LiveAuctioneers: তথ্য ফাঁস

এই ঘটনায় ফাঁস হওয়া তথ্যগুলো দিয়ে একটি নিলাম অ্যাকাউন্টের পরিচয় ও যোগাযোগের মোটামুটি পূর্ণাঙ্গ চিত্র পাওয়া সম্ভব। অ্যাকাউন্টে প্রবেশের চেষ্টা এবং ফিশিং বার্তা পাঠানোর জন্য ইমেইল ঠিকানা ও ব্যবহারকারীর নাম প্রধান যোগাযোগসূত্র হিসেবে কাজ করে। পুরো নাম, ফোন নম্বর ও ঠিকানা ব্যবহার করে পণ্য পাঠানোর ভুয়া বিজ্ঞপ্তি, ভুয়া চালান, ভুয়া পেমেন্টের তাগাদা, অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত সতর্কবার্তা বা উচ্চমূল্যের সংগ্রহযোগ্য পণ্যসংক্রান্ত বার্তার আড়ালে চালানো প্রতারণার চেষ্টা আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। অ্যাকাউন্ট ব্যবহারের ধরন ও আনুমানিক অবস্থানের তথ্যের সঙ্গে মিলিয়ে IP ঠিকানাও ঝুঁকি বাড়ায়।

পাসওয়ার্ডের রেকর্ড সল্টবিহীন MD5 হ্যাশ দিয়ে সুরক্ষিত থাকায় ঝুঁকির মাত্রা বেড়ে যায়। আধুনিক পাসওয়ার্ড সংরক্ষণের জন্য MD5 দুর্বল বলে বিবেচিত; বিশেষ করে ছোট, সহজে অনুমানযোগ্য বা অন্য তথ্য ফাঁসে আগে দেখা গেছে এমন পাসওয়ার্ডের হ্যাশ দ্রুত ভাঙা সম্ভব। একই পাসওয়ার্ড ইমেইল, পেমেন্ট, সামাজিক যোগাযোগমাধ্যম, অনলাইন বাজার বা অন্য নিলাম অ্যাকাউন্টেও ব্যবহার করা হলে একটি তথ্যসংক্রান্ত ঘটনার প্রভাব একাধিক অ্যাকাউন্টে ছড়িয়ে পড়তে পারে। ঠিকানা ও ফোন নম্বরের মতো তথ্য অফলাইনে প্রতারণা, ভুয়া ডেলিভারি কল এবং ব্যক্তিকে লক্ষ্য করে হুমকি দেওয়ার কাজেও ব্যবহার করা হতে পারে।

এই রেকর্ডের যাচাইকৃত পরিসর 19 জুন 2020-এর ঘটনা এবং প্রায় 33,85,862টি অ্যাকাউন্টের ওপর ভিত্তি করে নির্ধারিত। LiveAuctioneers-এর বিজ্ঞপ্তিতে বলা হয়েছে, তথ্য প্রক্রিয়াকরণের একটি সহযোগী প্রতিষ্ঠানের মাধ্যমে অননুমোদিত তৃতীয় পক্ষ নির্দিষ্ট কিছু ব্যবহারকারীর অ্যাকাউন্টের তথ্যে প্রবেশ করেছিল। রেকর্ডে যে প্রধান তথ্যের ধরনগুলো রাখা উচিত, সেগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, নাম, পাসওয়ার্ড, ফোন নম্বর, ঠিকানা ও ব্যবহারকারীর নাম। প্রতিটি ব্যবহারকারীর অ্যাকাউন্টে এই সব ধরনের তথ্য নাও থাকতে পারে; তাই বিবরণে ধরে নেওয়া উচিত নয় যে সব ব্যবহারকারী প্রতিটি তথ্যের ধরনের কারণে ক্ষতিগ্রস্ত হয়েছেন।

ঘটনাটির পরিসর নির্ধারণে পেমেন্ট ও নিলামের ইতিহাসের বিষয়টি গুরুত্বপূর্ণ। প্রতিষ্ঠানের বিজ্ঞপ্তিতে বলা হয়েছিল, সম্পূর্ণ পেমেন্ট কার্ড নম্বরে প্রবেশ করা হয়েছে, এমন কোনো প্রমাণ নেই এবং নিলামের ইতিহাস ক্ষতিগ্রস্ত হয়েছে বলে মনে করা হচ্ছে না। তাই কার্ড নম্বর বা নিলামের ইতিহাসকে তথ্যের ধরন হিসেবে না যোগ করেই রেকর্ডটি রাখতে হবে। ঘটনাটির উৎসকে সরাসরি সেবাটির নিলাম পরিচালনার প্রক্রিয়ার দুর্বলতা হিসেবে নয়, বরং সরবরাহকারী প্রতিষ্ঠানের নিরাপত্তা দুর্বলতা হিসেবে বিবেচনা করা উচিত। এই পার্থক্য ব্যবহারকারীর মধ্যে অপ্রয়োজনীয় আতঙ্ক সৃষ্টি না করে ঝুঁকির সঠিক ক্ষেত্রটি তুলে ধরে।

যাঁরা LiveAuctioneers অ্যাকাউন্টের পাসওয়ার্ড অন্য সেবাতেও ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। বিশেষ করে একই ইমেইল ও পাসওয়ার্ডের সমন্বয় ইমেইল অ্যাকাউন্ট, ব্যাংকবহির্ভূত পেমেন্ট সেবা, সামাজিক যোগাযোগমাধ্যম, অন্য অনলাইন বাজার, পণ্য পরিবহন সেবার অ্যাকাউন্ট বা নিলাম সাইটেও ব্যবহার করা হলে স্বয়ংক্রিয়ভাবে অ্যাকাউন্টে প্রবেশের চেষ্টা হওয়ার আশঙ্কা থাকে। যাঁরা সংগ্রহযোগ্য সামগ্রী, পুরাকীর্তি, গয়না বা শিল্পকর্ম কেনেন, তাঁরাও লক্ষ্যভিত্তিক প্রতারণার জন্য বেশি আকর্ষণীয় লক্ষ্য হয়ে উঠতে পারেন। কারণ তাঁদের নাম, ফোন নম্বর, ঠিকানা এবং ওই প্ল্যাটফর্মে আগ্রহের তথ্য একসঙ্গে ব্যবহার করা সম্ভব।

রেকর্ডে যাঁদের ঠিকানা ও ফোন নম্বর রয়েছে, তাঁদের শুধু অনলাইন হুমকি নয়, ফোন ও ডাকযোগে আসা ভুয়া অনুরোধের বিষয়েও সতর্ক থাকতে হবে। আক্রমণকারীরা বৈধ নিলাম অ্যাকাউন্ট থাকার ভান করে পেমেন্ট নিশ্চিত করা, পণ্য পাঠানোর খরচ, শুল্ক বা অ্যাকাউন্ট যাচাইয়ের অজুহাতে ব্যবহারকারীদের সঙ্গে যোগাযোগ করতে পারে। IP ঠিকানা ও ব্যবহারকারীর নামের মতো অতিরিক্ত তথ্য ব্যক্তিকে লক্ষ্য করে আক্রমণ সাজাতে সহায়তা করতে পারে। যাঁরা পুরোনো অ্যাকাউন্ট আর ব্যবহার করেন না, তাঁরাও ঝুঁকিতে আছেন, কারণ পুরোনো পাসওয়ার্ড অন্য অ্যাকাউন্টে বছরের পর বছর ব্যবহৃত হতে পারে।

এই রেকর্ডে আপনার ইমেইল ঠিকানা পাওয়া গেলে প্রথমে দেখুন, LiveAuctioneers অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেছেন কি না। অন্য কোথাও একই বা কাছাকাছি পাসওয়ার্ড থাকলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা, দীর্ঘ নতুন পাসওয়ার্ড নির্ধারণ করুন। ইমেইল অ্যাকাউন্ট, পেমেন্ট সেবা, অনলাইন বাজার, সামাজিক যোগাযোগমাধ্যম ও পণ্য পরিবহন সেবার অ্যাকাউন্টকে অগ্রাধিকার দিন। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একাধিক অ্যাকাউন্টে ব্যবহৃত একই পাসওয়ার্ড খুঁজে বের করা এবং প্রতিটি অ্যাকাউন্টের জন্য শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়।

LiveAuctioneers অ্যাকাউন্টের সেশনের ইতিহাস, নিবন্ধিত ঠিকানা, ফোন নম্বর এবং অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করা উচিত। যেসব অ্যাকাউন্টে টু-ফ্যাক্টর অথেনটিকেশন (দুই ধরনের প্রমাণ দিয়ে পরিচয় যাচাই) করার সুবিধা আছে, সেগুলোতে তা চালু করুন, অপরিচিত ডিভাইসের সেশন বন্ধ করুন এবং সন্দেহজনক ইমেইল বা SMS-এর লিংকে ক্লিক করবেন না। নিলাম, ডেলিভারি, পেমেন্ট, পণ্য পাঠানো, অ্যাকাউন্টের নিরাপত্তা বা বিশেষ অফারসংক্রান্ত বার্তাগুলো ভালোভাবে পরীক্ষা করুন। সম্পূর্ণ কার্ড নম্বর এই রেকর্ডের যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে না থাকলেও, অস্বাভাবিক কার্যকলাপ শনাক্ত করতে ব্যবহারকারীদের পেমেন্টের বিবরণী ও অ্যাকাউন্টের লেনদেন নজরে রাখা উচিত।

এই ঘটনা দেখায়, নিলাম ও অনলাইন বাজারের অ্যাকাউন্ট শুধু কেনাকাটার ইতিহাসের জন্য নয়, পরিচয় ও যোগাযোগের তথ্যের জন্যও মূল্যবান। দীর্ঘমেয়াদে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড, টু-ফ্যাক্টর অথেনটিকেশন, নিয়মিত সেশন পরীক্ষা এবং অপ্রয়োজনীয় অ্যাকাউন্ট বন্ধ করা হলো সুরক্ষার মৌলিক ব্যবস্থা। ব্যবহারকারীদের পুরোনো নিলাম অ্যাকাউন্টে সংরক্ষিত ঠিকানা ও ফোন নম্বর যতটা সম্ভব কমিয়ে রাখা, আর ব্যবহার না করা অ্যাকাউন্ট বন্ধ করা এবং বিভিন্ন সেবায় এমনভাবে একই ব্যবহারকারীর নাম ব্যবহার করা এড়ানো উচিত, যাতে অপ্রয়োজনীয়ভাবে অ্যাকাউন্টগুলোর মধ্যে যোগসূত্র তৈরি হয়।

সেবাদাতা প্রতিষ্ঠানের ক্ষেত্রে সরবরাহকারীদের প্রবেশাধিকার সীমিত রাখা, শক্তিশালী পাসওয়ার্ড হ্যাশিং অ্যালগরিদম ব্যবহার, সিস্টেমে ঘটে যাওয়া কার্যকলাপ পর্যবেক্ষণ, নিয়মিত নিরাপত্তা নিরীক্ষা এবং দ্রুত ব্যবহারকারীদের জানানো অত্যন্ত গুরুত্বপূর্ণ। ব্যবহারকারীর ক্ষেত্রে শুধু একটি অ্যাকাউন্টের পাসওয়ার্ড বদলালেই ঝুঁকি শেষ হয় না; ইমেইল ঠিকানা, ফোন নম্বর, ঠিকানা ও ব্যবহারকারীর নাম একসঙ্গে বিবেচনা করলে দেখা যায়, সোশ্যাল ইঞ্জিনিয়ারিংয়ের হুমকি দীর্ঘদিন থেকে যেতে পারে। তাই ব্যবহারকারীদের নিয়মিত অ্যাকাউন্টের নিরাপত্তা পর্যালোচনা করা এবং আগে ফাঁস হওয়া তথ্য নতুন প্রতারণামূলক বার্তায় আবার ব্যবহার করা হতে পারে, এটি বিবেচনায় রাখা উচিত।

LeakData-তে LiveAuctioneers-এর জন্য আপনার তথ্য পাওয়া গেছে বলে ফলাফল দেখালে, সেটি তথ্য প্রক্রিয়াকরণের সহযোগী প্রতিষ্ঠানের মাধ্যমে 19 জুন 2020-এ ঘটে যাওয়া অ্যাকাউন্টের তথ্যসংক্রান্ত ঘটনার রেকর্ড। প্রথম কাজ হলো সংশ্লিষ্ট ইমেইল ঠিকানা এবং LiveAuctioneers অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ড শনাক্ত করা। এরপর যে সব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে, সেগুলোর তালিকা করুন। প্রতিটিতে আলাদা নতুন পাসওয়ার্ড দিন এবং যেখানে সম্ভব টু-ফ্যাক্টর অথেনটিকেশন চালু করুন। পাসওয়ার্ডে সামান্য পরিবর্তন না করে সম্পূর্ণ আলাদা পাসওয়ার্ড বেছে নেওয়া উচিত।

পরবর্তী যাচাইয়ে ফোন নম্বর, ঠিকানা ও পুরো নাম ব্যবহার করে চালানো হতে পারে এমন লক্ষ্যভিত্তিক প্রতারণার চেষ্টার দিকে নজর দিন। ভুয়া সহায়তা বার্তা, ভুয়া নিলামের ফলাফল, পেমেন্ট সম্পন্ন করার অনুরোধ, ডেলিভারি ফি বা অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত বিজ্ঞপ্তির মতো বার্তা সরাসরি আনুষ্ঠানিক ওয়েবসাইটে গিয়ে যাচাই করুন। এই রেকর্ডের যাচাইকৃত তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, নাম, পাসওয়ার্ড, ফোন নম্বর, ঠিকানা ও ব্যবহারকারীর নাম; পেমেন্ট কার্ড নম্বর বা নিলামের ইতিহাস এই রেকর্ডে যোগ করা উচিত নয়।