GeniusU: তথ্য ফাঁস
GeniusU-এর তথ্য ফাঁস 2020 সালের অক্টোবরে ঘটে যাওয়া একটি যাচাইকৃত ঘটনা। এতে উদ্যোক্তা শিক্ষা, মেন্টরশিপ ও ব্যক্তিগত উন্নয়নভিত্তিক কমিউনিটির জন্য ব্যবহৃত একটি অনলাইন প্ল্যাটফর্মের ব্যবহারকারীদের তথ্য এই তথ্য ফাঁসের ঘটনার আওতায় পড়ে। তথ্য ফাঁসের তারিখ হিসেবে 2 অক্টোবর 2020 নথিভুক্ত রয়েছে। ঘটনাটি 2021 সালের জানুয়ারিতে যাচাই করা হয় এবং প্রধান তথ্য ফাঁসের সূচিগুলোতে যুক্ত করা হয়। ব্যবহারকারীর তথ্য অনুসন্ধানের জন্য যাচাইকৃত হিসাবে অ্যাকাউন্টের সংখ্যা 13,01,460। নিয়ন্ত্রক সংস্থার সিদ্ধান্ত ও কোম্পানির বিবৃতি অনুযায়ী, প্রায় 12.6 লাখ ব্যবহারকারীর ব্যক্তিগত তথ্য এই তথ্য ফাঁসের ঘটনার আওতায় পড়েছে। এই দুটি সংখ্যা ভিন্ন পরিমাপের উৎস থেকে এসেছে; স্বতন্ত্র অ্যাকাউন্টের সংখ্যা ব্যবহারকারীর তথ্য অনুসন্ধানের ভিত্তিতে নির্ধারিত।
উন্মুক্ত হওয়া তথ্যের ধরন
7- ইমেইল ঠিকানা
- লিঙ্গ
- ভৌগোলিক অবস্থান
- IP ঠিকানা
- নাম
- পাসওয়ার্ড
- সামাজিক মাধ্যমের প্রোফাইল
এই তথ্য ফাঁস সম্পর্কে
ফাঁস হওয়া তথ্যের মধ্যে রয়েছে ইমেইল ঠিকানা, নাম, IP ঠিকানা, অবস্থানের তথ্য, লিঙ্গের তথ্য, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল লিংক ও পাসওয়ার্ড হ্যাশ। কোম্পানির বিবৃতিতে স্পষ্ট করা হয়েছে যে পাসওয়ার্ড প্লেইন টেক্সট হিসেবে সংরক্ষণ করা হয় না এবং ক্রেডিট কার্ডের তথ্য রাখা হয় না। তাই ঘটনাটিকে পেমেন্ট কার্ড বা প্লেইন টেক্সট পাসওয়ার্ড ফাঁস হিসেবে উপস্থাপন করা উচিত নয়। তবে ইমেইল, নাম, অবস্থান, IP ঠিকানা ও প্রোফাইল লিংক একত্রে পাওয়া গেলে কোনো ব্যক্তির বিভিন্ন তথ্য মিলিয়ে শনাক্ত করার ঝুঁকি বাড়ে। পাসওয়ার্ড হ্যাশও অ্যাকাউন্ট দখলের চেষ্টার ভিত্তি হতে পারে, বিশেষ করে যাঁরা বিভিন্ন সেবায় একই পাসওয়ার্ড ব্যবহার করেন তাঁদের ক্ষেত্রে।
ফাঁস হওয়া তথ্যের ধরন ও ঝুঁকি
যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, IP ঠিকানা, ভৌগোলিক অবস্থান, লিঙ্গের তথ্য, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল ও পাসওয়ার্ড। বিভিন্ন সেবায় কোনো ব্যবহারকারীকে খুঁজে বের করতে আক্রমণকারীর জন্য ইমেইল ঠিকানা প্রধান যোগসূত্র হিসেবে কাজ করে। নাম ও প্রোফাইল লিংক কোনো পেশাগত বা উদ্যোক্তা কমিউনিটিতে ওই ব্যক্তির প্রকাশ্য পরিচিতির সঙ্গে মিলে যেতে পারে। IP ঠিকানা ও অবস্থানের তথ্য ব্যবহারকারী কোন পরিস্থিতিতে সেবাটি ব্যবহার করেছেন, সে সম্পর্কে বাড়তি সূত্র দিতে পারে। লিঙ্গের তথ্য একা কোনো অ্যাকাউন্ট বেহাত করার জন্য যথেষ্ট নয়, তবে ব্যক্তিকে লক্ষ্য করে তৈরি বার্তায় তা ব্যবহার করা যেতে পারে।
পাসওয়ার্ডের ঘরে থাকা তথ্যকে প্লেইন টেক্সট নয়, বরং bcrypt দ্বারা সুরক্ষিত হ্যাশ হিসেবে বিবেচনা করা উচিত। এভাবে সংরক্ষণ করা প্লেইন টেক্সটের তুলনায় বেশি সুরক্ষিত; তবে দুর্বল বা একাধিক সেবায় ব্যবহৃত পাসওয়ার্ডের ঝুঁকি থেকে যায়। আক্রমণকারীরা ইমেইল ও পাসওয়ার্ড হ্যাশ থেকে বের করা সম্ভাব্য মিল অন্য সেবায় পরীক্ষা করার চেষ্টা করতে পারে। সামাজিক যোগাযোগমাধ্যমের প্রোফাইল লিংক ও নামের তথ্য ব্যবহার করে ভুয়া মেন্টরশিপের আমন্ত্রণ, অনুষ্ঠানের বিজ্ঞপ্তি, কোর্সে প্রবেশাধিকার, বিনিয়োগ নেটওয়ার্কের বার্তা বা অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত সতর্কবার্তাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। তাই ঝুঁকি শুধু একটি প্ল্যাটফর্মের অ্যাকাউন্টে সীমাবদ্ধ নয়।
যাচাইকৃত পরিসর ও সীমা
তথ্য ফাঁসের তারিখ 2 অক্টোবর 2020 এবং বৃহৎ তথ্য ফাঁসের সূচিগুলোতে যুক্ত করার তারিখ 8 জানুয়ারি 2021 হিসেবে নথিভুক্ত রয়েছে। ব্যবহারকারীর তথ্য অনুসন্ধানের জন্য যাচাইকৃত অ্যাকাউন্টের সংখ্যা 13,01,460। নিয়ন্ত্রক সংস্থার সিদ্ধান্তে বলা হয়েছে, প্রায় 12.6 লাখ ব্যবহারকারীর ব্যক্তিগত তথ্য এই তথ্য ফাঁসের ঘটনার আওতায় পড়েছে। সেখানে এই ঘটনার আওতায় পড়া তথ্য হিসেবে নাম, ইমেইল ঠিকানা, অবস্থান ও সর্বশেষ লগইনের IP ঠিকানা চিহ্নিত করা হয়েছে। কোম্পানির ঘোষণায় বলা হয়েছে, নাম, ইমেইল, পাসওয়ার্ড হ্যাশ ও অবস্থানের তথ্য এই তথ্য ফাঁসের ঘটনার আওতায় পড়েছে। তথ্য ফাঁসের সূচিগুলোতে অতিরিক্ত তথ্যের ধরন হিসেবে লিঙ্গের তথ্য ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইল লিংকও তালিকাভুক্ত রয়েছে।
কোন ধরনের তথ্য এই ঘটনার পরিসরের বাইরে, তা স্পষ্ট রাখা উচিত। এই ঘটনায় ক্রেডিট কার্ডের তথ্য, ব্যাংক অ্যাকাউন্ট, স্বাস্থ্যসংক্রান্ত তথ্য, সরকারি পরিচয়পত্রের নম্বর, ব্যক্তিগত বার্তার বিষয়বস্তু বা পেমেন্ট লেনদেন ফাঁস হয়েছে বলে যাচাই করা হয়নি। পাসওয়ার্ডের ক্ষেত্রে সঠিক পরিভাষা প্লেইন টেক্সট পাসওয়ার্ড নয়, বরং হ্যাশ করা পাসওয়ার্ডের তথ্য। একটি নির্ভরযোগ্য নিয়ন্ত্রক সিদ্ধান্ত অনুযায়ী, ঘটনার কারণের সঙ্গে একটি ডেভেলপার অ্যাকাউন্ট বেহাত হওয়া এবং কোডের পরিবেশে ডেটাবেসের লগইন তথ্য পাওয়া যুক্ত। ব্যবহারকারীদের জন্য প্রকাশ্য বিবরণে মূল ঝুঁকির মূল্যায়ন করা উচিত যাচাইকৃত তথ্যের ধরন ও ব্যবহারকারীর করণীয় সতর্কতার ভিত্তিতে।
ঝুঁকিতে থাকা ব্যবহারকারীরা
GeniusU অ্যাকাউন্ট খুলেছেন এমন উদ্যোক্তা, প্রশিক্ষক, মেন্টর, শিক্ষার্থী, কমিউনিটির সদস্য ও পেশাগত উন্নয়নসংক্রান্ত বিষয়বস্তু অনুসরণকারী ব্যক্তিরা প্রথম ঝুঁকিপূর্ণ গোষ্ঠীর অন্তর্ভুক্ত। যাঁরা ব্যবসায়িক ইমেইল দিয়ে প্ল্যাটফর্মটি ব্যবহার করেন, তাঁদের লক্ষ্য করে বার্তা পাঠানোর ঝুঁকি বেশি, কারণ ইমেইল ঠিকানা ও নামের তথ্য তাঁদের পেশাগত পরিচয়ের সঙ্গে মিলে যেতে পারে। সামাজিক যোগাযোগমাধ্যমের প্রোফাইল লিংক থাকা ব্যবহারকারীদের অন্য নেটওয়ার্কের অ্যাকাউন্টের সঙ্গে যুক্ত করা সম্ভব। যাঁদের অবস্থান ও IP ঠিকানার তথ্য রয়েছে, তাঁদের জন্য স্থানীয় বা আঞ্চলিক প্রেক্ষাপট অনুযায়ী বার্তা তৈরি করা সহজ হয়।
যাঁরা বিভিন্ন শিক্ষা প্ল্যাটফর্ম, পেশাগত নেটওয়ার্ক, ইমেইল বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের আরও সতর্ক হওয়া উচিত। উদ্যোক্তা ও শিক্ষা কমিউনিটিতে ব্যবহারকারীরা প্রায়ই প্রকাশ্য প্রোফাইল, অনুষ্ঠানে অংশগ্রহণের তথ্য ও সামাজিক যোগাযোগমাধ্যমের লিংক একসঙ্গে শেয়ার করেন। ভুয়া অনুষ্ঠানের আমন্ত্রণ, বিনিয়োগকারীর বার্তা, মেন্টরের সঙ্গে বৈঠক, সনদের বিজ্ঞপ্তি বা কোর্সে প্রবেশাধিকারের সতর্কবার্তার মতো সোশ্যাল ইঞ্জিনিয়ারিং প্রচেষ্টায় এই তথ্য কাজে লাগানো যেতে পারে। যাঁরা পুরোনো অ্যাকাউন্ট আর ব্যবহার করেন না, তাঁদেরও ঝুঁকিমুক্ত ধরা হয় না; ইমেইল, নাম ও প্রোফাইল লিংক দীর্ঘদিন কার্যকর থাকতে পারে।
জরুরি করণীয়
আপনি ক্ষতিগ্রস্ত হয়েছেন বলে জানতে পারলে প্রথমে যাচাই করুন, GeniusU-তে ব্যবহৃত পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করেছেন কি না। অন্য কোথাও একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করে থাকলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ ও শক্তিশালী পাসওয়ার্ড নির্ধারণ করুন। ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট, পেশাগত নেটওয়ার্কের অ্যাকাউন্ট ও শিক্ষা প্ল্যাটফর্মগুলোকে অগ্রাধিকার দিন। GeniusU অ্যাকাউন্টে প্রবেশ করতে পারলে সক্রিয় সেশন, সংযুক্ত সামাজিক যোগাযোগমাধ্যমের প্রোফাইল, প্রোফাইল কারা দেখতে পারেন, অবস্থানের ঘর ও ইমেইলসংক্রান্ত পছন্দগুলো পর্যালোচনা করুন।
কোর্সে প্রবেশাধিকার, মেন্টরশিপের আমন্ত্রণ, অনুষ্ঠানের টিকিট, সনদ, বিনিয়োগ নেটওয়ার্ক, পাসওয়ার্ড রিসেট বা অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত লিংক সরাসরি খুলবেন না। সেবাটি ব্যবহার করার প্রয়োজন হলে ব্রাউজারে নিজে ঠিকানা লিখুন অথবা পরিচিত অফিসিয়াল লগইন পৃষ্ঠা ব্যবহার করুন। ফোন, ইমেইল বা সামাজিক যোগাযোগমাধ্যমে পাওয়া যাচাইকরণ কোড ও পাসওয়ার্ড চাওয়ার অনুরোধ কারও সঙ্গে শেয়ার করবেন না। কর্মক্ষেত্রের ইমেইল ব্যবহার করলে এই মিলের বিষয়টি প্রতিষ্ঠানের অভ্যন্তরীণ নিরাপত্তা দলকে জানান এবং কর্মক্ষেত্রে ব্যবহৃত টুলগুলোতে একই পাসওয়ার্ড ব্যবহার করা হচ্ছে না বলে নিশ্চিত হোন।
দীর্ঘমেয়াদি নিরাপত্তা কৌশল
দীর্ঘমেয়াদে শিক্ষা, কমিউনিটি ও কর্মক্ষেত্রের অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করাই মূল প্রতিরক্ষা। পাসওয়ার্ড ম্যানেজার পুরোনো ও একাধিক অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড খুঁজে বের করা সহজ করে। সামাজিক যোগাযোগমাধ্যমের প্রোফাইল লিংক শুধু প্রয়োজন অনুযায়ী শেয়ার করা উচিত এবং প্রকাশ্য প্রোফাইলের তথ্যের ঘরগুলো নিয়মিত পর্যালোচনা করা উচিত। পেশাগত কমিউনিটির অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করলে একই তথ্য ফাঁসে ব্যক্তিগত ও কর্মজীবনের পরিচয় একসঙ্গে মেলানো কঠিন হয়। অবস্থানের ঘর পূরণ করা বাধ্যতামূলক না হলে সেখানে যতটা সম্ভব কম তথ্য দেওয়া উচিত।
প্রাতিষ্ঠানিক ব্যবহারকারীদের ফিশিংবিষয়ক প্রশিক্ষণে বাইরের প্রশিক্ষণ প্ল্যাটফর্ম ও ব্যবসায়িক নেটওয়ার্কের অ্যাকাউন্টকে একটি স্বতন্ত্র পরিস্থিতি হিসেবে বিবেচনা করা উচিত। ডেভেলপার অ্যাকাউন্ট, কোড রিপোজিটরি ও ডেটাবেসে প্রবেশের ক্ষেত্রে একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই, গোপন পরিচয়তথ্য ব্যবস্থাপনার টুল এবং নিয়মিত প্রবেশাধিকার নিরীক্ষা বাধ্যতামূলক করতে হবে। ব্যক্তিগত পর্যায়ে অ্যাকাউন্টের সতর্কবার্তা চালু রাখা, সামাজিক যোগাযোগমাধ্যমের সংযোগ সীমিত করা, অপরিচিত অনুষ্ঠানের আমন্ত্রণ যাচাই করা এবং পুরোনো কমিউনিটি অ্যাকাউন্ট বন্ধ করা দীর্ঘস্থায়ীভাবে ঝুঁকি কমায়।
রেকর্ড যাচাই ও ব্যবহারকারীর করণীয়
অনুসন্ধানের ফলে GeniusU-এর তথ্য ফাঁসের ঘটনা দেখা গেলে আপনার ইমেইল ঠিকানা 13,01,460 অ্যাকাউন্টের যাচাইকৃত তথ্যসমষ্টিতে অন্তর্ভুক্ত হয়ে থাকতে পারে। এই ফলাফলের অর্থ এই নয় যে আপনার পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, স্বাস্থ্যসংক্রান্ত তথ্য বা সরকারি পরিচয়পত্রের নম্বর ফাঁস হয়েছে। যাচাইকৃত তথ্যগুলো হলো ইমেইল ঠিকানা, নাম, IP ঠিকানা, অবস্থান, লিঙ্গের তথ্য, সামাজিক যোগাযোগমাধ্যমের প্রোফাইল লিংক ও পাসওয়ার্ড হ্যাশ। প্রথমে যাচাই করুন, GeniusU-তে ব্যবহৃত পাসওয়ার্ড অন্য কোনো অ্যাকাউন্টেও ব্যবহার করেছেন কি না।
একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার করা হলে সংশ্লিষ্ট অ্যাকাউন্টগুলোর পাসওয়ার্ড একে একে বদলান এবং সম্ভব হলে অতিরিক্ত যাচাই চালু করুন। প্রয়োজন না থাকলে আপনার প্রোফাইল লিংক, অবস্থানের ঘরে দেওয়া তথ্য ও প্রকাশ্যে থাকা ব্যক্তিগত তথ্য কমিয়ে দিন। কার্যক্রম, কোর্স, মেন্টর, সনদ বা অ্যাকাউন্টের নিরাপত্তা সংক্রান্ত সন্দেহজনক লিংক খুলবেন না। পরিচিত ঠিকানা দিয়ে সেবাটিতে প্রবেশ করুন এবং আপনার ইমেইল অ্যাকাউন্টের নিরাপত্তার সেটিংস পরীক্ষা করুন। এই ঘটনায় সঠিক করণীয় হলো অযাচাইকৃত আর্থিক দাবি বাড়িয়ে না তুলে ইমেইল, প্রোফাইল, অবস্থান, IP ও পাসওয়ার্ড হ্যাশ থেকে তৈরি হওয়া অ্যাকাউন্টের নিরাপত্তার দীর্ঘমেয়াদি ঝুঁকি কমানো।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
