CERT Poland-এর মাধ্যমে পাওয়া ফিশিংয়ে সংগৃহীত তথ্য: 2023 সালের তথ্য ফাঁস

এই রেকর্ডে যাচাইকৃত তথ্যের ধরন হলো ইমেইল ঠিকানা ও পাসওয়ার্ড। পূর্ণ নাম, ফোন নম্বর, ঠিকানা, পেমেন্টের তথ্য, পরিচয়পত্র বা প্রোফাইলের অতিরিক্ত তথ্য এই বিবরণে অন্তর্ভুক্ত করা হয়নি, কারণ সেগুলো যাচাই করা হয়নি। পাসওয়ার্ডের তথ্য থাকায় রেকর্ডটি উচ্চ ঝুঁকির। ব্যবহারকারী যদি ইমেইল, ব্যাংকিং, কর্মক্ষেত্র, সামাজিক যোগাযোগমাধ্যম, কেনাকাটা বা ক্লাউড সেবায় একই পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে আক্রমণকারীরা এই তথ্য দিয়ে স্বয়ংক্রিয়ভাবে লগইনের চেষ্টা করতে পারে। ইমেইল অ্যাকাউন্টের সুরক্ষাকেও অগ্রাধিকার দেওয়া উচিত, কারণ সেখানে অন্য অ্যাকাউন্টের পাসওয়ার্ড রিসেট করার লিংক থাকে।

ফিশিংয়ের প্রেক্ষাপট থেকে বোঝা যায়, ব্যবহারকারী হয়তো কোনো ভুয়া ফর্ম বা বিভ্রান্তিকর বার্তার মাধ্যমে পাসওয়ার্ড দিয়েছিলেন। তাই শুধু পাসওয়ার্ড বদলানোই যথেষ্ট নাও হতে পারে; কোন বার্তা বা লিংক থেকে তিনি সেখানে পৌঁছেছিলেন, সেটিও বিবেচনা করা উচিত। একই ধরনের ইমেইল আবার আসতে পারে এবং একই নকশা বা প্রতিষ্ঠানের নাম ব্যবহার করা হতে পারে। অপ্রত্যাশিত ক্রয় নিশ্চিতকরণ, চালান, পণ্য সরবরাহ, নথি শেয়ার বা অ্যাকাউন্ট যাচাইয়ের বার্তায় থাকা লিংকে ক্লিক না করে ব্যবহারকারীদের সংশ্লিষ্ট সেবার আনুষ্ঠানিক ওয়েব ঠিকানায় সরাসরি যাওয়া উচিত।

প্রভাবিত ব্যবহারকারীদের প্রথম পদক্ষেপ হলো, এই ইমেইল ঠিকানা দিয়ে ব্যবহৃত সব গুরুত্বপূর্ণ অ্যাকাউন্টে নতুন ও আলাদা পাসওয়ার্ড নির্ধারণ করা। পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একাধিক অ্যাকাউন্টে একই পাসওয়ার্ডের ব্যবহার শনাক্ত করা এবং প্রতিটি অ্যাকাউন্টের জন্য শক্তিশালী পাসওয়ার্ড তৈরি করা সহজ হয়। যেসব সেবায় সম্ভব, সেগুলোতে দ্বি-উপাদানভিত্তিক প্রমাণীকরণ চালু করা, অপরিচিত সেশন বন্ধ করা এবং অ্যাকাউন্ট পুনরুদ্ধারের তথ্য হালনাগাদ করা উচিত। ইমেইল অ্যাকাউন্টের ফরোয়ার্ডিং নিয়ম, স্বয়ংক্রিয় ফিল্টার এবং তৃতীয় পক্ষের অ্যাপের অনুমতিও পরীক্ষা করা উচিত।

এই রেকর্ডে পাসওয়ার্ড থাকায় ব্যবহারকারীদের নিজেদের ডিভাইসের নিরাপত্তাও পরীক্ষা করা উচিত। ফিশিং পৃষ্ঠাটি হয়তো শুধু পাসওয়ার্ড সংগ্রহ করেছে; তবে কিছু ফিশিং অভিযান ক্ষতিকর ফাইল বা ভুয়া অ্যাপ্লিকেশন ডাউনলোড করার দিকেও নিয়ে যেতে পারে। সন্দেহজনক কোনো সংযুক্ত ফাইল খোলা হয়ে থাকলে নিরাপত্তা স্ক্যান করা, অপারেটিং সিস্টেম ও ব্রাউজার হালনাগাদ করা এবং সন্দেহজনক এক্সটেনশন সরিয়ে ফেলা উচিত। নতুন পাসওয়ার্ড তৈরির আগে ডিভাইস ও ব্রাউজারের পরিবেশ নিরাপদ আছে কি না নিশ্চিত করলে ঝুঁকি কমে।

‘CERT Poland-এর মাধ্যমে পাওয়া ফিশিংয়ে সংগৃহীত তথ্য’ রেকর্ডটি প্রতিষ্ঠানগুলোর জন্য সরাসরি একটি সতর্কবার্তা: কর্মীরা হয়তো ফিশিং ফর্মে তথ্য দিয়েছেন। প্রতিষ্ঠানের ডোমেইনের ইমেইল ঠিকানা প্রভাবিত হয়ে থাকলে পরিচয় প্রদানকারী সেবার লগ, ব্যর্থ লগইন প্রচেষ্টা, নতুন ডিভাইস নিবন্ধন এবং অস্বাভাবিক ভৌগোলিক স্থান থেকে প্রবেশের ঘটনা পরীক্ষা করা উচিত। গুরুত্বপূর্ণ ব্যবহারকারীদের ক্ষেত্রে পাসওয়ার্ড রিসেট, সেশন বন্ধ, বহু-উপাদানভিত্তিক প্রমাণীকরণ এবং ফিশিং সম্পর্কে সচেতনতার প্রশিক্ষণ একসঙ্গে কার্যকর করা উচিত। সন্দেহজনক ফিশিং অভিযানের ডোমেইন নাম ও লিংক ইমেইল নিরাপত্তা ব্যবস্থায় ব্লক করা উচিত।

ইমেইল ও পাসওয়ার্ডের তথ্য থাকায় ‘CERT Poland-এর মাধ্যমে পাওয়া ফিশিংয়ে সংগৃহীত তথ্য’ ফাঁসের ঘটনাটি অ্যাকাউন্টের নিরাপত্তার জন্য সরাসরি ঝুঁকি তৈরি করে। এই রেকর্ড দেখলে ব্যবহারকারীদের একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টে আলাদা পাসওয়ার্ড নির্ধারণ করা, ইমেইল অ্যাকাউন্টের সুরক্ষা জোরদার করা এবং একই ধরনের ফিশিং বার্তা সম্পর্কে আরও সতর্ক হওয়া উচিত। ঘটনাটিকে শুধু অতীতে ব্যবহৃত কোনো পাসওয়ার্ডের রেকর্ড হিসেবে না দেখে ব্যবহারকারীর আচরণ, অ্যাকাউন্টের নিরাপত্তা এবং ফিশিং প্রতিরোধের বিষয়ে একটি সামগ্রিক সতর্কবার্তা হিসেবে বিবেচনা করাই সবচেয়ে যথাযথ পদ্ধতি।

‘CERT Poland-এর মাধ্যমে পাওয়া ফিশিংয়ে সংগৃহীত তথ্য’ রেকর্ডের গুরুত্বপূর্ণ বিষয় হলো, তথ্যগুলো ফিশিংয়ের মাধ্যমে সংগ্রহ করা হয়েছে। কোনো ব্যবহারকারী ভুয়া ফর্মে পাসওয়ার্ড দিয়ে থাকলে একই কৌশলে আবারও আক্রমণের চেষ্টা করা হতে পারে। তাই ব্যবহারকারীদের শুধু বর্তমান পাসওয়ার্ড বদলালেই চলবে না, কোন ধরনের বার্তা বিশ্বাস করা উচিত নয়, সেটিও নতুন করে বিবেচনা করা উচিত। ক্রয় নিশ্চিতকরণ, চালান, পণ্য পাঠানো, নথি শেয়ার এবং নিরাপত্তা যাচাইয়ের বিষয়বস্তু থাকা ইমেইল বিশেষ সতর্কতার সঙ্গে পরীক্ষা করা উচিত। লিংকে ক্লিক করার চেয়ে সরাসরি আনুষ্ঠানিক ওয়েবসাইটে যাওয়া নিরাপদ।

প্রতিষ্ঠানগুলোর এই রেকর্ডকে প্রকৃত প্রমাণীকরণ-সংক্রান্ত ঘটনা হিসেবে বিবেচনা করা উচিত। কর্মীর ঠিকানা ও পাসওয়ার্ডের সঙ্গে মিল পাওয়া গেলে কেন্দ্রীয় সেশনগুলো নবায়ন করা, সন্দেহজনক লগইন প্রচেষ্টা পর্যালোচনা করা এবং একই পাসওয়ার্ডের পুনর্ব্যবহার ঠেকানো উচিত। ব্যবহারকারী অন্য ব্যবস্থাতেও একই পাসওয়ার্ড ব্যবহার করে থাকতে পারেন, এই সম্ভাবনা উপেক্ষা করা উচিত নয়। নিরাপত্তা নিশ্চিত করতে পাসওয়ার্ড বদলানো, বহু-উপাদানভিত্তিক প্রমাণীকরণ, সেশন বন্ধ, ফিশিং-বিষয়ক প্রশিক্ষণ এবং ইমেইল নিরাপত্তার নিয়ম একসঙ্গে কার্যকর করা উচিত।