Lako do posla-এর 2022 সালের ডেটা লঙ্ঘন

7 সেপ্টেম্বর 2022 তারিখে প্রকাশিত গবেষকের একটি নিবন্ধে বলা হয়, lakodoposla.com-এর ডেটাবেসটি কয়েক দিন আগে অনলাইনে পাওয়া গিয়েছিল। এতে প্রায় 5,00,000 সক্রিয় ও নিষ্ক্রিয় ব্যবহারকারীর নাম, পদবি, ইমেইল ঠিকানা, পাসওয়ার্ড এবং অন্যান্য ফিল্ড ছিল। লেখক জানান, প্রায় 15,000 পাসওয়ার্ড প্লেইনটেক্সটে ছিল এবং ডেটাবেসের সর্বশেষ এন্ট্রির তারিখ ছিল 28 জুলাই। 23 সেপ্টেম্বরের একটি স্থানীয় নিরাপত্তাবিষয়ক নিবন্ধে গবেষককে সূত্র হিসেবে উল্লেখ করে একই পরিসর ও পাসওয়ার্ড-সংক্রান্ত তথ্য পুনরায় জানানো হয়।

গবেষক 10 আগস্টের একটি ফোরাম পোস্ট এবং আগের নেটওয়ার্ক পর্যবেক্ষণের ভিত্তিতে লোকাল ফাইল ইনক্লুশন ও বাইরে থেকে অ্যাক্সেসযোগ্য MySQL-কে সম্ভাব্য আক্রমণের ধারাবাহিক ধাপ হিসেবে মূল্যায়ন করেছেন। লেখক এই অংশটিকে স্পষ্টভাবে অনুমান হিসেবে বর্ণনা করেছেন বলে পদ্ধতিটিকে নিশ্চিত তথ্য হিসেবে উপস্থাপন করা হয়নি। কোম্পানির কোনো বিজ্ঞপ্তি, নিয়ন্ত্রক সংস্থার নথি বা বাহ্যিক ডেটা লঙ্ঘন সূচিতে যাচাইকৃত কোনো এন্ট্রি পাওয়া যায়নি; ঘটনাটির পরিচয় নির্ধারণের ভিত্তি হলো স্বাধীন প্রযুক্তিগত প্রতিবেদন ও স্থানীয় ইমেইল ডেটাসেট।

বাহ্যিক উৎসে প্রায় 5,00,000 সক্রিয় ও নিষ্ক্রিয় ব্যবহারকারীর কথা বলা হয়েছে; এই আনুমানিক সংখ্যাটি স্বতন্ত্র ইমেইল বিশ্লেষণের ফল নয়। সম্পন্ন প্রোডাকশন প্রক্রিয়ায় দুই ধরনের উৎস ফিল্ডের সম্মিলিত সেট নেওয়া হয়েছে: স্পষ্টভাবে ইমেইল ঠিকানা বোঝায় এমন ফিল্ড এবং সামগ্রিক যাচাইয়ের মাধ্যমে ইমেইল ঠিকানা রয়েছে বলে প্রমাণিত লগইন-ব্যবহারকারীনাম ফিল্ড। নোটিফিকেশন পছন্দ, ইমেইল ফ্ল্যাগ এবং ইমেইল শনাক্তকারী বা ফিল্টার ফিল্ড বাদ দেওয়া হয়েছে।

স্থানীয় প্রক্রিয়াটি canonical-ascii-email-v1 ভ্যালিডেটরের অধীনে 5,54,899টি লাইন গ্রহণ করেছে এবং একই সংখ্যক স্বতন্ত্র ইমেইল-সংযুক্তি লিখেছে। এর ক্যানোনিক্যাল ইনপুট ম্যানিফেস্টে ফাইলের অখণ্ডতা ও অন্তর্ভুক্ত লাইনের পরিসর নথিভুক্ত আছে। বাহ্যিক উৎসের আনুমানিক ব্যবহারকারী সংখ্যা ও স্থানীয় স্বতন্ত্র ইমেইলের সংখ্যা যোগ করা হয় না। একটি ইমেইল ঠিকানা একজন ব্যক্তি, একটি অ্যাকাউন্ট বা একজন সক্রিয় ব্যবহারকারীর প্রতিনিধিত্ব করে, এমনটিও ধরে নেওয়া হয় না।

প্রকাশ্য দুটি নিবন্ধে এই ঘটনার ক্ষেত্রে নাম, ইমেইল ঠিকানা ও পাসওয়ার্ডের উপস্থিতির স্পষ্ট সমর্থন রয়েছে। জন্মতারিখ, লিঙ্গ, চাকরি-সংক্রান্ত তথ্য, জাতীয়তা, ফোন নম্বর, ঠিকানা, ব্যবহারকারীনাম এবং ওয়েবসাইটে কার্যকলাপের আগের শ্রেণিগুলো সরিয়ে দেওয়া হয়েছে। কারণ, এই পর্যালোচনার সময় বর্তমানে অ্যাক্সেসযোগ্য কোনো পূর্ণাঙ্গ স্কিমা বা স্বাধীন উৎস দিয়ে সেগুলোর উপস্থিতি পুনরায় প্রতিষ্ঠা করা যায়নি। গবেষকের উল্লেখ করা “অন্যান্য” তথ্য আলাদা আলাদা শ্রেণি যোগ করার মতো যথেষ্ট সুনির্দিষ্ট নয়।

প্রোডাকশন সংগ্রহগুলোতে এই ঘটনার জন্য পাসওয়ার্ড, নাম, ফোন, ব্যবহারকারীনাম, IP, পরিচয় বা সংবেদনশীল তথ্যের কোনো সংযুক্তি নেই; শুধু ইমেইল সূচিতে তথ্য রয়েছে। তাই গবেষকের প্রায় 15,000 প্লেইনটেক্সট পাসওয়ার্ড পাওয়ার তথ্যটি বাহ্যিক উৎসের প্রেক্ষাপট হিসেবে দেওয়া হয়েছে। এটি স্থানীয়ভাবে পাসওয়ার্ড অনুসন্ধানের সুবিধা থাকার ইঙ্গিত দেয় না। বর্তমান lakodoposla.com সাইটটি চাকরির বিজ্ঞাপন প্রকাশের প্ল্যাটফর্ম হিসেবে এর পরিচয় নিশ্চিত করে, তবে সেখানে ঘটনা সম্পর্কে কোনো বিবৃতি প্রকাশ করা হয়নি।

2022 সালে এই সেবায় আপনার অ্যাকাউন্ট থাকলে এবং এখানকার পাসওয়ার্ড অন্য কোথাও পুনরায় ব্যবহার করে থাকলে, ওই অন্য সেবাগুলোতে সেই পাসওয়ার্ড বদলে প্রতিটির জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। এই পরামর্শ গবেষকের প্লেইনটেক্সট পাসওয়ার্ড পাওয়ার তথ্যের ভিত্তিতে দেওয়া হয়েছে; এতে দাবি করা হচ্ছে না যে প্রত্যেক ব্যবহারকারীর পাসওয়ার্ড প্লেইনটেক্সটে সংরক্ষিত ছিল। চাকরির আবেদন, জীবনবৃত্তান্ত হালনাগাদ বা অ্যাকাউন্ট যাচাইয়ের কথা বলে কোনো অপ্রত্যাশিত বার্তা এলে, বার্তার লিংক ব্যবহার না করে সক্রিয় lakodoposla.com ডোমেইন সরাসরি খুলে পরিচিত কোনো যোগাযোগমাধ্যমে বিষয়টি যাচাই করা উচিত।