NetProspex স্প্যাম তথ্যের তালিকা

NetProspex-এর তথ্য ফাঁসে যেসব তথ্যক্ষেত্র যাচাই করা হয়েছে, সেগুলো হলো ইমেইল ঠিকানা, নিয়োগদাতার তথ্য, পদবি, নাম, ফোন নম্বর ও বাসা বা অফিসের ঠিকানা। এসব তথ্যক্ষেত্রে কোনো পাসওয়ার্ড না থাকলেও করপোরেট পরিচয়ের ক্ষেত্রে এগুলোর গুরুত্ব অনেক। কোনো ব্যক্তির নাম, প্রতিষ্ঠান, পদ ও যোগাযোগের তথ্য একসঙ্গে পাওয়া গেলে আক্রমণকারীরা বিশ্বাসযোগ্য মনে হয় এমন বিক্রয়বার্তা, নির্বাহীর ছদ্মপরিচয়ে পাঠানো অনুরোধ, ভুয়া সভার আমন্ত্রণ বা সরবরাহকারীর নামে চিঠিপত্র তৈরি করতে পারে।

তথ্যসমষ্টিটি যে একটি বিপণন তালিকা, তা বিশেষভাবে গুরুত্বপূর্ণ। এ ধরনের তালিকা ব্যাপক পরিসরে ইমেইল প্রচারের কাজে ব্যবহৃত হলেও, অপব্যবহার করা হলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং ও পদভিত্তিক আক্রমণের কাজেও ব্যবহার করা যেতে পারে। পদবি থাকা রেকর্ডগুলো অর্থ, মানবসম্পদ, তথ্যপ্রযুক্তি, ক্রয় ও ব্যবস্থাপনার মতো বিভাগে এমন ব্যক্তিদের শনাক্ত করা সহজ করে, যাঁদের লক্ষ্য করে আক্রমণ চালালে বড় প্রভাব পড়তে পারে। যাঁদের ফোন নম্বর ও ঠিকানার তথ্য রয়েছে, তাঁদের ক্ষেত্রে ফোনকলের মাধ্যমে সামাজিক প্রকৌশলভিত্তিক প্রতারণা এবং ডাকযোগে প্রতারণার ঝুঁকিও বেড়ে যায়।

তথ্য ফাঁসের ঘটনাটির তারিখ 2016 সালের সেপ্টেম্বর হিসেবে নথিভুক্ত আছে। যাচাইকৃত অ্যাকাউন্ট-তথ্যসমষ্টিতে 3,36,98,126 জন স্বতন্ত্র ব্যক্তির রেকর্ড রয়েছে। ঘটনাটি মূলত যুক্তরাষ্ট্রের করপোরেট খাতের সঙ্গে যুক্ত ব্যক্তিদের তথ্য অনলাইনে ফাঁস হওয়ার সঙ্গে সম্পর্কিত। একটি বাণিজ্যিক তথ্য সরবরাহকারীর কাছ থেকে পাওয়া বিপণনসংক্রান্ত তথ্য তৃতীয় পক্ষের কোনো গ্রাহকের ব্যবস্থাপনা-পরিবেশ থেকে হারিয়ে গিয়ে থাকতে পারে বলে ইঙ্গিত পাওয়া গেছে। এই পার্থক্যটি গুরুত্বপূর্ণ, কারণ ঘটনাটিকে সাধারণ সদস্যভিত্তিক ডেটাবেস ফাঁস হিসেবে নয়, বরং ব্যবসায়িক ডিরেক্টরির তথ্য নিয়ন্ত্রণের বাইরে চলে যাওয়ার ঘটনা হিসেবে মূল্যায়ন করা উচিত।

এই পৃষ্ঠায় তথ্যের শ্রেণিগুলো যাচাইযোগ্য প্রধান তথ্যক্ষেত্রের মধ্যে সীমিত: ইমেইল ঠিকানা, নিয়োগদাতা, পদবি, নাম, ফোন নম্বর ও বাসা বা অফিসের ঠিকানা। NetProspex-এর ফলাফলে পাসওয়ার্ড, পেমেন্ট কার্ড বা ID নম্বরের মতো তথ্যক্ষেত্রকে প্রধান তথ্যের শ্রেণি হিসেবে দেখানো হয়নি। এতে ব্যবহারকারী অ্যাকাউন্টের নিরাপত্তা ভেঙে গেছে, এমন ভুল ধারণায় না গিয়ে পেশাগত পরিচয় ও যোগাযোগের তথ্য থেকে তৈরি হওয়া প্রকৃত ঝুঁকিগুলোর দিকে মনোযোগ দিতে পারেন।

NetProspex-এর ফলাফল অনুযায়ী, প্রতিষ্ঠানের কর্মী, ব্যবস্থাপক, সরকারি প্রতিষ্ঠানের কর্মী, বিক্রয়দল, অর্থ বিভাগ, মানবসম্পদ দল এবং ক্রয়সংক্রান্ত দায়িত্বে থাকা ব্যক্তিদের তুলনামূলক বেশি ঝুঁকিতে দেখা যায়। কর্মক্ষেত্রের ইমেইল, পদবি ও প্রতিষ্ঠানের নাম একসঙ্গে পাওয়া গেলে আক্রমণকারীরা প্রতিষ্ঠানে ওই ব্যক্তির ভূমিকার সঙ্গে মানানসই বার্তা পাঠিয়ে তাঁকে লক্ষ্য করতে পারে। এতে বিশেষ করে বিল অনুমোদন, সরবরাহকারী পরিবর্তন, সভার অনুরোধ বা ফাইল শেয়ার করার অজুহাতে চালানো আক্রমণ আরও জোরালো হয়।

সুপরিচিত প্রতিষ্ঠান বা সরকারি প্রতিষ্ঠানে কর্মরত ব্যক্তিদের ঝুঁকি বেশি। প্রতিষ্ঠানের পদক্রম ও পদবি জানা থাকলে কোন বিষয়ে কে সিদ্ধান্ত নেন, তা বোঝা সহজ হয়। যাঁদের ফোন নম্বর রয়েছে, তাঁদের ভুয়া সহায়তার কল দিয়ে লক্ষ্য করা যেতে পারে; আর যাঁদের বাসা বা অফিসের ঠিকানা রয়েছে, তাঁদের ডাক, পণ্য পৌঁছে দেওয়া বা অফিসে আসার অজুহাতে লক্ষ্য করা যেতে পারে। এমনকি কর্মক্ষেত্রের পুরোনো ইমেইল ঠিকানাও প্রতিষ্ঠানের বাইরে থেকে প্রতারণা, ব্র্যান্ডের ছদ্মপরিচয় ব্যবহার এবং অ্যাকাউন্ট সম্পর্কে প্রাথমিক তথ্য সংগ্রহের চেষ্টায় কাজে লাগতে পারে।

NetProspex-এর ফলাফলে যেসব ব্যবহারকারীর তথ্য দেখা যায়, তাঁদের ফিশিংয়ের ঝুঁকিকে গুরুত্বের সঙ্গে নেওয়া উচিত, বিশেষ করে কর্মক্ষেত্রের ইমেইলের ক্ষেত্রে। সন্দেহজনক সভার আমন্ত্রণ, বিলসংক্রান্ত অনুরোধ, সরবরাহকারীর অ্যাকাউন্ট পরিবর্তনের বিজ্ঞপ্তি, পাসওয়ার্ড নতুন করে সেট করার বার্তা এবং ফাইল শেয়ার করার লিংক সতর্কভাবে পরীক্ষা করা উচিত। বার্তাটি প্রতিষ্ঠানের ভেতর থেকে এসেছে বলে মনে হলেও প্রেরকের ঠিকানা, লিংকের ডোমেইন এবং অনুরোধের প্রেক্ষাপট যাচাই করা উচিত।

প্রতিষ্ঠানের অ্যাকাউন্টগুলোতে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত, ইমেইলের নিরাপত্তা সতর্কতা চালু রাখা উচিত এবং সংবেদনশীল অনুরোধ অন্য একটি যোগাযোগমাধ্যমে যাচাই করা উচিত। ফোনে সহায়তা বা অর্থ পরিশোধের অনুরোধ এলে শুধু করপোরেট ডিরেক্টরির ওপর নির্ভর না করে আলাদাভাবে কলকারীর পরিচয় যাচাই করা উচিত। ব্যক্তিগত পর্যায়ে একই কর্মক্ষেত্রের ইমেইল দিয়ে খোলা তৃতীয় পক্ষের অ্যাকাউন্টগুলো পর্যালোচনা করা উচিত, প্রোফাইলে প্রকাশ্যে থাকা অপ্রয়োজনীয় তথ্য কমানো উচিত এবং অপরিচিত ইমেইল তালিকা থেকে আসা লিংকের ব্যাপারে সতর্ক থাকা উচিত।

NetProspex-এর ঘটনা দেখায় যে বিপণন ও ব্যবসায়িক ডিরেক্টরির তথ্যও গুরুতর নিরাপত্তাঝুঁকি তৈরি করতে পারে। কর্মীদের ইমেইল ঠিকানা, পদবি ও ফোনসংক্রান্ত তথ্য কোথায় প্রকাশ করা হচ্ছে, তা প্রতিষ্ঠানের নিয়মিত পর্যালোচনা করা উচিত। ক্রয়, অর্থ ও নির্বাহী পদে থাকা ব্যক্তিদের জন্য ফিশিংবিষয়ক প্রশিক্ষণ বাস্তব ব্যবসায়িক কর্মপ্রবাহ অনুযায়ী সাজানো উচিত। বিল, ব্যাংক অ্যাকাউন্ট পরিবর্তন ও সংবেদনশীল নথি শেয়ার করার মতো অনুরোধ যাচাইয়ের স্পষ্ট নিয়ম থাকা উচিত।

দীর্ঘমেয়াদে ইমেইল অ্যালিয়াস, পদভিত্তিক মেইলবক্স, আগত বার্তার ফিল্টার এবং ডোমেইন যাচাইয়ের ব্যবস্থা একসঙ্গে ব্যবহার করা উচিত। করপোরেট নিরাপত্তা দলগুলোর পেশাজীবীদের ব্যক্তিগত তথ্য ফাঁসের ঘটনাকে পাসওয়ার্ড ফাঁসের চেয়ে কম অগ্রাধিকার দেওয়া উচিত নয়, কারণ এসব তথ্য লক্ষ্যভিত্তিক আক্রমণ প্রস্তুত করার জন্য যথেষ্ট প্রেক্ষাপট দিতে পারে। ব্যবহারকারীদেরও সামাজিক যোগাযোগমাধ্যম ও সবার জন্য উন্মুক্ত প্রোফাইলে পেশাগত তথ্যের অতিরিক্ত বিবরণ রাখা এড়ানো উচিত।

অ্যাকাউন্টের নিরাপত্তা যাচাইয়ে NetProspex-এর কোনো ফলাফল দেখা গেলে তার অর্থ হলো, সংশ্লিষ্ট ইমেইল ঠিকানাটি 2016 সালের NetProspex তথ্য ফাঁসের সঙ্গে সম্পর্কিত পেশাজীবীদের যাচাইকৃত তথ্যসমষ্টিতে রয়েছে। এই ফলাফল আপনার পাসওয়ার্ডের নিরাপত্তা ভেঙে যাওয়ার ইঙ্গিত দেয় না; তবে এটি নির্দেশ করে যে আপনার নাম, কর্মক্ষেত্রের ইমেইল, প্রতিষ্ঠান, পদ, ফোন নম্বর বা ঠিকানার মতো তথ্য ব্যবহার করে আপনাকে লক্ষ্য করে বার্তা পাঠানো হতে পারে।

প্রথম পদক্ষেপ হলো কর্মক্ষেত্রের ইমেইলের নিরাপত্তা সেটিংস ও একাধিক উপাদানভিত্তিক পরিচয় যাচাই পরীক্ষা করা। এরপর সন্দেহজনক বিল, ফাইল শেয়ার, সভা, সরবরাহকারী বা সহায়তাসংক্রান্ত অনুরোধ অন্য উপায়ে আবার যাচাই করার অভ্যাস গড়ে তোলা উচিত। প্রতিষ্ঠানে নিজস্ব নিরাপত্তা দল থাকলে NetProspex-এর ফলাফল তাদের জানানো উচিত এবং সংশ্লিষ্ট ইমেইল ঠিকানার ফিশিং সতর্কতাগুলো পর্যালোচনা করা উচিত। ব্যক্তিগত পর্যায়ে প্রকাশ্য পেশাগত প্রোফাইলে তথ্যের পরিমাণ কমানো উচিত এবং অপরিচিত বিপণন বার্তার লিংক দিয়ে কোনো পদক্ষেপ নেওয়া উচিত নয়।