Otelier: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ক্রেডিট কার্ডের আংশিক তথ্য, ফোন নম্বর, বাসা বা অন্যান্য স্থানের ঠিকানা, কেনাকাটার রেকর্ড ও ভ্রমণ পরিকল্পনা। পাসওয়ার্ড ফিল্ডটি যাচাই করা হয়নি; এখানে ঝুঁকি মূলত বুকিং ও ভ্রমণ-সংক্রান্ত। যাচাই করা হয়নি এমন পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যক্তিগত বার্তা, স্বাস্থ্য রেকর্ড বা অতিরিক্ত প্রোফাইল ফিল্ড তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি; শুধু প্রমাণসমর্থিত ফিল্ডগুলো রাখা হয়েছে।

ভ্রমণের তারিখ ও হোটেলের তথ্য থাকলে ভুয়া রিজার্ভেশন, চেক-ইন, পেমেন্ট আপডেট বা লয়্যালটি প্রোগ্রামের বার্তা বিশ্বাসযোগ্য মনে হতে পারে। শুধু ইমেইল ঠিকানা থাকলেও অবাঞ্ছিত বার্তা পাওয়ার ঝুঁকি থাকে; এর সঙ্গে ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ, পাসওয়ার্ড, ভ্রমণ পরিকল্পনা, কার্ডের আংশিক তথ্য বা ডিভাইসের তথ্য যুক্ত হলে আক্রমণকারীর পক্ষে ব্যবহারকারীর ব্যক্তিগত পরিস্থিতির সঙ্গে মিলিয়ে বার্তা তৈরি করা সহজ হয়। এই সম্মিলিত প্রভাবের ভিত্তিতে ঝুঁকি মূল্যায়ন করা হয়েছে।

2024 সালের জুলাইয়ের জন্য নিশ্চিত করা পরিধি হলো গ্রাহকদের আনুমানিক 4,36,855টি ইমেইল ঠিকানা। যাচাইকৃত ফিল্ডগুলো রাখা হয়েছে, আর নিশ্চিত করা যায়নি এমন ফিল্ডগুলো বাদ দেওয়া হয়েছে। কাছাকাছি নামের ডেটাসেট, একই কোম্পানির ভিন্ন সময়ের ঘটনা বা ভুল খাত-সংক্রান্ত তথ্য এই ঘটনার সঙ্গে মেশানো হয়নি।

অন্য প্ল্যাটফর্ম থেকে তৈরি কোনো অতিরিক্ত ইমেইল ঠিকানা এই রেকর্ডে অন্তর্ভুক্ত করা হয়নি; রেকর্ডটি শুধু Otelier-এর যাচাইকৃত গ্রাহক তথ্যের মধ্যে সীমাবদ্ধ রাখা হয়েছে। ডোমেইনের নাম, কোম্পানির নাম ও খাত-সংক্রান্ত তথ্য যতটা সম্ভব সুনির্দিষ্ট ও নির্ভুল পরিসরে রাখা হয়েছে। যেখানে অনিশ্চয়তা ছিল, সেখানে যাচাইকৃত অবস্থার ফ্ল্যাগ বা ওয়েবসাইট ফিল্ড সে অনুযায়ী নির্ধারণ করা হয়েছে; ফলে ব্র্যান্ডের দায়দায়িত্ব সম্পর্কে অনির্দিষ্ট তথ্য ব্যবহারকারীকে দেখানো হয়নি।

ঝুঁকিতে থাকা ব্যবহারকারীদের মধ্যে হোটেল রিজার্ভেশন করেছেন এমন গ্রাহক, ব্যবসায়িক কাজে ভ্রমণকারী এবং Otelier-এর অবকাঠামো ব্যবহারকারী হোটেল ব্র্যান্ডগুলোর গ্রাহকেরা থাকতে পারেন। যাঁদের তথ্যের সঙ্গে মিল পাওয়া যায়, তাঁদের সংশ্লিষ্ট সেবার বাইরেও একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা একই ধরনের পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলো মূল্যায়ন করা উচিত।

ব্যক্তিগত নিরাপত্তা ও প্রতারণার ঝুঁকির দিক থেকে ভ্রমণ পরিকল্পনার তথ্য সাধারণ যোগাযোগের তথ্যের চেয়ে বেশি সংবেদনশীল। এর সঙ্গে করপোরেট ইমেইল, শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্ট, হোটেল রিজার্ভেশন, টেলিকম সাবস্ক্রিপশন, গেমিং কমিউনিটি, ওপেন সোর্স প্রকল্পে অনুদান বা নজরদারি সফটওয়্যারের প্রেক্ষাপট যুক্ত থাকলে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি বাড়তে পারে। কোনো বিবরণ সঠিক মনে হওয়াই সেটিকে বিশ্বাস করার যথেষ্ট কারণ নয়।

ক্ষতিগ্রস্ত ব্যবহারকারীদের হোটেল রিজার্ভেশন, চেক-ইন, পেমেন্ট আপডেট ও লয়্যালটি প্রোগ্রামের বার্তা সরাসরি হোটেল বা বুকিংয়ের মাধ্যম থেকে যাচাই করা উচিত। যেসব রেকর্ডে পাসওয়ার্ড ফিল্ড রয়েছে, সেসব ক্ষেত্রে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত; আর যেসব রেকর্ডে পাসওয়ার্ড ফিল্ড নেই, সেসব ক্ষেত্রে ইমেইল, ফোন, ফিশিং, গোপনীয়তা ও বিভিন্ন তথ্য মিলিয়ে পরিচয় শনাক্ত করার ঝুঁকির দিকে মনোযোগ দেওয়া উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা উচিত, অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত রেকর্ড ব্যবহার করা উচিত। পণ্য পাঠানো, অ্যাকাউন্টের সতর্কবার্তা, গেমের পুরস্কার, সহায়তা, দাতাদের বিজ্ঞপ্তি, ভ্রমণ রিজার্ভেশন, নিরাপত্তার বিজ্ঞপ্তি বা সাবস্ক্রিপশন নবায়ন-সংক্রান্ত বার্তা পৃথক কোনো মাধ্যম থেকে যাচাই না করে বিশ্বাস করা উচিত নয়।

ভ্রমণ-সংক্রান্ত অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা উচিত এবং পেমেন্টের বিজ্ঞপ্তি ও অপ্রয়োজনীয় সংরক্ষিত ঠিকানা সরিয়ে ফেলা উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট, অপ্রয়োজনীয় প্রোফাইল ফিল্ড, পুনরাবৃত্ত ব্যবহারকারীর নাম এবং পুরোনো ফোন নম্বর ও ঠিকানার তথ্য মুছে ফেলা উচিত। প্রতিটি সেবায় স্বতন্ত্র পাসওয়ার্ড ব্যবহার এবং যেখানে সম্ভব দুই ধাপে যাচাইকরণ চালু রাখা মৌলিক নিয়ম হওয়া উচিত।

সেবাদাতাদের ক্ষেত্রে তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, প্রবেশের লগ পর্যবেক্ষণ, অপ্রয়োজনীয় ফিল্ড মুছে ফেলা এবং ব্যবহারকারীকে জানানোর প্রক্রিয়া প্রস্তুত রাখা প্রয়োজন। হোটেল সফটওয়্যারে ভ্রমণ পরিকল্পনা ও কার্ডের আংশিক তথ্যের জন্য কঠোর সংরক্ষণ মেয়াদ ও প্রবেশাধিকার নিয়ন্ত্রণ দরকার। ঘটনার পরিধি সঠিকভাবে বর্ণনা করাও নিরাপত্তার কাজের অংশ; অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে বিভ্রান্ত করে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

ব্যবহারকারীর প্রথমে নিজের ইমেইল ঠিকানা দিয়ে এই রেকর্ডে মিল আছে কি না যাচাই করা উচিত। মিল পাওয়া গেলে ধরে নেওয়া উচিত যে ভ্রমণ পরিকল্পনা, ঠিকানা, ফোন নম্বর ও কার্ডের আংশিক তথ্য ঝুঁকিতে থাকতে পারে; রিজার্ভেশন-সংক্রান্ত বার্তাগুলো সতর্কভাবে পর্যালোচনা করা উচিত। মিল না পাওয়া গেলেও ভিন্ন ইমেইল ব্যবহার করা হয়ে থাকতে পারে বা পুরোনো পাসওয়ার্ড পুনরায় ব্যবহার করা হয়ে থাকতে পারে, এই সম্ভাবনাগুলো পুরোপুরি বাদ যায় না; গুরুত্বপূর্ণ অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত।

এই রেকর্ড যাচাই করা হয়েছে এবং সংবেদনশীল হিসেবে হালনাগাদ করা হয়েছে। এই সম্পাদনায় তথ্যের ফিল্ডগুলো ইংরেজি মান্য শ্রেণি হিসেবে রাখা হয়েছে, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছে, অযাচাইকৃত ফিল্ড যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতার ফ্ল্যাগ ব্যবহার করা হয়েছে।