MGM Resorts-এর 2019 সালের তথ্য ফাঁস

এই রেকর্ডে প্রকাশিত তথ্যে সরাসরি অ্যাকাউন্টের পাসওয়ার্ড না থাকলেও, তথ্যগুলো একত্রে কোনো ব্যক্তিকে শনাক্ত করা এবং তাকে লক্ষ্য করে প্রতারণা করার জন্য জোরালো ভিত্তি তৈরি করে। পুরো নাম, ইমেইল ঠিকানা, ফোন নম্বর, ডাক ঠিকানা ও জন্মতারিখ একসঙ্গে বিবেচনা করলে একজন আক্রমণকারী এমন বার্তা তৈরি করতে পারে, যা ব্যক্তিগতভাবে পাঠানো বলে মনে হয়। এসব বার্তা হোটেল বুকিং, লয়্যালটি প্রোগ্রামের বিজ্ঞপ্তি, অর্থ পরিশোধের নিশ্চিতকরণ, উন্নত মানের কক্ষে পরিবর্তন, অর্থ ফেরত বা ভ্রমণ পরিকল্পনা নিয়ে হতে পারে। MGM Resorts-এর মতো আবাসন ও বিনোদন ব্র্যান্ডগুলো অতিথিদের সঙ্গে একাধিক মাধ্যমে যোগাযোগ করে বলে ইমেইল, SMS ও ফোন কলের মাধ্যমে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি বাড়ে।

জন্মতারিখ ও ঠিকানার তথ্য অন্য উৎসের সঙ্গে মিলিয়ে কোনো ব্যক্তির পরিচয় শনাক্ত করতে ব্যবহার করা যেতে পারে। ফোন নম্বর থাকলে ভুয়া সহায়তা কল বা বার্তার মাধ্যমে সরাসরি যোগাযোগ করা সম্ভব হয়। ডাক ঠিকানা কোনো ব্যক্তির প্রোফাইল তৈরি এবং লক্ষ্যভিত্তিক বিজ্ঞাপন/প্রতারণার জন্য বাড়তি প্রেক্ষাপট দেয়। তাই ঝুঁকি শুধু স্প্যামের মধ্যে সীমাবদ্ধ নয়; ফিশিং, ভুয়া বুকিং বিজ্ঞপ্তি, লয়্যালটি অ্যাকাউন্টে প্রতারণা এবং বিভিন্ন উৎস থেকে ব্যক্তিগত তথ্য একত্র করার মতো বিষয়গুলোও গুরুত্বপূর্ণ হয়ে ওঠে। তবে এই রেকর্ডের ক্ষেত্রে ব্যবহারকারীর কাছে পাসওয়ার্ড বা পেমেন্ট কার্ডের তথ্য ফাঁসের দাবি করা উচিত নয়।

যাচাইকৃত পরিসরে রয়েছে mgmresorts.com ডোমেইন, তথ্য ফাঁসের তারিখ 2019 সালের 25 জুলাই, রেকর্ড যুক্ত করার তারিখ 2020 সালের 20 ফেব্রুয়ারি, 30,81,321টি স্বতন্ত্র ইমেইল ঠিকানা এবং অতিথিদের 10.6 মিলিয়ন রেকর্ড। জানানো হয়েছে যে ডেটাসেটটি MGM Resorts-এর ব্যবহৃত একটি ক্লাউড সেবার সঙ্গে সম্পর্কিত ছিল, পরে একটি ফোরামে বিতরণ করা হয় এবং বিভিন্ন উৎসের মাধ্যমে আবার ছড়িয়ে পড়ে। একই ঘটনার সঙ্গে সম্পর্কিত বলে বিবেচিত আরও বড় একটি সুপারসেটও 2022 সালে পর্যবেক্ষণ করা হয়েছিল। তাই প্রাথমিক MGM Resorts রেকর্ডের সংখ্যাকে 2022 সালের সুপারসেটের সংখ্যার সঙ্গে গুলিয়ে ফেলা উচিত নয়।

এই রেকর্ডে ক্রেডিট কার্ড, ব্যাংক অ্যাকাউন্ট, পাসওয়ার্ড, সামাজিক নিরাপত্তা নম্বর, পাসপোর্ট বা ড্রাইভিং লাইসেন্সের তথ্যের ক্ষেত্র যুক্ত করা উচিত নয়। আনুষ্ঠানিক কিছু নিরীক্ষায় নির্দিষ্ট উপগোষ্ঠীর জন্য কয়েক ধরনের পরিচয় শনাক্তকরণ নম্বরের উল্লেখ থাকলেও, ব্যবহারকারীদের জন্য উন্মুক্ত রেকর্ডে যাচাইকৃত মানক তথ্যের ধরন জন্মতারিখ, ইমেইল, পুরো নাম, ফোন নম্বর ও ডাক ঠিকানার মধ্যেই সীমাবদ্ধ। MGM Resorts হোটেল, ক্যাসিনো, আবাসন ও বিনোদন খাতের একটি কোম্পানি। তাই শিল্পখাতের ঘরে সাধারণ প্রযুক্তি খাত উল্লেখ করা বিভ্রান্তিকর হবে। দেশের ঘরে যুক্তরাষ্ট্র রাখা যেতে পারে।

সবচেয়ে বেশি ঝুঁকিতে রয়েছেন সেই অতিথিরা, যারা MGM Resorts-এর হোটেল বা রিসোর্টে থেকেছেন, বুকিং করেছেন, লয়্যালটি অ্যাকাউন্ট ব্যবহার করেছেন বা ইমেইল/ফোনের মাধ্যমে ব্র্যান্ডটির সঙ্গে যোগাযোগ করেছেন। নাম, ঠিকানা, ফোন নম্বর ও জন্মতারিখের সমন্বয় যদি ভ্রমণের ইতিহাসের সঙ্গে মেলানো যায়, তবে ব্যক্তিগতভাবে পাঠানো বলে মনে হয় এমন প্রতারণামূলক বার্তা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। যারা কাজের সূত্রে ভ্রমণের সময় MGM-এর হোটেল বা রিসোর্ট ব্যবহার করেন, তাদের ক্ষেত্রে প্রতিষ্ঠানের ইমেইল ঠিকানার সঙ্গে ব্যক্তিগত আবাসনের তথ্যের যোগসূত্র থাকার কারণে ঝুঁকি বাড়তে পারে।

যাদের ফোন নম্বর ও ইমেইল ঠিকানা দুটোই পাওয়া যায়, তাদের ভুয়া বুকিং নিশ্চিতকরণ, লয়্যালটি পয়েন্টের বিজ্ঞপ্তি, ক্যাসিনোর প্রচারমূলক বার্তা, আবাসন খরচ ফেরত বা অর্থ পরিশোধ যাচাইয়ের অনুরোধের মাধ্যমে লক্ষ্যবস্তু করা যেতে পারে। যেসব ব্যবহারকারীর ডাক ঠিকানাও পাওয়া যায়, তাদের পরিচয় যাচাইয়ের প্রশ্নে ব্যবহৃত ব্যক্তিগত তথ্য অনুমান করা সম্ভব হতে পারে। এই রেকর্ডে পাসওয়ার্ড নেই বলে সরাসরি অ্যাকাউন্ট দখল হয়ে যাওয়ার ধারণা সঠিক নয়। তবে ফিশিং ও সামাজিক প্রকৌশলভিত্তিক বার্তার মাধ্যমে ব্যবহারকারীর কাছ থেকে পাসওয়ার্ড বা পেমেন্টের তথ্য আদায়ের চেষ্টা একটি বাস্তবসম্মত ঝুঁকি।

যেসব ব্যবহারকারী MGM Resorts-এর রেকর্ডে তাদের তথ্যের মিল দেখতে পান, তাদের প্রথমে ইমেইল ও ফোনে পাওয়া বুকিং, অর্থ ফেরত, অর্থ পরিশোধ, লয়্যালটি পয়েন্ট বা প্রচারমূলক বার্তাগুলো সতর্কভাবে যাচাই করা উচিত। বার্তার লিংক দিয়ে লগইন না করে ব্রাউজারের ঠিকানা বারে সংশ্লিষ্ট সেবার ঠিকানা লিখে সরাসরি সেখানে যাওয়া উচিত। ফোন কলে জন্মতারিখ, ঠিকানা, পেমেন্টের তথ্য, যাচাইকরণ কোড বা কার্ডের তথ্যের মতো ব্যক্তিগত তথ্য চাওয়া হলে কথোপকথন শেষ করে আনুষ্ঠানিক যোগাযোগমাধ্যমে বিষয়টি যাচাই করা উচিত।

এই রেকর্ডে পাসওয়ার্ড যাচাইকৃত তথ্যের ধরন না হলেও ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখা উচিত। ইমেইল অ্যাকাউন্টে শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড ব্যবহার করা, দুই ধাপে যাচাইকরণ চালু করা এবং অপরিচিত সেশনগুলো বন্ধ করা উচিত। MGM Rewards বা একই ধরনের ভ্রমণ/লয়্যালটি অ্যাকাউন্টের ক্ষেত্রে নিরাপত্তা বিজ্ঞপ্তি এবং নিবন্ধিত ফোন নম্বর ও ইমেইলের তথ্য পর্যালোচনা করা উচিত। ক্রেডিট কার্ড বা ব্যাংকের তথ্য এই রেকর্ডের যাচাইকৃত অংশ নয়; তা সত্ত্বেও সন্দেহজনক বুকিং ও অর্থ পরিশোধের বিজ্ঞপ্তি আনুষ্ঠানিক মাধ্যমে যাচাই করা উচিত।

আবাসন, ভ্রমণ ও লয়্যালটি প্রোগ্রামগুলো পরিচয়সংক্রান্ত তথ্যের পাশাপাশি যোগাযোগের তথ্য ও ঠিকানাও সংগ্রহ করে। তাই এসব ক্ষেত্রে দীর্ঘমেয়াদে গোপনীয়তা ব্যবস্থাপনা প্রয়োজন। ব্যবহারকারীদের হোটেল ও ভ্রমণ অ্যাকাউন্ট থেকে অপ্রয়োজনীয় পুরোনো ঠিকানা মুছে ফেলা, আর ব্যবহার করা হয় না এমন লয়্যালটি অ্যাকাউন্ট বন্ধ করা এবং সম্ভব হলে ব্যক্তিগত ও কাজের ইমেইল আলাদা রাখা উচিত। ভ্রমণ ব্র্যান্ডগুলোর প্রচারমূলক ও বুকিং-সংক্রান্ত বার্তার জন্য আলাদা ইমেইল ঠিকানা ব্যবহার করলে ঝুঁকিপূর্ণ বার্তা শনাক্ত করা সহজ হতে পারে।

কোম্পানির দৃষ্টিকোণ থেকে এই ঘটনা দেখায় যে অতিথিদের তথ্য শুধু বিপণনের তথ্য নয়। ক্লাউড সেবা, ডেভেলপারদের প্রবেশাধিকার, অস্থায়ী অ্যাক্সেস কী ও বাইরের সেবার অ্যাকাউন্টগুলো কঠোরভাবে নিরীক্ষা করা উচিত। ন্যূনতম প্রয়োজনীয় প্রবেশাধিকার, একাধিক স্বতন্ত্র উপাদানভিত্তিক পরিচয় যাচাইকরণ এবং তথ্য ফাঁসের দ্রুত মূল্যায়ন নিয়মিত মানদণ্ড হওয়া উচিত। অতিথিদের তথ্য প্রকাশ হয়ে গেলে অবহিত করার প্রক্রিয়ায় দেরি করা উচিত নয়। কোন কোন ক্ষেত্র প্রভাবিত হয়েছে এবং কোনগুলো হয়নি, তা স্পষ্টভাবে জানানো উচিত। আস্থা বজায় রাখতে প্রয়োজনের অতিরিক্ত তথ্য সংগ্রহ না করা ও সময়মতো অবহিত করা প্রযুক্তিগত ব্যবস্থার মতোই গুরুত্বপূর্ণ।

আপনি LeakData-তে MGM Resorts-এর রেকর্ডে আপনার তথ্যের মিল দেখতে পেলে এটিকে 2019 সালের হোটেল ও ক্যাসিনোর অতিথিদের তথ্য ফাঁসের ঘটনা হিসেবে বিবেচনা করুন। এই মিল থেকে বোঝা যায় যে আপনার ইমেইল ঠিকানা, পুরো নাম, ফোন নম্বর, ডাক ঠিকানা ও জন্মতারিখ এই রেকর্ডে অন্তর্ভুক্ত হয়ে থাকতে পারে। এর অর্থ এই নয় যে আপনার পাসওয়ার্ড বা পেমেন্ট কার্ডের তথ্য প্রকাশ হয়েছে। আপনার প্রধান করণীয় হলো ভ্রমণ ও বুকিং-সংক্রান্ত বার্তাগুলো যাচাই করা, ইমেইল অ্যাকাউন্ট সুরক্ষিত রাখা এবং লয়্যালটি অ্যাকাউন্টের তথ্য পর্যালোচনা করা।

আপনি বুকিং, অর্থ ফেরত, পয়েন্ট ব্যবহার, উন্নত মানের কক্ষে পরিবর্তন বা অর্থ পরিশোধ যাচাই নিয়ে কোনো সন্দেহজনক বার্তা পেলে লিংকে ক্লিক না করে আনুষ্ঠানিক ওয়েবসাইট বা কল সেন্টারের মাধ্যমে যাচাই করুন। জন্মতারিখ ও ঠিকানার মতো তথ্য ব্যবহার করে ব্যক্তিগতভাবে সাজানো বার্তাও ভুয়া হতে পারে। কাজের ইমেইল দিয়ে নিবন্ধন করা ব্যবহারকারীদের প্রতিষ্ঠানের নিরাপত্তা দলকে জানানো এবং কাজের অ্যাকাউন্টে আসা ভ্রমণ-সংক্রান্ত ফিশিং বার্তার বিষয়ে সতর্ক থাকা উচিত। প্রতিষ্ঠানগুলোর জন্যও শিক্ষাটি স্পষ্ট: কর্মীদের ভ্রমণ ও লয়্যালটি অ্যাকাউন্টে ব্যবহৃত ব্যক্তিগত তথ্য লক্ষ্যভিত্তিক ইমেইল আক্রমণের প্রবেশপথ হতে পারে।