Minted: 2020 সালের তথ্য ফাঁস

Minted-এর তথ্য ফাঁসের ঘটনায় যাচাই করা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, পাসওয়ার্ড, ফোন নম্বর এবং বাড়ি বা অন্যান্য স্থানের ঠিকানা। ইমেইল ঠিকানা ও নাম ব্যবহার করে আপনার Minted অ্যাকাউন্ট, অর্ডারের ইতিহাস বা ব্যক্তিগতকৃত ডিজাইন পণ্যের প্রতি আগ্রহের প্রসঙ্গ টেনে বিশ্বাসযোগ্য বার্তা পাঠানো হতে পারে। পাসওয়ার্ড হ্যাশ ও সল্ট দিয়ে সুরক্ষিত থাকলেও দুর্বল পাসওয়ার্ড ডিকশনারি আক্রমণের মাধ্যমে বের করা সম্ভব; একই পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করা হলে ঝুঁকি Minted-এর বাইরেও ছড়িয়ে পড়ে। ফোন নম্বরের মাধ্যমে SMS প্রতারণা, গ্রাহকসেবার নামে ভুয়া ফোনকল এবং পণ্য সরবরাহের প্রসঙ্গ ব্যবহার করে ফিশিংয়ের চেষ্টা করার আরও একটি পথ তৈরি হয়।

ঠিকানাসংক্রান্ত তথ্যও গুরুত্বপূর্ণ, কারণ বিল ও পণ্য পৌঁছে দেওয়ার ঠিকানা ভুয়া শিপিং বিজ্ঞপ্তি, অর্থ পরিশোধের ভুয়া নিশ্চিতকরণ, পণ্য ফেরতের ভুয়া প্রক্রিয়া এবং পরিবারের সদস্যদের লক্ষ্য করে সামাজিক প্রকৌশলভিত্তিক প্রতারণার বার্তায় ব্যবহার করা যেতে পারে। এই ঘটনায় পেমেন্ট কার্ড নম্বর বা ব্যাংক অ্যাকাউন্টের মতো আর্থিক তথ্য প্রভাবিত হয়েছে কি না, তা নিশ্চিত করা হয়নি। একইভাবে, ঠিকানা তালিকা ও ডিজাইন ফাইলে যোগ করা ব্যক্তিগত বিষয়বস্তু ছড়িয়ে পড়ারও নিশ্চিত প্রমাণ নেই। ঝুঁকি মূল্যায়নে এই সীমাগুলো বজায় রাখতে হবে এবং প্রকৃত হুমকিকে বাড়িয়ে না দেখিয়ে ব্যবহারকারীর করণীয়ের ওপর গুরুত্ব দিতে হবে।

ঘটনার যাচাই করা তারিখ হিসেবে 6 মে 2020 ধরা হয়েছে; তাই Minted-সংক্রান্ত ফলাফলকে 2025 সালের নতুন ঘটনা হিসেবে বিবেচনা করা উচিত নয়। পরে বড় তথ্যসমষ্টির মধ্যে রেকর্ডগুলো ছড়িয়ে পড়া বা বিভিন্ন নিরাপত্তা পর্যবেক্ষণ তালিকায় আবার দেখা যাওয়া ঘটনাটির তারিখ বদলে দেয় না। LeakData-তে সংরক্ষিত স্বতন্ত্র অ্যাকাউন্টের সংখ্যা 44,18,182। Minted-এর গ্রাহকের তথ্য অফলাইন বাজারে শেয়ার হওয়ার পর যাচাই করা পরিসরকে এই সংখ্যা নির্দেশ করে।

তথ্যের ধরনগুলো ইমেইল ঠিকানা, নাম, পাসওয়ার্ড, ফোন নম্বর এবং বাড়ি বা অন্যান্য স্থানের ঠিকানায় সীমাবদ্ধ। এভাবে পরিসর নির্ধারণ করলে অপ্রয়োজনীয় আতঙ্ক এড়ানো যায় এবং ব্যবহারকারীকে বাস্তবে কার্যকর নিরাপত্তামূলক পদক্ষেপ নিতে দিকনির্দেশনা দেওয়া যায়।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা Minted অ্যাকাউন্টের পাসওয়ার্ড অন্য ই-কমার্স, ইমেইল, সামাজিক যোগাযোগমাধ্যম বা আর্থিক সেবার অ্যাকাউন্টেও ব্যবহার করেন। পাসওয়ার্ড হ্যাশ করা থাকলেও দুর্বল বা আগে ফাঁস হওয়া পাসওয়ার্ড বের করে অন্য সাইটে ব্যবহার করার চেষ্টা করা সম্ভব। দ্বিতীয় গুরুত্বপূর্ণ গোষ্ঠী হলেন পণ্য পৌঁছে দেওয়ার ঠিকানা ও ফোন নম্বর শেয়ার করেছেন এমন গ্রাহকেরা। তাঁরা পণ্য সরবরাহের ভুয়া বার্তা, অর্ডার বাতিলের সতর্কতা, অ্যাকাউন্ট যাচাইয়ের অনুরোধ অথবা পণ্য ফেরতের অজুহাতে পেমেন্টের তথ্য চাওয়া প্রতারণামূলক ফর্ম পেতে পারেন।

তৃতীয় ঝুঁকিপূর্ণ গোষ্ঠী হলেন এমন গ্রাহকেরা, যাঁরা পারিবারিক অনুষ্ঠান, বিয়ে, জন্মদিন, শিশুর জন্মের ঘোষণা বা ঘর সাজানোর মতো ব্যক্তিগত কাজে Minted অ্যাকাউন্ট ব্যবহার করেন। ফাঁস হওয়া তথ্যের ধরনগুলোর মধ্যে ডিজাইনের বিষয়বস্তু থাকার বিষয়টি যাচাই করা হয়নি; তবে অর্ডার ও যোগাযোগের প্রেক্ষাপট আক্রমণকারীর বার্তাকে আরও ব্যক্তিগত বলে মনে করাতে পারে। ইমেইল ঠিকানা, নাম, ফোন নম্বর ও ঠিকানা একসঙ্গে থাকলে সাধারণ স্প্যাম বার্তার চেয়ে বেশি বিশ্বাসযোগ্য প্রতারণার চেষ্টার সুযোগ তৈরি হয়। তাই শুধু পাসওয়ার্ড বদলালেই ঝুঁকি মিটে গেছে বলে ধরে নেওয়া উচিত নয়।

Minted অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড অবিলম্বে বদলানো উচিত। একই পাসওয়ার্ড অন্য অ্যাকাউন্টে ব্যবহার করে থাকলে সেগুলোর জন্যও নতুন ও স্বতন্ত্র পাসওয়ার্ড বেছে নিতে হবে। ইমেইল অ্যাকাউন্ট সুরক্ষিত করাকে অগ্রাধিকার দিতে হবে, কারণ পাসওয়ার্ড পুনর্নির্ধারণের লিংক প্রায়ই ইমেইলের মাধ্যমে পরিচালিত হয়। সম্ভব হলে গুরুত্বপূর্ণ সব অ্যাকাউন্টে বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করুন এবং SMS-এর পরিবর্তে নিরাপত্তা অ্যাপ বা হার্ডওয়্যার কী-এর মতো আক্রমণ প্রতিরোধে বেশি সক্ষম পদ্ধতি বেছে নিন। পাসওয়ার্ড ম্যানেজার প্রতিটি অ্যাকাউন্টের জন্য শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড তৈরি করা সহজ করে।

Minted বা পণ্য সরবরাহকারী প্রতিষ্ঠানের নাম ব্যবহার করে আসা ইমেইল ও SMS বার্তার লিংক সরাসরি খুলবেন না। অর্ডার, পণ্য সরবরাহ, পণ্য ফেরত বা অ্যাকাউন্টের নিরাপত্তা সম্পর্কে কোনো বিজ্ঞপ্তি পেলে যাচাই করার জন্য ব্রাউজারে নিজে ওয়েব ঠিকানা লিখে প্রবেশ করুন। গ্রাহকসেবার ফোনকলে পাসওয়ার্ড, যাচাইকরণ কোড বা পেমেন্টের তথ্য কাউকে দেবেন না। যাঁদের ঠিকানা ফাঁসের আওতায় পড়েছে, তাঁদের পণ্য সরবরাহের বিজ্ঞপ্তি ও ভুয়া বিলের অনুরোধ সম্পর্কে আরও সতর্ক থাকতে হবে; একই ঠিকানায় বসবাসকারী পরিবারের সদস্যদেরও এ ধরনের বার্তা সম্পর্কে জানানো উচিত।

দীর্ঘমেয়াদে ই-কমার্স অ্যাকাউন্টের জন্য আলাদা ইমেইল অ্যালিয়াস, স্বতন্ত্র পাসওয়ার্ড এবং নিয়মিত অ্যাকাউন্ট পর্যালোচনার অভ্যাস ঝুঁকি কমায়। পুরোনো কেনাকাটার অ্যাকাউন্টে সংরক্ষিত ফোন নম্বর, পণ্য পৌঁছে দেওয়ার ঠিকানা ও অপ্রয়োজনীয় ব্যক্তিগত তথ্য কমিয়ে রাখতে পারেন। কোনো সেবায় তথ্য ফাঁসের ঘটনা বহু বছর পরও প্রতারণামূলক প্রচারে ব্যবহার করা যেতে পারে। তাই শুধু ঘটনার সময় পাসওয়ার্ড বদলানো যথেষ্ট নয়; ফাঁস হওয়া যোগাযোগের তথ্য দীর্ঘদিন ধরে ছড়িয়ে থাকতে পারে, তা মেনে নিয়ে সতর্ক থাকতে হবে।

Minted-এর তথ্য ফাঁসের ঘটনা দেখায় যে ই-কমার্স প্ল্যাটফর্মে পাসওয়ার্ডের নিরাপত্তা এবং গ্রাহকের যোগাযোগের তথ্যের গোপনীয়তা একসঙ্গে বিবেচনা করা উচিত। পাসওয়ার্ড হ্যাশ দিয়ে সুরক্ষিত থাকলেও ফোন নম্বর ও ঠিকানার মতো তথ্য ব্যক্তিকে লক্ষ্য করে প্রতারণা সাজানো সহজ করে দেয়। একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার বন্ধ করুন, পুরোনো অ্যাকাউন্টের অপ্রয়োজনীয় তথ্য মুছে ফেলুন, পণ্য সরবরাহ ও পণ্য ফেরতের ভুয়া বার্তা যাচাই করুন এবং সব অ্যাকাউন্টের নিরাপত্তার মূল কেন্দ্র হিসেবে আপনার ইমেইল অ্যাকাউন্টকে সুরক্ষিত রাখুন।

LeakData-তে যাঁদের তথ্যের সঙ্গে Minted-এর রেকর্ডের মিল পাওয়া গেছে, তাঁদের এই ফলাফলকে 6 মে 2020 তারিখের গ্রাহক অ্যাকাউন্ট ও যোগাযোগের তথ্য ফাঁসের ঘটনা হিসেবে বিবেচনা করা উচিত। মিল পাওয়া মানেই যে পেমেন্ট কার্ডের তথ্য নিশ্চিতভাবে ফাঁস হয়েছে, তা নয়; তবে ইমেইল, নাম, পাসওয়ার্ড হ্যাশ, ফোন নম্বর ও ঠিকানার কারণে অ্যাকাউন্টের নিরাপত্তা এবং সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি রয়েছে। প্রথমে Minted-এর পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহৃত অন্য সব অ্যাকাউন্টের পাসওয়ার্ড বদলাতে হবে। এরপর ইমেইল অ্যাকাউন্ট, ফোন সংযোগ ও পণ্য সরবরাহের বিজ্ঞপ্তি আরও নিবিড়ভাবে পর্যবেক্ষণ করতে হবে।

এই ঘটনায় সঠিক নিরাপত্তামূলক পদ্ধতি হলো পাসওয়ার্ড আলাদা রাখা এবং যোগাযোগের তথ্য প্রতারণায় ব্যবহার করা হতে পারে বলে ধরে নেওয়া। Minted-এর বাইরে যেসব সেবায় একই ইমেইল-পাসওয়ার্ডের সমন্বয় ব্যবহার করেছেন, সেগুলোর প্রতিটিতে প্রয়োজনীয় পরিবর্তন করুন, শক্তিশালী পাসওয়ার্ড ম্যানেজার ব্যবহার করুন, বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করুন এবং অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ রাখুন। ফোন বা ইমেইলে জরুরি পদক্ষেপ নেওয়ার অনুরোধ পেলে সরাসরি আনুষ্ঠানিক ওয়েবসাইটে গিয়ে তা যাচাই করুন।