Fashion Nexus: তথ্য ফাঁস

এই রেকর্ডে যাচাই করা ডেটার ধরনগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, পূর্ণ নাম, ফোন নম্বর, বাসা বা অন্য স্থানের ঠিকানা, কেনাকাটার ইতিহাস, জন্মতারিখ, লিঙ্গের তথ্য, IP ঠিকানা, ব্রাউজারের user-agent তথ্য এবং পাসওয়ার্ডের ডেটা। এসব তথ্য একসঙ্গে থাকলে ঝুঁকি শুধু সাধারণ ফিশিং বার্তা পাঠানোর মধ্যে সীমাবদ্ধ থাকে না। কোনো ব্যক্তি নির্দিষ্ট সময়ে কোনো ফ্যাশন স্টোরে কেনাকাটা করে থাকলে, নির্দিষ্ট ডেলিভারির ঠিকানা ব্যবহার করে থাকলে বা নির্দিষ্ট যোগাযোগের তথ্য দিয়ে থাকলে, সেই তথ্য ব্যবহার করে ভুয়া পণ্য ফেরত প্রক্রিয়া, ডেলিভারির হালনাগাদ, প্রচারমূলক অফার, শিপিং ফি, অ্যাকাউন্ট যাচাই বা অর্ডার বাতিলের মতো বিষয়কে বিশ্বাসযোগ্যভাবে উপস্থাপন করে অপব্যবহার করা হতে পারে।

পাসওয়ার্ডের ডেটা হ্যাশ আকারে থাকার অর্থ এই নয় যে মূল পাসওয়ার্ডটি সঙ্গে সঙ্গেই সবার কাছে দৃশ্যমান। তবে বর্তমান নিরাপত্তার মানদণ্ড অনুযায়ী MD5 এবং SHA-1 দুর্বল বলে বিবেচিত হয়। সল্টবিহীন MD5 মান বিশেষভাবে ঝুঁকিপূর্ণ, কারণ আগে থেকে তৈরি করা পাসওয়ার্ডের তালিকার সঙ্গে এগুলো তুলনামূলক দ্রুত মিলিয়ে দেখা যায়। MD5 এবং SHA-1 মানে সল্ট যোগ করলে আক্রমণ কঠিন হয়, কিন্তু ছোট, একাধিক জায়গায় ব্যবহৃত বা অভিধানের শব্দভিত্তিক পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকে যায়। তাই Fashion Nexus বা সংশ্লিষ্ট দোকানে ব্যবহৃত পাসওয়ার্ড অন্য সাইটেও ব্যবহার করা হয়ে থাকলে, যেসব অ্যাকাউন্টে সেই পাসওয়ার্ড রয়েছে, সবগুলোতে তা বদলানো উচিত।

যাচাই করা স্বতন্ত্র অ্যাকাউন্টের সংখ্যা 12,79,263টি ইমেইল ঠিকানা। ঘটনার তারিখ হিসেবে 9 জুলাই 2018 নথিভুক্ত রয়েছে। এর আওতায় Fashion Nexus নামে পরিচিত খুচরা বিক্রয় গোষ্ঠীর সঙ্গে সম্পর্কিত, White Room Solutions-এর তৈরি একাধিক ই-কমার্স সাইট রয়েছে। এ প্রসঙ্গে উদাহরণ হিসেবে উল্লেখ করা ব্র্যান্ডগুলোর মধ্যে Jaded London এবং AX Paris রয়েছে। তাই Fashion Nexus নামটি সরাসরি মনে না থাকলেও, আপনি সংশ্লিষ্ট ফ্যাশন স্টোরে অ্যাকাউন্ট তৈরি করে থাকতে পারেন, অর্ডার দিয়ে থাকতে পারেন বা ডেলিভারির তথ্য দিয়ে থাকতে পারেন।

এই রেকর্ডে যাচাই করা তথ্যের ক্ষেত্রগুলো ওপরের ব্যক্তিগত ও অ্যাকাউন্ট-সংক্রান্ত ডেটার মধ্যেই সীমাবদ্ধ। সম্পূর্ণ পেমেন্ট কার্ড নম্বর, কার্ডের নিরাপত্তা কোড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র বা ব্যক্তিগত বার্তার বিষয়বস্তু এই রেকর্ডে যাচাই করা ডেটার ক্ষেত্রগুলোর মধ্যে নেই। তবে কেনাকাটার ইতিহাস ও ঠিকানার তথ্য পেমেন্ট কার্ডের ডেটা না হলেও, সেগুলো ব্যবহারকারীর প্রকৃত কেনাকাটার ধরন, পণ্য পৌঁছে দেওয়ার স্থান এবং যোগাযোগের মাধ্যম সম্পর্কে ধারণা দিতে পারে। তাই এই ঘটনার পরিসরকে আর্থিক কার্ডের ডেটার চেয়ে পরিচয় মিলিয়ে শনাক্ত করা, অ্যাকাউন্টের নিরাপত্তা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকির দিক থেকে বেশি মূল্যায়ন করা উচিত।

Fashion Nexus নেটওয়ার্কের সঙ্গে যুক্ত দোকানগুলোতে যাঁরা একই ইমেইল ও একই পাসওয়ার্ড ব্যবহার করেন, তাঁরাই সবচেয়ে বেশি ঝুঁকিতে আছেন। একই পাসওয়ার্ড ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, পণ্য পরিবহন, ব্যাংকবহির্ভূত পেমেন্ট সেবা বা কর্মক্ষেত্রের অ্যাকাউন্টেও ব্যবহার করা হলে, আক্রমণকারীরা পাসওয়ার্ডের তালিকা থেকে একের পর এক পাসওয়ার্ড চেষ্টা করে অন্যান্য সেবাকে লক্ষ্য করতে পারে। বিশেষ করে যাঁরা বছরের পর বছর পুরোনো পাসওয়ার্ড বদলাননি, একাধিক সাইটে একটি পাসওয়ার্ড ব্যবহার করেন এবং ইমেইল অ্যাকাউন্টে দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করেননি, তাঁদের আরও সতর্ক থাকা উচিত।

যেসব গ্রাহকের ঠিকানা ও ফোন নম্বরের তথ্য রয়েছে, তাঁদের ঝুঁকি শুধু অনলাইন অ্যাকাউন্টে প্রবেশের চেষ্টার মধ্যে সীমাবদ্ধ নয়। আক্রমণকারীরা পণ্য পরিবহন কোম্পানি, দোকানের গ্রাহকসেবা, পণ্য ফেরত বিভাগ বা প্রচার কার্যক্রমের দল সেজে সংশ্লিষ্ট ব্যক্তির আগের কেনাকাটার তথ্যের সঙ্গে সামঞ্জস্যপূর্ণ বার্তা তৈরি করতে পারে। জন্মতারিখ ও লিঙ্গের মতো অতিরিক্ত তথ্য পরিচয় যাচাইয়ের প্রশ্নের উত্তর অনুমান করা বা ব্যক্তির জন্য বিশেষভাবে তৈরি বলে মনে হয় এমন বার্তা বানানোও সহজ করতে পারে। যাঁরা একাধিক ফ্যাশন সাইটে একই যোগাযোগের তথ্য ব্যবহার করেন, কোন ব্র্যান্ডের মাধ্যমে এই ঘটনায় প্রভাবিত হয়েছেন তা স্পষ্ট মনে না থাকলেও তাঁদের প্রয়োজনীয় যাচাই করা উচিত।

প্রথম পদক্ষেপ হলো Fashion Nexus নেটওয়ার্কের সঙ্গে যুক্ত থাকতে পারে এমন দোকানগুলোতে ব্যবহৃত পাসওয়ার্ড অবিলম্বে বদলানো। একই পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে, সেসব অ্যাকাউন্টেও আলাদা ও শক্তিশালী পাসওয়ার্ড দিতে হবে। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সাইটের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড নির্ধারণ করা সহজ হয়। ইমেইল অ্যাকাউন্টের সুরক্ষাকে অগ্রাধিকার দিতে হবে, কারণ কেনাকাটার অ্যাকাউন্টের পাসওয়ার্ড পুনর্নির্ধারণের লিংক সাধারণত ইমেইলের মাধ্যমে আসে। ইমেইল অ্যাকাউন্টে দুই উপাদানভিত্তিক পরিচয় যাচাই চালু না থাকলে, তা অবিলম্বে চালু করা উচিত।

দ্বিতীয় পদক্ষেপ হলো পুরোনো অর্ডার, ডেলিভারি ও পণ্য ফেরত-সংক্রান্ত বার্তার ব্যাপারে সতর্ক থাকা। আপনাকে কোনো লিংকে ক্লিক করতে, সংযুক্ত ফাইল খুলতে, আবার পেমেন্ট করতে, ঠিকানা নিশ্চিত করতে বা পরিচয়-সংক্রান্ত তথ্য দিতে বলা হলে, সংশ্লিষ্ট দোকানের আনুষ্ঠানিক ডোমেইনে সরাসরি গিয়ে বার্তাটির সত্যতা যাচাই করা উচিত। ফোন করা ব্যক্তি আগের অর্ডারের বিস্তারিত জানলেও, শুধু সেটিই তাঁর বিশ্বাসযোগ্যতার প্রমাণ নয়। পণ্য পরিবহন, পণ্য ফেরত বা গ্রাহকসেবার কথা বলে আসা জরুরি অনুরোধগুলো শান্তভাবে যাচাই করা উচিত।

এই ঘটনা দেখায় যে পুরোনো ই-কমার্স অ্যাকাউন্ট দীর্ঘদিন ধরে ঝুঁকির কারণ হয়ে থাকতে পারে। ব্যবহারকারীদের নিয়মিতভাবে আর ব্যবহার করেন না এমন কেনাকাটার অ্যাকাউন্ট বন্ধ করা, সংরক্ষিত ঠিকানা ও ফোন নম্বরের তথ্য কমানো এবং প্রতিটি দোকানের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। বিশেষ করে বহু বছর আগে তৈরি করা অ্যাকাউন্টে ছোট পাসওয়ার্ড, অন্য অ্যাকাউন্টেও ব্যবহৃত পাসওয়ার্ড বা এমন ইমেইল ঠিকানা থাকতে পারে, যাতে আর প্রবেশ করা যায় না। এসব অ্যাকাউন্টের কথা ভুলে গেলে, ডেটা ফাঁসের পর এমন ঝুঁকি তৈরি হতে পারে যা অনেক দেরিতে নজরে আসে।

প্রতিষ্ঠানের দিক থেকে, খুচরা বিক্রয় কোম্পানিগুলোর পাসওয়ার্ড সংরক্ষণের পদ্ধতিতে বর্তমানের শক্তিশালী অ্যালগরিদম ব্যবহার করা, অপ্রয়োজনীয় ব্যক্তিগত ডেটা না রাখা, সেবাদাতাভেদে গ্রাহক রেকর্ড পর্যবেক্ষণ করতে পারা এবং ঘটনার পর স্বচ্ছভাবে তথ্য জানানো প্রয়োজন। পাসওয়ার্ডের ডেটা হ্যাশ আকারে থাকলেও MD5 ও SHA-1-এর মতো পুরোনো পদ্ধতি পর্যাপ্ত সুরক্ষা দেয় না। গ্রাহকের ডেটা একাধিক ব্র্যান্ড ও প্রযুক্তিগত সেবাদাতার মধ্যে আদান-প্রদান হলে, কার দায়িত্ব কতটুকু এবং রেকর্ডের জীবনচক্র, দুটিই স্পষ্টভাবে পরিচালনা করতে হবে।

এই রেকর্ডে তালিকাভুক্ত ইমেইল ঠিকানা Fashion Nexus বা এর সংশ্লিষ্ট কোনো ফ্যাশন স্টোরে ব্যবহৃত গ্রাহক অ্যাকাউন্টের সঙ্গে মিলে যেতে পারে। মিল পাওয়া গেলে, আপনার পুরোনো পাসওয়ার্ড বদলানো, একই পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলোর পাসওয়ার্ডও পরিবর্তন করা এবং ইমেইল অ্যাকাউন্টের লগইন ইতিহাস পরীক্ষা করা উচিত। কোনো সন্দেহজনক লগইন, অপ্রত্যাশিত পাসওয়ার্ড পুনর্নির্ধারণের বিজ্ঞপ্তি, অপরিচিত অর্ডার বা ডেলিভারিতে পরিবর্তন নজরে এলে, সংশ্লিষ্ট সেবার সহায়তা চ্যানেলে যোগাযোগ করুন।

Fashion Nexus-এর ডেটা ফাঁসকে শুধু একটি পুরোনো কেনাকাটার সাইটের সমস্যা হিসেবে না দেখাই সঠিক দৃষ্টিভঙ্গি। ইমেইল, ফোন নম্বর, ঠিকানা, কেনাকাটার ইতিহাস ও পাসওয়ার্ডের ডেটা একসঙ্গে ফাঁস হলে, বহু বছর পরও ফিশিং, অ্যাকাউন্টে প্রবেশের চেষ্টা এবং পরিচয় মিলিয়ে শনাক্ত করার ক্ষেত্রে ঝুঁকি আবার দেখা দিতে পারে। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড, শক্তিশালী দুই উপাদানভিত্তিক পরিচয় যাচাই, সতর্কভাবে লিংক পরীক্ষা এবং অপ্রয়োজনীয় পুরোনো অ্যাকাউন্ট কমিয়ে আনাকে ব্যবহারকারীদের স্থায়ী নিরাপত্তা অভ্যাসে পরিণত করা উচিত।