Jobandtalent-এ 2018 সালের তথ্য ফাঁস

17 ফেব্রুয়ারি 2019 তারিখের একটি ZDNet প্রতিবেদনে নথিভুক্ত করা হয় যে, এক পক্ষ ডার্ক-ওয়েব মার্কেটপ্লেসে আটটি কোম্পানির বলে উল্লেখ করা ডেটাবেস বিক্রির জন্য তুলেছিল। প্রতিবেদনের তালিকায় Jobandtalent-এর ক্ষেত্রে প্রায় 1 কোটি 10 লাখ সারি, 2018 সালের ফেব্রুয়ারির একটি তারিখ এবং তথ্যের ক্ষেত্র হিসেবে একটি ID, ইমেইল, SHA-1 পাসওয়ার্ড হ্যাশ, পাসওয়ার্ড সল্ট, নামের প্রথম অংশ, পদবি ও বর্তমান IP ঠিকানার উল্লেখ ছিল। প্রতিবেদনে বলা হয়, ওই আটটি কোম্পানির কোনোটিই আগে তথ্য ফাঁসের কথা প্রকাশ করেনি এবং তাদের কাছে মন্তব্য চেয়ে অনুরোধ পাঠানো হয়েছিল।

পরে তথ্য ফাঁসের একটি যাচাইকৃত সূচিতে যুক্ত হওয়া বহিরাগত ডেটাসেটটি স্বতন্ত্র ইমেইলের সুনির্দিষ্ট সংখ্যা এবং কাঠামোবদ্ধ তথ্যের চারটি শ্রেণিকে সমর্থন করে। এই যাচাইয়ের অর্থ এই নয় যে কোম্পানি আক্রমণের বিবরণ, সংশ্লিষ্ট পক্ষ বা প্রথমবার প্রবেশাধিকার পাওয়ার পদ্ধতি নিশ্চিত করেছে। ঘটনাটির সুনির্দিষ্ট দিন এবং নেটওয়ার্কে প্রবেশের পদ্ধতি প্রকাশ করা হয়নি।

যাচাইকৃত কাঠামোবদ্ধ তথ্যের শ্রেণিগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, নাম ও পাসওয়ার্ড। পাসওয়ার্ডগুলো সল্টযুক্ত SHA-1 হ্যাশ হিসেবে ছিল বলে জানানো হয়েছে; প্লেইনটেক্সট পাসওয়ার্ড ফাঁসের বিষয়টি প্রতিষ্ঠিত হয়নি। বিক্রির তালিকায় উল্লেখ করা ID-কে আলাদা কাঠামোবদ্ধ শ্রেণি হিসেবে যুক্ত করা হয়নি, কারণ যাচাইকৃত শ্রেণির তালিকায় এটি নিশ্চিত করা হয়নি।

ফোন নম্বর, জীবনবৃত্তান্ত, চাকরির আবেদন, কর্মসংস্থানের ইতিহাস, সরকারি পরিচয়পত্র, পেমেন্ট কার্ড ও ব্যাংক অ্যাকাউন্ট যাচাইকৃত পরিসরের বাইরে। কোনো ইমেইল মিলে যাওয়া প্রমাণ করে না যে একই ব্যক্তির নাম, IP ঠিকানা ও পাসওয়ার্ড হ্যাশ একসঙ্গে ছিল, কিংবা ওই ব্যক্তি চাকরিপ্রার্থী, কর্মী বা বর্তমান ব্যবহারকারী ছিলেন।

1,09,81,207 হলো বহিরাগত ডেটাসেটে থাকা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা। স্থানীয় প্রক্রিয়াটি 1,08,78,501টি ইমেইল লাইন প্রক্রিয়াকরণ করেছে; স্বাভাবিকীকরণ ও সদৃশ এন্ট্রি বাদ দেওয়ার পর 1,08,76,576টি ইমেইল-সংযোগ অবশিষ্ট ছিল। স্থানীয়ভাবে পাওয়া স্বতন্ত্র ইমেইল-সংযোগের সংখ্যা বহিরাগত পরিমাপের চেয়ে 1,04,631 কম। বিভিন্ন উৎসের ডেটাসেটের সংস্করণ ও সদৃশ এন্ট্রি বাদ দেওয়ার বিস্তারিত পদ্ধতি মিলিয়ে দেখা হয়নি বলে সংখ্যাগুলো আলাদাভাবে দেখানো হয়েছে।

স্থানীয় ফাইলে শুধু ইমেইল ঠিকানা রয়েছে। বহিরাগত সূত্রে উল্লেখ করা নাম, IP ঠিকানা ও পাসওয়ার্ড হ্যাশ প্রোডাকশন পরিবেশে স্থানীয়ভাবে সংরক্ষিত তথ্যের ক্ষেত্র নয়। এই সীমার কারণে স্থানীয়ভাবে কোনো ইমেইল মিলে গেলেও অন্য ক্ষেত্রগুলোর তথ্য সম্পর্কে সিদ্ধান্ত টানা যায় না।

2018 সালে ব্যবহার করা কোনো পাসওয়ার্ড আপনি অন্য কোনো সেবাতেও ব্যবহার করে থাকলে, সেখানে সেটির বদলে একটি স্বতন্ত্র পাসওয়ার্ড দিতে পারেন এবং সুবিধাটি থাকলে মাল্টিফ্যাক্টর অথেন্টিকেশন চালু করতে পারেন। চাকরির প্রস্তাব, কাজের শিফট, বেতন বা অ্যাকাউন্ট যাচাই নিয়ে অপ্রত্যাশিত বার্তা এলে, বার্তার লিংকে না গিয়ে Jobandtalent-এর পরিচিত ঠিকানা বা আলাদা কোনো আনুষ্ঠানিক যোগাযোগমাধ্যম দিয়ে সেটির সত্যতা নিশ্চিত করা উচিত।