James Delivery-এর 2020 সালের তথ্য ফাঁস

যাচাই করা বাহ্যিক রেকর্ডে ইমেইল ঠিকানা, সাধারণ ভৌগোলিক অবস্থানের তথ্য, অক্ষাংশ-দ্রাঘিমাংশের জোড়া এবং bcrypt পাসওয়ার্ড হ্যাশ রয়েছে। অবস্থানের ফিল্ড থাকলেই তা বাড়ি, কর্মস্থল, ডেলিভারির স্থান বা অর্ডারের ইতিহাস নির্দেশ করে, এমন প্রমাণ হয় না। স্থানাঙ্কের সূক্ষ্মতা থেকেও বোঝা যায় না যে প্রতিটি সারিতে অবস্থানের তথ্য ছিল বা সেই তথ্য হালনাগাদ ছিল।

এই ঘটনায় নাম, ফোন নম্বর, রাস্তার নামসহ পূর্ণ ঠিকানা, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, অর্ডারের বিষয়বস্তু ও ডিভাইসের তথ্যের উপস্থিতি নিশ্চিত করা হয়নি। bcrypt হ্যাশ সাধারণ পাঠযোগ্য পাসওয়ার্ড নয়। তবে দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে অফলাইনে অনুমান করে পাসওয়ার্ড বের করার ঝুঁকি থাকতে পারে।

15,41,284 হলো যাচাই করা বাহ্যিক ডেটাসেটে থাকা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা। আনুমানিক 16 লাখ হলো তৎকালীন বিক্রির বিজ্ঞাপন সম্পর্কে প্রতিবেদনে উল্লেখ করা রেকর্ডের রাউন্ড করে প্রকাশ করা সংখ্যা; এটিকে স্বতন্ত্র ব্যক্তি, অ্যাকাউন্ট বা ইমেইলের সংখ্যা হিসেবে সংজ্ঞায়িত করা হয়নি। সংখ্যা দুটি যোগ করা হয় না এবং একটির বদলে অন্যটি ব্যবহার করা উচিত নয়।

প্রোডাকশন পরিবেশে যাচাই করে ইমেইল, পাসওয়ার্ড, অবস্থান বা ব্যক্তি-পর্যায়ের অন্য কালেকশনগুলোতে James-এর কোনো ইমপোর্ট জব বা স্থানীয়ভাবে সংযুক্ত ডেটা পাওয়া যায়নি। তাই বাহ্যিক উৎসের ইমেইলের সঠিক সংখ্যাটি কেবল তার নিজস্ব পরিমাপের এককসহ দেখানো হয়েছে; এটি স্থানীয় মোট সংখ্যা বা ইমপোর্ট করা রেকর্ডের সংখ্যা, এমন কোনো ইঙ্গিত দেওয়া হয়নি।

যাচাই করা তথ্য ফাঁসের রেকর্ড থেকে ইমেইলের সঠিক সংখ্যা, ঘটনার তারিখ, চার ধরনের তথ্য এবং bcrypt-সংক্রান্ত বিবরণ পাওয়া যায়। 29 জুন 2020 তারিখের স্বাধীন প্রতিবেদনে বিক্রির বিজ্ঞাপনে JamesDelivery নামটি থাকার কথা, আনুমানিক 16 লাখ রেকর্ডের সংখ্যা এবং পর্যালোচনা করা নমুনাগুলো আসল বলে মনে হওয়ার পর্যবেক্ষণ উল্লেখ করা হয়েছে। একই প্রতিবেদনে স্পষ্টভাবে বলা হয়েছে যে কোম্পানিগুলো ঘটনাগুলো সরাসরি নিশ্চিত করেনি এবং James কোনো সাড়া দেয়নি।

সূচিতে লিংক করা নিরাপত্তাবিষয়ক একটি পুরোনো দ্বিতীয়িক উৎসের নিবন্ধ এখন 404 দেখায়। 28 নভেম্বর 2020 তারিখে Wayback-এ সংরক্ষিত সংস্করণে দেখা যায়, নিবন্ধটি একই বিক্রির বিজ্ঞাপনসংক্রান্ত প্রতিবেদনের সারসংক্ষেপ দিয়েছিল। তাই সেটিকে আলাদা নিশ্চিতকরণ হিসেবে গণনা করা হয়নি। jamesdelivery.com.br বর্তমানে খোলা যায়, এবং ঘটনার সময়কার একটি আর্কাইভ সেবাটির পরিচয় সমর্থন করে। তবে কোম্পানির ওয়েবসাইটের অস্তিত্ব তথ্য ফাঁসের প্রমাণ নয়।

একটি ইমেইল ঠিকানার সঙ্গে অবস্থানের তথ্য ও পাসওয়ার্ড হ্যাশ যুক্ত থাকলে তা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং এবং অন্য সাইটে একই পাসওয়ার্ড দিয়ে প্রবেশের চেষ্টায় কাজে লাগতে পারে। এই সময়ে James-এ ব্যবহৃত পাসওয়ার্ড আপনি অন্য কোথাও ব্যবহার করে থাকলে, সেটির বদলে শুধু ওই অ্যাকাউন্টের জন্য আলাদা একটি পাসওয়ার্ড ব্যবহার করা উচিত। ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ (মাল্টি-ফ্যাক্টর অথেন্টিকেশন) চালু করা উচিত এবং অপ্রত্যাশিত ডেলিভারি বা পাসওয়ার্ড রিসেটের বার্তায় থাকা লিংক এড়িয়ে চলা উচিত।

ইমেইল মিলে গেলেই প্রমাণ হয় না যে কোনো ব্যক্তির বাড়ি বা কর্মস্থল, অর্ডার বা পেমেন্টের তথ্য ফাঁস হয়েছে। এই রেকর্ডে নিশ্চিত হওয়া তথ্যের সীমা হলো ইমেইল, সাধারণ অবস্থানের তথ্য, স্থানাঙ্ক এবং bcrypt হ্যাশ ফিল্ড। ব্যক্তিগত আচরণ বা ক্ষতি সম্পর্কে এর বাইরে কোনো সিদ্ধান্ত টানা উচিত নয়।