Modern Business Solutions-এর 2016 সালের তথ্য ফাঁস

যাচাই করে নিশ্চিত হওয়া তথ্যের ধরনগুলোর মধ্যে রয়েছে জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গ, IP ঠিকানা, চাকরির পদবি, নাম, ফোন নম্বর ও ঠিকানা। এসব তথ্য একসঙ্গে বিবেচনা করলে একজন ব্যক্তির প্রকৃত পরিচয়, যোগাযোগের মাধ্যম, অবস্থান ও কর্মজীবন সম্পর্কে একটি বিস্তারিত প্রোফাইল তৈরি হয়। ঠিকানা ও ফোন নম্বর প্রতারণামূলক কলের জন্য, ইমেইল ঠিকানা ফিশিং বার্তার জন্য এবং জন্মতারিখ ও ঠিকানা পরিচয় যাচাইয়ের প্রশ্ন অনুমান করার জন্য ব্যবহার করা যেতে পারে।

পাসওয়ার্ড থাকার বিষয়টি যাচাই করে নিশ্চিত করা হয়নি বলে এই ঘটনাকে সরাসরি পাসওয়ার্ডের তালিকা ফাঁস হিসেবে দেখা উচিত নয়। তবে এতে ঝুঁকি কমে যায় না। অন্য তথ্য ফাঁসের ঘটনা থেকে পাওয়া পাসওয়ার্ড, ব্যবহারকারীর নাম বা পেমেন্টের তথ্যের সঙ্গে ব্যক্তিগত তথ্য মিলে গেলে আক্রমণকারীর হাতে থাকা প্রোফাইল আরও বিস্তারিত হয়ে ওঠে। যাঁদের চাকরির পদবি ও নিয়োগদাতা-সংক্রান্ত তথ্য রয়েছে, তাঁদের কাছে ভুয়া প্রস্তাব, চালান, ডেলিভারি, নিয়োগ বা গ্রাহকসেবার বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

পরিসরটি 8 অক্টোবর 2016-এর ঘটনা এবং এর ফলে প্রভাবিত 5,88,43,488টি অ্যাকাউন্টের মধ্যে সীমিত। ডোমেইনটি modbsolutions.com বলে যাচাই করে নিশ্চিত করা হয়েছে। রেকর্ডটি যুক্ত করা ও সর্বশেষ পরিবর্তনের তারিখ 12 অক্টোবর 2016। তথ্যের ধরনগুলো কঠোরভাবে কেবল যাচাই করে নিশ্চিত হওয়া ক্ষেত্রগুলোর মধ্যেই সীমিত; পাসওয়ার্ড, পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, সোশ্যাল সিকিউরিটি নম্বর, স্বাস্থ্যসংক্রান্ত তথ্য বা সরকারি পরিচয়পত্র-সংক্রান্ত ক্ষেত্র এতে অন্তর্ভুক্ত নয়।

এই ঘটনাকে ডেটা সংরক্ষণ ও ডেটাবেস হোস্টিংয়ের প্রেক্ষাপটে মূল্যায়ন করা হয়। তথ্য কার, কোন গ্রাহকদের কাছ থেকে এসেছে বা কোন ব্যবসায়িক সম্পর্কের অধীনে রাখা হয়েছে, প্রতিটি ব্যবহারকারীর ক্ষেত্রে তা স্পষ্টভাবে নির্ধারণ করা যায় না। তাই এই বিবরণে দৃশ্যমান ব্যক্তিগত তথ্যের ধরন এবং ব্যবহারকারীর জন্য সৃষ্ট বাস্তব ঝুঁকির ওপর গুরুত্ব দেওয়া হয়েছে; নিশ্চিত নয় এমন মালিকানার দাবিকে বাড়িয়ে দেখানো হয়নি।

ঝুঁকিতে থাকা প্রথম গোষ্ঠীতে রয়েছেন তাঁরা, যাঁদের ইমেইল ঠিকানার সঙ্গে ফোন নম্বর, ঠিকানা ও জন্মতারিখও রয়েছে। তাঁদের কাছে ভুয়া ডেলিভারি, ব্যাংকিং, বিমা, পানি-বিদ্যুৎ-গ্যাসের মতো সেবা, গ্রাহক সহায়তা বা অ্যাকাউন্ট যাচাইয়ের বার্তা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। যাঁদের চাকরির পদবি রয়েছে, তাঁদের জন্য সরবরাহকারীর নামে ভুয়া অনুরোধ, ব্যবসায়িক যোগাযোগের বার্তা বা প্রতিষ্ঠানের পেমেন্টের নির্দেশনা বদলানোর চেষ্টা আলাদা ঝুঁকি তৈরি করে।

দ্বিতীয় গোষ্ঠীতে রয়েছেন সেই ব্যবহারকারীরা, যাঁরা বিভিন্ন সেবায় একই ইমেইল ঠিকানা ব্যবহার করেন এবং যাঁদের ব্যক্তিগত তথ্য অতীতের অন্য ঘটনায়ও উন্মুক্ত হয়েছে। বিভিন্ন ডেটাসেট একত্র করা হলে জন্মতারিখ, ঠিকানা, ফোন নম্বর ও ইমেইল এক জায়গায় আসে। এতে অ্যাকাউন্ট পুনরুদ্ধারের প্রশ্ন ব্যবহার করা, ফোনের মাধ্যমে যাচাইয়ের চেষ্টা এবং তথ্যের সঙ্গে ব্যক্তির পরিচয় মেলানো সহজ হয়। তথ্য পুরোনো হলেই তা নিরাপদ হয়ে যায় না, কারণ ঠিকানা ও জন্মতারিখের মতো তথ্য দীর্ঘদিন সঠিক থাকতে পারে।

আপনার তথ্যের সঙ্গে মিল পাওয়া গেলে ইমেইল বা ফোনে আসা অপ্রত্যাশিত যোগাযোগ, ডেলিভারি, নথি, পেমেন্ট বা অ্যাকাউন্ট যাচাইয়ের অনুরোধ সরাসরি একটি বিশ্বস্ত বিকল্প মাধ্যমে যাচাই করুন। ব্যাংক, পণ্য পরিবহনকারী প্রতিষ্ঠান, বিমা প্রতিষ্ঠান, সরকারি সেবা বা ব্যবসায়িক পরিচিতদের কাছ থেকে এসেছে বলে মনে হয়, এমন বার্তায় ব্যক্তিগত তথ্য দেবেন না। ইমেইল অ্যাকাউন্টের সাইন-ইন ইতিহাস, অ্যাকাউন্ট পুনরুদ্ধারের ঠিকানা ও ফরওয়ার্ডিং নিয়মগুলো পরীক্ষা করুন।

এই ঘটনায় পাসওয়ার্ড থাকার বিষয়টি নিশ্চিত না হলেও, একই ইমেইল অন্য সেবায় ব্যবহার করলে অ্যাকাউন্টের নিরাপত্তা আরও জোরদার করা উচিত। প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড, একটি পাসওয়ার্ড ম্যানেজার ও বহু-উপাদানভিত্তিক পরিচয় যাচাই মৌলিক সতর্কতামূলক ব্যবস্থা হওয়া উচিত। যাঁদের ফোন নম্বর ও ঠিকানা উন্মুক্ত হয়েছে, তাঁদের পরিবারের সদস্য ও সহকর্মীদেরও ভুয়া কল এবং ঠিকানাকে কেন্দ্র করে প্রতারণার সম্ভাবনা সম্পর্কে সতর্ক করা উচিত।

দীর্ঘমেয়াদে ব্যক্তিগত তথ্যের উন্মুক্ততা কমানো গুরুত্বপূর্ণ। ব্যবহারকারীদের পুরোনো অ্যাকাউন্ট ও প্রোফাইলের অপ্রয়োজনীয় তথ্য সরিয়ে ফেলা, ব্যবহারের উদ্দেশ্য অনুযায়ী আলাদা ইমেইল ঠিকানা রাখা এবং যেসব সেবায় ফোন নম্বর দেওয়া বাধ্যতামূলক নয়, সেগুলোতে তা না দেওয়া উচিত। ঠিকানা, জন্মতারিখ ও কর্মসংক্রান্ত তথ্যের মতো দীর্ঘস্থায়ী তথ্য বদলানো কঠিন। তাই ভবিষ্যতে সোশ্যাল ইঞ্জিনিয়ারিংয়ের চেষ্টায় এসব তথ্য ব্যবহৃত হতে পারে বলে ধরে নিতে হবে।

প্রতিষ্ঠানগুলোর জন্য এই ঘটনার শিক্ষা হলো প্রয়োজনের অতিরিক্ত তথ্য সংগ্রহ বা সংরক্ষণ না করা এবং কতদিন তথ্য রাখা হচ্ছে, তা নিরীক্ষা করা। গ্রাহক, চাকরিপ্রার্থী, কর্মী বা তৃতীয় পক্ষের ডেটাসেট অপ্রয়োজনে রেখে দিলে একটি তথ্য ফাঁসের ঘটনাই বহু মিলিয়ন মানুষের ওপর প্রভাব ফেলতে পারে। প্রবেশাধিকারের অনুমতি, বাইরে থেকে প্রবেশযোগ্য সেবার নিয়ন্ত্রণ, সংরক্ষিত তথ্যের তালিকা, তথ্য মুছে ফেলার নীতি ও ঘটনা জানানোর প্রক্রিয়া নিয়মিত পর্যালোচনা করা উচিত।

আপনার তথ্যের সঙ্গে মিল দেখতে পেলে তালিকায় কোন কোন তথ্য রয়েছে, তা অগ্রাধিকার অনুযায়ী মূল্যায়ন করুন। ইমেইল ঠিকানা ফিশিং ও অ্যাকাউন্টে প্রবেশের চেষ্টায়, ফোন নম্বর ভুয়া কলে, ঠিকানা ও জন্মতারিখ তথ্যের সঙ্গে ব্যক্তির পরিচয় মেলাতে এবং চাকরির পদবি প্রতিষ্ঠানকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ে ব্যবহার করা যেতে পারে। তাই শুধু একটি অ্যাকাউন্ট নয়, একই তথ্যের সঙ্গে যুক্ত অন্য সেবাগুলোও পরীক্ষা করা প্রয়োজন।

Modern Business Solutions-এর ঘটনাটি ব্যাপক প্রভাব সৃষ্টিকারী একটি তথ্য ফাঁস, যেখানে পাসওয়ার্ড নেই, কিন্তু দীর্ঘস্থায়ী ব্যক্তিগত তথ্যের বহু ধরন একত্রে রয়েছে। ব্যবহারকারীরা প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, ইমেইলের নিরাপত্তা জোরদার, বহু-উপাদানভিত্তিক পরিচয় যাচাই, সন্দেহজনক যোগাযোগ অন্য একটি মাধ্যমে যাচাই এবং প্রোফাইলের অপ্রয়োজনীয় তথ্য কমানোর পদক্ষেপগুলো সম্পন্ন করলে এই ঘটনা থেকে সৃষ্ট দীর্ঘমেয়াদি ঝুঁকি উল্লেখযোগ্যভাবে কমে যায়।