Eye4Fraud: 2023 সালের তথ্য ফাঁস

যাচাই করা ডেটাসেটে ইমেইল ঠিকানা, IP ঠিকানা, নাম, ক্রেডিট কার্ডের আংশিক তথ্য, পাসওয়ার্ড, ফোন নম্বর ও বাসা বা প্রতিষ্ঠানের ঠিকানা ছিল। 1,60,00,591টি স্বতন্ত্র ইমেইল ঠিকানা গণনা করা হয়েছে 147টি টেবিল থেকে একই ঠিকানার পুনরাবৃত্তি বাদ দিয়ে; এসব টেবিলে সারির সংখ্যা ছিল আরও অনেক বেশি। এই সংখ্যা থেকে সমানসংখ্যক স্বতন্ত্র ব্যক্তির তথ্য ছিল বা প্রত্যেক ব্যক্তির জন্য সব ধরনের তথ্য ছিল, কোনোটিই নিশ্চিত করা যায় না। ডেটাসেটে মূলত দুটি গোষ্ঠীর তথ্য ছিল: Eye4Fraud সেবার সরাসরি ব্যবহারকারী এবং Eye4Fraud ব্যবহারকারী অন্য ই-কমার্স বিক্রেতাদের কাছে অর্ডার দেওয়া ক্রেতা। সরাসরি ব্যবহারকারীদের অ্যাকাউন্ট রেকর্ডে নাম ও bcrypt পাসওয়ার্ড হ্যাশ ছিল। অন্যদিকে, অর্ডারের টেবিলগুলোতে নাম, ফোন নম্বর, বাসা বা প্রতিষ্ঠানের ঠিকানা এবং কার্ডের আংশিক তথ্য ছিল। কার্ডের আংশিক তথ্য বলতে কার্ডের ধরন ও শেষ চার অঙ্ক বোঝানো হয়েছে; সম্পূর্ণ কার্ড নম্বর ও সিকিউরিটি কোড ফাঁস হওয়া তথ্যের ধরন হিসেবে নিশ্চিত করা হয়নি।

Eye4Fraud আনুষ্ঠানিকভাবে নিশ্চিত করেছে যে নির্দিষ্ট কিছু গ্রাহকের সঙ্গে সম্পর্কিত এবং সীমিত তথ্য থাকা একটি ব্যাকআপ ফাইলে 2023 সালের জানুয়ারিতে অননুমোদিত প্রবেশের ঘটনা ঘটেছিল। প্রতিষ্ঠানটি জানায়, তারা সাইবার নিরাপত্তা বিশেষজ্ঞ ও বাইরের পরামর্শকদের নিয়োগ দিয়েছিল, আইনশৃঙ্খলা রক্ষাকারী সংস্থাকে জানিয়েছিল এবং তদন্তে সহযোগিতা করেছিল। 2023 সালের ফেব্রুয়ারিতে একটি অপরাধী ফোরামে প্রায় 65 GB তথ্য বিক্রির প্রস্তাব দেওয়া হয়, যা Eye4Fraud থেকে এসেছে বলে দাবি করা হয়েছিল। প্রকাশিত তথ্যে 147টি টেবিলজুড়ে কয়েক কোটি সারি ছিল। যাচাই করে 1,60,00,591টি স্বতন্ত্র ইমেইল ঠিকানা শনাক্ত করা হয়। Bcrypt পাসওয়ার্ড হ্যাশ কেবল সেবাটির সরাসরি ব্যবহারকারীদের সঙ্গে যুক্ত ছিল; ক্রেতাদের ই-কমার্স অ্যাকাউন্টের পাসওয়ার্ড সংগ্রহ করা হয়েছিল, এমনটি প্রমাণে দেখা যায় না। প্রযুক্তিগতভাবে কীভাবে প্রবেশ করা হয়েছিল তা প্রকাশ করা হয়নি। তাই সফটওয়্যারের ত্রুটি, ফিশিং বা প্রতিষ্ঠানের ভেতরের কারও মাধ্যমে প্রবেশকে নিশ্চিত কারণ হিসেবে উপস্থাপন করা যাবে না।

যাঁদের সরাসরি Eye4Fraud অ্যাকাউন্ট ছিল, তাঁদের প্রধান ঝুঁকি হলো দুর্বল পাসওয়ার্ড বা অন্য কোথাও একই পাসওয়ার্ড ব্যবহার করা হলে সেটি bcrypt হ্যাশ থেকে অনুমান করে বের করা সম্ভব হতে পারে। Eye4Fraud ব্যবহারকারী বিক্রেতাদের কাছে যাঁরা অর্ডার দিয়েছিলেন, তাঁরা কখনো Eye4Fraud অ্যাকাউন্ট না খুললেও তাঁদের তথ্য এই রেকর্ডে থাকতে পারে, কারণ লেনদেন যাচাইয়ের তথ্য সেবাটির মাধ্যমে আদান-প্রদান হতো। নাম, ফোন নম্বর, বাসা বা প্রতিষ্ঠানের ঠিকানা, ইমেইল, IP ঠিকানা এবং কার্ডের শেষ চার অঙ্ক একসঙ্গে ব্যবহার করে পণ্য পৌঁছে দেওয়া, অর্ডার বাতিল, অর্থ ফেরত, পেমেন্ট যাচাই বা ব্যাংকের পরিচয়ে ভুয়া ফোনকলের মতো বিশ্বাসযোগ্য প্রতারণা সাজানো যেতে পারে। শুধু শেষ চার অঙ্ক দিয়ে কার্ডে পেমেন্ট করা যায় না, তবে প্রকৃত লেনদেনের বিবরণ ব্যবহার করে সামাজিক কৌশলে প্রতারণা আরও বিশ্বাসযোগ্য করা যায়। ইমেইল ঠিকানার মিল পাওয়া মানেই সম্পূর্ণ কার্ড নম্বর ফাঁস হয়েছে, কোনো পাসওয়ার্ড উদ্ধার করা হয়েছে বা তালিকাভুক্ত সব ধরনের তথ্য একই ব্যক্তির ছিল, এমন নয়।

আপনার Eye4Fraud অ্যাকাউন্ট থাকলে সেটির পাসওয়ার্ড বদলে দীর্ঘ ও শুধু ওই অ্যাকাউন্টের জন্য নির্দিষ্ট একটি পাসওয়ার্ড দিন। একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের পাসওয়ার্ডও বদলান। প্রধান মেইলবক্স, বিক্রেতার পরিচালনা প্যানেল, পেমেন্ট সেবা ও আর্থিক অ্যাকাউন্টগুলোকে অগ্রাধিকার দিন। একই পাসওয়ার্ডের সব পুনর্ব্যবহার বন্ধ করুন এবং একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করুন; পুরোনো পাসওয়ার্ডে একটি অঙ্ক যোগ করলেই সেটি যথেষ্ট আলাদা হয়ে যায় না। মেইলবক্সের সক্রিয় সেশন, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা, মেইল ফরওয়ার্ডিংয়ের নিয়ম ও অপরিচিত ডিভাইস পরীক্ষা করুন। আপনি Eye4Fraud ব্যবহারকারী কোনো বিক্রেতার কাছ থেকে কেনাকাটা করে থাকলে কার্ডের লেনদেন ও লেনদেনের সতর্কবার্তা দেখুন। অপরিচিত কোনো চার্জ পেলে ব্যাংকের পরিচিত যোগাযোগমাধ্যমে জানান। পণ্য পৌঁছে দেওয়া, অর্থ ফেরত, অর্ডার বা কার্ড যাচাইসংক্রান্ত বার্তার লিংক ব্যবহার করবেন না; নিজে বিক্রেতা বা ব্যাংকের অ্যাপ খুলুন। ফোনকারী কার্ডের শেষ চার অঙ্ক জানলেও কখনো একবার ব্যবহারযোগ্য কোড, সম্পূর্ণ কার্ড নম্বর বা সিকিউরিটি কোড জানাবেন না।

পাসওয়ার্ড ম্যানেজার ব্যবহার করে প্রতিটি অ্যাকাউন্টের জন্য এলোমেলোভাবে তৈরি আলাদা পাসওয়ার্ড রাখুন, যাতে একটি হ্যাশ থেকে পাসওয়ার্ড উদ্ধার হলেও অন্য সেবাগুলো ঝুঁকিতে না পড়ে। ইমেইল, আর্থিক সেবা ও ই-কমার্স পরিচালনার জন্য পাসকি বা ফিশিং-প্রতিরোধী একাধিক উপাদানভিত্তিক পরিচয় যাচাইকে অগ্রাধিকার দিন। ব্যাংক ও কার্ডের সতর্কবার্তা চালু করুন। অনলাইনে কেনাকাটার জন্য ভার্চুয়াল কার্ড বা ব্যবহারে সীমা আরোপ করা কার্ড পাওয়া গেলে সেগুলো ব্যবহারের কথা বিবেচনা করুন। ই-কমার্স প্রতিষ্ঠানগুলোর উচিত জালিয়াতি প্রতিরোধ সেবাদাতাদের কাছে পাঠানো তথ্য যথাসম্ভব কম রাখা, তথ্য সংরক্ষণের সময়সীমা কার্যকর করা এবং চালু ব্যবস্থার একই প্রবেশাধিকারসীমার আওতায় ব্যাকআপ না রাখা। পরিচালনার কাজে ন্যূনতম প্রয়োজনীয় অনুমতি দেওয়া, ব্যাকআপ এনক্রিপ্ট করা, প্রবেশের লগ পর্যবেক্ষণ এবং নিরাপত্তার ঘটনা সম্পর্কে সংশ্লিষ্টদের জানানোর পরিকল্পনা মহড়ার মাধ্যমে পরীক্ষা করা, এসব অননুমোদিত প্রবেশের প্রভাব কমায়। কোনো বার্তা বা ফোনকারী প্রকৃত অর্ডারের বিবরণ জানলেই সেটিকে বিশ্বাসযোগ্যতার প্রমাণ মনে করবেন না।

এই পাতার নিরাপদ অনুসন্ধান ঘরে আপনার বর্তমান ও আগে ব্যবহার করা প্রতিটি ইমেইল ঠিকানা যাচাই করুন, যা কোনো Eye4Fraud অ্যাকাউন্টে বা সেবাটির মাধ্যমে যাচাই করা অর্ডারে থাকতে পারে। মিল পাওয়া মানে ঠিকানাটি যাচাই করা 1,60,00,591টি স্বতন্ত্র ইমেইল ঠিকানার মধ্যে রয়েছে। এতে ঠিকানাটি কোন টেবিল থেকে এসেছে তা জানা যায় না, ওই সারিতে পাসওয়ার্ড হ্যাশ বা কার্ডের আংশিক তথ্য ছিল বলে প্রমাণিত হয় না এবং কার্ডের সম্পূর্ণ তথ্য ফাঁস হয়েছে বলেও বোঝায় না। ফল পেলে ভেবে দেখুন, আপনি সেবাটির সরাসরি ব্যবহারকারী ছিলেন কি না বা কোন কোন বিক্রেতার কাছ থেকে কেনাকাটা করেছিলেন। সে অনুযায়ী পাসওয়ার্ড, মেইলবক্স ও পেমেন্ট যাচাইয়ের কাজগুলোকে অগ্রাধিকার দিন। পুরোনো পাসওয়ার্ডের পুনর্ব্যবহার বন্ধ করুন, অ্যাকাউন্টের সেশন পরীক্ষা করুন এবং কার্ডের সতর্কবার্তা চালু করুন। অনুসন্ধান ঘরে কখনো পাসওয়ার্ড, সম্পূর্ণ কার্ড নম্বর, সিকিউরিটি কোড, একবার ব্যবহারযোগ্য কোড বা বাসা বা প্রতিষ্ঠানের ঠিকানা দেবেন না। মিল না পাওয়া নিরাপত্তার সম্পূর্ণ নিশ্চয়তা নয়, কারণ ভিন্নভাবে লেখা কোনো ঠিকানা, এই ডেটাসেটের বাইরে থাকা কোনো অর্ডার বা অন্য কোনো তথ্য ফাঁসের ঘটনা আপনার ক্ষেত্রে প্রযোজ্য হতে পারে। সন্দেহজনক বার্তার লিংক ব্যবহার না করে বিক্রেতা বা আর্থিক প্রতিষ্ঠানের পরিচিত ডোমেইন সরাসরি খুলুন।