Ledger: তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর ও বাসা বা অন্য স্থানের ঠিকানা। ভুয়া নিরাপত্তা সতর্কতা, অ্যাকাউন্ট বন্ধ করার হুমকি, ভুয়া ওয়ালেট আপডেট ও ডিভাইস পরিবর্তনসংক্রান্ত বার্তায় ইমেইল ঠিকানা ব্যবহার করা যেতে পারে। নামের তথ্য এসব বার্তাকে আরও বিশ্বাসযোগ্য করে তোলে। ফোন নম্বরের কারণে SMS-ভিত্তিক প্রতারণা, ফোন কলের মাধ্যমে সোশ্যাল ইঞ্জিনিয়ারিং এবং মোবাইল অপারেটরের অ্যাকাউন্ট দখলের চেষ্টার ঝুঁকি থাকে। ক্রিপ্টো হার্ডওয়্যার ওয়ালেটের গ্রাহকদের ক্ষেত্রে বাসা বা অন্য স্থানের ঠিকানা আরও সংবেদনশীল তথ্য। এই তথ্য লক্ষ্যবস্তু বাছাই, ভয় দেখানো, ভুয়া পণ্য পাঠানোর বিজ্ঞপ্তি এবং ব্যক্তিগত নিরাপত্তা নিয়ে উদ্বেগ বাড়ায় এমন পরিস্থিতির সঙ্গে যুক্ত হতে পারে।

Ledger-এর এই তথ্য ফাঁসে পাসওয়ার্ড, রিকভারি ফ্রেজ, প্রাইভেট কী, পেমেন্ট কার্ডের তথ্য, ব্যাংকের তথ্য, সরকারি পরিচয় নম্বর বা স্বাস্থ্যসংক্রান্ত তথ্য উন্মুক্ত হয়েছিল বলে নিশ্চিত করা হয়নি। এই পার্থক্যটি গুরুত্বপূর্ণ: হার্ডওয়্যার ওয়ালেটের নিরাপত্তাব্যবস্থা ও ব্যবহারকারীর ক্রিপ্টো সম্পদের নিরাপত্তা সরাসরি লঙ্ঘিত হয়েছে বলে ধরে নেওয়া যায় না। তবু ব্যবহারকারীর আস্থা অর্জনের উদ্দেশ্যে চালানো আক্রমণের জন্য যোগাযোগের তথ্য যথেষ্ট প্রেক্ষাপট দিতে পারে। বিশেষ করে ক্রিপ্টো খাতে আক্রমণকারীরা প্রযুক্তিগত উপায়ে নিয়ন্ত্রণ দখলের বদলে প্রতারণার মাধ্যমে ব্যবহারকারীদের রিকভারি ফ্রেজ শেয়ার করতে রাজি করানোর চেষ্টা করে।

যাচাইকৃত পরিসর কেবল সেই ই-কমার্স ও বিপণনসংক্রান্ত গ্রাহকতথ্যের মধ্যে সীমিত, যাতে 25 জুন 2020 তারিখে অননুমোদিত প্রবেশ ঘটেছিল। স্বতন্ত্র অ্যাকাউন্টের সংখ্যা 10,75,241 হিসেবেই রাখা হয়েছে। দেখা যায়, গ্রাহকদের একটি অপেক্ষাকৃত ছোট গোষ্ঠীর ক্ষেত্রে নাম, ফোন নম্বর ও ডাকযোগাযোগের ঠিকানার মতো বিস্তারিত যোগাযোগের তথ্য রয়েছে। তাই রেকর্ডে তথ্যের ধরনগুলোর পরিসর বাড়ানো উচিত নয়। পাসওয়ার্ড, ক্রিপ্টো ওয়ালেট সিড, প্রাইভেট কী, পেমেন্ট কার্ড বা ব্যাংকের তথ্যের মতো ক্ষেত্র যাচাইকৃত তথ্যের ধরন হিসেবে যোগ করা উচিত নয়। ভুলভাবে এই পরিসর বাড়ালে ব্যবহারকারীদের মধ্যে অপ্রয়োজনীয় আতঙ্ক তৈরি হয় এবং প্রকৃত করণীয় আড়ালে পড়ে যায়।

তথ্য ফাঁসের সময়রেখাও সুনির্দিষ্ট ও সীমিত। অননুমোদিত প্রবেশের সময়কাল 2020 সালের জুন মাস, আর তথ্যসমষ্টি আরও ব্যাপকভাবে প্রকাশ্যে আসার সময়কাল 2020 সালের ডিসেম্বর মাস। তাই এটিকে 2025 বা 2026 সালের নতুন Ledger তথ্য ফাঁস হিসেবে উপস্থাপন করা উচিত নয়। বর্তমান নিরাপত্তা সতর্কতা বা ফিশিং অভিযান এই পুরোনো গ্রাহকতথ্য আবার ব্যবহারের ফল হতে পারে। তবে এর অর্থ স্বয়ংক্রিয়ভাবে এই নয় যে নতুন কোনো তথ্য ফাঁস ঘটেছে। LeakData পৃষ্ঠায় তারিখ উল্লেখ করার সময় এই পার্থক্য বজায় রাখা উচিত।

প্রধান ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই গ্রাহকেরা, যাঁরা Ledger-এর কোনো পণ্য কিনেছেন বা কেনাকাটার সময় ইমেইল ঠিকানা, ফোন নম্বর কিংবা ডেলিভারির ঠিকানা দিয়েছেন। আক্রমণকারীরা এসব গ্রাহকের ক্রিপ্টো সম্পদ আছে বলে মনে করলে তাঁদের জন্য বিশেষভাবে তৈরি বার্তা পাঠাতে পারে। এসব বার্তা ডিভাইস আপডেট, নিরাপত্তা যাচাই, ভুয়া ডেলিভারি, ভুয়া পণ্য ফেরত, নতুন অ্যাপ ইনস্টল করা বা সহায়তা দলের কাছ থেকে এসেছে বলে দাবি করা জরুরি বিজ্ঞপ্তির রূপ নিতে পারে। নাম ও ঠিকানার তথ্য ব্যবহার করে বার্তাকে ব্যক্তিনির্দিষ্ট করা যায়, যা প্রাপককে বার্তাটি আসল বলে বিশ্বাস করাতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই ব্যক্তিরা, যাঁরা আর্থিক সেবা, ইমেইল ও ক্রিপ্টো সেবায় একই ফোন নম্বর ব্যবহার করেন। ফোন নম্বর ফাঁস হলে আক্রমণকারীরা মোবাইল অপারেটরের সহায়তা দলকে প্রতারিত করা, যাচাইকরণ কোড হাতিয়ে নেওয়া অথবা অতিরিক্ত কল ও বার্তা দিয়ে ব্যবহারকারীকে ভুল সিদ্ধান্ত নিতে বাধ্য করার চেষ্টা করতে পারে। তৃতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলো সেই ব্যবহারকারীরা, যাঁদের বাড়ির ঠিকানার সঙ্গে উচ্চমূল্যের সম্পদ আছে বলে ধারণা করা হয়। এই তথ্যসমষ্টি থেকে ক্রিপ্টো সম্পদের পরিমাণ যাচাই করা যায় না। তবে কেউ হার্ডওয়্যার ওয়ালেটের গ্রাহক, শুধু এই তথ্যও আক্রমণকারীরা লক্ষ্যবস্তু বাছাই করতে ব্যবহার করতে পারে।

Ledger-এর সঙ্গে যুক্ত ইমেইল ঠিকানা ব্যবহার করা হয় এমন সব গুরুত্বপূর্ণ অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন (একাধিক স্বতন্ত্র উপাদানভিত্তিক পরিচয় যাচাই) চালু করা উচিত। ইমেইল অ্যাকাউন্টে অন্য কোথাও ব্যবহার করা হয়নি এমন শক্তিশালী পাসওয়ার্ড বেছে নেওয়া উচিত। মোবাইল অপারেটরের অ্যাকাউন্টে অতিরিক্ত নিরাপত্তা পাসওয়ার্ড বা দোকানে গিয়ে লেনদেনের ওপর সীমাবদ্ধতাও যোগ করা উচিত। কোনো ওয়েব ফর্ম, চ্যাটের পর্দা, ফোনে কথা বলা ব্যক্তি বা সহায়তা বার্তায় রিকভারি শব্দ দেওয়া উচিত নয়। হার্ডওয়্যার ওয়ালেটের রিকভারি ফ্রেজ কেবল ডিভাইসটির নিরাপদ পুনরুদ্ধার প্রক্রিয়ায় ব্যবহার করা উচিত। ইমেইল বা SMS-এ পাওয়া লিংকের মাধ্যমে লেনদেন শুরু করা উচিত নয়।

ফোন ও ইমেইলে পাওয়া Ledger-সংক্রান্ত বার্তাগুলো বিশেষ সতর্কতার সঙ্গে যাচাই করা উচিত। ভুয়া ডিভাইস আপডেট, ভুয়া নিরাপত্তা সতর্কতা, ভুয়া ডেলিভারি ট্র্যাকিং ও জরুরি যাচাইকরণের অনুরোধ পরীক্ষা করতে ব্রাউজারের আলাদা ট্যাবে নিজে অফিসিয়াল ডোমেইন লিখে প্রবেশ করা উচিত। যাঁদের বাসা বা অন্য স্থানের ঠিকানা ফাঁস হয়েছে, তাঁদের পণ্য ডেলিভারি নেওয়ার পছন্দ, বাড়িতে মূল্যবান ডিভাইস রাখার অভ্যাস এবং সামাজিক যোগাযোগমাধ্যমে প্রকাশ্যে দেখা যায় এমন পোস্টগুলো পর্যালোচনা করা উচিত। পাসওয়ার্ড ফাঁসের বিষয়টি নিশ্চিত না হওয়ায় আতঙ্কিত হয়ে সব ব্যবস্থা রিসেট করার বদলে প্রথমে ইমেইল ও ক্রিপ্টো অ্যাকাউন্টের নিরাপত্তা জোরদার করা উচিত।

দীর্ঘমেয়াদে ক্রিপ্টো ব্যবহারকারীদের কেনাকাটা, এক্সচেঞ্জ, ইমেইল ও ব্যক্তিগত যোগাযোগের তথ্য যতটা সম্ভব আলাদা রাখা উচিত। হার্ডওয়্যার ওয়ালেটের অর্ডারের জন্য সাময়িক বা শুধু ওই কাজে ব্যবহৃত ইমেইল ঠিকানা ব্যবহার করা, প্রয়োজন না হলে ফোন নম্বর না দেওয়া এবং ডেলিভারির পর ডিভাইস নিরাপদে রাখার ব্যবস্থা করার মতো বাস্তবসম্মত পদক্ষেপ ঝুঁকি কমায়। বিকল্প ইমেইল ঠিকানা, শক্তিশালী পাসওয়ার্ড ম্যানেজার, শারীরিক নিরাপত্তা সম্পর্কে সচেতনতা ও মোবাইল অপারেটরের অ্যাকাউন্টে বিধিনিষেধ, এসব ব্যবস্থা একসঙ্গে নিলে এ ধরনের গ্রাহকতথ্য ফাঁসের প্রভাব উল্লেখযোগ্যভাবে কমে।

Ledger-এর তথ্য ফাঁস দেখায়, ক্রিপ্টো নিরাপত্তার ক্ষেত্রে ডিভাইসের প্রযুক্তিগত সুরক্ষার দৃঢ়তা ও গ্রাহকতথ্যের গোপনীয়তা সমান গুরুত্বপূর্ণ। ক্রিপ্টো সম্পদের নিরাপত্তা সরাসরি লঙ্ঘিত না হলেও কোনো আক্রমণকারী ব্যবহারকারী সম্পর্কে যথেষ্ট প্রাসঙ্গিক তথ্য পেয়ে গেলে তার গুরুতর পরিণতি হতে পারে। তাই ব্যবহারকারীদের শুধু ওয়ালেটের সফটওয়্যার হালনাগাদ রাখলেই চলবে না। তাঁদের যোগাযোগের তথ্য কোথায় ব্যবহার হচ্ছে, কোন অ্যাকাউন্টগুলো একই ইমেইলের সঙ্গে যুক্ত এবং কোন কোন যাচাইকরণ প্রক্রিয়ায় তাঁদের ফোন নম্বর ব্যবহৃত হচ্ছে, তা নিয়মিত পরীক্ষা করা উচিত।

LeakData-এ যেসব ব্যবহারকারীর তথ্যের সঙ্গে Ledger তথ্য ফাঁসের রেকর্ড মিলে যায়, তাঁদের এই মিলকে 25 জুন 2020 তারিখের ই-কমার্স ও বিপণনসংক্রান্ত গ্রাহকতথ্য ফাঁসের ঘটনার অংশ হিসেবে বিবেচনা করা উচিত। এই মিলের অর্থ নয় যে ব্যবহারকারীর ওয়ালেটে থাকা সম্পদের নিরাপত্তা লঙ্ঘিত হয়েছে। তবে ইমেইল, ফোন নম্বর, নাম ও ঠিকানা একসঙ্গে থাকায় নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার আশঙ্কা বেশি। ব্যবহারকারীর করণীয়ের মূল অগ্রাধিকার হওয়া উচিত ইমেইল অ্যাকাউন্টের নিরাপত্তা, ফোন লাইনের সুরক্ষা, ভুয়া সহায়তা বার্তা সম্পর্কে সচেতনতা এবং কোনো পরিস্থিতিতেই রিকভারি ফ্রেজ শেয়ার না করা।

এই পৃষ্ঠায় তথ্যের ধরনগুলো যাচাইকৃত ক্ষেত্রের মধ্যেই সীমিত রাখা হয়েছে। অপ্রয়োজনীয় ভয় তৈরি করতে পারে এমনভাবে এগুলোর পরিসর বাড়ানো হয়নি। Ledger-এর তথ্য ফাঁস মূল্যায়নের সবচেয়ে যথাযথ উপায় হলো ক্রিপ্টো সম্পদের নিরাপত্তা ও ব্যক্তিগত যোগাযোগের তথ্যের নিরাপত্তা আলাদাভাবে বিবেচনা করা। সম্পদের নিরাপত্তার জন্য রিকভারি ফ্রেজ সুরক্ষিত রাখতে হবে এবং ডিভাইসে প্রবেশাধিকার রক্ষা করতে হবে। ব্যক্তিগত তথ্যের নিরাপত্তার জন্য ইমেইল, ফোন নম্বর, ঠিকানা ও সোশ্যাল ইঞ্জিনিয়ারিংসংক্রান্ত ঝুঁকি কমাতে হবে। এই দুই দিক একসঙ্গে বিবেচনা করলে বর্তমান আক্রমণে পুরোনো গ্রাহকতথ্য ফাঁসের তথ্য আবার ব্যবহার করা হলেও ব্যবহারকারী তা আরও ভালোভাবে মোকাবিলা করতে পারেন।