Le Coq Sportif Columbia: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, বাসা বা অন্যান্য স্থানের ঠিকানা, IP ঠিকানা, জন্মতারিখ, লিঙ্গসংক্রান্ত তথ্য, ডিভাইসের তথ্য, কেনাকাটার রেকর্ড ও পাসওয়ার্ড। পাসওয়ার্ডের ক্ষেত্রটি bcrypt হ্যাশ হিসেবে মূল্যায়ন করা হয়েছিল। এটি সংরক্ষণের একটি শক্তিশালী পদ্ধতি হলেও দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকে যায়। এই ক্ষেত্রগুলো আলাদাভাবে মূল্যায়ন করা হয়েছিল। যাচাই না হওয়া পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র, ব্যক্তিগত বার্তা, স্বাস্থ্যসংক্রান্ত রেকর্ড বা প্রোফাইলের অতিরিক্ত ক্ষেত্র তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি।

কেনাকাটা ও ডেলিভারির তথ্য দিয়ে ভুয়া পার্সেল, পণ্য ফেরত, অর্ডার যাচাই ও প্রচারসংক্রান্ত বার্তা বিশ্বাসযোগ্য করে তোলা সম্ভব। শুধু ইমেইল ঠিকানাই স্প্যাম ও ফিশিংয়ের ঝুঁকি তৈরি করে। এর সঙ্গে নাম, ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ বা পেশাগত তথ্য যুক্ত হলে আক্রমণকারীর পক্ষে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে আরও বিশ্বাসযোগ্য বার্তা তৈরি করা সহজ হয়। তাই ঝুঁকি মূল্যায়নে শুধু রেকর্ডের সংখ্যা নয়, ক্ষেত্রগুলো একসঙ্গে কতটা কাজে লাগানো যায়, তা-ও বিবেচনা করা হয়েছিল।

ঘটনার পরিধি 2023 সালের মে মাসের 79,712টি অ্যাকাউন্টে সীমাবদ্ধ রাখা হয়েছিল এবং কোম্পানির সংশ্লিষ্ট অংশ হিসেবে কলম্বিয়ার ওয়েব স্টোর উল্লেখ করে সংশোধন করা হয়েছিল। যাচাইকৃত তথ্যের ক্ষেত্রগুলো রাখা হলেও নিশ্চিত না হওয়া ক্ষেত্রগুলো বাদ দেওয়া হয়েছিল। এর ফলে ব্যবহারকারীকে বিদ্যমান রেকর্ড সম্পর্কে জানানো হয়, অযথা আতঙ্কিত না করে এবং প্রকৃত ঝুঁকিকেও খাটো না করে।

পেমেন্ট কার্ড বা সরকারি পরিচয়পত্রের মতো ক্ষেত্র যোগ করা হয়নি, কারণ সেগুলো যাচাই করা হয়নি। ডোমেইনের তথ্য সরাসরি lecoqsportif.com.co হিসেবেই রাখা হয়েছিল। রেকর্ডের নামের সঙ্গে মিল আছে এমন অন্য কোনো ঘটনা থাকলেও সেগুলোকে একত্র করে একটি বড় ঘটনা হিসেবে দেখানো হয়নি। ডোমেইনের নাম, কোম্পানির নাম ও শিল্পখাতের তথ্য যতটা সম্ভব সঠিক ও সীমিত প্রেক্ষাপটে রাখা হয়েছিল। এতে একই তথ্য ফাঁসের ঘটনা একাধিকবার যোগ হওয়া বা ভুল প্রতিষ্ঠানের সঙ্গে যুক্ত হওয়া এড়ানো যায়।

কলম্বিয়ার স্টোরে যেসব গ্রাহক অ্যাকাউন্ট খুলেছেন, অর্ডার দিয়েছেন বা ডেলিভারির তথ্য শেয়ার করেছেন, তাঁরা ঝুঁকিতে রয়েছেন। যেসব ব্যবহারকারীর তথ্যের মিল পাওয়া যায়, তাঁদের শুধু সংশ্লিষ্ট সেবার অ্যাকাউন্ট নয়, একই ইমেইল, ব্যবহারকারীর নাম বা একই ধরনের পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলোর কথাও বিবেচনা করা উচিত।

অন্য কেনাকাটার সাইট, ইমেইল বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হলে এই ঝুঁকি সরাসরি অ্যাকাউন্ট দখলের চেষ্টায় রূপ নিতে পারে। যাঁরা কর্মস্থলের ইমেইল ঠিকানা দিয়ে নিবন্ধন করেছেন, তাঁদের ক্ষেত্রে ঝুঁকি ব্যক্তিগত অ্যাকাউন্টের বাইরেও ছড়াতে পারে। আক্রমণকারীরা নাম, পদ বা ভূমিকা, ফোন নম্বর, ঠিকানা, কেনাকাটার ইতিহাস, গেম আইডি বা পেশাগত প্রোফাইলের মতো তথ্য ব্যবহার করে আরও বিশ্বাসযোগ্য বার্তা পাঠাতে পারে। তাই তথ্যের মিল পাওয়াকে শুধু একটি সাইটের মধ্যে সীমাবদ্ধ সমস্যা হিসেবে দেখা উচিত নয়।

ক্ষতিগ্রস্ত ব্যবহারকারীদের স্টোরের অ্যাকাউন্টের পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা উচিত। রেকর্ডে পাসওয়ার্ডের ক্ষেত্র থাকলে সেই একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। রেকর্ডে পাসওয়ার্ডের ক্ষেত্র না থাকলে ইমেইল, ফোন ও ভুয়া বিজ্ঞপ্তির ঝুঁকিতে মনোযোগ দেওয়া উচিত। উভয় ক্ষেত্রেই ইমেইল অ্যাকাউন্টকে শক্তিশালী ও অনন্য পাসওয়ার্ড দিয়ে সুরক্ষিত রাখা উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে লিখে প্রবেশ করা উচিত, অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত তথ্য ব্যবহার করা উচিত। ফোনে পাওয়া যাচাইকরণ কোড, পাসওয়ার্ড রিসেটের অনুরোধ, পণ্য পাঠানো, চাকরির প্রস্তাব, সহায়তা, সাবস্ক্রিপশন বা নিরাপত্তাসংক্রান্ত বার্তা আলাদা একটি মাধ্যমে যাচাই না করে বিশ্বাস করা উচিত নয়।

খুচরা বিক্রয়সংশ্লিষ্ট অ্যাকাউন্টে অপ্রয়োজনীয় ঠিকানা ও জন্মতারিখের তথ্য রাখা উচিত নয় এবং প্রতিটি স্টোরের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত। পুরোনো অ্যাকাউন্ট, অব্যবহৃত ফোন নম্বর ও ঠিকানার ক্ষেত্র, একাধিক অ্যাকাউন্টে ব্যবহৃত একই ব্যবহারকারীর নাম এবং একই ধরনের পাসওয়ার্ড নিয়মিত পর্যালোচনা করে অপ্রয়োজনীয় তথ্য সরানো বা পরিবর্তন করা উচিত। ব্যবহারকারীদের প্রতিটি সেবার জন্য অনন্য পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব দুই ধাপে যাচাইকরণ চালু করা উচিত।

সেবাদাতাদের দিক থেকে যত কম সম্ভব তথ্য সংরক্ষণ, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, প্রবেশের লগ পর্যবেক্ষণ, প্রোফাইলের অপ্রয়োজনীয় ক্ষেত্র মুছে ফেলা এবং তথ্য ফাঁসের পর ব্যবহারকারীকে জানানো মৌলিক প্রয়োজন। খুচরা বিক্রয়ের ক্ষেত্রে অর্ডার ও ঠিকানার তথ্য পাসওয়ার্ডের মতোই মূল্যবান প্রেক্ষাপট তৈরি করে। এ ধরনের ঘটনায় প্রযুক্তিগত সংশোধনের পাশাপাশি ঘটনার সঠিক পরিধি জানানোও সমান গুরুত্বপূর্ণ। অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

প্রথমে আপনার ইমেইল ঠিকানা দিয়ে এই রেকর্ড যাচাই করা উচিত। মিল পাওয়া গেলে ধরে নিতে হবে যে ঠিকানা, কেনাকাটা ও পাসওয়ার্ডের ক্ষেত্রগুলোও ঝুঁকিতে থাকতে পারে। পণ্য পাঠানো বা ফেরত দেওয়াসংক্রান্ত বার্তা সতর্কভাবে যাচাই করা উচিত। মিল না পাওয়া গেলেও পুরোনো পাসওয়ার্ড বারবার ব্যবহার করা বা একই সেবার সঙ্গে যুক্ত ভিন্ন ইমেইল ব্যবহারের সম্ভাবনা পুরোপুরি বাদ যায় না। তাই গুরুত্বপূর্ণ অ্যাকাউন্টগুলো আলাদাভাবে পর্যালোচনা করা উচিত।

এই রেকর্ডের যাচাইকৃত অবস্থা বহাল ছিল, তবে এর পরিধি কলম্বিয়ার স্টোরে সীমাবদ্ধ রাখা হয়েছিল। এই বিন্যাসে তথ্যের ক্ষেত্রগুলো ইংরেজি মান্য শ্রেণির নাম হিসেবেই রাখা হয়েছিল, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছিল, যাচাই না হওয়া ক্ষেত্র যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতার ফ্ল্যাগ ব্যবহার করা হয়েছিল।