Phoenix: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, পাসওয়ার্ড ও ব্যবহারকারীর নাম। পাসওয়ার্ডের ঘর থাকায় একই পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলোও ঝুঁকিতে রয়েছে। পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যক্তিগত বার্তা, স্বাস্থ্য রেকর্ড বা প্রোফাইলের অতিরিক্ত তথ্য-সংক্রান্ত অযাচাইকৃত ক্ষেত্রগুলো তথ্যশ্রেণির তালিকায় যোগ করা হয়নি; শুধু প্রমাণসমর্থিত ঘরগুলো রাখা হয়েছে।

মেসেজিং পরিচয় ও IP ঠিকানা ব্যবহার করে বিভিন্ন কমিউনিটিতে একই ব্যবহারকারীকে শনাক্ত করা যেতে পারে। শুধু ইমেইল ঠিকানা থাকলেও অনাকাঙ্ক্ষিত বার্তা পাওয়ার ঝুঁকি থাকে; এর সঙ্গে ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ, পাসওয়ার্ড, ভ্রমণ পরিকল্পনা, কার্ডের আংশিক তথ্য বা ডিভাইসের তথ্য যুক্ত হলে আক্রমণকারীর পক্ষে নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে বার্তা তৈরি করা সহজ হয়। এই সম্মিলিত প্রভাবের ভিত্তিতে ঝুঁকি মূল্যায়ন করা হয়েছে।

2021 সালের মাঝামাঝির Phoenix অ্যাকাউন্টের তথ্য দিয়ে ঘটনার পরিধি যাচাই করা হয়েছে। নিশ্চিত হওয়া ঘরগুলো রাখা হয়েছে, আর নিশ্চিত না হওয়া ঘরগুলো বাদ দেওয়া হয়েছে। ঘটনাটিকে কাছাকাছি নামের ডেটাসেট, একই কোম্পানির অন্য সময়ের ঘটনা বা ভুল খাতের সঙ্গে যুক্ত করা হয়নি।

রেকর্ডটি শুধু phoenixim.ddns.net ডোমেইন নামের মধ্যে সীমাবদ্ধ এবং অন্য কোনো Phoenix ব্র্যান্ডের সঙ্গে একত্র করা হয়নি। ডোমেইন নাম, কোম্পানির নাম ও শিল্পখাতের তথ্য যতটা সম্ভব সুনির্দিষ্ট ও সীমিত সঠিক প্রেক্ষাপটে রাখা হয়েছে। যেখানে অনিশ্চয়তা ছিল, সেখানে সে অনুযায়ী যাচাইকৃত অবস্থার ফ্ল্যাগ বা ওয়েবসাইটের ডোমেইন নির্ধারণ করা হয়েছে; ফলে কোনো ব্র্যান্ডের দায় নিশ্চিত না হলে ব্যবহারকারীকে সেই দায় দেখানো হয়নি।

ঝুঁকিতে থাকা গোষ্ঠীর মধ্যে Phoenix মেসেজিং সেবায় নিবন্ধিত ব্যবহারকারী এবং বিভিন্ন চ্যাট সেবায় একই ব্যবহারকারীর নাম ব্যবহার করা ব্যক্তিরা থাকতে পারেন। যাঁদের তথ্যের সঙ্গে মিল পাওয়া যায়, তাঁদের সংশ্লিষ্ট সেবার বাইরেও একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা একই ধরনের পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলো মূল্যায়ন করা উচিত।

পুরোনো মেসেজিং অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড বর্তমান ইমেইল বা সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্টেও থেকে যেতে পারে। করপোরেট ইমেইল, শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্ট, হোটেল বুকিং, টেলিকম সাবস্ক্রিপশন, গেমিং কমিউনিটি, ওপেন সোর্স প্রকল্পে অনুদান বা ট্র্যাকিং সফটওয়্যারের প্রেক্ষাপট থাকলে সামাজিক প্রকৌশলভিত্তিক প্রতারণার ঝুঁকি বাড়তে পারে। কোনো তথ্য আলাদাভাবে সঠিক মনে হলেই তা বিশ্বাসযোগ্যতার প্রমাণ নয়।

ক্ষতিগ্রস্ত ব্যবহারকারীদের Phoenix-এর পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা উচিত। যেসব রেকর্ডে পাসওয়ার্ডের ঘর রয়েছে, সেগুলোর ক্ষেত্রে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্ট হালনাগাদ করা উচিত; যেসব রেকর্ডে পাসওয়ার্ডের ঘর নেই, সেগুলোর ক্ষেত্রে ইমেইল, ফোন, ভুয়া বিজ্ঞপ্তি, গোপনীয়তা ও পরিচয় মিলিয়ে শনাক্ত করার ঝুঁকিতে মনোযোগ দেওয়া উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা উচিত, অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত রেকর্ড ব্যবহার করা উচিত। পণ্য পাঠানো, অ্যাকাউন্ট সতর্কতা, গেমের পুরস্কার, সহায়তা, দাতাদের জন্য বিজ্ঞপ্তি, ভ্রমণ বুকিং, নিরাপত্তা বিজ্ঞপ্তি বা সাবস্ক্রিপশন নবায়ন-সংক্রান্ত বার্তা স্বাধীন কোনো মাধ্যমে যাচাই না করে বিশ্বাস করা উচিত নয়।

চ্যাট ও ফোরামের অ্যাকাউন্টে স্বতন্ত্র পাসওয়ার্ড এবং আলাদা ব্যবহারকারীর নাম ব্যবহার করলে পরিচয় মিলিয়ে শনাক্ত করার ঝুঁকি কমে। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট, অপ্রয়োজনীয় প্রোফাইলের ঘর, বারবার ব্যবহৃত ব্যবহারকারীর নাম এবং পুরোনো ফোন নম্বর ও ঠিকানার তথ্য সরিয়ে ফেলা উচিত। প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড এবং সম্ভব হলে দুই-ফ্যাক্টর প্রমাণীকরণ ব্যবহার করাই মৌলিক নিয়ম হওয়া উচিত।

সেবাদাতাদের ক্ষেত্রে ন্যূনতম প্রয়োজনীয় তথ্য সংগ্রহ ও সংরক্ষণ, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, প্রবেশের লগ পর্যবেক্ষণ, অপ্রয়োজনীয় ঘর মুছে ফেলা এবং ব্যবহারকারীদের জানানোর প্রক্রিয়া প্রস্তুত রাখা প্রয়োজন। ছোট মেসেজিং কমিউনিটি থেকেও পাসওয়ার্ড দিয়ে বারবার প্রবেশের চেষ্টায় কাজে লাগার মতো মূল্যবান তথ্য পাওয়া যেতে পারে। ঘটনার পরিধি সঠিকভাবে ব্যাখ্যা করাও নিরাপত্তার কাজের অংশ; অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

ব্যবহারকারীর প্রথমে এই রেকর্ডে থাকা ইমেইল ঠিকানা দিয়ে যাচাই করা উচিত। মিল পাওয়া গেলে ব্যবহারকারীর নাম, IP ও পাসওয়ার্ডের ঘরের তথ্য ঝুঁকিতে থাকতে পারে বলে ধরে নেওয়া উচিত এবং পুরোনো চ্যাটের পাসওয়ার্ডগুলো সরিয়ে ফেলা উচিত। মিল না পাওয়া গেলেও ভিন্ন ইমেইল ব্যবহার বা পুরোনো পাসওয়ার্ড পুনর্ব্যবহারের সম্ভাবনা পুরোপুরি নাকচ হয় না; গুরুত্বপূর্ণ অ্যাকাউন্টগুলো আলাদাভাবে পর্যালোচনা করা উচিত।

এই রেকর্ডের যাচাইকৃত অবস্থা বজায় রাখা হয়েছে; খাত ও দেশের ঘর সংশোধন করা হয়েছে। এই সংশোধনে তথ্যের ঘরগুলো ইংরেজি মান্য শ্রেণিনাম হিসেবেই রাখা হয়েছে, ব্যবহারকারীর কাছে দৃশ্যমান বর্ণনাটি তুর্কি ভাষায় মৌলিকভাবে লেখা হয়েছে, যাচাই না হওয়া ঘরগুলো অন্তর্ভুক্ত করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতার ফ্ল্যাগ ব্যবহার করা হয়েছে।