MC2 Data: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম ও পাসওয়ার্ড। মূল্যায়নে ধারণা করা হয়েছিল যে পাসওয়ার্ডগুলো সল্টযুক্ত SHA-256 হ্যাশ হিসেবে সংরক্ষিত আছে; দুর্বল বা একাধিক অ্যাকাউন্টে ব্যবহার করা পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকে যায়। যাচাই না হওয়া পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যক্তিগত বার্তা, সরকারি বা কর্তৃপক্ষ-প্রদত্ত পরিচয়পত্র, স্বাস্থ্যসংক্রান্ত রেকর্ড বা অতিরিক্ত প্রোফাইল ফিল্ড তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি; শুধু সমর্থনকারী প্রমাণ থাকা ফিল্ডগুলো রাখা হয়েছিল।

ব্যাকগ্রাউন্ড যাচাই সেবার প্রেক্ষাপটে এই তথ্য ব্যবহার করে আক্রমণকারীরা ব্যবহারকারীকে এমন বার্তা পাঠানোর সুবিধা পেতে পারে, যা আনুষ্ঠানিক অনুসন্ধান, পরিচয় যাচাই বা সাবস্ক্রিপশনসংক্রান্ত বার্তা বলে মনে হয়। শুধু একটি ইমেইল ঠিকানাই অনাকাঙ্ক্ষিত বার্তা পাওয়ার ঝুঁকি তৈরি করে; এর সঙ্গে ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ, ছবি, পরিচয়পত্রের নম্বর বা ডিভাইস ট্র্যাকিংয়ের তথ্য যুক্ত হলে আক্রমণকারীর পক্ষে ব্যবহারকারীকে লক্ষ্য করে ব্যক্তিগত বিবরণসমৃদ্ধ বার্তা তৈরি করা সহজ হয়। তাই ঝুঁকি মূল্যায়নের সময় শুধু রেকর্ডের সংখ্যা নয়, তথ্যগুলো একসঙ্গে কতটা কাজে লাগানো যায়, সেটিও বিবেচনা করা হয়।

2024 সালের আগস্ট পর্যন্ত 2.12 মিলিয়ন গ্রাহক রেকর্ডের পরিধি যাচাই করা হয়েছিল। নিশ্চিত হওয়া অংশগুলো রাখা হয়েছিল, আর অনিশ্চিত অংশগুলো বাদ দেওয়া হয়েছিল। ঘটনাটিকে অন্য ব্র্যান্ড, কাছাকাছি নামের রেকর্ড বা একই কোম্পানির ভিন্ন সময়ের ঘটনার সঙ্গে একত্র করা হয়নি।

আরও বিস্তৃত ব্যক্তিগত তথ্যের দাবিগুলো এই রেকর্ডের প্রামাণ্য তথ্যের শ্রেণিতে যোগ করা হয়নি; রেকর্ডটি গ্রাহকের ইমেইল, নাম ও পাসওয়ার্ড ফিল্ডে সীমিত রাখা হয়েছিল। এই পদ্ধতি একই তথ্য ফাঁসের একাধিক এন্ট্রি তৈরি হওয়া এবং ব্যবহারকারীকে ভুল প্রতিষ্ঠানের দায় দেখানো প্রতিরোধ করে। ডোমেইন নাম, কোম্পানির নাম ও খাতসংক্রান্ত তথ্য যতটা সম্ভব সংকীর্ণ অথচ সঠিক প্রেক্ষাপটে রাখা হয়েছিল; যেখানে অনিশ্চয়তা ছিল, সেখানে যাচাইকৃত হওয়ার চিহ্ন বা ওয়েবসাইটের ফিল্ড সে অনুযায়ী নির্ধারণ করা হয়েছিল।

MC2 Data বা সংশ্লিষ্ট ব্র্যান্ডের নামে সাবস্ক্রিপশন অ্যাকাউন্ট থাকা ব্যক্তিরা ঝুঁকিতে থাকতে পারেন। যাঁদের তথ্যের সঙ্গে মিল পাওয়া যায়, তাঁদের সংশ্লিষ্ট অ্যাকাউন্টের বাইরেও একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা পাসওয়ার্ডের ধরন ব্যবহার করা অন্য অ্যাকাউন্টগুলো মূল্যায়ন করা উচিত।

যাঁরা অন্য পেশাগত, আর্থিক বা ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের ক্ষেত্রে অ্যাকাউন্ট দখলের চেষ্টা আরও গুরুতর হয়ে ওঠে। করপোরেট ইমেইল, শিশু বা পরিবারের অ্যাকাউন্ট, সর্বজনীন রেকর্ড, গেমিং পরিচয়, সাক্ষরতাবিষয়ক কমিউনিটি, ট্র্যাকিং সফটওয়্যার বা পেশাগত সেবার প্রেক্ষাপট থাকলে সামাজিক কৌশলে প্রতারণার ঝুঁকি বাড়তে পারে। নিজের সম্পর্কে কোনো তথ্য সঠিক মনে হলেই সেটিকে বিশ্বাসযোগ্যতার প্রমাণ হিসেবে ধরে নেওয়া উচিত নয়।

ক্ষতিগ্রস্ত ব্যবহারকারীদের MC2 Data-সংশ্লিষ্ট অ্যাকাউন্টের পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। রেকর্ডে পাসওয়ার্ডের ফিল্ড থাকলে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড হালনাগাদ করা উচিত; পাসওয়ার্ডের ফিল্ড না থাকলে ফোন, ইমেইল, ভুয়া বিজ্ঞপ্তি ও পরিচয় মিলিয়ে নেওয়ার ঝুঁকির দিকে মনোযোগ দেওয়া উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত এন্ট্রি ব্যবহার করা উচিত। পণ্য পরিবহন, সহায়তা, গেমের পুরস্কার, অ্যাকাউন্ট সতর্কতা, সর্বজনীন রেকর্ড, নিরাপত্তা বিজ্ঞপ্তি, নথি শেয়ার করা বা সাবস্ক্রিপশন নবায়নসংক্রান্ত বার্তা আলাদা কোনো মাধ্যমে যাচাই না করে বিশ্বাস করা উচিত নয়।

তথ্যের মধ্যস্থতাকারী ও ব্যাকগ্রাউন্ড যাচাই সেবার জন্য আলাদা ইমেইল, প্রতিটি সেবার জন্য স্বতন্ত্র পাসওয়ার্ড এবং ন্যূনতম প্রোফাইল তথ্য ব্যবহার করা উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট, অপ্রয়োজনীয় প্রোফাইল ফিল্ড, একাধিক জায়গায় ব্যবহৃত একই ব্যবহারকারীর নাম এবং পুরোনো ফোন নম্বর ও ঠিকানার তথ্য সরিয়ে ফেলা উচিত। প্রতিটি সেবার জন্য স্বতন্ত্র পাসওয়ার্ড এবং সম্ভব হলে দুই-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করাই মৌলিক নিয়ম হওয়া উচিত।

সেবাদাতাদের ক্ষেত্রে তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, অ্যাক্সেস লগ পর্যবেক্ষণ, অপ্রয়োজনীয় ফিল্ড মুছে ফেলা এবং ব্যবহারকারীকে জানানোর প্রক্রিয়া প্রস্তুত রাখা প্রয়োজন। তথ্যের মধ্যস্থতাকারী কোম্পানিগুলোর জন্য প্রবেশাধিকার নিয়ন্ত্রণ এবং পাসওয়ার্ড ছাড়া প্রবেশ করা যায় এমন সেবা শনাক্ত করা মৌলিক নিরাপত্তার শর্ত। পরিধির সঠিক বিবরণ দেওয়াও নিরাপত্তার কাজের অংশ; অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

প্রথমে আপনার ইমেইল ঠিকানা দিয়ে এই রেকর্ডে মিল আছে কি না যাচাই করা উচিত। মিল পাওয়া গেলে ধরে নেওয়া উচিত যে নাম ও পাসওয়ার্ডের ফিল্ডগুলো ঝুঁকিতে থাকতে পারে, এবং আগে একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোর পাসওয়ার্ড হালনাগাদ করা উচিত। মিল না পাওয়া মানেই ভিন্ন ইমেইল ব্যবহার বা পুরোনো পাসওয়ার্ড আবার ব্যবহারের সম্ভাবনা পুরোপুরি বাদ যায় না; গুরুত্বপূর্ণ অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত।

এই রেকর্ডটি যাচাই করা হয়েছে এবং সংবেদনশীল হিসেবে রাখা হয়েছে; যাচাই না হওয়া বিস্তৃত ব্যক্তিগত তথ্যের ফিল্ড যোগ করা হয়নি। এই বিন্যাসে তথ্যের ফিল্ডগুলো ইংরেজি প্রামাণ্য শ্রেণির নামেই রাখা হয়েছিল, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছিল, যাচাই না হওয়া ফিল্ড যোগ করা হয়নি, এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতার চিহ্ন ব্যবহার করা হয়েছিল।