Moneycontrol: তথ্য ফাঁস

Moneycontrol রেকর্ডে যাচাইকৃত ডেটার ধরনগুলো হলো ইমেইল ঠিকানা, লিঙ্গসংক্রান্ত তথ্য, ভৌগোলিক অবস্থানের তথ্য, পাসওয়ার্ড ও ফোন নম্বর। ইমেইল ঠিকানা ব্যবহার করে ব্যবহারকারীকে ভুয়া অ্যাকাউন্ট সতর্কবার্তা, বাজারসংক্রান্ত বিজ্ঞপ্তি, পোর্টফোলিও যাচাই বা পাসওয়ার্ড রিসেটের বার্তা পাঠানো যেতে পারে। ফোন নম্বর থাকলে কল ও এসএমএসের মাধ্যমে সরাসরি যোগাযোগের ঝুঁকি বাড়ে। ভৌগোলিক অবস্থানের তথ্য ব্যবহার করে ব্যবহারকারীর দেশ, শহর বা আঞ্চলিক প্রেক্ষাপট অনুযায়ী তাঁকে লক্ষ্যবস্তু করা যেতে পারে।

পাসওয়ার্ডের তথ্যক্ষেত্রটি এই রেকর্ডের সবচেয়ে গুরুত্বপূর্ণ অংশ। সূত্রগুলোতে প্লেইন টেক্সট পাসওয়ার্ডের উল্লেখ রয়েছে। তাই ক্ষতিগ্রস্ত ব্যক্তি অন্য কোনো সেবায় একই পাসওয়ার্ড ব্যবহার করে থাকলে ঝুঁকি শুধু Moneycontrol অ্যাকাউন্টে সীমাবদ্ধ থাকে না। লিঙ্গ ও অবস্থানের তথ্য ভুয়া বিনিয়োগ পরামর্শ বা ব্যক্তিগত আর্থিক বিষয়কে কেন্দ্র করে প্রতারণামূলক বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। এই তথ্যগুলো একসঙ্গে থাকায় আর্থিক অ্যাপ্লিকেশন, শেয়ার পর্যবেক্ষণের অ্যাকাউন্ট, ইমেইল অ্যাকাউন্ট ও পেমেন্ট সেবায় অতিরিক্ত নিরাপত্তা নিয়ন্ত্রণ বিশেষভাবে প্রয়োজন।

• ইমেইল ও পাসওয়ার্ড একসঙ্গে থাকলে অ্যাকাউন্ট দখলের চেষ্টা সহজ হয়।
• ফোন নম্বর ভুয়া সহায়তা কল ও এসএমএসের ফাঁদে ব্যবহার করা যেতে পারে।
• ভৌগোলিক অবস্থানের তথ্য অঞ্চলভিত্তিক আর্থিক বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।
• নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের ক্ষেত্রে লিঙ্গসংক্রান্ত তথ্য তাঁর প্রোফাইলের ঘাটতি পূরণে ব্যবহার করা যেতে পারে।

এই রেকর্ডের পরিসর 7,62,874টি ক্ষতিগ্রস্ত অ্যাকাউন্ট, moneycontrol.com ডোমেইন এবং পাঁচটি যাচাইকৃত ডেটার ধরনে সীমিত ছিল। ঘটনায় প্রথম কখন প্রবেশ করা হয়েছিল, তা সুনির্দিষ্টভাবে বলা নেই। তবে ধরে নেওয়া হয় যে ডেটা ফাইলটির সূত্র 2017 সালের সেপ্টেম্বরের, আর ডেটা 2021 সালে দৃশ্যমান হয়। তাই ফাঁসের তারিখ হিসেবে 2021 সালে বিক্রির তারিখের বদলে ফাইলের সূত্রে নির্দেশিত 7 সেপ্টেম্বর 2017 ধরা হয়েছে। রেকর্ডটি যোগ করার তারিখ 22 মে 2021-এ যাচাইকরণ তালিকায় এর অন্তর্ভুক্তির সঙ্গে সম্পর্কিত।

এই রেকর্ডে পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, পরিচয়পত্রের নম্বর, বাসা বা কার্যালয়ের ঠিকানা, লেনদেনের ইতিহাস, পোর্টফোলিওর তথ্য বা বিনিয়োগ অ্যাকাউন্টের ব্যালেন্স যাচাইকৃত তথ্যক্ষেত্র হিসেবে অন্তর্ভুক্ত নেই। কিছু বিবরণে জন্মতারিখের উল্লেখ থাকলেও যাচাইকৃত ডেটার ধরনের তালিকায় তা নেই বলে মূল তথ্যক্ষেত্রের তালিকায় যোগ করা হয়নি। এই পার্থক্য ব্যবহারকারীকে অযথা আতঙ্কিত না করে প্রকৃত ঝুঁকি তুলে ধরতে সাহায্য করে। শিরোনাম, তথ্যক্ষেত্রের নাম, তারিখ, ক্ষতিগ্রস্ত অ্যাকাউন্টের সংখ্যা ও ডেটার ধরনগুলোর ভিত্তিতে একই রেকর্ড একাধিকবার রয়েছে কি না, তা পরীক্ষা করা হয়েছে।

প্রধান ঝুঁকিপূর্ণ গোষ্ঠী হলো যেসব ব্যবহারকারীর 2017 সালের আগে বা কাছাকাছি সময়ে Moneycontrol অ্যাকাউন্ট ছিল এবং যাঁরা এখনও আর্থিক সেবা, বিনিয়োগ, সংবাদ, শেয়ার পর্যবেক্ষণ, পেমেন্ট বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টে একই ইমেইল ঠিকানা ব্যবহার করেন। পাসওয়ার্ডের তথ্যক্ষেত্র থাকায় যাঁরা অন্যত্র একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি বেশি। বিশেষ করে যেসব ব্যবহারকারী শেয়ারবাজার ও আর্থিক সংবাদ অনুসরণ করেন, তাঁদের ভুয়া বিনিয়োগ পরামর্শ, পোর্টফোলিও যাচাই বা জরুরি অ্যাকাউন্ট যাচাইয়ের বার্তা দিয়ে লক্ষ্যবস্তু করা যেতে পারে।

যাঁরা আর্থিক সেবায় নিজের ফোন নম্বর ব্যবহার করেন, দীর্ঘদিন একই ইমেইল ঠিকানা রাখেন, পাসওয়ার্ড ম্যানেজার ব্যবহার করেন না এবং আর্থিক অ্যাপ্লিকেশনে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করেননি, তাঁদের আরও সতর্ক হওয়া উচিত। প্রতিষ্ঠানের ক্ষেত্রে, অর্থ, হিসাবরক্ষণ, বিনিয়োগকারী সম্পর্ক, গণমাধ্যম, গবেষণা ও বিক্রয় বিভাগে কর্মরত কর্মীদের ব্যক্তিগত Moneycontrol ডেটার সঙ্গে কর্মক্ষেত্রের ইমেইল বা ফোন নম্বরের মিল থাকলে ভুয়া পেমেন্ট, ভুয়া বাজার প্রতিবেদন বা গ্রাহকের নামে ভুয়া অনুরোধের ঝুঁকি বাড়তে পারে।

• Moneycontrol-এর যেসব সদস্য একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন
• যাঁরা আর্থিক সেবায় ফোন ও ইমেইলের তথ্য রাখেন
• শেয়ারবাজার, বিনিয়োগ ও বাজারের সংবাদে আগ্রহী সক্রিয় ব্যবহারকারী
• যেসব কর্মী কর্মক্ষেত্রের ও ব্যক্তিগত আর্থিক অ্যাকাউন্টে একই ধরনের যোগাযোগের তথ্য ব্যবহার করেন

Moneycontrol-সংক্রান্ত ফলাফল দেখতে পেলে ব্যবহারকারীর প্রথম কাজ হওয়া উচিত এই অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড সম্পূর্ণভাবে বাদ দেওয়া এবং একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের জন্য নতুন, আলাদা পাসওয়ার্ড বেছে নেওয়া। আগে ইমেইল অ্যাকাউন্ট, আর্থিক অ্যাপ্লিকেশন, বিনিয়োগ প্ল্যাটফর্ম, পেমেন্ট সেবা, সামাজিক যোগাযোগমাধ্যম ও ক্লাউড স্টোরেজ অ্যাকাউন্ট পরীক্ষা করা উচিত। পাসওয়ার্ডের মাত্র একটি অক্ষর বা চিহ্ন বদলানোকে নিরাপদ ধরা হয় না; প্রতিটি সেবার জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড বেছে নেওয়া উচিত।

ফোন নম্বর ফাঁস হয়ে থাকলে এসএমএসে পাঠানো বিনিয়োগ, ঋণ, পেমেন্ট, শেয়ারসংক্রান্ত সতর্কবার্তা বা অ্যাকাউন্ট যাচাইয়ের লিংক আলাদা কোনো মাধ্যমে যাচাই করা উচিত। যেখানে সম্ভব, অ্যাকাউন্টে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করতে হবে, সেশনের ইতিহাস ও সংযুক্ত ডিভাইস পর্যালোচনা করতে হবে এবং অপরিচিত সেশন বন্ধ করতে হবে। ফোনে কেউ নিজেকে Moneycontrol-এর কর্মী বা কোনো আর্থিক সেবার প্রতিনিধি দাবি করে পাসওয়ার্ড, কোড বা পেমেন্ট চাইলে সেই অনুরোধে সাড়া দেওয়া উচিত নয়। বারবার ব্যবহার করা পাসওয়ার্ডের ব্যবহার বন্ধ করতে পাসওয়ার্ড ম্যানেজার সবচেয়ে কার্যকর ব্যবহারিক উপায়।

• আপনার Moneycontrol পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলান।
• ইমেইল ও আর্থিক অ্যাকাউন্টে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করুন।
• এসএমএস ও ফোনে আসা বিনিয়োগসংক্রান্ত যোগাযোগ আলাদা কোনো মাধ্যমে যাচাই করুন।
• আপনার সেশনের ইতিহাস, সংযুক্ত ডিভাইস ও অপ্রত্যাশিত লগইনের সতর্কবার্তা পরীক্ষা করুন।

Moneycontrol-এর মতো অর্থসংক্রান্ত প্ল্যাটফর্ম থেকে ফাঁস হওয়া ডেটা দীর্ঘদিন মূল্যবান থাকে। ইমেইল, ফোন, অবস্থান ও পাসওয়ার্ডের সমন্বয় বহু বছর পরও ফিশিং, ভুয়া বিনিয়োগ পরামর্শ, বাজারে কারসাজিকে কেন্দ্র করে বার্তা বা অ্যাকাউন্টে প্রবেশ পরীক্ষা করার চেষ্টায় ব্যবহার করা যেতে পারে। তাই ব্যবহারকারীদের নিয়মিত পাসওয়ার্ডের তালিকা হালনাগাদ রাখা, অব্যবহৃত অ্যাকাউন্ট বন্ধ করা, ব্যবহারের উদ্দেশ্য অনুযায়ী আলাদা ইমেইল ঠিকানা রাখা এবং গুরুত্বপূর্ণ আর্থিক অ্যাকাউন্টে অ্যাপভিত্তিক পরিচয় যাচাইকে অগ্রাধিকার দেওয়া প্রয়োজন।

প্রতিষ্ঠানের জন্য এই রেকর্ড দেখায় যে কর্মীদের ব্যক্তিগত ডেটা ফাঁসের প্রভাব ব্যবসায়িক কার্যক্রমেও পড়তে পারে। আর্থিক সংবাদ ও বাজারের তথ্য নিয়ে কাজ করা দলগুলোর উচিত ভুয়া প্রতিবেদনের লিংক, বিনিয়োগসংক্রান্ত সংযুক্ত ফাইল, পেমেন্ট অন্যত্র পাঠানোর অনুরোধ ও ফোনে নিশ্চয়তা নেওয়ার চেষ্টার বিরুদ্ধে সুরক্ষার জন্য দ্বিতীয় পর্যায়ের অনুমোদন প্রক্রিয়া ব্যবহার করা। নিরাপত্তা সচেতনতার প্রশিক্ষণ, একই পাসওয়ার্ড পুনর্ব্যবহার ঠেকানোর নিয়ন্ত্রণ, নিরাপদ ইমেইল গেটওয়ে ও ঝুঁকিপূর্ণ লিংকের সতর্কবার্তা এ ধরনের ঘটনার প্রভাব কমায়।

LeakData.io-তে Moneycontrol-সংক্রান্ত ফলাফল দেখতে পেলে ব্যবহারকারীর উচিত মিল পাওয়া ইমেইল ঠিকানা ও ফোনের তথ্য নিজের অ্যাকাউন্টের ইতিহাসের সঙ্গে তুলনা করা। এই ফলাফলের অর্থ এই নয় যে ওই ব্যক্তির বর্তমানে সক্রিয় Moneycontrol অ্যাকাউন্ট রয়েছে; তবে এটি দেখায় যে 2017 সালের ফাঁস হওয়া ডেটা ফাইলে তালিকাভুক্ত অ্যাকাউন্টটি 2021 সালে দৃশ্যমান হয়েছিল। তাই সঠিক করণীয় হলো পুরোনো পাসওয়ার্ডটি বর্তমানে আর কোনো অ্যাকাউন্টে কার্যকর নেই বলে নিশ্চিত হওয়া এবং আর্থিক অ্যাকাউন্টে অতিরিক্ত নিরাপত্তার স্তর ব্যবহার করা।

এই রেকর্ড যাচাইকৃত অবস্থায় রাখা হয়েছে, তবে এর পরিসরের বাইরের তথ্য অন্তর্ভুক্ত করা হয়নি। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, বাসা বা কার্যালয়ের ঠিকানা কিংবা বিনিয়োগ পোর্টফোলিওর ডেটা ফাঁস হয়েছে ধরে নিয়ে কাজ করার বদলে ইমেইল, ফোন, অবস্থান, লিঙ্গ ও পাসওয়ার্ডের তথ্য থেকে তৈরি হওয়া প্রকৃত ঝুঁকিতে মনোযোগ দেওয়া উচিত। শক্তিশালী পাসওয়ার্ড, একাধিক উপাদানভিত্তিক পরিচয় যাচাই, আলাদা মাধ্যমে যাচাই এবং সন্দেহজনক যোগাযোগে সাড়া না দেওয়ার অভ্যাসের মাধ্যমে ব্যবহারকারীরা তাঁদের বর্তমান অ্যাকাউন্টে Moneycontrol-এর ডেটা ফাঁসের প্রভাব উল্লেখযোগ্যভাবে কমাতে পারেন।