ParkMobile: তথ্য ফাঁস

যাচাইয়ে নিশ্চিত হওয়া তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, যানবাহনের নম্বরপ্লেট, bcrypt পাসওয়ার্ড হ্যাশ, ঠিকানা ও যানবাহনের বিবরণ। কেবল ব্যবহারকারীদের একটি ছোট অংশের ঠিকানা ছিল। আর যানবাহনের বিবরণে ডাকনামও ছিল, যদি ব্যবহারকারী তা দিয়ে থাকেন। পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য অবস্থায় ছিল না; ফাঁস হওয়া মানগুলো ছিল সল্ট যোগ করা bcrypt হ্যাশ। Bcrypt অফলাইনে অনুমান করে পাসওয়ার্ড বের করার প্রক্রিয়া ধীর করে, তবে দুর্বল বা ছোট পাসওয়ার্ডকে ঝুঁকিমুক্ত করে না। ইমেইল, ফোন, নম্বরপ্লেট ও যানবাহনের তথ্য একসঙ্গে ব্যবহার করলে পার্কিং জরিমানা, অর্থ পরিশোধ, যানবাহন নিবন্ধন বা সহায়তা সংক্রান্ত ভুয়া বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। আনুষ্ঠানিক তদন্তে বলা হয়, ক্রেডিট কার্ডের তথ্য ও পার্কিং লেনদেনের ইতিহাস অ্যাক্সেস করা হয়নি। আরও বলা হয়, সেবাটি সোশ্যাল সিকিউরিটি নম্বর, ড্রাইভিং লাইসেন্স নম্বর বা জন্মতারিখ সংগ্রহ করত না।

ParkMobile জানায়, 2021 সালের মার্চে তারা তৃতীয় পক্ষের সফটওয়্যারের একটি দুর্বলতার সঙ্গে যুক্ত সাইবার নিরাপত্তার ঘটনা সম্পর্কে জানতে পারে এবং দ্রুত সেই দুর্বলতা দূর করে। প্রতিষ্ঠানটি 26 মার্চ প্রথম বিজ্ঞপ্তি প্রকাশ করে, বাইরের নিরাপত্তা বিশেষজ্ঞদের কাজে যুক্ত করে এবং আইনশৃঙ্খলা রক্ষাকারী কর্তৃপক্ষকে জানায়। পরবর্তী তদন্তে ব্যবহারকারীদের মৌলিক তথ্য ও পাসওয়ার্ড হ্যাশ অ্যাক্সেস করার বিষয়টি নিশ্চিত হয়। পরে প্রায় 2 কোটি 10 লাখ গ্রাহকের তথ্য একটি অপরাধী ফোরামে দেওয়ার প্রস্তাব করা হয় এবং এরপর তা ব্যাপকভাবে পুনর্বিতরণ করা হয়; যাচাই করা ডেটাসেটে 2,09,49,825টি স্বতন্ত্র অ্যাকাউন্টের রেকর্ড রয়েছে। পাসওয়ার্ডের ফিল্ডগুলোতে ছিল bcrypt হ্যাশ। প্রতিষ্ঠানটি জানায়, হ্যাশিং ও সল্টিং প্রযুক্তি দিয়ে সেগুলো সুরক্ষিত রাখা হয়েছিল। স্বতন্ত্র পরীক্ষায় কিছু রেকর্ডে ডাকযোগে যোগাযোগের ঠিকানা এবং একাধিক যানবাহনের নম্বরপ্লেট দেখা যায়।

যাঁরা 2021 সালের মার্চের আগে ParkMobile অথবা কোনো শহর বা পরিচালনাকারী সংস্থার ব্র্যান্ডে চালু হোয়াইট-লেবেল অ্যাপ্লিকেশনের মাধ্যমে অ্যাকাউন্ট খুলেছিলেন, তাঁরা সরাসরি ক্ষতিগ্রস্ত। যাঁরা একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করেছেন, ছোট বা সহজে অনুমানযোগ্য পাসওয়ার্ড বেছে নিয়েছেন, অথবা ইমেইলে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করেননি, তাঁদের অ্যাকাউন্ট দখল হওয়ার ঝুঁকি বেশি। নম্বরপ্লেট ও যানবাহনের ডাকনাম ব্যবহার করে পার্কিং জরিমানা, সময়সীমা বাড়ানো বা টাকা ফেরত দেওয়ার ভুয়া বার্তায় বিশ্বাসযোগ্য প্রেক্ষাপট তৈরি করা যায়। যেসব ব্যবহারকারীর ফোন নম্বর ছিল, তাঁরা টেক্সট মেসেজ বা ফোনকলের মাধ্যমে ফিশিং বার্তা পেতে পারেন। আর ডাকযোগে যোগাযোগের ঠিকানা থাকা অপেক্ষাকৃত ছোট গোষ্ঠীর ব্যবহারকারীরা ভুয়া বিল বা ডাকযোগে চিঠিপত্র পেতে পারেন। শুধু একটি নম্বরপ্লেট থেকে যানবাহনের তাৎক্ষণিক অবস্থান জানা যায় না, আর অ্যাক্সেস করা তথ্যের মধ্যে পার্কিং লেনদেনের ইতিহাস ছিল না। নাম বা ঠিকানা না থাকলেও, যাচাইয়ে নিশ্চিত হওয়া অন্য তথ্যগুলো ফাঁস হয়ে থাকতে পারে।

আপনি যদি 2021 সালের ParkMobile পাসওয়ার্ড অন্য কোথাও ব্যবহার করে থাকেন, তাহলে সেই অ্যাকাউন্টগুলোর পাসওয়ার্ড এখনই বদলান। প্রতিটি সেবার জন্য দীর্ঘ ও আলাদা পাসওয়ার্ড তৈরি করুন, বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে তা সংরক্ষণ করুন এবং মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন, বিশেষ করে ইমেইলে। ParkMobile অ্যাকাউন্টটি এখনও সক্রিয় থাকলে, বর্তমান লগইন পদ্ধতি ও অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করতে অফিসিয়াল অ্যাপ্লিকেশন বা ডোমেইন ব্যবহার করুন; কোনো বার্তার লিংক দিয়ে লগইন করবেন না। অপ্রত্যাশিত পার্কিং জরিমানা, সময়সীমা বাড়ানোর অনুরোধ, যানবাহন যাচাইয়ের অনুরোধ, নম্বরপ্লেটের তথ্য হালনাগাদ বা টাকা ফেরতের বিজ্ঞপ্তি অ্যাপ্লিকেশনের ভেতরে যাচাই করুন। এই ঘটনায় কার্ডের তথ্য অ্যাক্সেস করা না হলেও, অপরাধীরা ঘটনাটি কাজে লাগিয়ে ব্যবহারকারীদের ভুয়া পেমেন্ট পৃষ্ঠায় নিয়ে যেতে পারে; স্বাধীনভাবে যাচাই না করে নিরাপত্তা কোড বা পাসওয়ার্ড দেবেন না। সন্দেহজনক প্রবেশ নজরে এলে সক্রিয় সেশনগুলো বন্ধ করুন এবং একই ধরন অনুসরণ করে তৈরি পাসওয়ার্ডগুলো বদলান।

প্রতিটি অনলাইন সেবায় আলাদা পাসওয়ার্ড ব্যবহার করলে একটি bcrypt হ্যাশ থেকে পাসওয়ার্ড উদ্ধার করেও অন্য অ্যাকাউন্টে প্রবেশ করা যায় না। পাসওয়ার্ড ম্যানেজার দীর্ঘ ও এলোমেলো পাসওয়ার্ড ব্যবহার করা সহজ করে, আর মাল্টি-ফ্যাক্টর অথেনটিকেশন নিশ্চিত করে যে শুধু ফাঁস হওয়া পাসওয়ার্ড দিয়ে অ্যাকাউন্টে প্রবেশ করা যাবে না। ইমেইল পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ রাখুন, নতুন সেশনের সতর্কবার্তা চালু করুন এবং ইমেইল ফরোয়ার্ডিংয়ের অপরিচিত নিয়মগুলো পর্যালোচনা করুন। যাতায়াত-সংক্রান্ত সেবার অ্যাকাউন্ট থেকে অব্যবহৃত যানবাহন, পুরোনো নম্বরপ্লেট ও সেকেলে যোগাযোগের তথ্য সরিয়ে ফেলুন এবং আর প্রয়োজন নেই এমন অ্যাকাউন্ট বন্ধ করুন। পার্কিং ও পরিবহন সেবাগুলোর উচিত তৃতীয় পক্ষের উপাদানের তালিকা রাখা, প্যাচের অবস্থা অনুসরণ করা এবং প্রবেশাধিকার সীমিত রাখা। একই সঙ্গে বিপুল পরিমাণ তথ্য এক্সপোর্ট ও অস্বাভাবিক কোয়েরি পর্যবেক্ষণ করা উচিত। পাসওয়ার্ড ব্যবস্থায় প্রত্যেক ব্যবহারকারীর জন্য আলাদা সল্ট, উপযুক্ত কস্ট প্যারামিটার এবং হার্ডওয়্যারের উন্নতির সঙ্গে সঙ্গে নতুন করে হ্যাশ করার নীতি থাকা উচিত।

LeakData দিয়ে আপনার ইমেইল ঠিকানা যাচাই করুন, সেটি ParkMobile-এর রেকর্ড বা অন্য কোনো পরিচিত তথ্য ফাঁসের ঘটনার সঙ্গে মেলে কি না দেখতে। মিল পাওয়ার অর্থ এই নয় যে আপনার ক্রেডিট কার্ডের তথ্য বা পার্কিং ইতিহাস ফাঁস হয়েছে; এর অর্থ, ঠিকানাটি যাচাই করা অ্যাকাউন্ট ডেটাসেটে ছিল। তালিকাভুক্ত সাত ধরনের তথ্যের ভিত্তিতে করণীয় ঠিক করুন এবং আনুষ্ঠানিক তদন্তে বাদ দেওয়া তথ্যগুলোও ফাঁস হয়েছে বলে ধরে নেবেন না। মিল পাওয়া গেলে, 2021 সালে ব্যবহৃত পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হয়েছিল কি না দেখুন এবং আগে ইমেইল ও অর্থ পরিশোধের সঙ্গে যুক্ত অ্যাকাউন্টগুলো সুরক্ষিত করুন। সাম্প্রতিক পার্কিং, নম্বরপ্লেট, টাকা ফেরত ও জরিমানা সংক্রান্ত বার্তাগুলো পর্যালোচনা করুন এবং বার্তার ভেতরের লিংকে না গিয়ে অফিসিয়াল অ্যাপ্লিকেশন খুলুন। আলাদা পাসওয়ার্ড, মাল্টি-ফ্যাক্টর অথেনটিকেশন এবং সন্দেহজনক পেমেন্ট লিংক স্বাধীনভাবে যাচাই করার অভ্যাস নিয়মিত সুরক্ষাব্যবস্থা হিসেবে বজায় রাখুন।