IndiHome-এর 2019 সালের তথ্য ফাঁস

যাচাইকৃত ডেটাসংগ্রহে ডিভাইসের তথ্য, ইমেইল ঠিকানা, লিঙ্গ, ভৌগোলিক অবস্থান, IP ঠিকানা ও নাম ছিল। 26 মিলিয়নের বেশি সারির মধ্যে 1,26,29,245টি স্বতন্ত্র ইমেইল ঠিকানা থাকার অর্থ হলো, একই ব্যক্তি বা ঠিকানা একাধিক কার্যকলাপের রেকর্ডে থাকতে পারে; সারির সংখ্যা ও স্বতন্ত্র ঠিকানার সংখ্যা আলাদা পরিমাপ। নাম, ইমেইল, IP ঠিকানা ও অবস্থান একসঙ্গে থাকলে বিভিন্ন তথ্য মিলিয়ে পরিচয় শনাক্ত করা, লক্ষ্যভিত্তিক ফিশিং এবং ব্যবহারকারীর প্রোফাইল তৈরির ঝুঁকি বাড়ে। ব্রাউজার, প্ল্যাটফর্ম বা স্ক্রিনের বৈশিষ্ট্যের মতো ডিভাইসের তথ্য ব্যবহার করে অপরাধীরা কোনো বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। বিভিন্ন প্রতিবেদনে পাসওয়ার্ড, ফোন নম্বর, পরিচয়পত্র ও ব্রাউজিং ইতিহাস থাকার দাবি করা হয়েছিল। তবে এই ডেটাসেটে এসব তথ্যের ধরন আলাদাভাবে যাচাই করা হয়নি এবং এই রেকর্ডে সেগুলো অন্তর্ভুক্ত করা হয়নি।

প্রতিবেদন অনুযায়ী, IndiHome-এর বলে দাবি করা 2,67,30,798টি সারির একটি ডেটাসংগ্রহ আগস্ট 2022-এ একটি হ্যাকিং ফোরামে পোস্ট করা হয়েছিল। পাওয়া কপিটি পর্যালোচনা করে 1,26,29,245টি স্বতন্ত্র ইমেইল ঠিকানা শনাক্ত করা হয়। এর সর্বশেষ রেকর্ডগুলোর টাইমস্ট্যাম্প ছিল নভেম্বর 2019-এর; তাই ক্যাটালগে 1 নভেম্বর 2019-কে রেফারেন্স তারিখ হিসেবে ব্যবহার করা হয়েছে। এই তারিখ থেকে কখন অননুমোদিত প্রবেশ ঘটেছিল বা কখন ঘটনাটি প্রকাশ করা হয়েছিল, তা প্রমাণিত হয় না। এটি ডেটাসংগ্রহে থাকা তথ্যের সর্বশেষ সময়কাল নির্দেশ করে। আগস্ট 2022-এ ইন্দোনেশিয়ার যোগাযোগ কর্তৃপক্ষ জানায়, তারা গ্রাহকের তথ্য ফাঁসের অভিযোগ পরীক্ষা করছে, ব্যাখ্যার জন্য Telkom-এর ব্যবস্থাপনা কর্তৃপক্ষকে তলব করবে এবং জাতীয় সাইবার নিরাপত্তা সংস্থার সঙ্গে সমন্বয় করবে। সরকারি বিজ্ঞপ্তিতেও তখন ঘটনাটিকে অভিযোগ হিসেবেই উল্লেখ করা হয়েছিল। পরবর্তী যাচাই ডেটাসেটটির সত্যতার পক্ষে আরও জোরালো সমর্থন দেয়, তবে প্রকাশ্যে পাওয়া প্রমাণ থেকে প্রথমবার কীভাবে অননুমোদিত প্রবেশ করা হয়েছিল, তা নিশ্চিত করা যায় না।

ডেটাসংগ্রহে যে সময়কালের তথ্য রয়েছে, সে সময় যাঁদের ইমেইল ঠিকানা কোনো IndiHome অ্যাকাউন্ট বা নেটওয়ার্ক প্রোফাইলের সঙ্গে যুক্ত ছিল, তাঁদের ঝুঁকি সবচেয়ে বেশি। নাম ও ইমেইল ঠিকানা মিলে গেলে ভুয়া বিল, প্যাকেজ আপগ্রেড, মডেম বদল, প্রযুক্তিগত সহায়তার কল বা অর্থ ফেরতের বার্তা ব্যক্তির তথ্য অনুযায়ী সাজানো যায়। শুধু IP ঠিকানা থেকে বাড়ির সঠিক ঠিকানা জানা যায় না, তবে তা আনুমানিক অবস্থান, ইন্টারনেট সেবাদাতা ও সেবার আওতাভুক্ত এলাকা নির্দেশ করতে পারে। ভৌগোলিক অবস্থান ও ডিভাইসের তথ্যের সঙ্গে মিলিয়ে ব্যবহার করলে আক্রমণকারী এমন ধারণা দিতে পারে যে সে প্রাপকের শহর, প্ল্যাটফর্ম বা ব্রাউজার সম্পর্কে জানে। এই রেকর্ডের যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে পাসওয়ার্ড নেই, তাই নিশ্চিত করা ডেটাসেটটি সরাসরি পাসওয়ার্ড ফাঁসের প্রমাণ দেয় না। তবে লগইন তথ্য সংগ্রহ বা অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়াকে কৌশলে কাজে লাগানোর উদ্দেশ্যে ফিশিংয়ে এই তথ্য ব্যবহার করা যেতে পারে। সেবা বন্ধ করলেই ঝুঁকি দূর হয়েছে, সাবেক গ্রাহকদের এমন ধরে নেওয়া উচিত নয়, কারণ কপি করা ডেটাসেট বছরের পর বছর ছড়াতে থাকতে পারে।

IndiHome-এর সঙ্গে যুক্ত ইমেইল অ্যাকাউন্টে সাম্প্রতিক সাইন-ইন, সক্রিয় সেশন, পুনরুদ্ধারের ঠিকানা ও ফরওয়ার্ডিং নিয়ম পর্যালোচনা করুন। এরপর অপরিচিত ডিভাইসগুলো থেকে সাইন আউট করুন। যাচাইকৃত পাসওয়ার্ডের ঘর না থাকলেও সঠিক ঠিকানায় পাঠানো ভুয়া সহায়তা বা বিল-সংক্রান্ত বার্তা দিয়ে অ্যাকাউন্টের লগইন তথ্য সংগ্রহের চেষ্টা হতে পারে। ইমেইল, গ্রাহক ও আর্থিক অ্যাকাউন্টগুলোতে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করুন। সম্ভব হলে SMS-এর বদলে অথেন্টিকেটর অ্যাপ বা হার্ডওয়্যার সিকিউরিটি কি ব্যবহার করুন। মডেম বদল, গতি বাড়ানো, বকেয়া নিষ্পত্তি বা সেবা পুনরায় চালুর প্রতিশ্রুতি দেওয়া অপ্রত্যাশিত বার্তার লিংকে যাবেন না। ব্রাউজারে সেবাদাতার ঠিকানা নিজে লিখুন অথবা আপনার পরিচিত গ্রাহকসেবা চ্যানেলে আলাদাভাবে যোগাযোগ করুন। আপনার অনুরোধ ছাড়াই একবার ব্যবহারযোগ্য কোড বা পাসওয়ার্ড রিসেটের বিজ্ঞপ্তি এলে তা অ্যাকাউন্ট দখলের চেষ্টার ইঙ্গিত হতে পারে। প্রতারণামূলক কোনো অর্থ পরিশোধ হয়ে থাকলে ব্যাংকের সঙ্গে যোগাযোগ করুন, লেনদেনের প্রমাণ সংরক্ষণ করুন এবং সক্রিয় সেশনগুলো বাতিল করুন।

পাসওয়ার্ড ম্যানেজার দিয়ে প্রতিটি সেবার জন্য আলাদা র‍্যান্ডম পাসওয়ার্ড তৈরি করুন, যাতে একটি সফল ফিশিং চেষ্টার প্রভাব সহজে অন্য অ্যাকাউন্টে ছড়িয়ে না পড়ে। কাজের ধরন অনুযায়ী আলাদা ইমেইল ঠিকানা ব্যবহার করলে টেলিযোগাযোগ, কেনাকাটা ও সামাজিক যোগাযোগমাধ্যমের সদস্যপদগুলো একটি ঠিকানার মাধ্যমে পরস্পরের সঙ্গে যুক্ত করা কঠিন হয়। পুরোনো গ্রাহক প্রোফাইলে যোগাযোগ ও অ্যাকাউন্ট পুনরুদ্ধারের তথ্য হালনাগাদ করুন। আর প্রয়োজন নেই এমন অ্যাকাউন্ট মুছে ফেলা বা পরিচয় শনাক্ত করা যায় না এমনভাবে রাখার অনুরোধ করুন। মডেম পরিচালনার ডিফল্ট পাসওয়ার্ড বদলান, ডিভাইসের ফার্মওয়্যার হালনাগাদ রাখুন এবং সত্যিই প্রয়োজন না হলে দূর থেকে পরিচালনার সুবিধা বন্ধ করুন। সেবাদাতাদের উচিত গ্রাহকের তথ্যে প্রবেশাধিকার সীমিত করা, তথ্য সংরক্ষণের মেয়াদ যতটা সম্ভব কমানো এবং অস্বাভাবিকভাবে একসঙ্গে বিপুল তথ্য এক্সপোর্ট হচ্ছে কি না নজর রাখা। বহু-উপাদানভিত্তিক প্রমাণীকরণের রিকভারি কোড অফলাইনে সংরক্ষণ করুন এবং অ্যাকাউন্টের সতর্কবার্তা চালু রাখুন। তথ্য ফাঁসের ওপর নিয়মিত নজর রাখা উপকারী, কারণ সংশ্লিষ্ট সেবা নেওয়া বন্ধ করার অনেক দিন পরও পুরোনো ডেটাসংগ্রহ আবার পোস্ট করা হতে পারে বা পরবর্তী সময়ে ফাঁস হওয়া তথ্যের সঙ্গে একত্র করা হতে পারে।

IndiHome-এর জন্য ব্যবহৃত ইমেইল ঠিকানাটি কোনো বিশ্বস্ত তথ্য ফাঁস অনুসন্ধান সেবায় যাচাই করে দেখুন, সেটি 12.6 মিলিয়ন যাচাইকৃত ঠিকানার মধ্যে আছে কি না। ঠিকানা মিলে যাওয়ার অর্থ এই নয় যে বর্তমানে কোনো ডিভাইসের নিয়ন্ত্রণ অন্যের হাতে চলে গেছে বা নিশ্চিতভাবে পাসওয়ার্ড ফাঁস হয়েছে; এটি নিশ্চিত করে যে ওই ঘটনার সঙ্গে সম্পর্কিত বলে চিহ্নিত ডেটাসংগ্রহে ঠিকানাটি রয়েছে এবং আপনাকে লক্ষ্য করে পাঠানো বার্তার ক্ষেত্রে আরও সতর্ক হওয়া দরকার। ঠিকানা না মেলাও পুরোপুরি নিশ্চয়তা দেয় না, কারণ 26.7 মিলিয়ন সারিতে একই ঠিকানা একাধিকবার থাকতে পারে, কিছু সারিতে ইমেইলের ঘর নাও থাকতে পারে, অথবা অন্য কোনো ঠিকানা ব্যবহার করা হয়ে থাকতে পারে। তথ্য ফাঁস যাচাইয়ের পাতায় কখনো আপনার ইমেইলের পাসওয়ার্ড দেবেন না এবং অনুসন্ধানের জন্য যতটুকু তথ্য দরকার, শুধু ততটুকুই দিন। অপ্রত্যাশিত বিল, সহায়তার কল, মডেম-সংক্রান্ত অনুরোধ বা সঠিক অবস্থান ও ডিভাইসের তথ্য উল্লেখ করা বার্তাকে সন্দেহজনক হিসেবে দেখুন। আলাদা যোগাযোগমাধ্যমে প্রেরকের পরিচয় যাচাই করুন, অ্যাকাউন্টের কার্যকলাপ পর্যালোচনা করুন এবং অস্বাভাবিক কিছু দেখলে সেশনগুলো বাতিল করুন।