Locally: তথ্য ফাঁস

এই রেকর্ডে যাচাই করা প্রধান তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, ফোন নম্বর, ঠিকানা, কেনাকাটার রেকর্ড, ক্রেডিট কার্ডের আংশিক তথ্য ও পাসওয়ার্ডের তথ্য। কার্ডের আংশিক তথ্য বলতে কার্ডের ধরন ও শেষ চারটি অঙ্কের মতো সীমিত তথ্য বোঝায়; এই রেকর্ডে পুরো কার্ড নম্বর বা কার্ডের নিরাপত্তা কোড যাচাইকৃত তথ্যক্ষেত্র নয়। পাসওয়ার্ডের তথ্য bcrypt হ্যাশ আকারে রয়েছে। শক্তিশালী হ্যাশ বিন্যাস মানেই সরাসরি প্লেইন টেক্সট পাসওয়ার্ড নয়, তবে দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকে যায়।

একই রেকর্ডে ইমেইল, ফোন নম্বর ও ঠিকানা থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের সম্ভাবনা বাড়ে। কেনাকাটার তথ্য থেকে আক্রমণকারী বুঝতে পারে কোন পণ্য, দোকান বা অর্ডারসংক্রান্ত পরিস্থিতির সঙ্গে ব্যবহারকারীকে যুক্ত করা যায়। শুধু কার্ডের আংশিক তথ্য দিয়ে অর্থ পরিশোধ করা সম্ভব না-ও হতে পারে, তবে ব্যাংক বা অর্থ ফেরত দেওয়ার নামে ভুয়া কথোপকথনে বিশ্বাস অর্জনের জন্য তা ব্যবহার করা যেতে পারে। তাই অ্যাকাউন্ট দখল, ফিশিং, কার্ডের লেনদেন পর্যবেক্ষণ ও ঠিকানাভিত্তিক প্রতারণা, এই বিভাগগুলোতে ঝুঁকি মূল্যায়ন করা উচিত।

যাচাইকৃত পরিসর হলো অক্টোবর 2022-এর Locally-এর ঘটনা এবং এতে প্রভাবিত 3,62,619টি অ্যাকাউন্ট। জুলাই 2023-এ বড় তথ্য ফাঁসের ডেটাসেটগুলোতে রেকর্ডটি যাচাইকৃত হিসেবে অন্তর্ভুক্ত করা হয়। তথ্যের শ্রেণির তালিকায় ছয়টি প্রধান ক্ষেত্র রয়েছে: ইমেইল ঠিকানা, ক্রেডিট কার্ডের আংশিক তথ্য, পাসওয়ার্ড, ফোন নম্বর, ঠিকানা ও কেনাকাটার রেকর্ড। বলা হয়েছে যে প্রতিষ্ঠানটি স্পষ্টভাবে তথ্য ফাঁসের ঘটনা স্বীকার করেছে, তবে ক্ষতিগ্রস্ত গ্রাহকদের বিজ্ঞপ্তি পাঠানো হয়েছিল কি না তা স্পষ্টভাবে জানা যায়নি।

এই রেকর্ডে সম্পূর্ণ ক্রেডিট কার্ড নম্বর, কার্ডের নিরাপত্তা কোড, ব্যাংক অ্যাকাউন্ট, সরকারি পরিচয়পত্র নম্বর বা স্বাস্থ্যসংক্রান্ত তথ্যকে যাচাইকৃত তথ্যক্ষেত্র হিসেবে অন্তর্ভুক্ত করা উচিত নয়। ঘটনাটির প্রযুক্তিগত প্রবেশপথও নিশ্চিত করা হয়নি; কোনো নির্দিষ্ট দুর্বলতা, ম্যালওয়্যার বা কর্মীর অ্যাকাউন্ট সম্পর্কে দাবিকে নিশ্চিত তথ্য হিসেবে উপস্থাপন করা উচিত নয়। রেকর্ডটি বিবেচনার সময় গ্রাহকের অ্যাকাউন্ট ও লেনদেনের তথ্যের ওপর গুরুত্ব দেওয়া উচিত। এতে ব্যবহারকারী অযাচাইকৃত পরিস্থিতির বদলে বাস্তবে দেখা তথ্যক্ষেত্র থেকে তৈরি হওয়া ঝুঁকির ভিত্তিতে পদক্ষেপ নিতে পারেন।

যাঁরা Locally-এর মাধ্যমে স্থানীয় দোকানের পণ্য খোঁজেন, অর্ডার দেন এবং ডেলিভারি বা দোকান থেকে পণ্য সংগ্রহের সুবিধা ব্যবহার করেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। অন্য কেনাকাটার অ্যাকাউন্টেও একই ইমেইল ও ফোনের তথ্য ব্যবহার করা হলে আক্রমণকারী বিভিন্ন পরিষেবায় একই ব্যক্তিকে শনাক্ত করার চেষ্টা করতে পারে। ঠিকানা ব্যবহারকারীকে নির্দিষ্ট শহর, দোকানের এলাকা বা ডেলিভারি রুটের সঙ্গে যুক্ত করতে পারে। কেনাকাটার ইতিহাসও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তাকে আরও বাস্তবসম্মত করে তোলে।

খুচরা বিক্রয়কর্মী, দোকানের প্রতিনিধি, নিয়মিত ক্রেতা, একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহারকারী এবং যাঁরা নিয়মিত কার্ডের লেনদেন পর্যবেক্ষণ করেন না, তাঁদের আরও সতর্ক থাকা উচিত। কার্ডের আংশিক তথ্য বিশেষ করে ভুয়া সহায়তা কলে ব্যবহার করা যেতে পারে, যেখানে ব্যবহারকারীকে কার্ডের বাকি অঙ্কগুলো দিতে বলা হয়। Bcrypt পাসওয়ার্ড হ্যাশ শক্তিশালী সুরক্ষা দিলেও ছোট, সহজে অনুমানযোগ্য বা আগে ব্যবহৃত পাসওয়ার্ডে বাড়তি ঝুঁকি থাকে। তাই একই পাসওয়ার্ড ব্যবহৃত হয়েছে এমন অ্যাকাউন্টগুলো অগ্রাধিকার দিয়ে পরীক্ষা করা উচিত।

আপনার কোনো স্থানীয় অ্যাকাউন্ট থাকলে পাসওয়ার্ড বদলে একটি দীর্ঘ ও অনন্য পাসওয়ার্ড দিন। অন্য কেনাকাটা, ইমেইল, সামাজিক যোগাযোগমাধ্যম বা পেমেন্ট অ্যাকাউন্টে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা হলে প্রতিটি অ্যাকাউন্টের জন্য আলাদা নতুন পাসওয়ার্ড বেছে নিন। যেসব অ্যাকাউন্টে দুই ধাপের প্রমাণীকরণ সমর্থিত, সেগুলোতে এটি চালু করা উচিত। পাশাপাশি নিবন্ধিত সেশন ও অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পরীক্ষা করা উচিত। পাসওয়ার্ড হ্যাশ আকারে দেখা গেলেও, সেটি একাধিক জায়গায় ব্যবহার করা হয়ে থাকলে আক্রমণকারী অন্য সাইটেও তা দিয়ে প্রবেশের চেষ্টা করতে পারে।

আপনার ক্রেডিট কার্ডের লেনদেন পর্যালোচনা করুন এবং কার্ডের ধরন বা শেষ চারটি অঙ্ক উল্লেখ করে আসা কল, SMS বা ইমেইলের বিষয়ে সতর্ক থাকুন। ব্যাংক বা দোকানের নামে কোনো বার্তায় অর্ডার, ডেলিভারি, পণ্য ফেরত বা কার্ড যাচাইয়ের অনুরোধ এলে লিংকে ক্লিক না করে অফিসিয়াল অ্যাপ বা পরিচিত ওয়েবসাইটের ঠিকানা ব্যবহার করুন। ঠিকানা ও ফোনের তথ্যও দেখা যায় বলে অপ্রত্যাশিত পণ্য পাঠানো, দোকান থেকে পণ্য সংগ্রহ বা গ্রাহক সহায়তাসংক্রান্ত কল অন্য একটি মাধ্যমে যাচাই করা উচিত। সন্দেহজনক অর্থ পরিশোধ বা অর্ডারসংক্রান্ত কোনো কার্যকলাপ থাকলে সরাসরি কার্ড প্রদানকারী প্রতিষ্ঠান ও সংশ্লিষ্ট দোকানের সঙ্গে যোগাযোগ করুন।

দীর্ঘমেয়াদে কেনাকাটার অ্যাকাউন্টের জন্য আলাদা ইমেইল অ্যালিয়াস, অনন্য পাসওয়ার্ড এবং সম্ভব হলে পেমেন্ট বিজ্ঞপ্তি ব্যবহার করা উচিত। ব্রাউজার বা দোকানের অ্যাকাউন্টে অপ্রয়োজনীয় সংরক্ষিত কার্ড, পুরোনো ঠিকানা ও পুরোনো ফোনের তথ্য না রাখলে প্রকাশ পেতে পারে এমন তথ্যের পরিমাণ কমে। অর্ডার ও ডেলিভারির তথ্যসংবলিত বার্তা সব সময় অফিসিয়াল অ্যাকাউন্ট থেকে যাচাই করা উচিত; কেউ কার্ডের শেষ চারটি অঙ্ক জানলেই তাঁকে ব্যাংক বা দোকানের কর্মী ধরে নেওয়া উচিত নয়।

পাসওয়ার্ড ম্যানেজার ব্যবহার করলে বারবার ব্যবহৃত পাসওয়ার্ড খুঁজে বের করা এবং প্রতিটি পরিষেবার জন্য শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়। ইমেইল অ্যাকাউন্টের ভূমিকা কেন্দ্রীয় হওয়ায় এই অ্যাকাউন্টের নিরাপত্তাও জোরদার করা উচিত। কার্ড প্রদানকারী প্রতিষ্ঠানের তাৎক্ষণিক বিজ্ঞপ্তি, ব্যয়সীমা ও ভার্চুয়াল কার্ডের সুবিধাকে অগ্রাধিকার দেওয়া যেতে পারে। খুচরা কেনাকাটার পুরোনো রেকর্ড বহু বছর পরও প্রতারণামূলক বার্তায় আবার ব্যবহার করা হতে পারে; তাই নিয়মিত অ্যাকাউন্ট থেকে অপ্রয়োজনীয় তথ্য সরানো ও লেনদেন পর্যবেক্ষণ স্থায়ী নিরাপত্তা অভ্যাস হওয়া উচিত।

LeakData-তে Locally-এর ফলাফল পজিটিভ হলে, এই রেকর্ডটি অক্টোবর 2022-এ Locally-এর গ্রাহক ও কেনাকাটার তথ্য প্রকাশ হয়ে যাওয়ার সঙ্গে সম্পর্কিত। প্রথমে সংশ্লিষ্ট ইমেইল ঠিকানা দিয়ে Locally-তে বা এর সঙ্গে যুক্ত দোকানে কেনাকাটার জন্য ব্যবহৃত অ্যাকাউন্টটি খুঁজে বের করা উচিত। এরপর পাসওয়ার্ডটি অন্য কোথাও ব্যবহার করা হয়েছে কি না, নিবন্ধিত ফোন ও ঠিকানার তথ্য হালনাগাদ আছে কি না এবং কার্ডে কোনো অস্বাভাবিক লেনদেন রয়েছে কি না, এগুলো একে একে পরীক্ষা করা উচিত।

এই তথ্য ফাঁসের রেকর্ডে যাচাইকৃত তথ্যের শ্রেণিগুলো হলো ইমেইল ঠিকানা, ক্রেডিট কার্ডের আংশিক তথ্য, পাসওয়ার্ডসংক্রান্ত তথ্য, ফোন নম্বর, ঠিকানা ও কেনাকাটার রেকর্ড। পাসওয়ার্ডের তথ্যকে bcrypt হ্যাশ হিসেবে বিবেচনা করতে হবে; সম্পূর্ণ কার্ড নম্বর, কার্ডের নিরাপত্তা কোড, ব্যাংক অ্যাকাউন্ট নম্বর বা সরকারি পরিচয়পত্র নম্বর এই রেকর্ডের যাচাইকৃত তথ্যক্ষেত্র নয়। ব্যবহারকারীর পদক্ষেপে একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার, নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, ঠিকানাভিত্তিক সোশ্যাল ইঞ্জিনিয়ারিং ও কার্ডের লেনদেন পর্যবেক্ষণের ওপর গুরুত্ব দেওয়া উচিত।