MarketsMojo: তথ্য উন্মুক্ত হওয়ার অভিযোগ

MarketsMojo সম্পর্কে উৎসের তালিকাগুলোতে আরও বড় সংখ্যা এবং কিছু অতিরিক্ত তথ্যের ক্ষেত্র দেখা যায়। তবে তথ্যের ধরন যোগ করার ক্ষেত্রে বাড়তি সতর্কতা অবলম্বন করা হয়েছে। যেসব ক্ষেত্রের পক্ষে জোরালো সমর্থন রয়েছে, সেগুলো হলো ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম এবং bcrypt পাসওয়ার্ড হ্যাশ। বাসা বা কর্মস্থলের ঠিকানার মতো ক্ষেত্রগুলো যথেষ্ট দৃঢ়ভাবে যাচাই করা যায়নি বলে এই রেকর্ডের dataClasses ক্ষেত্রে যোগ করা হয়নি। ব্যবহারকারীর কাছে অতিরঞ্জিত দাবি তুলে ধরা এড়াতেই এই পদ্ধতি বেছে নেওয়া হয়েছে।

যাচাইযোগ্য তথ্যের ধরনগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম এবং পাসওয়ার্ড হ্যাশ। পাসওয়ার্ডগুলো bcrypt হ্যাশ আকারে সংরক্ষিত ছিল বলে জানানো হয়েছে। MD5 বা SHA1-এর মতো দ্রুত অ্যালগরিদমের তুলনায় Bcrypt পাসওয়ার্ড সংরক্ষণের একটি শক্তিশালী পদ্ধতি; তবে হ্যাশ শক্তিশালী হলেই ঝুঁকি পুরোপুরি দূর হয় না। দুর্বল পাসওয়ার্ড, কম কস্ট প্যারামিটার বা একই পাসওয়ার্ড বারবার ব্যবহারের অভ্যাস আক্রমণকারীর কাজ সহজ করে দিতে পারে।

ইমেইল ঠিকানা ও ফোন নম্বর একসঙ্গে থাকলে আক্রমণকারীরা ইমেইল এবং SMS, দুই মাধ্যমেই ব্যবহারকারীর সঙ্গে যোগাযোগ করতে পারে। ব্যবহারকারীর নাম থেকে প্ল্যাটফর্মে তাঁর পরিচয় জানা যেতে পারে। কখনো সেটি এমন একটি ডাকনামও হতে পারে, যা অন্য বিনিয়োগ, সামাজিক যোগাযোগমাধ্যম বা ফোরাম অ্যাকাউন্টের সঙ্গে মিলে যায়। আর্থিক বিশ্লেষণ প্ল্যাটফর্মের প্রেক্ষাপট কাজে লাগিয়ে বিনিয়োগ পরামর্শ, পোর্টফোলিও সতর্কবার্তা, সাবস্ক্রিপশন নবায়ন বা অ্যাকাউন্ট যাচাইয়ের মতো বিষয় নিয়ে বার্তা তৈরি করা হতে পারে।

MarketsMojo-এর মতো বিনিয়োগ ও বাজার বিশ্লেষণ প্ল্যাটফর্মে ব্যবহারকারীরা আর্থিক সিদ্ধান্ত নিতে তথ্য অনুসরণ করেন। ব্যবহারকারী এমন একটি প্ল্যাটফর্মের সঙ্গে যুক্ত, এটি জানা থাকলে আক্রমণকারী আরও বিশ্বাসযোগ্য বিনিয়োগ প্রতারণার বার্তা তৈরি করতে পারে। ভুয়া শেয়ার সতর্কবার্তা, প্রিমিয়াম সদস্যপদ নবায়ন, পোর্টফোলিও যাচাই, অ্যাপ হালনাগাদ, অর্থ পরিশোধের পদ্ধতি পরীক্ষা বা ব্রোকার অ্যাকাউন্ট সংযুক্ত করার মতো বিষয় ব্যবহার করা হতে পারে।

ব্যাংক অ্যাকাউন্টের তথ্য, কার্ডের তথ্য বা পোর্টফোলিওর বিষয়বস্তু যাচাই করা যায়নি বলে এই রেকর্ডের বিবরণে সেগুলো অন্তর্ভুক্ত করা হয়নি। তবে শুধু ইমেইল ঠিকানা ও ফোন নম্বরও আর্থিক প্রতারণা শুরু করার জন্য শক্তিশালী ভিত্তি হতে পারে। ব্যবহারকারী বাস্তবেই একটি বিনিয়োগ প্ল্যাটফর্ম ব্যবহার করেন বলে বিনিয়োগের সুযোগ বা জরুরি বাজার সতর্কবার্তা নিয়ে আসা বার্তায় তিনি তুলনামূলক দ্রুত সাড়া দিতে পারেন। এই সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকির কারণে রেকর্ডটি অত্যন্ত গুরুত্বপূর্ণ।

রেকর্ডটি যোগ করার আগে MarketsMojo, Markets Mojo, marketsmojo.com এবং সংশ্লিষ্ট নামের অন্যান্য রূপ দিয়ে বিদ্যমান রেকর্ডগুলোতে একই ঘটনার পুনরাবৃত্তি আছে কি না পরীক্ষা করা হয়েছিল। আগে থেকে কোনো স্বতন্ত্র রেকর্ড পাওয়া যায়নি বলে এটিকে নতুন রেকর্ড হিসেবে বিবেচনা করা হয়। সহজলভ্য তালিকাগুলোতে ডোমেইনের নাম, 2021 সালের মার্চের তারিখ, কয়েক লাখ ব্যবহারকারী রেকর্ড এবং ইমেইল, ফোন, ব্যবহারকারীর নাম ও bcrypt পাসওয়ার্ড হ্যাশের মতো তথ্যের ধরন একসঙ্গে পাওয়া যাওয়ায় রেকর্ডটি যোগ করার জন্য গ্রহণ করা হয়।

তা সত্ত্বেও, সব প্রযুক্তিগত বিবরণ, রেকর্ডের সংখ্যা এবং ক্ষতিগ্রস্ত তথ্যের ধরন নিশ্চিত করে এমন কোনো পূর্ণাঙ্গ আনুষ্ঠানিক বিবৃতি প্ল্যাটফর্ম পরিচালনাকারীর কাছ থেকে শনাক্ত করা যায়নি। তাই রেকর্ডটি অযাচাইকৃত রাখা হয়েছে। অপেক্ষাকৃত দুর্বল উৎসে উল্লেখ করা বাসা বা কর্মস্থলের ঠিকানার মতো অতিরিক্ত ক্ষেত্রগুলো তথ্যের ধরনে অন্তর্ভুক্ত করা হয়নি। এই রেকর্ডে কেবল তুলনামূলক জোরালো সমর্থন থাকা ক্ষেত্রগুলো ব্যবহার করা হয়েছে; অস্পষ্ট বিষয়গুলো নিয়ে নিশ্চিত কোনো দাবি করা হয়নি।

MarketsMojo অ্যাকাউন্টের পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হয়ে থাকলে ব্যবহারকারীর প্রথমেই সেই পাসওয়ার্ড বদলানো উচিত। Bcrypt হ্যাশ সরাসরি পাঠযোগ্য পাসওয়ার্ড নয়; তবে ব্যবহারকারী দুর্বল পাসওয়ার্ড ব্যবহার করে থাকলে বা অন্য কোনো তথ্য ফাঁসের ঘটনায় একই পাসওয়ার্ড থেকে থাকলে ঝুঁকি বেড়ে যায়। ইমেইল অ্যাকাউন্ট, আর্থিক অ্যাপ, ব্রোকার অ্যাকাউন্ট, কেনাকাটার প্ল্যাটফর্ম এবং সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টকে অগ্রাধিকার দেওয়া উচিত।

ফোন নম্বর ফাঁস হওয়ায় SMS ফিশিংও একটি বাস্তব ঝুঁকি। আক্রমণকারীরা বাজার সতর্কবার্তা, বিনিয়োগের সুযোগ, পোর্টফোলিও যাচাই, নতুন করে অর্থ পরিশোধের অনুরোধ বা অ্যাপের নিরাপত্তা হালনাগাদের মতো বিষয় নিয়ে বার্তা পাঠাতে পারে। এসব বার্তায় সংক্ষিপ্ত লিংক, ভুয়া লগইন পৃষ্ঠা বা ক্ষতিকর অ্যাপ ডাউনলোডের লিংক থাকতে পারে। আর্থিক বিষয়সংক্রান্ত বার্তার ক্ষেত্রে ব্যবহারকারীদের বিশেষভাবে সতর্ক থাকা উচিত।

• MarketsMojo অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড বদলে একটি স্বতন্ত্র ও শক্তিশালী পাসওয়ার্ড ব্যবহার করা উচিত।
• একই পাসওয়ার্ড ব্যবহার করা আর্থিক, ইমেইল ও সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টগুলোর পাসওয়ার্ডও বদলানো উচিত।
• আর্থিক অ্যাপগুলোতে দুই ধাপে যাচাইকরণ চালু করা উচিত।
• SMS বা ইমেইলে পাওয়া বিনিয়োগসংক্রান্ত লিংক সরাসরি খোলা উচিত নয়।
• ব্রোকার বা পেমেন্ট অ্যাকাউন্ট যাচাইয়ের বিষয়টি অফিশিয়াল অ্যাপ থেকে পরীক্ষা করা উচিত।
• ফোনের মাধ্যমে চাওয়া যাচাইকরণ কোড কাউকে দেওয়া উচিত নয়।
• বিনিয়োগ পরামর্শ বা বাজারে জরুরি সুযোগের বার্তা স্বাধীন কোনো উৎস থেকে যাচাই করা উচিত।

Bcrypt পাসওয়ার্ড সংরক্ষণের জন্য তৈরি একটি ধীরগতির অ্যালগরিদম, যা চালাতে তুলনামূলক বেশি গণনাগত খরচ হয়। সঠিকভাবে কনফিগার করা হলে এটি হ্যাশ থেকে আসল পাসওয়ার্ড উদ্ধার করা আক্রমণকারীদের জন্য কঠিন করে তোলে। তবে bcrypt-এর সব ব্যবহার সমানভাবে শক্তিশালী নয়। কস্ট প্যারামিটার কম হলে, পাসওয়ার্ড ছোট বা বহুল ব্যবহৃত হলে কিংবা অন্য তথ্য ফাঁসের ঘটনায় ব্যবহারকারীর একই পাসওয়ার্ড থেকে থাকলে আক্রমণকারীরা তখনও সুবিধা পেতে পারে।

তাই bcrypt উল্লেখ থাকাকে ব্যবহারকারীদের পূর্ণ নিরাপত্তার নিশ্চয়তা হিসেবে দেখা উচিত নয়। সবচেয়ে নিরাপদ পদ্ধতি হলো পাসওয়ার্ড ভাঙা হয়ে থাকতে পারে ধরে নিয়ে নতুন একটি স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা। অন্য আর্থিক বা ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকলে ঝুঁকি আরও গুরুতর। পাসওয়ার্ড ম্যানেজার দিয়ে দীর্ঘ ও এলোমেলো পাসওয়ার্ড তৈরি করলে এই ঝুঁকি কমে।

আর্থিক বিশ্লেষণ প্ল্যাটফর্মের ব্যবহারকারীরা প্রতারকদের কাছে আকর্ষণীয় লক্ষ্য হতে পারেন। ব্যবহারকারীর বিনিয়োগের আগ্রহ সম্পর্কে জানা থাকলে আক্রমণকারী ভুয়া শেয়ার সুপারিশ, একচেটিয়া প্রতিবেদন, প্রিমিয়াম বিশ্লেষণ, বিনা মূল্যে পরীক্ষামূলক ব্যবহার, পোর্টফোলিও সতর্কবার্তা বা করসংক্রান্ত নথির মতো বিষয় নিয়ে বার্তা পাঠাতে পারে। ফোন নম্বর পাওয়া গেলে একই প্রতারণামূলক প্রচার SMS বা মেসেজিং অ্যাপেও চালানো হতে পারে।

ব্যবহারকারীদের ইমেইল বা SMS-এর লিংকের ভিত্তিতে কোনো বিনিয়োগ সিদ্ধান্ত নেওয়া উচিত নয়। অফিশিয়াল অ্যাপ স্টোরের বাইরে থেকে অ্যাপ ডাউনলোড করা উচিত নয়। ব্রোকারের সাইটে যেতে নিজে ঠিকানা লিখে বা আগে থেকে সংরক্ষিত বিশ্বস্ত ঠিকানা ব্যবহার করা উচিত। অর্থ পরিশোধ ও সাবস্ক্রিপশনের অনুরোধ অফিশিয়াল প্যানেল থেকে পরীক্ষা করা উচিত। তাড়াহুড়ো করার চাপ তৈরি করে এমন আর্থিক বার্তাকে বিশেষভাবে সন্দেহজনক হিসেবে দেখা উচিত।

আর্থিক প্রযুক্তি ও বিনিয়োগ গবেষণা প্ল্যাটফর্মগুলোর শুধু পাসওয়ার্ডের নিরাপত্তা নয়, যোগাযোগের তথ্যের সম্ভাব্য অপব্যবহারের দিকেও নজর দেওয়া উচিত। ইমেইল ঠিকানা ও ফোন নম্বর একসঙ্গে সংরক্ষণ করা হলে প্রবেশাধিকার নিয়ন্ত্রণ, তথ্য আড়াল করে দেখানো, ডাউনলোডে সীমাবদ্ধতা এবং অস্বাভাবিক কার্যক্রম পর্যবেক্ষণের ব্যবস্থা থাকা উচিত। প্রশাসনিক প্যানেলে একাধিক উপাদানভিত্তিক প্রমাণীকরণ বাধ্যতামূলক করা উচিত, গ্রাহকের তথ্য রপ্তানির লগ রাখা উচিত এবং অপ্রয়োজনীয় তথ্যের ক্ষেত্র দীর্ঘ সময় সংরক্ষণ করা উচিত নয়।

তথ্য ফাঁসের সন্দেহ দেখা দিলে ব্যবহারকারীকে শুধু পাসওয়ার্ড বদলাতে বলাই যথেষ্ট নয়। আর্থিক প্রতারণা, SMS ফিশিং, ভুয়া বিনিয়োগের সুযোগ এবং সাবস্ক্রিপশন নবায়নের ফাঁদ সম্পর্কে স্পষ্টভাবে ব্যাখ্যা করা উচিত। কী ধরনের আক্রমণ হতে পারে তা জানা থাকলে ব্যবহারকারী আসা বার্তাগুলো আরও সঠিকভাবে বিচার করতে পারবেন। আর্থিক প্রেক্ষাপটের কারণে যোগাযোগের কৌশল প্রযুক্তিগত বিবরণের মতোই গুরুত্বপূর্ণ।

MarketsMojo-এর তথ্য ফাঁসের রেকর্ডটি marketsmojo.com বিনিয়োগ গবেষণা প্ল্যাটফর্মের সঙ্গে সংশ্লিষ্ট। প্রতিবেদন অনুযায়ী, 2021 সালের মার্চে এই ঘটনায় আনুমানিক 4,50,949টি ব্যবহারকারী রেকর্ড ক্ষতিগ্রস্ত হয়েছিল। ফাঁস হয়েছে বলে জানানো তথ্যের ধরনগুলোর মধ্যে রয়েছে ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম এবং bcrypt পাসওয়ার্ড হ্যাশ। এসব তথ্য অ্যাকাউন্টের নিরাপত্তা, SMS ফিশিং এবং আর্থিক প্রতারণার দিক থেকে ঝুঁকি তৈরি করে।

প্রাথমিক আনুষ্ঠানিক উৎস থেকে কোনো নিশ্চিতকরণ নেই বলে রেকর্ডটি যাচাইকৃত হিসেবে চিহ্নিত করা হয়নি। তা সত্ত্বেও, প্রকাশ্য তথ্য ফাঁসের রেকর্ডগুলোতে ডোমেইনের নাম, তারিখ, রেকর্ডের সংখ্যা এবং তথ্যের ধরন ধারাবাহিকভাবে পাওয়া যায় বলে ব্যবহারকারীদের জানানোর জন্য সেগুলো অন্তর্ভুক্ত করা হয়েছে। MarketsMojo ব্যবহারকারীদের পাসওয়ার্ড বদলানো, আর্থিক অ্যাকাউন্টে দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা, SMS বা ইমেইলে পাওয়া বিনিয়োগের লিংকে ক্লিক করা এড়ানো এবং যাচাইকরণ কোড কাউকে না দেওয়া উচিত।

আর্থিক প্ল্যাটফর্মের সঙ্গে সংশ্লিষ্ট ইমেইল ঠিকানা ও ফোনের তথ্য সময়ের সঙ্গে অন্য তথ্যসমষ্টির সঙ্গে যুক্ত হতে পারে। কোনো ব্যবহারকারী ব্রোকার, ব্যাংক, বিনিয়োগ ফোরাম বা নিউজলেটারের জন্য একই ইমেইল ঠিকানা ব্যবহার করলে আক্রমণকারী তাঁর বিনিয়োগসংক্রান্ত আরও বিস্তৃত প্রোফাইল তৈরি করতে পারে। এই প্রোফাইল ভুয়া বিনিয়োগের সুযোগ বা ব্যক্তির উপযোগী করে সাজানো প্রতারণার বার্তা তৈরিতে ব্যবহার করা হতে পারে।

দীর্ঘমেয়াদে ব্যবহারকারীদের আর্থিক অ্যাকাউন্টগুলোর জন্য আলাদা ও শক্তিশালী পাসওয়ার্ড ব্যবহার করা উচিত। সম্ভব হলে আর্থিক বিজ্ঞপ্তির জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করা, SMS যাচাইকরণের পাশাপাশি অ্যাপভিত্তিক বহু-উপাদান প্রমাণীকরণ চালু রাখা এবং কেবল যাচাইকৃত উৎসের তথ্যের ভিত্তিতে বিনিয়োগ সিদ্ধান্ত নেওয়া উচিত। ফোন নম্বর ও ইমেইল ঠিকানা অপরিবর্তিত থাকলে পুরোনো তথ্য ফাঁসের রেকর্ডও নতুন প্রতারণার চেষ্টায় ব্যবহার করা যেতে পারে।

MarketsMojo-এর কিছু তালিকায় বাসা বা কর্মস্থলের ঠিকানার মতো অতিরিক্ত তথ্যের ক্ষেত্র দেখা যেতে পারে; তবে বিস্তারিত রেকর্ডে এসব ক্ষেত্রের পক্ষে একই রকম স্পষ্ট সমর্থন নেই বলে সেগুলো dataClasses ক্ষেত্রে অন্তর্ভুক্ত করা হয়নি। তথ্য ফাঁসের প্রভাবকে ছোট করে দেখানোর জন্য এই সিদ্ধান্ত নেওয়া হয়নি; বরং অযাচাইকৃত পরিসরকে ব্যবহারকারীর কাছে নিশ্চিত তথ্য হিসেবে তুলে ধরা এড়াতেই এটি করা হয়েছে। ইমেইল, ফোন, ব্যবহারকারীর নাম এবং পাসওয়ার্ড হ্যাশই নিরাপত্তামূলক পদক্ষেপ নেওয়ার মতো যথেষ্ট ঝুঁকি তৈরি করে।

ভবিষ্যতে আরও শক্তিশালী কোনো উৎস বাসা বা কর্মস্থলের ঠিকানা বা অন্যান্য আর্থিক তথ্যের ক্ষেত্র যাচাই করলে রেকর্ডটি হালনাগাদ করা যেতে পারে। বর্তমানে সবচেয়ে নির্ভুল পদ্ধতি হলো যাচাইযোগ্য মূল তথ্যের ক্ষেত্রগুলো দিয়ে ব্যবহারকারীকে সতর্ক করা এবং আর্থিক প্রেক্ষাপটে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি স্পষ্টভাবে ব্যাখ্যা করা। তাই এই বিবরণে বিশেষভাবে SMS ফিশিং, ভুয়া বিনিয়োগ বিজ্ঞপ্তি, সাবস্ক্রিপশন নবায়ন এবং অ্যাকাউন্ট যাচাইয়ের ফাঁদে গুরুত্ব দেওয়া হয়েছে।

ফোন নম্বর থাকা তথ্য ফাঁসের রেকর্ডের ঝুঁকি শুধু ইমেইলের নিরাপত্তায় সীমাবদ্ধ নয়। আক্রমণকারী ব্যবহারকারীকে ফোন করতে পারে, বার্তা পাঠাতে পারে বা কোনো বিনিয়োগ অ্যাপের প্রতিনিধি সেজে যোগাযোগ করতে পারে। ব্যবহারকারীর কাছে পাঠানো একবার ব্যবহারযোগ্য কোড, স্ক্রিন শেয়ার করার অনুরোধ এবং দূর থেকে সহায়তা দেওয়ার অনুরোধ বিশেষভাবে বিপজ্জনক। তাই MarketsMojo ব্যবহারকারীদের আর্থিক অ্যাকাউন্টে অ্যাপভিত্তিক বহু-উপাদান প্রমাণীকরণ ব্যবহার করা উচিত এবং ফোনে পাওয়া কোনো কোড কাউকে দেওয়া উচিত নয়।