MEO-এর 2020 সালের তথ্য ফাঁস

এই রেকর্ডে গ্রাহক ID, যোগাযোগের তথ্য এবং কেনাকাটার ইতিহাস একই ডেটাসেটে রয়েছে। ইমেইল ঠিকানা, পূর্ণ নাম, ফোন নম্বর ও ঠিকানা একসঙ্গে ব্যবহার করে ডেলিভারি, পণ্য ফেরত, পেমেন্ট, ওয়ারেন্টি বা পণ্যের তথ্যসংক্রান্ত এমন বার্তা পাঠানো সম্ভব, যা ব্যবহারকারীর কাছে বিশ্বাসযোগ্য মনে হতে পারে। কেনাকাটার তথ্য থেকে মাস্ক ও ফিল্টারজাত পণ্য কেনার ক্ষেত্রে কোনো ব্যক্তির পছন্দ সম্পর্কে ধারণা পাওয়া যেতে পারে। ব্যবহারকারীর নামের সাহায্যে অন্য ই-কমার্স বা ফোরাম অ্যাকাউন্টে একই ব্যক্তিকে শনাক্ত করা সহজ হতে পারে।

পাসওয়ার্ডের তথ্য MD5 WordPress হ্যাশ ফরম্যাটে থাকার বিষয়টি বিশেষভাবে গুরুত্বপূর্ণ। এর অর্থ এই নয় যে পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় রয়েছে; তবে পুরোনো এই হ্যাশ ফরম্যাট দুর্বল পাসওয়ার্ডের ক্ষেত্রে যথেষ্ট সুরক্ষা দেয় না। ছোট পাসওয়ার্ড, অভিধানে থাকা শব্দভিত্তিক পাসওয়ার্ড, ব্যক্তিগত তথ্যযুক্ত পাসওয়ার্ড বা অন্য সেবায়ও ব্যবহৃত পাসওয়ার্ড তুলনামূলক সহজে অনুমান করা যায়। তাই MEO রেকর্ডের ঝুঁকি শুধু একটি কেনাকাটার অ্যাকাউন্টে সীমাবদ্ধ নয়। ইমেইল, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম বা কর্মক্ষেত্রের অ্যাকাউন্টেও একইভাবে পাসওয়ার্ড ব্যবহার করা হলে একটির সূত্র ধরে একাধিক অ্যাকাউন্টের নিয়ন্ত্রণ হারানোর সম্ভাবনা থাকে।

যাচাইকৃত পরিসরের মধ্যে রয়েছে meoair.com ডোমেইন, তথ্য ফাঁসের তারিখ 24 ডিসেম্বর 2020, রেকর্ড যুক্ত করার তারিখ 24 এপ্রিল 2023 এবং প্রভাবিত 8,227টি গ্রাহক রেকর্ড। নির্ভরযোগ্য রেকর্ডে MEO-কে নিউজিল্যান্ডভিত্তিক একটি ফেস মাস্ক কোম্পানি হিসেবে চিহ্নিত করা হয়েছে। তাই কোম্পানির দেশ যুক্তরাষ্ট্রের পরিবর্তে নিউজিল্যান্ড এবং খাত সাধারণ খুচরা বিক্রয়ের পরিবর্তে সুরক্ষামূলক ফেস মাস্ক ও ই-কমার্স হিসেবে উল্লেখ করাই বেশি নির্ভুল। বর্তমানে সাইটটি ব্যবহার করা যাচ্ছে এবং এতে অনলাইন বিক্রয় ও পণ্যের পৃষ্ঠা রয়েছে।

এই রেকর্ডে পেমেন্ট কার্ড নম্বর, ব্যাংক অ্যাকাউন্ট, পরিচয়পত্র, জন্মতারিখ বা সংবেদনশীল স্বাস্থ্যতথ্য যাচাইকৃত তথ্যের শ্রেণিগুলোর মধ্যে নেই। কেনাকাটার তথ্য রয়েছে, তবে সেটিকে পেমেন্ট কার্ডের তথ্যের সঙ্গে গুলিয়ে ফেলা উচিত নয়। ঘটনার প্রযুক্তিগত কারণ সম্পর্কে নিশ্চিত ও বিস্তারিত কোনো প্রকাশ্য রেকর্ড না থাকায় ব্যাখ্যা যাচাইকৃত তথ্যের ফিল্ড এবং ব্যবহারকারীর ওপর প্রভাবের মধ্যেই সীমিত রাখা উচিত। প্রতিষ্ঠানকে জানানোর চেষ্টা করা হলেও তারা সাড়া দেয়নি, এই তথ্য অভ্যন্তরীণ উৎসের নোটে রাখা যেতে পারে। ব্যবহারকারীদের জন্য প্রকাশিত অংশে মূল বিবেচ্য বিষয় হলো কোন তথ্য ফাঁস হয়েছে এবং কী ধরনের ব্যবস্থা নেওয়া প্রয়োজন।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই গ্রাহকেরা, যাঁরা MEO অ্যাকাউন্টের পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করেন। বিশেষ করে যাঁরা ইমেইল অ্যাকাউন্ট, অন্য কেনাকাটার সাইট, কুরিয়ার সেবা বা পেমেন্ট-সংক্রান্ত অ্যাকাউন্টে একই ইমেইল ও পাসওয়ার্ডের সমন্বয় ব্যবহার করেন, তাঁদের দ্রুত সতর্কতামূলক ব্যবস্থা নেওয়া উচিত। গ্রাহক রেকর্ডে ঠিকানা ও ফোন নম্বর থাকলে ডেলিভারির অজুহাতে আসা ভুয়া কল ও বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। ব্যবহারকারীর নাম থেকেও পুরোনো ই-কমার্স বা ফোরাম রেকর্ডের সঙ্গে যোগসূত্র পাওয়া যেতে পারে।

যেসব গ্রাহক ফেস মাস্ক ও ফিল্টার কেনেন, স্বাস্থ্য বা সুরক্ষামূলক পণ্যের পর্যায়ক্রমিক প্রয়োজনের কারণে তাঁরা লক্ষ্যভিত্তিক বিজ্ঞাপন, ভুয়া প্রচারাভিযান এবং পণ্য ফেরতসংক্রান্ত প্রতারণার শিকার হতে পারেন। কেনাকাটার ইতিহাস ব্যবহার করে আক্রমণকারীরা ব্যক্তিগত বলে মনে হয় এমন বিষয়লাইন তৈরি করতে পারে, যেমন ‘আপনার অর্ডার’, ‘আপনার ডেলিভারির ঠিকানা’, ‘আপনার পণ্য ফেরতের অনুরোধ’ বা ‘আপনার ফিল্টার বদলের সাবস্ক্রিপশন’। ডেটাসেটটি ছোট মনে হলেও ঠিকানা, ফোন নম্বর, কেনাকাটা ও পাসওয়ার্ডের তথ্য একসঙ্গে থাকায় ব্যবহারকারীর বাস্তব ঝুঁকি বেড়ে যায়।

যেসব ব্যবহারকারী MEO রেকর্ডের সঙ্গে মিল দেখতে পান, তাঁদের প্রথমে MEO অ্যাকাউন্টের পাসওয়ার্ড এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। প্রতিটি নতুন পাসওয়ার্ড আলাদা হওয়া উচিত এবং পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করা উচিত। ইমেইল অ্যাকাউন্টের সুরক্ষাকে অগ্রাধিকার দিতে হবে, কারণ পাসওয়ার্ড রিসেটের লিংক ও অর্ডারের বিজ্ঞপ্তি সাধারণত একই ইনবক্সে আসে। ইমেইল অ্যাকাউন্টে দুই উপাদানভিত্তিক প্রমাণীকরণ চালু করা, অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পরীক্ষা করা এবং অপরিচিত সেশনগুলো বন্ধ করা উচিত।

ঠিকানা, ফোন ও কেনাকাটার তথ্যের কারণে পণ্য পরিবহন, পণ্য ফেরত, মাস্কের ফিল্টার, ওয়ারেন্টি, অর্ডার বাতিল বা পেমেন্ট যাচাইয়ের অজুহাতে আসা বার্তার বিষয়ে ব্যবহারকারীদের সতর্ক থাকা উচিত। বার্তার লিংক থেকে লগইন ফর্ম খোলার পরিবর্তে সরাসরি সংশ্লিষ্ট সাইটে যাওয়া উচিত। ফোনকলে অর্ডার নম্বর, ঠিকানা, পেমেন্টের তথ্য বা নিরাপত্তা কোড চাওয়া হলে প্রক্রিয়াটি থামিয়ে প্রতিষ্ঠানের আনুষ্ঠানিক যোগাযোগমাধ্যমে বিষয়টি যাচাই করা উচিত। সন্দেহজনক অর্ডার বা পণ্য পরিবহনের বিজ্ঞপ্তি এলে একটি স্ক্রিনশট সংরক্ষণ করা উচিত এবং অ্যাকাউন্টের নিরাপত্তা নিশ্চিত করার পদক্ষেপ নিতে দেরি করা উচিত নয়।

এই ঘটনা দেখায় যে ছোট গ্রাহক ডেটাসেটও বহুমুখী ঝুঁকি তৈরি করতে পারে। ব্যবহারকারীদের কেনাকাটার অ্যাকাউন্টগুলোতে একই পাসওয়ার্ড বারবার ব্যবহার করা উচিত নয়, অপ্রয়োজনীয় সেবায় ডেলিভারির ঠিকানা সংরক্ষিত রাখা উচিত নয় এবং যেসব দোকানের অ্যাকাউন্ট আর ব্যবহার করেন না, সেগুলো বন্ধ করা উচিত। কেনাকাটার অ্যাকাউন্টে ইমেইল ঠিকানা, ফোন নম্বর ও ঠিকানার তথ্য হালনাগাদ রাখা গুরুত্বপূর্ণ, তবে সেখানে কেবল ন্যূনতম প্রয়োজনীয় তথ্য রাখা উচিত। শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড তৈরি করার পাশাপাশি পাসওয়ার্ড ম্যানেজার ইমেইল অ্যাকাউন্টের জন্য সুরক্ষার একটি অতিরিক্ত স্তর দেয়।

সেবাদাতাদের জন্য পাসওয়ার্ডের হ্যাশ ফরম্যাট, তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা এবং বিজ্ঞপ্তি ব্যবস্থাপনা গুরুত্বপূর্ণ বিষয়। পুরোনো MD5-ভিত্তিক হ্যাশ ফরম্যাট বাদ দেওয়া উচিত, পাসওয়ার্ড সংরক্ষণের শক্তিশালী পদ্ধতি ব্যবহার করা উচিত এবং অপ্রয়োজনীয় গ্রাহক তথ্য দীর্ঘদিন রাখা উচিত নয়। ই-কমার্সের ক্ষেত্রে কেনাকাটা, ঠিকানা ও ফোনের তথ্য কেবল সীমিতসংখ্যক অনুমোদিত ব্যক্তির ব্যবহারের মধ্যে রেখে সুরক্ষিত করা উচিত। নিরাপত্তাসংক্রান্ত কোনো বার্তা পেলে দ্রুত যাচাই করে ব্যবহারকারীদের জানানো উচিত। গ্রাহকের আস্থা শুধু বিক্রয়ের সময় নয়, তথ্যের নিরাপত্তা নিশ্চিত করা এবং তথ্য ফাঁসের পর যোগাযোগের প্রক্রিয়ার মধ্য দিয়েও বজায় থাকে।

আপনি LeakData-তে MEO রেকর্ডের সঙ্গে মিল দেখতে পেলে, এটিকে ফেস মাস্কের ই-কমার্স গ্রাহকদের তথ্য ফাঁসের 2020 সালের একটি ঘটনা হিসেবে বিবেচনা করুন। এই মিল থেকে বোঝা যায় যে আপনার ইমেইল ঠিকানা, পূর্ণ নাম, ফোন নম্বর, ঠিকানা, কেনাকাটার তথ্য, ব্যবহারকারীর নাম এবং MD5 WordPress হ্যাশ ফরম্যাটে থাকা পাসওয়ার্ড এই রেকর্ডে অন্তর্ভুক্ত হয়ে থাকতে পারে। প্রথম পদক্ষেপ হলো একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড নির্ধারণ করা এবং আপনার ইমেইল অ্যাকাউন্টের সুরক্ষা জোরদার করা।

এই রেকর্ডের ক্ষেত্রে ডেলিভারি ও অর্ডারসংক্রান্ত প্রতারণার ঝুঁকিতে বিশেষ নজর দিন। ডেলিভারির ঠিকানা, ফিল্টারযুক্ত পণ্য, মাস্কের অর্ডার বা পণ্য ফেরতের অনুরোধের মতো বিবরণ থাকা বার্তাগুলো ব্যক্তিগত বলে মনে হলেও বিশ্বাসযোগ্য ধরে নেওয়া উচিত নয়। কোনো লিংক খোলার আগে ডোমেইন পরীক্ষা করুন, পেমেন্ট বা নিরাপত্তা কোড চাওয়া ফর্মে তথ্য দেবেন না এবং সন্দেহজনক ফোনকলে কথোপকথন শেষ করুন। প্রতিষ্ঠানগুলোর জন্যও শিক্ষাটি স্পষ্ট: কর্মীরা যাতে কেনাকাটার অ্যাকাউন্টের পাসওয়ার্ড কর্মক্ষেত্রের অ্যাকাউন্টে ব্যবহার না করেন, তা নিশ্চিত করা এবং নিয়মিত ইমেইলভিত্তিক ফিশিং সম্পর্কে প্রশিক্ষণের আয়োজন করা প্রয়োজন।