NapsGear-এর 2015 সালের তথ্য ফাঁস
NapsGear-এর তথ্য ফাঁসের ঘটনায় napsgear.org ডোমেইনের সঙ্গে যুক্ত অনলাইন খুচরা বিক্রয় সেবার গ্রাহকদের সংবেদনশীল তথ্য ক্ষতিগ্রস্ত হয়। ঘটনাটি ঘটে 21 অক্টোবর 2015। যাচাইকৃত পরিসরে রয়েছে 2,87,071টি অ্যাকাউন্ট। আক্রান্ত তথ্যের ধরনগুলোর মধ্যে রয়েছে জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গসংক্রান্ত তথ্য, নাম, পাসওয়ার্ড, ফোন নম্বর, ভৌত ঠিকানা এবং কেনাকাটার তথ্য। পাসওয়ার্ডের ক্ষেত্রটি সল্টযুক্ত MD5 হ্যাশ হিসেবে রিপোর্ট করা হয়েছিল। তাই পাসওয়ার্ডগুলো প্লেইনটেক্সটে ছিল বলে প্রতিষ্ঠা না করে, একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহারের ঝুঁকিটি স্পষ্টভাবে তুলে ধরা উচিত।
উন্মুক্ত হওয়া তথ্যের ধরন
8- জন্মতারিখ
- ইমেইল ঠিকানা
- লিঙ্গ
- নাম
- পাসওয়ার্ড
- ফোন নম্বর
- বাসা বা প্রতিষ্ঠানের ঠিকানা
- কেনাকাটা
এই তথ্য ফাঁস সম্পর্কে
এই রেকর্ডকে সংবেদনশীল হিসেবে বিবেচনা করা হয়, কারণ একই ঘটনায় কেনাকাটার ইতিহাস, ঠিকানা, ফোন নম্বর এবং ব্যক্তিগত পরিচয়সংক্রান্ত তথ্য একত্র হয়েছে। NapsGear-এর রেকর্ডকে সাধারণ কোনো দোকানের রেকর্ডের মতো দেখা উচিত নয়। পণ্যের ধরন ও কেনাকাটার ইতিহাস কিছু ব্যবহারকারীর ক্ষেত্রে ব্যক্তিগত গোপনীয়তাকে কাজে লাগিয়ে চাপ সৃষ্টি, লক্ষ্যভিত্তিক প্রতারণা বা ব্ল্যাকমেইলের ঝুঁকি বাড়াতে পারে। তাই পৃষ্ঠায় শুধু রেকর্ডের সংখ্যা নয়, ব্যবহারকারীর জন্য প্রাসঙ্গিক অ্যাকাউন্টের নিরাপত্তা ও ব্যক্তিগত গোপনীয়তা রক্ষার কার্যকর পদক্ষেপও ব্যাখ্যা করা উচিত।
ফাঁস হওয়া তথ্যের ধরন ও ঝুঁকি
এই তথ্য ফাঁসের ঘটনায় জন্মতারিখ, লিঙ্গ, কেনাকাটার তথ্য ও পাসওয়ার্ড হ্যাশের পাশাপাশি ইমেইল ঠিকানা, নাম, ফোন নম্বর এবং ভৌত ঠিকানাও অন্তর্ভুক্ত ছিল। ইমেইল ও পাসওয়ার্ড হ্যাশ অ্যাকাউন্ট দখলের ঝুঁকি তৈরি করে। পাসওয়ার্ড সংরক্ষণের আধুনিক মানদণ্ড অনুযায়ী সল্টযুক্ত MD5-কে দুর্বল পদ্ধতি হিসেবে বিবেচনা করা যায়। দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড সময়ের সঙ্গে হ্যাশ ভেঙে উদ্ধার করা সম্ভব হতে পারে, এবং সেগুলো অন্য সেবায় ব্যবহারের চেষ্টা করা হতে পারে।
ঠিকানা, ফোন নম্বর ও কেনাকাটার ইতিহাস ব্যবহার করে আরও ব্যক্তিনির্দিষ্ট আক্রমণ চালানো সম্ভব। হামলাকারীরা ভুয়া ডেলিভারি বিজ্ঞপ্তি, পেমেন্ট নিশ্চিতকরণ, অর্ডার বাতিল, পণ্য ফেরত বা হুমকিমূলক বার্তা তৈরি করতে গ্রাহকদের প্রকৃত তথ্য ব্যবহার করতে পারে। জন্মতারিখ ও লিঙ্গের মতো অতিরিক্ত তথ্য সামাজিক প্রকৌশলভিত্তিক প্রতারণামূলক বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। তাই কার্যকর প্রতিকার শুধু পাসওয়ার্ড বদলানোর মধ্যে সীমাবদ্ধ নয়; যোগাযোগের নিরাপত্তা ও গোপনীয়তা রক্ষার বিষয়গুলোও একসঙ্গে বিবেচনা করা উচিত।
যাচাইকৃত পরিসর ও সীমা
এই রেকর্ডে ঘটনার তারিখ 21 অক্টোবর 2015, ডেটাসেটে যুক্ত করার তারিখ 10 সেপ্টেম্বর 2018 এবং আক্রান্ত অ্যাকাউন্টের সংখ্যা 2,87,071 হিসেবে নথিভুক্ত রয়েছে। যাচাইকৃত তথ্যক্ষেত্রগুলো হলো জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গ, নাম, পাসওয়ার্ড, ফোন নম্বর, ভৌত ঠিকানা এবং কেনাকাটার তথ্য। ব্যক্তিগত যোগাযোগের তথ্য ও কেনাকাটার প্রসঙ্গ একসঙ্গে থাকায় রেকর্ডটিকে যাচাইকৃত ও সংবেদনশীল হিসেবে চিহ্নিত করা উচিত।
এই ঘটনার যাচাইকৃত তথ্যক্ষেত্রগুলোর মধ্যে ব্যাংক অ্যাকাউন্টের তথ্য, সরকারি পরিচয়পত্রের নম্বর, স্বাস্থ্যসংক্রান্ত রেকর্ড, পেমেন্ট কার্ডের পূর্ণাঙ্গ তথ্য বা ব্যক্তিগত বার্তার বিষয়বস্তু নেই। কেনাকাটার তথ্য আর পেমেন্ট কার্ডের তথ্য এক নয়; কেনাকাটার তথ্য বলতে ব্যবহারকারী কী কিনেছেন বা অর্ডারের প্রেক্ষাপটসংক্রান্ত তথ্য বোঝায়। পাসওয়ার্ডের ক্ষেত্রটিকেও প্লেইনটেক্সট পাসওয়ার্ড হিসেবে বর্ণনা করা উচিত নয়। এই সীমাগুলো বজায় রাখলে ব্যবহারকারী প্রকৃত ঝুঁকি বুঝতে পারেন এবং প্রমাণহীন দাবির কারণে অযথা আতঙ্কিত হন না।
ঝুঁকিতে থাকা ব্যবহারকারী গোষ্ঠী
সবচেয়ে বেশি ঝুঁকিতে আছেন সেই ব্যবহারকারীরা, যাঁরা NapsGear অ্যাকাউন্টের পাসওয়ার্ডটি ইমেইল, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা, ফোরাম বা আর্থিক অ্যাকাউন্টেও ব্যবহার করেন। পাসওয়ার্ড হ্যাশ ভেঙে পাসওয়ার্ড উদ্ধার করা হলে একই পাসওয়ার্ড অন্য সেবাতেও ব্যবহারের চেষ্টা করা হতে পারে। একই ইমেইল ঠিকানা দিয়ে অনেক অ্যাকাউন্ট খোলা থাকলে হামলাকারীরা স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা এবং ভুয়া নিরাপত্তা বিজ্ঞপ্তি পাঠানোর জন্য এই তথ্য ব্যবহার করতে পারে।
যেসব ব্যবহারকারীর ঠিকানা, ফোন নম্বর ও কেনাকাটার ইতিহাস দেখা যাচ্ছে, তাঁদের গোপনীয়তার ঝুঁকিও রয়েছে। NapsGear-এর পণ্যের ধরনের কারণে কিছু মানুষের কেনাকাটার তথ্য তাঁদের পরিবার, কর্মপরিবেশ বা স্থানীয় সমাজের সঙ্গে যুক্ত হয়ে গেলে তাঁরা ক্ষতিগ্রস্ত হতে পারেন। ডেলিভারির ঠিকানা ও ফোন নম্বর থেকে ব্যবহারকারীর অবস্থান শনাক্ত করা বা সরাসরি ফোন করে চাপ সৃষ্টি করা সম্ভব হতে পারে। যেসব গ্রাহক প্রতিষ্ঠানের ইমেইল ব্যবহার করেন, এই তথ্যের সঙ্গে তাঁদের পেশাগত পরিচয়ও মিলে যেতে পারে।
জরুরি করণীয়
যে ব্যবহারকারীর তথ্যের সঙ্গে মিল পাওয়া গেছে, তাঁকে প্রথমেই নিশ্চিত করতে হবে যে NapsGear অ্যাকাউন্টে ব্যবহৃত পুরোনো পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে আর কার্যকর নেই। অন্য কোথাও একই বা কাছাকাছি ধরনের পাসওয়ার্ড থাকলে ক্ষতিকর সফটওয়্যারমুক্ত ডিভাইস থেকে সেটি বদলে একটি স্বতন্ত্র পাসওয়ার্ড দিতে হবে। প্রথমে ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক অ্যাকাউন্ট এবং কেনাকাটার অ্যাকাউন্টগুলো পরীক্ষা করা উচিত। যেখানে সম্ভব, একাধিক উপাদানভিত্তিক পরিচয় যাচাইয়ের সুরক্ষা চালু করা উচিত।
অর্ডার, ডেলিভারি, পেমেন্ট, পণ্য ফেরত, শুল্ক, নিরাপত্তা বা হুমকিসংক্রান্ত ফোন বা ইমেইল বার্তার ক্ষেত্রে সতর্ক থাকতে হবে। বার্তার লিংকে ক্লিক না করে পরিচিত ডোমেইনটি নিজে লিখে প্রবেশ করতে হবে। অর্থ প্রদান বা যাচাইকরণ কোড চাওয়া হলে আলাদা, স্বাধীন মাধ্যমে তা যাচাই করতে হবে। ভৌত ঠিকানা ফাঁস হয়ে থাকতে পারে, এ কথা বিবেচনায় রেখে অপ্রত্যাশিত পণ্য পাঠানোর বিজ্ঞপ্তি এবং ব্যক্তির ওপর চাপ সৃষ্টির চেষ্টাকে গুরুত্বের সঙ্গে নিতে হবে।
দীর্ঘমেয়াদি নিরাপত্তা কৌশল
NapsGear-এর ঘটনা দেখায় যে কেনাকাটার অ্যাকাউন্টে সংরক্ষিত তথ্য শুধু পেমেন্টের নিরাপত্তার জন্য নয়, গোপনীয়তা ও ব্যক্তিগত নিরাপত্তার জন্যও গুরুত্বপূর্ণ। সংবেদনশীল ধরনের পণ্য কেনার ক্ষেত্রে ব্যবহারকারীদের আলাদা ইমেইল ব্যবহারকে অগ্রাধিকার দেওয়া, অপ্রয়োজনে বারবার ফোন নম্বর ও ঠিকানা দেওয়া কমানো, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং নিয়মিত কেনাকাটার বিজ্ঞপ্তি পর্যালোচনা করা উচিত। পাসওয়ার্ড ম্যানেজার ব্যবহার করে প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড রাখা একটি মৌলিক সুরক্ষাব্যবস্থা।
খুচরা বিক্রয় সেবাগুলোর জন্য মূল শিক্ষা হলো যতটা প্রয়োজন, ততটুকু তথ্যই রাখা। অর্ডার সম্পন্ন হওয়ার পরও দীর্ঘদিন অপ্রয়োজনীয় ব্যক্তিগত তথ্য সংরক্ষণ করলে ব্যবহারকারীর ওপর ঘটনার প্রভাব বাড়ে। পাসওয়ার্ড হ্যাশ শক্তিশালী ও হালনাগাদ পদ্ধতিতে সুরক্ষিত রাখা উচিত, প্রয়োজন ফুরিয়ে গেলে পুরোনো অর্ডার ও ডেলিভারির সংরক্ষিত তথ্য কমানো উচিত এবং গ্রাহকদের জানানোর পরিকল্পনা প্রস্তুত রাখা উচিত। সংবেদনশীল ধরনের পণ্যের ক্ষেত্রে নিরাপদ রেকর্ড সংরক্ষণ নীতি সরাসরি ব্যবহারকারীর নিরাপত্তার সঙ্গে সম্পর্কিত।
রেকর্ড যাচাই ও ব্যবহারকারীর করণীয়
LeakData-তে কোনো ইমেইল ঠিকানা দিয়ে NapsGear-এর রেকর্ড খুঁজে মিল পাওয়া গেলে বোঝা যায়, সংশ্লিষ্ট ঠিকানাটি 2,87,071টি অ্যাকাউন্টের ডেটাসেটে রয়েছে। মিল পাওয়া ইমেইল, নাম, ফোন নম্বর, ভৌত ঠিকানা, জন্মতারিখ, লিঙ্গ, কেনাকাটার তথ্য এবং পাসওয়ার্ড হ্যাশসংক্রান্ত ঝুঁকির ইঙ্গিত দেয়। মিল না পাওয়ার অর্থ শুধু এই নির্দিষ্ট ডেটাসেটে কোনো মিল পাওয়া যায়নি; এতে অন্য খুচরা বিক্রয় সেবা বা ফোরামে তথ্য ফাঁসের সম্ভাবনা নাকচ হয় না।
সঠিক করণীয় হলো পুরোনো পাসওয়ার্ড ব্যবহার বন্ধ করা, একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ড বদলানো, ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা, ফোন ও ডেলিভারিসংক্রান্ত ভুয়া বার্তার ব্যাপারে সতর্ক থাকা, ঠিকানার তথ্যের অপব্যবহার হচ্ছে কি না নজর রাখা এবং ব্যক্তিগত গোপনীয়তাকে কাজে লাগিয়ে চাপ সৃষ্টিকারী বার্তায় সাড়া না দেওয়া। এই রেকর্ডকে খুচরা বিক্রয়সংশ্লিষ্ট একটি যাচাইকৃত ও সংবেদনশীল তথ্য ফাঁসের ঘটনা হিসেবে বিবেচনা করা উচিত। এতে ব্যবহারকারীকে অ্যাকাউন্টের নিরাপত্তা ও ব্যক্তিগত নিরাপত্তা, উভয় বিষয়ে স্পষ্ট করণীয় জানানো উচিত।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
