McGraw Hill-এর 2026 সালের তথ্য ফাঁস

প্রকাশ্যে বিতরণ করা ফাইলগুলোতে 1,35,00,136টি স্বতন্ত্র ইমেইল ঠিকানা ছিল। তবে নাম, ফোন নম্বর ও বাসা বা প্রতিষ্ঠানের ঠিকানা কেবল কিছু রেকর্ড ও ফাইলে পাওয়া গেছে। তাই স্বতন্ত্র ইমেইল ঠিকানার মোট সংখ্যা থেকে বোঝায় না যে উন্মুক্ত হওয়া প্রতিটি তথ্যের ক্ষেত্রে একই সংখ্যক মানুষ ক্ষতিগ্রস্ত হয়েছেন। কোম্পানি জানিয়েছে, সোশ্যাল সিকিউরিটি নম্বর, আর্থিক অ্যাকাউন্টের তথ্য এবং তাদের শিক্ষামূলক প্ল্যাটফর্মের শিক্ষার্থীদের তথ্য এই ঘটনার আওতায় ছিল না। পাসওয়ার্ড বা পেমেন্ট কার্ডের বিবরণ ছিল, এমন কোনো যাচাইকৃত প্রমাণও নেই। তাই সেগুলোকে উন্মুক্ত তথ্যের ধরন হিসেবে তালিকাভুক্ত করা হয়নি। আক্রমণকারীর 45 মিলিয়ন রেকর্ডের দাবি স্বতন্ত্র অ্যাকাউন্টের যাচাইকৃত সংখ্যা নয়। একজন ব্যক্তির তথ্য একাধিক সারি বা ফাইলে থাকতে পারে, তাই মোট রেকর্ডের সংখ্যা ও স্বতন্ত্র ইমেইল ঠিকানার সংখ্যাকে আলাদা পরিমাপ হিসেবে বিবেচনা করতে হবে।

ঘটনাটি Salesforce প্ল্যাটফর্মে হোস্ট করা McGraw Hill-এর একটি ওয়েবপেজের কনফিগারেশন সমস্যার সঙ্গে যুক্ত ছিল। এর ফলে সীমিত একটি ডেটাসেটে অননুমোদিত প্রবেশের সুযোগ তৈরি হয়। কোম্পানি জানিয়েছে, এই কার্যকলাপে তাদের Salesforce অ্যাকাউন্ট, গ্রাহক ডেটাবেস, পাঠ্যসামগ্রী বা অভ্যন্তরীণ সিস্টেমে অননুমোদিত প্রবেশ ঘটেনি। বিষয়টি শনাক্ত হওয়ার পর সংশ্লিষ্ট পেজগুলো সুরক্ষিত করা হয় এবং সাইবার নিরাপত্তা বিশেষজ্ঞদের নিয়ে তদন্ত শুরু হয়। একটি সাইবার অপরাধী গোষ্ঠী 12 এপ্রিল দাবি করে যে তাদের কাছে ব্যক্তিগত তথ্যের 45 মিলিয়ন রেকর্ড রয়েছে এবং 14 এপ্রিলের মধ্যে অর্থ দেওয়ার দাবি জানায়। পরে 100 GB-এর বেশি তথ্য প্রকাশ্যে বিতরণ করা হয়। একাধিক ফাইল থেকে সদৃশ তথ্য বাদ দিয়ে 1,35,00,136টি স্বতন্ত্র ইমেইল ঠিকানা শনাক্ত করা হয়। 10 এপ্রিল 2026 হলো এই ক্যাটালগে ঘটনার জন্য নথিভুক্ত তারিখ; ঘটনাটি নিশ্চিত হওয়া এবং তথ্য প্রকাশ্যে বিতরণ করা হয় এপ্রিলের মাঝামাঝি সময়ে। প্রমাণসমর্থিত প্রযুক্তিগত কারণ হলো কনফিগারেশন সমস্যার কারণে Salesforce-এ হোস্ট করা ওয়েবপেজের তথ্য উন্মুক্ত হয়ে যাওয়া।

সবচেয়ে সরাসরি ঝুঁকিতে আছেন তাঁরা, যাঁদের ইমেইল ঠিকানা বিতরণ করা ফাইলগুলোতে রয়েছে। নাম, ফোন নম্বর বা বাসা কিংবা প্রতিষ্ঠানের ঠিকানা কেবল কিছু রেকর্ডে থাকায় ব্যক্তিভেদে তথ্য উন্মুক্ত হওয়ার মাত্রা ভিন্ন। ফাইলগুলোতে থাকা সবাই শিক্ষার্থী, শিক্ষক, কর্মী বা সক্রিয় গ্রাহক ছিলেন, এমন ধরে নেওয়া উচিত নয়। বিদ্যমান প্রমাণ থেকে প্রতিটি গোষ্ঠীর জন্য আলাদাভাবে ক্ষতিগ্রস্ত ব্যক্তির সংখ্যা জানা যায় না। কোম্পানির ভাষ্য অনুযায়ী, তাদের শিক্ষামূলক প্ল্যাটফর্মে থাকা শিক্ষার্থীদের তথ্য এই ঘটনার আওতার বাইরে ছিল। অনুসন্ধানে মিল পাওয়া মানে কোনো অ্যাকাউন্টের পাসওয়ার্ড চুরি হয়েছে এমন নয়, কারণ পাসওয়ার্ড উন্মুক্ত হওয়ার বিষয়টি নিশ্চিত করা হয়নি। তারপরও আক্রমণকারীরা জানা ইমেইল ঠিকানা ও নাম ব্যবহার করে প্রতারণামূলক পাসওয়ার্ড রিসেটের বার্তা, নথি শেয়ার করার বিজ্ঞপ্তি বা অর্থ পরিশোধের বার্তা তৈরি করতে পারে।

McGraw Hill বা Salesforce থেকে এসেছে বলে দাবি করা কোনো অপ্রত্যাশিত ইমেইল, টেক্সট মেসেজ বা কল পেলে, কোনো লিংক খোলার আগে প্রেরকের ডোমেইন ও যোগাযোগের উদ্দেশ্য স্বাধীনভাবে যাচাই করুন। কোনো বার্তায় চালান, শিক্ষামূলক উপকরণ, অ্যাকাউন্ট বন্ধ করা, কপিরাইট নোটিশ বা তথ্য ফাঁসের ক্ষতিপূরণের কথা বলে পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড বা অর্থ চাওয়া হলে বিশেষভাবে সতর্ক থাকুন। ইমেইল অ্যাকাউন্টে দুই ধাপে যাচাইকরণ চালু করুন, এরপর অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো ও সক্রিয় সেশনগুলো পর্যালোচনা করুন। পাসওয়ার্ড উন্মুক্ত হওয়ার বিষয়টি নিশ্চিত করা হয়নি বলে অযাচিত বার্তায় পাঠানো পাসওয়ার্ড রিসেটের লিংক ব্যবহার করবেন না। একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করে থাকলে, প্রতিটি অ্যাকাউন্টে সেটির বদলে আলাদা পাসওয়ার্ড দিন। রেকর্ডে ফোন নম্বর থাকলে, SIM বদলানোর বিষয়ে মোবাইল অপারেটরের বিজ্ঞপ্তির দিকে নজর রাখুন এবং ভুয়া সহায়তা ও ফোনে ফিশিংয়ের চেষ্টা সম্পর্কে সতর্ক থাকুন। যাঁদের বাসা বা প্রতিষ্ঠানের ঠিকানা উন্মুক্ত হয়েছে, তাঁদের অপরিচিত ডেলিভারি ও বিল পরিশোধের অনুরোধ স্বাধীনভাবে যাচাই করা উচিত।

ইমেইল ঠিকানা ও যোগাযোগের তথ্য প্রায়ই বছরের পর বছর অপরিবর্তিত থাকে। তাই তথ্য প্রকাশের কয়েক সপ্তাহ পরই ঝুঁকি শেষ হয়ে যায় না। প্রতিটি অ্যাকাউন্টের জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড রাখতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন এবং গুরুত্বপূর্ণ সেবায় অ্যাপভিত্তিক বা সিকিউরিটি-কিভিত্তিক পরিচয় যাচাইকরণকে অগ্রাধিকার দিন। নিয়মিত ইমেইল ফরওয়ার্ডিংয়ের নিয়ম, সংযুক্ত অ্যাপ্লিকেশন এবং অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ঠিকানাগুলো পর্যালোচনা করুন। কোনো বার্তায় নাম, ঠিকানা বা ফোন নম্বর সঠিকভাবে উল্লেখ থাকলেই সেটি বিশ্বাসযোগ্য হয় না। পরিচিত ওয়েবসাইট বা ফোন নম্বরের মাধ্যমে প্রতিষ্ঠানের সঙ্গে যোগাযোগ করুন। কর্মস্থল বা শিক্ষাপ্রতিষ্ঠানের ইমেইল ঠিকানা ক্ষতিগ্রস্ত হলে সন্দেহজনক বার্তাগুলো প্রতিষ্ঠানের নিরাপত্তা দলকে পাঠান এবং একই প্রতারণামূলক প্রচেষ্টা সম্পর্কে সহকর্মীদের সতর্ক করুন। এমনকি পুরোনো, আর ব্যবহার করা হয় না এমন যোগাযোগের তথ্য দিয়েও অতীতের গ্রাহক সম্পর্ক বা শিক্ষাসেবা নিয়ে বিশ্বাসযোগ্য গল্প তৈরি করা সম্ভব। তথ্যের আরেকটি কপি বা ভিন্ন মোট সংখ্যা দেখা গেলে, প্রতিষ্ঠিত সংখ্যার সঙ্গে তুলনা করার আগে সেটি স্বতন্ত্র ব্যক্তি, স্বতন্ত্র ইমেইল ঠিকানা, সারি নাকি পৃথক তথ্যের সংখ্যা গণনা করছে, তা নির্ধারণ করুন।

McGraw Hill-এর সঙ্গে ব্যবহার করে থাকতে পারেন এমন ইমেইল ঠিকানা দিয়ে LeakData.io-তে অনুসন্ধান করুন এবং এই রেকর্ডের সঙ্গে মিল আছে কি না দেখুন। মিল পাওয়ার অর্থ হলো ঠিকানাটি বিতরণ করা অন্তত একটি ফাইলে ছিল। এর অর্থ এই নয় যে একই রেকর্ডে নাম, ফোন নম্বর ও বাসা বা প্রতিষ্ঠানের ঠিকানা, সবই ছিল। কোনো ফলাফল না পাওয়া মানেই অন্য ঠিকানা দিয়ে তৈরি রেকর্ড নেই, এমন প্রমাণিত হয় না। তাই কর্মস্থল, শিক্ষাপ্রতিষ্ঠান ও ব্যক্তিগত ব্যবহারের পুরোনো ইমেইল ঠিকানাগুলো আলাদাভাবে যাচাই করুন। অনুসন্ধানের ফলাফলের প্রতিক্রিয়ায় কখনো পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড, শিক্ষার্থী নম্বর, অর্থ পরিশোধের তথ্য বা পরিচয়পত্র দেবেন না। মিল পাওয়া গেলে প্রথমে ইমেইল অ্যাকাউন্ট সুরক্ষিত করুন। এরপর যেসব গুরুত্বপূর্ণ সেবায় এই ঠিকানাটি ব্যবহারকারীর নাম বা অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যম হিসেবে ব্যবহৃত হয়, সেগুলো পর্যালোচনা করুন। McGraw Hill-এর তথ্য ফাঁস নিয়ে নতুন কোনো সংখ্যা মূল্যায়ন করার সময় আক্রমণকারীর 45 মিলিয়ন রেকর্ডের দাবিকে 1,35,00,136টি স্বতন্ত্র ইমেইল ঠিকানার সঙ্গে একই ধরনের পরিমাপ ধরে তুলনা করবেন না। নিয়মিত যাচাই এবং সন্দেহজনক যোগাযোগের বিষয়ে দ্রুত জানানো ঘটনার পর ফিশিংয়ের ঝুঁকি কমাতে পারে।