MyPertamina-এর 2022 সালের তথ্য ফাঁস

MyPertamina-এর নথিতে উল্লেখযোগ্য তথ্যের ধরনগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গসংক্রান্ত তথ্য, নাম, ফোন নম্বর, ঠিকানা এবং কেনাকাটার রেকর্ড। এই নথির যাচাইকৃত তথ্যের শ্রেণিগুলোর মধ্যে পাসওয়ার্ড নেই; তাই ঘটনাটিকে সরাসরি পাসওয়ার্ড বেহাত হওয়ার ঘটনা হিসেবে উপস্থাপন করা উচিত নয়। তবু ঝুঁকি কমে না; শুধু তার ধরন বদলে যায়। ইমেইল, ফোন নম্বর, নাম, ঠিকানা ও জন্মতারিখ একসঙ্গে থাকলে আক্রমণকারীর পক্ষে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, ভুয়া সহায়তা কল, পণ্য পৌঁছে দেওয়া বা পেমেন্টের অজুহাতে প্রতারণা এবং পরিচয় যাচাইয়ের প্রশ্ন এড়ানোর চেষ্টাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব হয়।

কেনাকাটার তথ্য থেকেও আচরণসংক্রান্ত ঝুঁকি তৈরি হয়। জ্বালানি বা সেবা ব্যবহারের অভ্যাস থেকে ব্যবহারকারী সাধারণত কোন কোন স্থানে যান, কীভাবে যানবাহন ব্যবহার করেন এবং কখন অর্থ পরিশোধ করেন, সে সম্পর্কে পরোক্ষ ধারণা পাওয়া যেতে পারে। ঠিকানা ও ফোন নম্বরের সঙ্গে মিলিয়ে দেখলে এই তথ্য শুধু ডিজিটাল অ্যাকাউন্টের সমস্যার নয়, বাস্তব জীবনে হয়রানি, ভুয়া প্রচারণামূলক ফোনকল এবং সামাজিক প্রকৌশলের নানা কৌশলেরও ভিত্তি তৈরি করতে পারে। তাই পাসওয়ার্ড না থাকলেও, ব্যক্তিগত প্রোফাইল তৈরির জন্য কার্যকর একগুচ্ছ তথ্য থাকায় MyPertamina-এর তথ্য ফাঁসের নথিকে নিরাপত্তার দিক থেকে অত্যন্ত গুরুত্বপূর্ণ বলে বিবেচনা করা উচিত।

যাচাই না করা ব্যক্তির সংখ্যা, তথ্যের ক্ষেত্র এবং হামলাকারীদের দাবি এই ঘটনার প্রকাশ্য পরিধির অংশ হিসেবে গণ্য করা হয় না। সংবাদে কাঁচা ডেটায় 4 কোটি 40 লাখের বেশি সারি থাকার দাবি করা হয়েছে; তবে কাঁচা ডেটার সারি সংখ্যা আর স্বতন্ত্র ব্যক্তির সংখ্যা এক নয়। লেনদেনের ইতিহাস, পুনরাবৃত্ত রেকর্ড, একই ব্যবহারকারীর একাধিক সারি বা রপ্তানি করা ডেটায় ভিন্ন ভিন্ন টেবিল থাকলে কাঁচা ডেটার সারি সংখ্যা বেড়ে যেতে পারে।

ঘটনার সময় নভেম্বর 2022 হিসেবে নথিভুক্ত করা উচিত, আর সিস্টেমে যুক্ত করার সময় জানুয়ারি 2024 হিসেবেই রাখা উচিত। আগের প্রযুক্তিগত হালনাগাদের তারিখ বা একসঙ্গে অনেক রেকর্ড আমদানির সময়কে তথ্য ফাঁসের তারিখ হিসেবে দেখানো হলে ব্যবহারকারীরা মনে করতে পারেন যে ঘটনাটি 2025 বা 2026 সালে ঘটেছে। এই নথিতে সেই বিভ্রান্তি দূর করা হয়েছে: তথ্য ফাঁসের তারিখ 1 নভেম্বর 2022, যাচাইকৃত সূচিভুক্তির তারিখ 27 জানুয়ারি 2024 এবং ক্ষতিগ্রস্ত স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা 59,70,416 হিসেবে ধরা হয়েছে। প্রতিষ্ঠানের প্রেক্ষাপটও হালনাগাদ করে দেশ হিসেবে ইন্দোনেশিয়া এবং খাত হিসেবে জ্বালানি ও জ্বালানির মূল্য পরিশোধের সেবা উল্লেখ করা উচিত।

প্রথম ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন তাঁরা, যাঁরা MyPertamina অ্যাকাউন্ট খুলেছেন এবং জ্বালানির মূল্য পরিশোধ বা লয়্যালটি কর্মসূচির লেনদেনে নিজেদের ইমেইল ও ফোনের তথ্য ব্যবহার করেছেন। এসব ব্যক্তির নাম, ফোন নম্বর, ঠিকানা এবং কেনাকাটাসংক্রান্ত তথ্য একসঙ্গে থাকলে ভুয়া গ্রাহকসেবা কল আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে। জ্বালানি ভর্তুকি, পেমেন্ট যাচাই, পুরস্কার পয়েন্ট, প্রচারণা বা অ্যাকাউন্ট নবায়নের বিষয়ে বার্তা পাঠিয়ে আক্রমণকারী ব্যবহারকারীকে কোনো লিংকে ক্লিক করতে বা আরও ব্যক্তিগত তথ্য দিতে প্ররোচিত করতে পারে।

দ্বিতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন তাঁরা, যাঁরা ব্যাংকিং, ই-ওয়ালেট, পণ্য পৌঁছে দেওয়ার সেবা এবং সরকারি সেবায় একই ফোন নম্বর ব্যবহার করেন। কিছু সেবায় পরিচয় যাচাইয়ের কথোপকথন সহজ করতে ফোন নম্বর ও জন্মতারিখ সহায়ক তথ্য হিসেবে ব্যবহার করা যেতে পারে। তৃতীয় ঝুঁকিপূর্ণ গোষ্ঠীতে আছেন সেই কর্মীরা, যাঁরা প্রাতিষ্ঠানিক ইমেইল ঠিকানা দিয়ে ব্যক্তিগত MyPertamina অ্যাকাউন্ট খুলেছেন। এ ধরনের সংযোগ পাওয়া মানেই প্রতিষ্ঠানের সিস্টেমে সরাসরি প্রবেশাধিকার পাওয়া নয়; তবে নির্দিষ্ট কর্মীকে লক্ষ্য করে পাঠানো ফিশিং বার্তায় তাঁর প্রকৃত নাম, ফোন নম্বর বা ঠিকানাসংক্রান্ত তথ্য ব্যবহার করা হলে নিরাপত্তাঝুঁকি বাড়ে।

MyPertamina-এর নিবন্ধন নথিতে যেসব ব্যবহারকারীর তথ্য রয়েছে, তাঁদের প্রথমে জ্বালানি, পেমেন্ট, পুরস্কার পয়েন্ট, ভর্তুকি বা অ্যাকাউন্ট যাচাই নিয়ে ইমেইল ও ফোনে আসা বার্তাগুলো সতর্কভাবে পর্যালোচনা করা উচিত। বার্তার লিংক দিয়ে লগইন করার বদলে সেবাটির পরিচিত আনুষ্ঠানিক ওয়েব ঠিকানা বা মোবাইল অ্যাপ ব্যবহার করা উচিত। ফোনে আসা কলে ব্যক্তিগত শনাক্তকরণ নম্বর, জন্মতারিখ, ঠিকানা, একবার ব্যবহারযোগ্য কোড বা পেমেন্টের তথ্য জানানো উচিত নয়। প্রকৃত গ্রাহকসেবা দলের নিরাপত্তা কোড চাওয়া উচিত নয়।

পাসওয়ার্ড ফাঁস হয়েছে কি না নিশ্চিত না হলেও, একই ইমেইল ঠিকানা ব্যবহার করা গুরুত্বপূর্ণ অ্যাকাউন্টগুলোতে শক্তিশালী নিরাপত্তাব্যবস্থা নেওয়া উচিত। ইমেইল অ্যাকাউন্ট, ই-ওয়ালেট, ব্যাংকিং, পণ্য পৌঁছে দেওয়ার সেবা এবং সরকারি সেবায় একাধিক উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত; অ্যাকাউন্ট পুনরুদ্ধারের ফোন নম্বর ও ইমেইল ঠিকানা যাচাই করা উচিত। ব্যবহারকারীর উচিত সন্দেহজনক সেশন বন্ধ করা, অপরিচিত ডিভাইস সরানো এবং সেবাগুলো থেকে পুরোনো ঠিকানা বা ফোনের তথ্য মুছে ফেলা। জন্মতারিখ ও ঠিকানার তথ্য এখন সহজেই অনুমানযোগ্য বলে ধরে নেওয়া উচিত এবং এসব তথ্য পাসওয়ার্ড বা PINs-এ ব্যবহার করা উচিত নয়।

MyPertamina-এর তথ্য ফাঁস দেখায় যে পাসওয়ার্ডের বাইরেও ব্যক্তিগত তথ্যের দীর্ঘমেয়াদি নিরাপত্তাগত প্রভাব রয়েছে। প্রতিটি সেবায় ন্যূনতম তথ্য দেওয়ার অভ্যাস গড়ে তোলা উচিত। ফোন নম্বর, ঠিকানা বা জন্মতারিখের মতো অপ্রয়োজনীয় ঘরগুলো ফাঁকা রাখা উচিত; সম্ভব হলে ইমেইল ঠিকানা আড়াল করার ব্যবস্থা, যোগাযোগের জন্য আলাদা ঠিকানা এবং প্রতিটি সেবার জন্য আলাদা বিজ্ঞপ্তি-সংক্রান্ত পছন্দের সেটিংস ব্যবহার করা উচিত। ব্যক্তিগত তথ্য একবার ছড়িয়ে পড়লে তা পুরোপুরি ফিরিয়ে আনা যায় না; তাই প্রধান প্রতিরক্ষা হলো ভিন্ন ভিন্ন অ্যাকাউন্টে একই তথ্যকে নিরাপত্তা যাচাইয়ের একমাত্র চাবিকাঠি হিসেবে ব্যবহার হতে না দেওয়া।

কেনাকাটার ইতিহাস, ফোন নম্বর ও ঠিকানা শুধু বিপণনের জন্য মূল্যবান নয়; অনুচিত উপায়ে সংগ্রহ করা হলে এগুলো একটি সংবেদনশীল ব্যক্তিগত প্রোফাইল হয়ে ওঠে, যা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার সুযোগ বাড়ায়। ব্যবসাপ্রতিষ্ঠানগুলোর অপ্রয়োজনীয় তথ্য সংগ্রহ করা উচিত নয়। তাদের নিয়মিত পুরোনো রেকর্ড মুছে ফেলা, সামাজিক প্রকৌশলের চেষ্টা মোকাবিলায় গ্রাহক সহায়তা দলকে প্রশিক্ষণ দেওয়া এবং সন্দেহজনকভাবে ডেটায় প্রবেশের ওপর তৎপরতার সঙ্গে নজর রাখা উচিত।

নথিতে পাসওয়ার্ড না থাকায় প্রাথমিক পদক্ষেপ শুধু পাসওয়ার্ড পরিবর্তনের মধ্যে সীমাবদ্ধ রাখা উচিত নয়। ফোন নম্বর, ঠিকানা, জন্মতারিখ ও কেনাকাটার তথ্য কাজে লাগিয়ে আসতে পারে এমন সম্ভাব্য ভুয়া কল, ভুয়া বার্তা এবং ভুয়া প্রচারণার বিষয়ে সতর্কতা বাড়ানো উচিত।

সঠিক ক্রম হলো প্রথমে ইমেইল ও ফোনের নিরাপত্তা জোরদার করা, তারপর ই-ওয়ালেট, ব্যাংকিং, পণ্য পৌঁছে দেওয়ার সেবা এবং সরকারি সেবার অ্যাকাউন্ট পুনরুদ্ধারের সেটিংস পরীক্ষা করা। MyPertamina-তে ব্যবহৃত একই ইমেইল ঠিকানা দিয়ে চালানো অন্য সেবাগুলোতে অপরিচিত লগইন হয়েছে কি না ব্যবহারকারীর তা পর্যালোচনা করা উচিত এবং অপ্রয়োজনীয় অ্যাকাউন্ট থেকে পুরোনো ব্যক্তিগত তথ্য সরিয়ে ফেলা উচিত। যাঁরা প্রাতিষ্ঠানিক ইমেইল ব্যবহার করেন, তাঁদের এই ফলাফল নিরাপত্তা দলকে জানানো উচিত; প্রতিষ্ঠানের পক্ষ থেকে ডোমেইন পর্যবেক্ষণ, ঝুঁকিপূর্ণ লগইনের সতর্কবার্তা এবং কর্মীদের সচেতনতা যাচাইয়ের ব্যবস্থা চালু করা উচিত।