LinkedIn-এর স্ক্র্যাপ করা ও জাল তথ্য (2023)

তালিকাভুক্ত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, লিঙ্গ, ভৌগোলিক অবস্থান, পদের নাম, পেশাগত দক্ষতা ও সামাজিক যোগাযোগমাধ্যমের প্রোফাইল। নাম, নিয়োগদাতা, পদের নাম, দক্ষতা ও প্রোফাইলের লিংকগুলো মূলত প্রকাশ্য প্রোফাইল থেকে স্ক্র্যাপ করে সংগ্রহ করা প্রকৃত তথ্য। অন্যদিকে, ইমেইল ঠিকানাগুলোর একটি উল্লেখযোগ্য অংশ কোনো ব্যক্তির নামের সঙ্গে নিয়োগদাতার ডোমেইন মিলিয়ে অ্যালগরিদমের মাধ্যমে তৈরি করা হয়েছে। তাই তালিকায় থাকা প্রতিটি ঠিকানা বাস্তবে আছে বা ইমেইল গ্রহণ করে, এমন ধরে নেওয়া যাবে না। এই ঘটনার ক্ষেত্রে নিশ্চিতভাবে শনাক্ত হওয়া তথ্যের ধরনগুলোর মধ্যে পাসওয়ার্ড, ব্যক্তিগত বার্তা, ফোন নম্বর এবং LinkedIn-এর প্রবেশাধিকার-নিয়ন্ত্রিত অভ্যন্তরীণ অ্যাকাউন্টের তথ্য নেই। এই পাতায় উল্লেখ করা 1,97,88,753 সংখ্যাটি স্বতন্ত্র ইমেইল স্ট্রিংয়ের সংখ্যা বোঝায়, প্রকৃত LinkedIn অ্যাকাউন্ট বা নিরাপত্তা লঙ্ঘিত হওয়া মেইলবক্সের সংখ্যা নয়।

প্রথম দাবিটি প্রকাশিত হয় 2023 সালের 4 নভেম্বর, “LinkedIn ডেটাবেস 2023” নামে। এতে প্রায় 25 লাখ প্রোফাইল রেকর্ডের কথা বলা হয়। 7 নভেম্বর একই পক্ষ আরও বড় একটি প্যাকেজ প্রকাশ করে, যাতে 3 কোটি 50 লাখ লাইন রয়েছে বলে দাবি করা হয়। বিস্তারিত বিশ্লেষণে LinkedIn প্রোফাইলের প্রকৃত শনাক্তকারী ও প্রকাশ্য পেশাগত তথ্যের পাশাপাশি এমন ইমেইল ঠিকানা পাওয়া যায়, যেগুলো সম্পর্কহীন কোম্পানির ডোমেইনে নামের একই ছক প্রয়োগ করে তৈরি করা হয়েছে। চূড়ান্ত মান্য ক্যাটালগে 1,97,88,753টি স্বতন্ত্র ইমেইল শনাক্তকারী রয়েছে। মিশ্র উপাদান থাকার কারণে এটিকে স্প্যাম তালিকা হিসেবে চিহ্নিত করা হয়েছে। এই রেকর্ডটি পুরোপুরি বানানো নয়: এতে ডাবল অপ্ট-ইন প্রক্রিয়া সম্পন্ন হওয়া প্রকৃত ঠিকানা এবং অন্য ডেটাসেটে আগে থেকেই দেখা গেছে এমন 10 লাখের কিছু কম ঠিকানা রয়েছে। এসব ফলাফল থেকে প্রমাণিত হয় না যে 2023 সালে LinkedIn-এর সিস্টেম হ্যাক করা হয়েছিল, কোনো পাসওয়ার্ড ডেটাবেসে প্রবেশ করা হয়েছিল বা সদস্যদের ব্যক্তিগত তথ্য বের করে নেওয়া হয়েছিল।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন তাঁরা, যাঁদের প্রকাশ্য LinkedIn প্রোফাইল থেকে নিয়োগদাতা, পদের নাম, অবস্থান বা দক্ষতা জানা যায় এবং যাঁদের প্রাতিষ্ঠানিক ইমেইল ঠিকানার বিন্যাস সহজে অনুমান করা যায়। কৃত্রিমভাবে তৈরি কোনো ঠিকানা বাস্তবে না থাকলেও প্রকৃত নাম, কোম্পানি ও পদের মধ্যে সম্পর্কটি লক্ষ্যভিত্তিক ফিশিং ও সামাজিক কৌশলে প্রতারণায় কাজে লাগতে পারে। যাঁদের প্রকৃত ঠিকানা তালিকায় আছে, তাঁরা ভুয়া নিয়োগসংক্রান্ত বার্তা, অংশীদারত্বের প্রস্তাব, চালানের অনুরোধ, ফাইল শেয়ার করার বিজ্ঞপ্তি বা সাইন-ইনের সতর্কবার্তা পেতে পারেন। কোনো কোম্পানির ডোমেইন ক্যাচ-অল কনফিগারেশনের মাধ্যমে ইমেইল গ্রহণ করলে, অ্যালগরিদমে তৈরি ঠিকানায়ও ইমেইল পৌঁছাতে পারে, এমনকি ঠিকানাটি কখনো কোনো নির্দিষ্ট কর্মীর জন্য বরাদ্দ করা না হলেও। এতে প্রাতিষ্ঠানিক ব্যবস্থায় অনাকাঙ্ক্ষিত বার্তা প্রবেশ করতে পারে। তালিকায় নাম থাকা প্রমাণ করে না যে কোনো ব্যক্তির LinkedIn অ্যাকাউন্টে প্রবেশ করা হয়েছে, পাসওয়ার্ড চুরি হয়েছে বা মেইলবক্সের নিরাপত্তা লঙ্ঘিত হয়েছে।

আপনার প্রথম পদক্ষেপ হলো মিল পাওয়া ইমেইল ঠিকানাটি সত্যিই আপনার কি না এবং সেটি ইমেইল গ্রহণ করতে পারে কি না, তা নিশ্চিত করা। এটি শুধু আপনার নাম ও বর্তমান বা সাবেক নিয়োগদাতার ডোমেইন থেকে তৈরি হয়ে থাকতে পারে। মেইলবক্সটি কখনোই না থাকলে, এই মিলকে অ্যাকাউন্টের নিরাপত্তা লঙ্ঘনের প্রমাণ হিসেবে দেখবেন না। ঠিকানাটি বাস্তবে থাকলে অপ্রত্যাশিত নিয়োগ, ফাইল শেয়ার, পাসওয়ার্ড রিসেট ও প্রাতিষ্ঠানিক সাইন-ইনসংক্রান্ত বার্তার বিষয়ে সতর্ক থাকুন। ইমেইল ও LinkedIn অ্যাকাউন্টে মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু করুন, তারপর সক্রিয় সেশন ও অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পর্যালোচনা করুন। এই ডেটাসেটে পাসওয়ার্ড নেই, তাই শুধু এই মিল পাওয়ার কারণে সব পাসওয়ার্ড বদলানোর প্রয়োজন নেই। তবে দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের বদলে প্রতিটি অ্যাকাউন্টের জন্য স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা ভালো নিরাপত্তা চর্চা। প্রতিষ্ঠানের নিরাপত্তা দলের উচিত বাস্তবে নেই কিন্তু সহজে অনুমান করা যায় এমন ঠিকানায় পাঠানো ইমেইল, ক্যাচ-অল ব্যবস্থার আচরণ এবং প্রতিষ্ঠানের অনুকরণে তৈরি ডোমেইনগুলো পর্যবেক্ষণ করা।

আপনার কাজের পরিচয় দিতে যতটুকু পেশাগত তথ্য দরকার, তার সঙ্গে এমন বিবরণের ভারসাম্য রাখুন যা অন্য কারও পক্ষে আপনার পরিচয় ধারণ করা সহজ করে দেয়। প্রকাশ্য প্রোফাইলের লেখায় ব্যক্তিগত ইমেইল ঠিকানা, ফোন নম্বর বা রাস্তার নামসহ পূর্ণ ঠিকানা দেবেন না। যোগাযোগের তথ্য কে দেখতে পারবেন এবং আপনার প্রোফাইল কীভাবে খুঁজে পাওয়া যাবে, সেই সেটিংস নিয়মিত পর্যালোচনা করুন। প্রতিষ্ঠানগুলোর উচিত অপ্রয়োজনে কর্মীদের ইমেইল ঠিকানার বিন্যাস প্রকাশ না করা, SPF, DKIM ও DMARC নীতিমালা কার্যকর করা এবং প্রতিষ্ঠানের ডোমেইনের মতো দেখতে ডোমেইন নিবন্ধনের ওপর নজর রাখা। কর্মীদের প্রশিক্ষণ দিন, যাতে তাঁরা বোঝেন যে কোনো বার্তায় সঠিক নাম ও পদের নাম থাকলেই প্রেরক বৈধ বলে প্রমাণিত হয় না। LinkedIn-এর শর্তাবলিতে স্বয়ংক্রিয় সরঞ্জাম দিয়ে প্রোফাইল ও সেবার তথ্য স্ক্র্যাপ করা বা অনুলিপি করা নিষিদ্ধ। কোনো তথ্য জনসাধারণ দেখতে পেলেই তা ব্যাপক পরিসরে পুনর্বিতরণের অনুমতি আছে, এমন নয়। তথ্য ফাঁসের ধারাবাহিক সতর্কবার্তা ও ডোমেইন পর্যবেক্ষণ প্রকৃত বা কৃত্রিমভাবে তৈরি ঠিকানাগুলো পরবর্তী তালিকায় কখন দেখা যায়, তা শনাক্ত করতে সাহায্য করে।

এই রেকর্ডে আপনার তথ্য আছে কি না জানতে, উন্মুক্ত হয়ে যাওয়া তথ্য অনুসন্ধানের একটি নির্ভরযোগ্য ব্যবস্থার মাধ্যমে বর্তমান ও সাবেক প্রাতিষ্ঠানিক ইমেইল ঠিকানাগুলো আলাদাভাবে যাচাই করুন। মিল পাওয়ার পর নিশ্চিত করুন, ঠিকানাটি কখনো তৈরি করা হয়েছিল কি না, কখন ব্যবহার করা হয়েছিল এবং ফলাফলে দেখানো নিয়োগদাতার সঙ্গে আপনার সম্পর্কের তথ্য সঠিক কি না। ফলাফলটির অর্থ হতে পারে যে প্রকাশ্য প্রোফাইলের তথ্য সংগ্রহ করা হয়েছে বা আপনার নাম থেকে একটি ঠিকানা অনুমান করা হয়েছে। এর অর্থ এই নয় যে আপনার LinkedIn অ্যাকাউন্ট বা মেইলবক্সের নিরাপত্তা লঙ্ঘিত হয়েছে। মিল পাওয়া ঠিকানাটি কখনো না থাকলেও, বড় আকারের একটি ফাইলে আপনার প্রকৃত নাম, কোম্পানি বা কর্মজীবনের ইতিহাস থাকলে লক্ষ্যভিত্তিক প্রতারণার ঝুঁকি একেবারে উপেক্ষা করা উচিত নয়। ব্যক্তিগত তথ্য পুনর্বিতরণ না করে বিষয়টি নিরাপত্তা দলকে জানান এবং হেডারের তথ্যসহ সন্দেহজনক বার্তার নমুনা সংরক্ষণ করুন। অনুমতি ছাড়া অন্য কারও ঠিকানা অনুসন্ধান করবেন না। ফলাফল শুধু আপনার নিজের অ্যাকাউন্ট বা পরিচালনার অনুমতি রয়েছে এমন প্রাতিষ্ঠানিক ডোমেইন সুরক্ষিত রাখতে ব্যবহার করুন।