Lazada RedMart: তথ্য ফাঁস
Lazada RedMart-এর তথ্য ফাঁস হলো 2020 সালের একটি নিশ্চিত ই-কমার্সসংক্রান্ত ঘটনা, যাতে সিঙ্গাপুরে RedMart-এর অনলাইন মুদি পণ্য বিক্রির সেবার পুরোনো গ্রাহক-তথ্য ক্ষতিগ্রস্ত হয়। এই রেকর্ডে মূল হিসাব হিসেবে 11,07,789টি অ্যাকাউন্ট বা ইমেইল এন্ট্রি নথিভুক্ত আছে। RedMart, Lazada-এর অধীনে পরিচালিত হয় বলে ঘটনাটিকে Lazada RedMart নামে উল্লেখ করা হয়। তবে যাচাইকৃত পরিধি সাধারণ Lazada অ্যাকাউন্ট বা ওই অঞ্চলের সব Lazada গ্রাহককে অন্তর্ভুক্ত করে না; এটি RedMart-সংশ্লিষ্ট পুরোনো গ্রাহক-তথ্যের মধ্যে সীমিত। রেকর্ড অনুযায়ী, তথ্যের সর্বশেষ সময়কাল 2020 সালের জুলাই পর্যন্ত, ঘটনাটি প্রকাশ্যে আসে 2020 সালের অক্টোবরে এবং পরে সিঙ্গাপুরের তথ্য সুরক্ষাসংক্রান্ত পর্যালোচনায় ব্যক্তির সংখ্যার একটি পৃথক হিসাব দিয়ে বিষয়টি বিবেচনা করা হয়। তাই ব্যবহারকারীদের ওপর প্রভাব মূল্যায়নের সময় অ্যাকাউন্ট বা ইমেইলের সংখ্যাকে সরকারি পর্যালোচনায় উল্লিখিত ব্যক্তির সংখ্যার সমতুল্য হিসেবে ধরা উচিত নয়।
উন্মুক্ত হওয়া তথ্যের ধরন
6- ইমেইল ঠিকানা
- নাম
- ক্রেডিট কার্ডের আংশিক তথ্য
- পাসওয়ার্ড
- ফোন নম্বর
- বাসা বা প্রতিষ্ঠানের ঠিকানা
এই তথ্য ফাঁস সম্পর্কে
এই রেকর্ডে থাকা তথ্যের কারণে RedMart-এ কেনাকাটার অ্যাকাউন্ট আছে এমন ব্যবহারকারীদের জন্য ফিশিং, একই পাসওয়ার্ডের পুনর্ব্যবহার, পণ্য পৌঁছে দেওয়ার ঠিকানা ব্যবহার করে লক্ষ্যবস্তু বানানো এবং কার্ডের আংশিক তথ্যের মাধ্যমে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি বাড়ে। পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য অবস্থায় নয়, SHA-1 হ্যাশ মান হিসেবে সংরক্ষিত থাকে। তবে দুর্বল বা আগে অন্য কোথাও ব্যবহৃত পাসওয়ার্ড সুরক্ষিত রাখার জন্য শুধু এটুকু যথেষ্ট নয়। ফাঁস হওয়া পেমেন্ট-সংক্রান্ত তথ্য ক্রেডিট কার্ডের আংশিক তথ্যের মধ্যে সীমিত। যাচাইকৃত পরিধিতে সম্পূর্ণ কার্ড নম্বর, CVV, ব্যাংক অ্যাকাউন্ট, পাসপোর্ট, স্বাস্থ্যতথ্য বা সরকারিভাবে প্রদত্ত পরিচয়পত্রের নম্বর অন্তর্ভুক্ত নেই।
ফাঁস হওয়া তথ্যের ধরন ও ঝুঁকি
Lazada RedMart-এর তথ্য ফাঁসে নিশ্চিতভাবে পাওয়া তথ্যের ধরনগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, নামের প্রথম ও শেষ অংশ, ফোন নম্বর, বাসা বা প্রতিষ্ঠানের ঠিকানা, ক্রেডিট কার্ডের আংশিক তথ্য এবং পাসওয়ার্ড হ্যাশ। শুধু এই তথ্যসমষ্টি থাকলেই পেমেন্টের পূর্ণ নিয়ন্ত্রণ পাওয়া যায়, এমন নয়। তবে গ্রাহকের নাম, পণ্য পৌঁছে দেওয়ার ঠিকানা, ফোন নম্বর ও ইমেইল একত্র করলে খুবই বিশ্বাসযোগ্য ভুয়া অর্ডার, ভুয়া সহায়তার অনুরোধ এবং অ্যাকাউন্টের নিরাপত্তাসংক্রান্ত বার্তা তৈরি করা সম্ভব। কার্ডের আংশিক তথ্যে প্রথম ছয় ও শেষ চারটি অঙ্ক, কার্ডধারীর নাম, মেয়াদ শেষ হওয়ার তারিখ বা বিলিংয়ের যোগাযোগ-সংক্রান্ত ঘরগুলোর মতো তথ্য থাকতে পারে বলে ব্যবহারকারীদের আরও সতর্কভাবে লেনদেনের বিবরণী ও বিজ্ঞপ্তি পর্যবেক্ষণ করা প্রয়োজন।
- ইমেইল ঠিকানা: RedMart ও Lazada-এর নাম ব্যবহার করে ফিশিং, ভুয়া ছাড়ের অফার, ভুয়া ডেলিভারি বিজ্ঞপ্তি এবং অ্যাকাউন্ট পুনরুদ্ধারের বার্তা পাঠাতে ব্যবহার করা যেতে পারে।
- নাম, ফোন নম্বর ও ঠিকানা: নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার সক্ষমতা বাড়ায়; প্রতারক আসল অর্ডার ও ডেলিভারির বার্তার ভাষা অনুকরণ করে ব্যবহারকারীকে বিশ্বাস করানোর চেষ্টা করতে পারে।
- পাসওয়ার্ড হ্যাশ: SHA-1 একটি পুরোনো পদ্ধতি, যার হ্যাশ দ্রুত ভাঙা যায়। যাঁরা অন্য অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের অ্যাকাউন্ট দখলের ঝুঁকি বাড়ে।
- ক্রেডিট কার্ডের আংশিক তথ্য: এর অর্থ কার্ডের সম্পূর্ণ তথ্য নয়। তবু ব্যাংকের পরিচয়ে ভুয়া ফোন কল, কার্ড নবায়নের অজুহাত বা জাল পেমেন্ট নিশ্চিতকরণের মতো পরিস্থিতিতে এর অপব্যবহার হতে পারে।
- বাসা বা প্রতিষ্ঠানের ঠিকানা: ডেলিভারি ও বিলিংয়ের তথ্যের সঙ্গে মিলিয়ে ব্যবহার করলে বাসার ঠিকানাকেন্দ্রিক হয়রানি, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বার্তা পাঠানো এবং পরিচয় যাচাইয়ের ব্যবস্থা পাশ কাটানোর ঝুঁকি বাড়ে।
যাচাইকৃত পরিধি ও সীমা
যাচাইকৃত তথ্য ফাঁসের রেকর্ডে 2020 সালের 30 জুলাই তারিখ এবং 11,07,789টি অ্যাকাউন্ট বা ইমেইলের ওপর প্রভাব নথিভুক্ত করা হয়েছে। সে সময়ের প্রতিবেদনে বলা হয়েছিল, RedMart-এর তথ্য বিক্রির জন্য দেওয়া হয়েছে এবং রেকর্ডগুলো 2020 সালের জুলাই পর্যন্ত সময়ের তথ্য অন্তর্ভুক্ত করে। সিঙ্গাপুরের তথ্য সুরক্ষাসংক্রান্ত সরকারি সিদ্ধান্তে উল্লেখ করা হয়েছে, 2020 সালের 6 সেপ্টেম্বর তথ্য বের করে নেওয়া হয়েছিল, যার প্রভাব পড়ে 8,98,791 জন ব্যক্তির ওপর। এই দুটি সংখ্যা ভিন্ন স্তরের হিসাব বোঝায়: একটি হলো অ্যাকাউন্ট বা ইমেইলভিত্তিক সূচকের হিসাব, অন্যটি সরকারি পর্যালোচনায় ব্যবহৃত ব্যক্তির সংখ্যার হিসাব। তাই রেকর্ডে মোট 11,07,789টি এন্ট্রির হিসাব বজায় রাখা উচিত এবং সরকারি হিসাবে ব্যক্তির সংখ্যাকে ব্যাখ্যার মধ্যে পরিধিসংক্রান্ত একটি পৃথক নোট হিসেবে বিবেচনা করা উচিত।
পরিধি RedMart-এর পুরোনো গ্রাহক ও বিক্রেতাদের তথ্যের মধ্যে সীমিত। বর্তমান Lazada গ্রাহকদের তথ্য বা পুরো অঞ্চলের সব Lazada অ্যাকাউন্টের নিরাপত্তা ক্ষুণ্ণ হয়েছে, এমন যাচাইকৃত দাবি হিসেবে একে উপস্থাপন করা উচিত নয়। Lazada-এর RedMart অধিগ্রহণের কারণে নামের এই যোগসূত্র তৈরি হয়েছে। তবে ফাঁস হওয়া যাচাইকৃত তথ্যসমষ্টি RedMart-এর পুরোনো সিস্টেমের রেকর্ড-সংক্রান্ত। এ ছাড়া যাচাইকৃত তথ্যের ঘরগুলোর বাইরে সামাজিক নিরাপত্তা নম্বর, পাসপোর্ট, স্বাস্থ্যতথ্য, সম্পূর্ণ কার্ড নম্বর, CVV বা ব্যাংক অ্যাকাউন্টের মতো তথ্যের ধরন এই রেকর্ডে যোগ করা উচিত নয়।
ঝুঁকিতে থাকা ব্যবহারকারীরা
সবচেয়ে বেশি ঝুঁকিতে আছেন যাঁরা RedMart অ্যাকাউন্টের পাসওয়ার্ড ইমেইল, কেনাকাটা, ব্যাংকিং, সামাজিক যোগাযোগমাধ্যম বা কাজের অ্যাকাউন্টেও ব্যবহার করেন। পাসওয়ার্ড হ্যাশ সরাসরি পাঠযোগ্য না হলেও SHA-1 পুরোনো এবং দ্রুত গণনাযোগ্য একটি হ্যাশ পদ্ধতি, যার বিরুদ্ধে পাসওয়ার্ড অনুমানের চেষ্টা চালানো যায়। তাই দুর্বল, ছোট বা আগে ফাঁস হওয়া পাসওয়ার্ড দ্রুত অনুমান করা সম্ভব। যাঁরা একই ইমেইল ঠিকানা দিয়ে অনেক সেবায় লগইন করেন, তাঁদের ক্ষেত্রে এই রেকর্ড একটি কেনাকাটার অ্যাকাউন্টের বাইরে গিয়ে অ্যাকাউন্টের নিরাপত্তার অনেক বড় সমস্যা হয়ে উঠতে পারে।
যাঁদের ঠিকানা ও ফোন নম্বর ফাঁস হয়েছে, তাঁরাও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে চালানো প্রতারণার শিকার হওয়ার বেশি ঝুঁকিতে আছেন। প্রতারকেরা আসল নাম, পণ্য পৌঁছে দেওয়ার আসল ঠিকানা এবং কার্ডের আংশিক তথ্য একত্র করে ভুয়া গ্রাহকসেবা, পণ্য ফেরত, ডেলিভারি ফি, অ্যাকাউন্ট স্থগিত করা বা কার্ড যাচাইয়ের পরিস্থিতি তৈরি করতে পারে। যাঁরা দীর্ঘদিন RedMart থেকে কেনাকাটা করেননি, তাঁদেরও ঝুঁকিমুক্ত মনে করা উচিত নয়। কারণ পুরোনো তথ্যসমষ্টি বহু বছর পরও ফিশিং এবং বিভিন্ন উৎসের প্রোফাইল মিলিয়ে দেখার কাজে ব্যবহার করা যেতে পারে।
জরুরি করণীয়
আপনি আগে RedMart বা Lazada অ্যাকাউন্টে যে পাসওয়ার্ড ব্যবহার করেছেন, তা অবিলম্বে বদলে একটি স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড দিন। অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করে থাকলে সেই অ্যাকাউন্টগুলোও আলাদাভাবে হালনাগাদ করুন। ইমেইল অ্যাকাউন্ট, আর্থিক সেবা, কেনাকাটার অ্যাকাউন্ট, সামাজিক যোগাযোগমাধ্যম এবং কাজের অ্যাকাউন্টকে অগ্রাধিকার দিন। সামান্য পরিবর্তন করে পাসওয়ার্ড বদলানো যথেষ্ট নয়; পুরোনো পাসওয়ার্ডে অনুমানযোগ্য কোনো ধরন থাকলে আক্রমণকারীরা তার পরিবর্তিত রূপগুলোও চেষ্টা করতে পারে।
- একাধিক উপাদানভিত্তিক প্রমাণীকরণ চালু করুন: এই সুবিধা সমর্থন করে এমন প্রতিটি অ্যাকাউন্টে অ্যাপভিত্তিক প্রমাণীকরণ বা নিরাপত্তা কী ব্যবহার করুন।
- লেনদেনের বিবরণী পর্যবেক্ষণ করুন: কার্ডের আংশিক তথ্য ফাঁস হওয়ায় কার্ডে ছোট অঙ্কের ও অপরিচিত লেনদেনের দিকে খেয়াল রাখুন।
- ভুয়া সহায়তার বার্তা বিশ্বাস করবেন না: পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড, সম্পূর্ণ কার্ড নম্বর বা CVV চাওয়া হলে প্রক্রিয়াটি বন্ধ করুন।
- ঠিকানা ও ফোন নম্বরসংক্রান্ত ঝুঁকি কমান: ডেলিভারি, পণ্য ফেরত বা করের অজুহাতে পাঠানো লিংক অফিসিয়াল অ্যাপ বা অফিসিয়াল ওয়েবসাইটের বাইরে খুলবেন না।
- অ্যাকাউন্টের সেশনগুলো যাচাই করুন: অপরিচিত ডিভাইস, পণ্য পৌঁছে দেওয়ার নতুন ঠিকানা, নিবন্ধিত কার্ডে পরিবর্তন বা সন্দেহজনক অর্ডারের চেষ্টা দেখলে অ্যাকাউন্ট লক করুন।
দীর্ঘমেয়াদি নিরাপত্তা কৌশল
এই ঘটনা দেখায়, ই-কমার্স অ্যাকাউন্টে শুধু কেনাকাটার ইতিহাসই নয়, পরিচয়, ঠিকানা, ফোন নম্বর এবং পেমেন্ট-সংক্রান্ত তথ্যও থাকে। দীর্ঘমেয়াদে প্রতিটি কেনাকাটার সাইটে স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা, পাসওয়ার্ড ম্যানেজার দিয়ে এলোমেলো পাসওয়ার্ড তৈরি করা এবং ইমেইল অ্যাকাউন্টকে আলাদাভাবে উচ্চমাত্রার নিরাপত্তায় রাখা প্রয়োজন। নিয়মিত পুরোনো অ্যাকাউন্ট পর্যালোচনা করা, অব্যবহৃত অ্যাকাউন্ট বন্ধ করা এবং সংরক্ষিত কার্ডের সংখ্যা কমানো ব্যক্তিগত ঝুঁকি কমায়।
ঠিকানা ও ফোন নম্বরের অপব্যবহার ঠেকাতে ব্যবহারকারীদের প্রাপ্ত বার্তা তার প্রেক্ষাপটসহ মূল্যায়ন করা গুরুত্বপূর্ণ। কোনো বার্তায় আপনার আসল নাম, পণ্য পৌঁছে দেওয়ার এলাকা বা কার্ডের শেষ চারটি অঙ্ক জানা আছে বলেই সেটিকে বিশ্বাসযোগ্য মনে করা উচিত নয়। প্রতিষ্ঠানগুলোর জন্যও শিক্ষাটি স্পষ্ট: পুরোনো সিস্টেমে রয়ে যাওয়া গ্রাহক-তথ্য সক্রিয় ঝুঁকি বহন করে এবং তা সুরক্ষিত রাখা জরুরি, এমনকি বর্তমান গ্রাহকদের তথ্যপ্রবাহ থেকে আলাদা থাকলেও। প্রবেশাধিকারের সীমা নির্ধারণ, পৃথক প্রমাণীকরণ, অপ্রয়োজনীয় তথ্য সংরক্ষণ এড়ানো, শক্তিশালী লগ সংরক্ষণ এবং দ্রুত অবহিত করার প্রক্রিয়া এ ধরনের ঘটনার প্রভাব কমায়।
রেকর্ড যাচাই ও ব্যবহারকারীর করণীয়
এই রেকর্ডে আপনার ইমেইল ঠিকানার মিল পাওয়া গেলে প্রথমে আপনার RedMart/Lazada ব্যবহারের ইতিহাস এবং একই পাসওয়ার্ড ব্যবহার করেন এমন অন্য অ্যাকাউন্টগুলো যাচাই করুন। মিল পাওয়ার অর্থ এই নয় যে আপনার কার্ডের সম্পূর্ণ তথ্য বা পুরো Lazada অ্যাকাউন্টের নিরাপত্তা ক্ষুণ্ণ হয়েছে। যাচাইকৃত পরিধিতে RedMart-সংশ্লিষ্ট পুরোনো গ্রাহক-তথ্য, কার্ডের আংশিক তথ্য এবং পাসওয়ার্ড হ্যাশ রয়েছে। তবু ফিশিং, অ্যাকাউন্ট দখল এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার ঝুঁকি মোকাবিলায় ব্যবস্থা নেওয়া উচিত।
কোনো রেকর্ড না পাওয়া গেলেও আপনি আগে RedMart ব্যবহার করে থাকলে প্রাথমিক সতর্কতা নেওয়া যুক্তিসংগত: স্বতন্ত্র পাসওয়ার্ড, একাধিক উপাদানভিত্তিক প্রমাণীকরণ, লেনদেনের বিবরণী পর্যবেক্ষণ, সন্দেহজনক বার্তার ব্যাপারে সতর্কতা এবং অপ্রয়োজনীয় সংরক্ষিত কার্ড মুছে ফেলা। এই তথ্য ফাঁসে আপনার ইমেইল ঠিকানা থাকলে আতঙ্কিত হওয়ার প্রয়োজন নেই। তবে অন্য কোথাও একই পাসওয়ার্ড ব্যবহার চালিয়ে গেলে ঝুঁকি বাড়ে। নিরাপদ পদ্ধতি হলো প্রভাবিত অ্যাকাউন্টটি আলাদা রাখা, অন্য অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার বন্ধ করা এবং আপনার ফোন নম্বর বা ঠিকানার তথ্য ব্যবহার করে চালানো সামাজিক প্রকৌশলভিত্তিক প্রতারণার প্রচেষ্টার ব্যাপারে আরও সতর্ক থাকা।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
