Lexipol: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, ব্যবহারকারীনাম ও পাসওয়ার্ড। মূল্যায়নে ধারণা করা হয়েছে যে পাসওয়ার্ডগুলো MD5 বা SHA-256-এর মতো বিন্যাসে সংরক্ষিত আছে; দুর্বল পাসওয়ার্ড অফলাইন আক্রমণের ঝুঁকিতে থাকে। এই ফিল্ডগুলো আলাদাভাবে মূল্যায়ন করা হয়েছে। যাচাই না হওয়া পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র, ব্যক্তিগত বার্তা, স্বাস্থ্যসংক্রান্ত রেকর্ড বা অতিরিক্ত প্রোফাইল ফিল্ড তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি।

জননিরাপত্তা প্রতিষ্ঠানের সঙ্গে যুক্ত ব্যবহারকারীদের ভুয়া নীতি হালনাগাদ, প্রশিক্ষণের আমন্ত্রণ বা নথি শেয়ার করার মতো বার্তার মাধ্যমে লক্ষ্যবস্তু করা হতে পারে। শুধু একটি ইমেইল ঠিকানা থেকেই স্প্যাম ও ফিশিংয়ের ঝুঁকি তৈরি হয়। এর সঙ্গে নাম, ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ বা পেশাগত তথ্য যুক্ত হলে আক্রমণকারীদের পক্ষে ব্যক্তির সঙ্গে আরও মানানসই বার্তা তৈরি করা সহজ হয়। তাই ঝুঁকি মূল্যায়নে শুধু রেকর্ডের সংখ্যা নয়, ফিল্ডগুলো একসঙ্গে কতটা কাজে লাগানো যায়, সেটিও বিবেচনা করা হয়েছে।

ফেব্রুয়ারি 2025-এর 6,72,546টি অ্যাকাউন্টের ভিত্তিতে পরিসর যাচাই করা হয়েছে। যাচাইকৃত তথ্যের ফিল্ডগুলো রাখা হয়েছে, আর নিশ্চিত না হওয়া ফিল্ডগুলো বাদ দেওয়া হয়েছে। এতে ব্যবহারকারীকে অযথা আতঙ্কিত না করে বর্তমান রেকর্ড সম্পর্কে জানানো হয়, আবার প্রকৃত ঝুঁকিকেও ছোট করে দেখা হয় না।

ঠিকানা, সরকারি পরিচয়পত্র, পেমেন্ট বা স্বাস্থ্যসংক্রান্ত তথ্যের মতো ফিল্ড যাচাই করা যায়নি বলে যোগ করা হয়নি। ঘটনাটি ব্যবহারকারীর রেকর্ড ও সংশ্লিষ্ট নথির প্রেক্ষাপটেই রাখা হয়েছে। এই রেকর্ডের নামের সঙ্গে মিল আছে এমন অন্য ঘটনা থাকলেও সেগুলোকে একত্র করে একটি বড় ঘটনা হিসেবে দেখানো হয়নি। ডোমেইন নাম, কোম্পানির নাম ও খাতের তথ্য যতটা সম্ভব সুনির্দিষ্ট ও সঠিক প্রেক্ষাপটে রাখা হয়েছে। এতে একই তথ্য ফাঁসের ঘটনা একাধিকবার যোগ করা বা ভুলভাবে কোনো ঘটনার সঙ্গে যুক্ত করাও এড়ানো যায়।

ঝুঁকিতে থাকা ব্যবহারকারীরা হলেন জননিরাপত্তা কর্মী, সংস্থার প্রতিনিধি ও নীতি ব্যবস্থাপনার ব্যবহারকারী, যাদের Lexipol-এর সিস্টেমে অ্যাকাউন্ট রয়েছে। যাদের তথ্যের সঙ্গে মিল পাওয়া যায়, তাদের শুধু সংশ্লিষ্ট সেবার অ্যাকাউন্ট নয়, একই ইমেইল, ব্যবহারকারীনাম বা পাসওয়ার্ডের ধরন ব্যবহার করা অন্য অ্যাকাউন্টগুলোর কথাও বিবেচনা করা উচিত।

ফোন ও ব্যবহারকারীনামের তথ্য ব্যবহার করে পাঠানো লক্ষ্যভিত্তিক বার্তাগুলো অভ্যন্তরীণ সহায়তা বা নিরাপত্তা বিজ্ঞপ্তি বলে আরও বিশ্বাসযোগ্য মনে হতে পারে। প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে নিবন্ধিত ব্যক্তিদের ক্ষেত্রে ঝুঁকি ব্যক্তিগত অ্যাকাউন্টের বাইরেও ছড়াতে পারে। নাম, পদ বা ভূমিকা, ফোন নম্বর, ঠিকানা, কেনাকাটা, গেমিং ID বা পেশাগত প্রোফাইলের বিস্তারিত তথ্য ব্যবহার করে আক্রমণকারীরা আরও বিশ্বাসযোগ্য বার্তা পাঠাতে পারে। তাই ব্যবহারকারীদের এই মিল পাওয়াকে শুধু একটি সাইটের সমস্যা হিসেবে দেখা উচিত নয়।

ক্ষতিগ্রস্ত ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তন করা উচিত। প্রতিষ্ঠানের প্রশাসকদের সেশন শেষ করা, বাধ্যতামূলক পাসওয়ার্ড রিসেট ও দুই ধাপে যাচাইয়ের ব্যবস্থা কার্যকর করা উচিত। যেসব রেকর্ডে পাসওয়ার্ড ফিল্ড রয়েছে, সেসব ক্ষেত্রে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড হালনাগাদ করা উচিত। পাসওয়ার্ড ফিল্ড নেই এমন রেকর্ডের ক্ষেত্রে ইমেইল, ফোন ও ফিশিং বার্তার ঝুঁকির ওপর গুরুত্ব দেওয়া উচিত। উভয় ক্ষেত্রেই ইমেইল অ্যাকাউন্টকে শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড দিয়ে সুরক্ষিত রাখতে হবে।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা উচিত, অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত তথ্য ব্যবহার করা উচিত। ফোনে পাওয়া যাচাইকরণ কোড, পাসওয়ার্ড রিসেটের অনুরোধ, পণ্য পাঠানোর বার্তা, চাকরির প্রস্তাব, সহায়তা, সাবস্ক্রিপশন বা নিরাপত্তা বিজ্ঞপ্তির মতো বার্তা স্বাধীন কোনো মাধ্যমে যাচাই না করে বিশ্বাস করা উচিত নয়।

জননিরাপত্তা সেবায় ভূমিকা অনুযায়ী প্রবেশাধিকার, একাধিক উপাদানের মাধ্যমে পরিচয় যাচাই এবং অ্যাকাউন্টের প্রবেশাধিকার নিয়মিত পর্যালোচনা বাধ্যতামূলক করা উচিত। পুরোনো অ্যাকাউন্ট, অব্যবহৃত ফোন ও ঠিকানার ফিল্ড, বারবার ব্যবহৃত ব্যবহারকারীনাম এবং একই ধরনের পাসওয়ার্ড নিয়মিত পরিষ্কার করা উচিত। ব্যবহারকারীদের প্রতিটি সেবার জন্য স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব দুই ধাপে যাচাই চালু করা উচিত।

সেবাদাতাদের জন্য কেবল ন্যূনতম প্রয়োজনীয় তথ্য সংরক্ষণ, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, অ্যাক্সেস লগ পর্যবেক্ষণ, অপ্রয়োজনীয় প্রোফাইল ফিল্ড মুছে ফেলা এবং তথ্য ফাঁসের পর ব্যবহারকারীকে জানানো মৌলিক প্রয়োজন। সংবেদনশীল খাতে তৃতীয় পক্ষের সিস্টেমের নিরাপত্তা কার্যক্রম পরিচালনার ক্ষেত্রে পারস্পরিক আস্থার ওপর সরাসরি প্রভাব ফেলে। এ ধরনের ঘটনায় প্রযুক্তিগত প্রতিকারের মতোই ঘটনার পরিসর সঠিকভাবে জানানো গুরুত্বপূর্ণ। অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

ব্যবহারকারীর প্রথমে এই রেকর্ডে নিজের ইমেইল ঠিকানা দিয়ে যাচাই করা উচিত। মিল পাওয়া গেলে পাসওয়ার্ড পরিবর্তন, সেশন নিয়ন্ত্রণ ও ফোনে পাওয়া সহায়তার অনুরোধের ক্ষেত্রে অতিরিক্ত যাচাইকে অগ্রাধিকার দেওয়া উচিত। মিল না পাওয়া মানেই পুরোনো পাসওয়ার্ড আবার ব্যবহার করা হয়নি বা একই সেবার সঙ্গে যুক্ত অন্য ইমেইল ব্যবহার করা হয়নি, এমন নয়। তাই গুরুত্বপূর্ণ অ্যাকাউন্টগুলো আলাদাভাবে পর্যালোচনা করা উচিত।

এই রেকর্ড যাচাই করা হয়েছে এবং সংবেদনশীল হিসেবে রাখা হয়েছে। খাত ও ট্যাগগুলো জননিরাপত্তার প্রেক্ষাপটের সঙ্গে সামঞ্জস্যপূর্ণ করা হয়েছে। এই বিন্যাসে তথ্যের ফিল্ডগুলো ইংরেজিতে মান্য শ্রেণিনাম হিসেবেই রাখা হয়েছে, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছে, যাচাই না হওয়া ফিল্ড যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতা নির্দেশক ব্যবহার করা হয়েছে।