JD.com-এর 2013 সালের তথ্য ফাঁস
JD.com-এর 2013 সালের তথ্য ফাঁস চীনভিত্তিক এই ই-কমার্স সেবার অ্যাকাউন্ট-সংক্রান্ত তথ্যের সঙ্গে সম্পর্কিত। একটি যাচাইকৃত বাহ্যিক তথ্য ফাঁসের রেকর্ডে 2013 সালের এই ঘটনার সঙ্গে 7,74,49,341টি স্বতন্ত্র ইমেইল ঠিকানা তালিকাভুক্ত আছে। ঘটনাটি ঠিক কোন দিনে ঘটেছিল, তা জানা যায়নি। কোম্পানির 2016 সালের ডিসেম্বরের ঘোষণা নিয়ে তৎকালীন সংবাদে বলা হয়, JD তথ্য ফাঁসের বিষয়টি নিশ্চিত করেছিল, এর কারণ হিসেবে 2013 সালের Apache Struts 2-এর একটি দুর্বলতার কথা জানিয়েছিল এবং ঝুঁকিতে আছেন বলে বিবেচিত গ্রাহকদের অবহিত করেছিল।
উন্মুক্ত হওয়া তথ্যের ধরন
4- ইমেইল ঠিকানা
- পাসওয়ার্ড
- ফোন নম্বর
- ব্যবহারকারীর নাম
এই তথ্য ফাঁস সম্পর্কে
যাচাইকৃত বাহ্যিক ডেটাসেটে কী কী তথ্য আছে?
যাচাইকৃত রেকর্ড অনুযায়ী, 13 GB ডেটায় চার ধরনের কাঠামোবদ্ধ তথ্য আছে: ইমেইল ঠিকানা, ব্যবহারকারীর নাম, ফোন নম্বর ও SHA-1 পাসওয়ার্ড হ্যাশ। SHA-1 মান প্লেইনটেক্সট পাসওয়ার্ড নয়। তবে আধুনিক পাসওয়ার্ড সংরক্ষণের মানদণ্ডে এটি দুর্বল, আর ছোট বা পুনর্ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে অফলাইনে অনুমান করে পাসওয়ার্ড বের করার ঝুঁকি থেকে যায়।
2016 সালের সংবাদে তখন ছড়িয়ে পড়া প্রায় 12 GB আকারের একটি প্যাকেজে আরও বিস্তৃত তথ্যক্ষেত্র থাকার কথা বলা হয়েছিল, যার মধ্যে QQ অ্যাকাউন্ট ও পরিচয় শনাক্তকারী নম্বরও ছিল। ওই প্যাকেজের আকার ও তথ্যক্ষেত্রের পরিধি যাচাইকৃত বাহ্যিক ডেটাসেটের সঙ্গে অভিন্ন বলে নির্ধারিত হয়নি। তাই এসব অতিরিক্ত দাবিকে চার ধরনের কাঠামোবদ্ধ তথ্যের সঙ্গে একত্র করা হয়নি। পেমেন্ট কার্ড, অর্ডারের ইতিহাস ও ব্যাংক অ্যাকাউন্টও বর্তমানে কাঠামোবদ্ধ তথ্যের আওতায় নেই।
তারিখ ও 7,74,49,341 সংখ্যাটি কী বোঝায়?
সূত্রগুলো তথ্য ফাঁসের নির্দিষ্ট দিন প্রকাশ করেনি। তাই তারিখের ঘরে থাকা 1 জানুয়ারি 2013 কেবল বছরটি বোঝানোর জন্য ব্যবহৃত একটি প্রতীকী তারিখ; এটি প্রমাণ করে না যে ঘটনাটি 1 জানুয়ারিতেই ঘটেছিল। 2016 সালের ডিসেম্বর হলো কোম্পানির বিবৃতি এবং বিক্রির জন্য তোলা ডেটা প্যাকেজ নিয়ে সংবাদ প্রকাশের সময়কাল, আলাদা কোনো তথ্য ফাঁসের তারিখ নয়।
7,74,49,341 সংখ্যাটি যাচাইকৃত বাহ্যিক ডেটাসেটে থাকা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা বোঝায়। এটি অ্যাকাউন্টের সংখ্যা, মানুষের সংখ্যা বা মূল ফাইলের মোট সারির সংখ্যার সমতুল্য পরিমাপ নয়। প্রোডাকশন পরিবেশে JD-এর ডেটা ইমপোর্ট করার কোনো জব নেই। স্থানীয়ভাবে সূচিবদ্ধ ইমেইল, পাসওয়ার্ড, ফোন নম্বর বা ব্যবহারকারীর নামের ডেটাসেটও নেই। তাই এই সংখ্যাকে স্থানীয় মোট সংখ্যা হিসেবে দেখানো হচ্ছে না।
সূত্রগুলোর যোগসূত্র কীভাবে প্রতিষ্ঠিত হয়েছে?
যাচাইকৃত তথ্য ফাঁসের রেকর্ড থেকে ইমেইলের সঠিক সংখ্যা, চারটি তথ্যক্ষেত্র ও SHA-1-সংক্রান্ত বিবরণ পাওয়া যায়। TechNode-এর 12 ডিসেম্বর 2016-এর প্রতিবেদনে কোম্পানির আনুষ্ঠানিক WeChat ঘোষণার লিংক রয়েছে এবং JD যে 2013 সালের ঘটনাটি নিশ্চিত করেছিল, তা জানানো হয়েছে। যাচাইকৃত রেকর্ডে আগে লিংক করা আরেকটি গৌণ সূত্রের পৃষ্ঠা এখন 404 দেখায়। তাই সেটিকে জনসাধারণের জন্য উন্মুক্ত সূত্র হিসেবে ব্যবহার করা হয়নি।
অ্যাকাউন্টের ঝুঁকি কমাতে আপনি কী করতে পারেন?
আপনি যদি 2013 সালে JD.com-এ ব্যবহৃত পাসওয়ার্ড অন্য কোনো সেবাতেও ব্যবহার করে থাকেন, তবে সেই সেবায় পাসওয়ার্ডটি বদলে একটি স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা উচিত। যেখানে সুবিধা আছে, সেখানে একাধিক উপাদানভিত্তিক প্রমাণীকরণও চালু করা উচিত। অপ্রত্যাশিত ডেলিভারি, অর্থ ফেরত, প্রচারমূলক অফার বা পাসওয়ার্ড রিসেটের বার্তায় থাকা লিংকে না গিয়ে আপনার সরাসরি JD-এর ঠিকানা খোলা উচিত।
ইমেইল ঠিকানা মিলে গেলেই প্রমাণ হয় না যে পাসওয়ার্ডটি প্লেইনটেক্সটে ছিল, কোনো অ্যাকাউন্টের নিয়ন্ত্রণ অন্য কেউ নিয়েছিল কিংবা পেমেন্ট ও অর্ডারের তথ্য ফাঁস হয়েছিল। এই রেকর্ডে যাচাই করা তথ্যের সীমা হলো বাহ্যিক ডেটাসেটের ইমেইল, ব্যবহারকারীর নাম, ফোন নম্বর ও SHA-1 পাসওয়ার্ড হ্যাশের তথ্যক্ষেত্র।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
