্তিশালী পাসওয়ার্ড ও বহু-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করা উচিত এবং ফোনে পাঠানো একবার ব্যবহারযোগ্য কোড জানাতে বললে সেই অনুরোধে সাড়া দেওয়া উচিত নয়। পরিচয় বা ব্যবসাসংক্রান্ত তথ্য চাওয়া ফর্ম যাচাই করতে লিংক ব্যবহার না করে প্রতিষ্ঠানের ডোমেইন নাম নিজে টাইপ করে প্রবেশ করা উচিত।

এই ঘটনা দেখায়, তথ্য মধ্যস্থতাকারী ও ক্রেডিট ব্যুরোর ব্যবস্থায় সংরক্ষিত যোগাযোগ ও চাকরিসংক্রান্ত তথ্য দীর্ঘমেয়াদি ঝুঁকি তৈরি করতে পারে। নিয়মিত ক্রেডিট রিপোর্ট পরীক্ষা, অস্বাভাবিক ঋণসংক্রান্ত অনুসন্ধানের সতর্কবার্তা এবং পরিচয়সংক্রান্ত কার্যক্রম পর্যবেক্ষণের সেবা ব্যবহার করে ব্যবহারকারীদের নিজেদের সুরক্ষিত রাখা উচিত। নিয়োগদাতা ও পেশার তথ্য বদলে গেলে পুরোনো প্রোফাইলে থেকে যাওয়া রেকর্ড কোথায় ব্যবহৃত হচ্ছে, তা অনুসরণ করা কঠিন। তাই ব্যক্তিগত তথ্য চাওয়া প্রতিটি প্রতিষ্ঠানের কাছে তথ্য চাওয়ার উদ্দেশ্য ও তা সংরক্ষণের মেয়াদ সম্পর্কে জানতে চাওয়া উচিত। অপ্রয়োজনীয়ভাবে ফোন নম্বর ও ইমেইল ঠিকানা দেওয়া কমালে দীর্ঘমেয়াদে লক্ষ্যভিত্তিক বার্তার ঝুঁকি কমে।

প্রতিষ্ঠানের দৃষ্টিকোণ থেকে ঘটনাটি দেখায়, গ্রাহক গ্রহণ ও তথ্যের অনুরোধ যাচাইয়ের প্রক্রিয়া প্রযুক্তিগত নিরাপত্তার মতোই গুরুত্বপূর্ণ। বৈধ গ্রাহক সেজে আসা ব্যক্তিদের ঠেকাতে কোম্পানির কর্মকর্তাদের পরিচয় যাচাই, নির্দিষ্ট উদ্দেশ্যে তথ্যের ব্যবহার সীমিত রাখা, ন্যূনতম প্রয়োজনীয় তথ্য ব্যবহার, অতিরিক্ত সম্মতি এবং অস্বাভাবিক অনুরোধ পর্যবেক্ষণ আরও জোরদার করা উচিত। ব্যবসায়িক তথ্য দেওয়ার সময় ব্যাংক অ্যাকাউন্ট নম্বরের তথ্যও সুরক্ষিত রাখা উচিত; আর ব্যক্তিগত তথ্যের ক্ষেত্রে সরকারি পরিচয়পত্র ও চাকরিসংক্রান্ত তথ্য যতটা সম্ভব আলাদা রাখা উচিত। ব্যবহারকারীদের ক্ষেত্রে ঋণসংক্রান্ত সতর্কবার্তা চালু রাখা এবং বাইরের কারও যোগাযোগের বিষয়ে সতর্ক থাকা দীর্ঘস্থায়ী সুরক্ষা দেয়।

Experian (দক্ষিণ আফ্রিকা)-এর রেকর্ডের সঙ্গে মিল পাওয়ার অর্থ হলো, এই ঘটনার সঙ্গে সংশ্লিষ্ট ডেটাসেটে আপনার ইমেইল ঠিকানা রয়েছে। এই ফলাফলের অর্থ নয় যে পুরো ডেটাসেটের প্রতিটি তথ্য আপনার সম্পর্কে। তবে ইমেইল, ফোন, ID, নিয়োগদাতা বা পেশার তথ্য ব্যবহার করে আপনাকে লক্ষ্যবস্তু করার সম্ভাবনাকে গুরুত্ব দেওয়া উচিত। আপনার ক্রেডিট রিপোর্ট পরীক্ষা করুন, অপ্রত্যাশিত ঋণসংক্রান্ত অনুসন্ধান পর্যবেক্ষণ করুন, নিয়োগদাতা বা আর্থিক প্রতিষ্ঠান থেকে এসেছে বলে মনে হয় এমন বার্তা যাচাই করুন এবং ফোনে পরিচয় যাচাইয়ের জন্য চাপ দেওয়া হলে সতর্ক থাকুন।

Experian South Africa-এর ঘটনাটি নির্ভুলভাবে বর্ণনা করতে এই রেকর্ড তৈরি করা হয়েছে: পুরো ঘটনায় প্রায় 2 কোটি 40 লাখ ব্যক্তি ও 7,93,749 ব্যবসাপ্রতিষ্ঠান প্রভাবিত হয়ে থাকতে পারে, তবে ইমেইল ঠিকানাযুক্ত অনুসন্ধানযোগ্য রেকর্ডের সংখ্যা 12,84,637। ঘটনাটিকে সিস্টেমে অনুপ্রবেশ হিসেবে নয়, বরং প্রতারণামূলকভাবে তথ্য চাওয়ার ঘটনা হিসেবে মূল্যায়ন করা উচিত। ব্যবহারকারীদের করণীয় হলো পরিচয় ও ঋণসংক্রান্ত কার্যক্রম পর্যবেক্ষণ করা, নিয়োগদাতা বা পেশাকে কেন্দ্র করে সামাজিক প্রকৌশলভিত্তিক প্রতারণামূলক বার্তার ব্যাপারে সতর্ক থাকা, ইমেইল ও ফোনের নিরাপত্তা জোরদার করা এবং ব্যবসাপ্রতিষ্ঠানের ক্ষেত্রে একাধিক যোগাযোগমাধ্যমে অর্থপ্রদানের তথ্যের পরিবর্তন যাচাই করা।