Promo: তথ্য ফাঁস

যাচাইকৃত তথ্যসমষ্টিতে ইমেইল ঠিকানা, লিঙ্গ, IP ঠিকানা, নাম ও পাসওয়ার্ড ছিল। কোম্পানির বিজ্ঞপ্তিতে Promo বা Slidely অ্যাকাউন্টের নামের প্রথম ও শেষ অংশ, ইমেইল, IP ঠিকানা থেকে নির্ণয় করা আনুমানিক অবস্থান, লিঙ্গ এবং এনক্রিপ্ট করা, হ্যাশ করা ও সল্টযুক্ত পাসওয়ার্ডের কথা বলা হয়েছে। পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য টেক্সট আকারে ছিল না; ঘটনার মূল রেকর্ডে এগুলোকে সল্টযুক্ত SHA-256 হ্যাশ হিসেবে চিহ্নিত করা হয়েছে। সল্টযুক্ত SHA-256 পাসওয়ার্ড হ্যাশ সরাসরি পড়া যায় না, তবে ছোট, বহুল ব্যবহৃত বা একাধিক অ্যাকাউন্টে ব্যবহার করা পাসওয়ার্ডের ক্ষেত্রে অফলাইনে অনুমান করে পাসওয়ার্ড বের করার ঝুঁকি থেকেই যায়। নাম, ইমেইল, লিঙ্গ, IP ঠিকানা ও আনুমানিক অবস্থান একসঙ্গে ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, ভুয়া ভিডিও-সাবস্ক্রিপশন বিজ্ঞপ্তি এবং অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়ার অপব্যবহার করা সম্ভব। আর্থিক তথ্য, ক্রেডিট কার্ড ও বিলিং-সংক্রান্ত তথ্য কোম্পানির সার্ভারে সংরক্ষিত ছিল না এবং এগুলো যাচাইকৃত ঘটনার আওতার বাইরে।

ঘটনার মূল রেকর্ডে উল্লেখিত তারিখ 22 জুন 2020; Promo দল জানিয়েছে, তারা 21 জুলাই 2020-এ সমস্যাটি সম্পর্কে জানতে পারে। কোম্পানির ভাষ্য অনুযায়ী, তৃতীয় পক্ষের একটি সেবায় থাকা দুর্বলতার কারণে তথ্য ফাঁস হয়, যা Promo ও Slidely ব্যবহারকারীদের অ-আর্থিক তথ্যকে প্রভাবিত করে। কোম্পানি জানায়, সন্দেহজনক কার্যকলাপ বন্ধ করা হয়েছে, দুর্বল সেবাটি সরিয়ে নেওয়া হয়েছে, অভ্যন্তরীণ তদন্ত শুরু হয়েছে এবং বাইরের নিরাপত্তা বিশেষজ্ঞদের নিয়োগ করা হয়েছে। পরে একটি হ্যাকিং ফোরামে তথ্যগুলো ব্যাপকভাবে ছড়িয়ে পড়ে। মোট প্রায় 2 কোটি 20 লাখ রেকর্ডে 1,46,10,585টি স্বতন্ত্র ইমেইল ঠিকানা ছিল, তাই মোট রেকর্ডের সংখ্যা ও ক্ষতিগ্রস্ত স্বতন্ত্র ঠিকানার সংখ্যা দুটি আলাদা পরিমাপ। কোম্পানি সম্ভাব্য ক্ষতিগ্রস্ত গ্রাহকদের জানায় এবং পরবর্তী লগইনের সময় ব্যবহারকারীদের Promo বা Slidely পাসওয়ার্ড পরিবর্তন বাধ্যতামূলক করে। বিজ্ঞপ্তিতে দুর্বল পণ্য বা প্রযুক্তিগত ত্রুটিটি চিহ্নিত করা হয়নি, তাই কোনো নির্দিষ্ট উপাদান বা আক্রমণপদ্ধতিকে নিশ্চিত তথ্য হিসেবে উপস্থাপন করা উচিত নয়।

সবচেয়ে সরাসরি ক্ষতিগ্রস্ত গোষ্ঠীর মধ্যে রয়েছেন ভিডিও নির্মাতা, ছোট ব্যবসা, বিপণন দল, এজেন্সির কর্মী এবং সাবেক ব্যবহারকারী, যাঁদের 2020 সালে Promo.com বা এর আগের Slidely অ্যাকাউন্ট ছিল। যাঁরা সামাজিক যোগাযোগমাধ্যমের মাধ্যমে লগইন করতেন, তাঁদের বাইরের সামাজিক প্ল্যাটফর্মের পাসওয়ার্ড ক্ষতিগ্রস্ত হয়নি; তবে আলাদাভাবে তৈরি করা Promo বা Slidely পাসওয়ার্ডের হ্যাশ ফাঁস হওয়া তথ্যে থেকে থাকতে পারে। IP ঠিকানা থেকে নির্ণয় করা আনুমানিক অবস্থান কোনো সুনির্দিষ্ট সড়কভিত্তিক ঠিকানা নয় এবং শুধু এটি দিয়ে কোনো ব্যক্তিকে শনাক্ত করা যায় না; তবে নাম, ইমেইল ও লিঙ্গের সঙ্গে মিলিয়ে ব্যবহার করলে নির্দিষ্ট ব্যক্তিকে পাঠানো বার্তা আরও বিশ্বাসযোগ্য করে তোলা যায়। যাঁরা প্রধান ইমেইল, সামাজিক যোগাযোগমাধ্যম, ভিডিও শেয়ারিং, বিজ্ঞাপন, ক্লাউড স্টোরেজ বা পেমেন্ট অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেছেন, তাঁদের অন্য সেবায় সেই লগইন তথ্য ব্যবহার করে ঢোকার চেষ্টার ঝুঁকি বেশি। অব্যবহৃত Slidely বা Promo অ্যাকাউন্টও পুরোনো পাসওয়ার্ড ও ইমেইলের কারণে বর্তমান ঝুঁকি তৈরি করতে পারে। প্রতিষ্ঠানের ইমেইল ঠিকানা ব্যবহারকারী বিপণনকর্মীদের ভুয়া ক্যাম্পেইন, নবায়ন ও ভিডিও শেয়ারিংয়ের আমন্ত্রণের ব্যাপারে সতর্ক থাকা উচিত।

আপনার Promo অ্যাকাউন্ট এখনো সক্রিয় থাকলে সরাসরি অফিসিয়াল সাইটে যান, অন্য কোথাও ব্যবহার করেননি এমন একটি পাসওয়ার্ড সেট করুন এবং সুবিধাটি থাকলে একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই চালু করুন। 2020 সালে অন্য কোথাও একই বা কাছাকাছি ধরনের Promo বা Slidely পাসওয়ার্ড ব্যবহার করে থাকলে, সেই অ্যাকাউন্টগুলোর পাসওয়ার্ড অবিলম্বে পরিবর্তন করুন। প্রধান ইমেইল, সামাজিক যোগাযোগমাধ্যম, ক্লাউড স্টোরেজ, বিজ্ঞাপন ও পেমেন্ট সেবাগুলোকে অগ্রাধিকার দিন। প্রতিটি অ্যাকাউন্টের জন্য দীর্ঘ ও এলোমেলো একটি পাসওয়ার্ড তৈরি করতে পাসওয়ার্ড ম্যানেজার ব্যবহার করুন। Promo-এর সেশন, সংযুক্ত সামাজিক যোগাযোগমাধ্যমের অ্যাকাউন্ট, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও প্রোফাইলের তথ্য পর্যালোচনা করুন; আপনার অজানা কোনো পরিবর্তন থাকলে তা সরিয়ে দিন। পাসওয়ার্ড রিসেট, ভিডিও শেয়ারিং, সাবস্ক্রিপশন নবায়ন বা পেমেন্টের সমস্যা-সংক্রান্ত বার্তা পেলে প্রেরকের ডোমেইন এবং লিংকটি কোথায় নিয়ে যায় তা যাচাই করুন। বার্তার লিংক দিয়ে লগইন না করে নিজে promo.com খুলুন এবং কখনো একবার ব্যবহারযোগ্য কোড কাউকে জানাবেন না। আর্থিক তথ্য এই ফাঁসের আওতার বাইরে, তবে ফাঁস হওয়া প্রোফাইলের তথ্য ব্যবহার করে ভুয়া বিল পাঠানো হতে পারে। তাই পেমেন্টের অনুরোধ আলাদাভাবে যাচাই করুন।

শুধু Promo পাসওয়ার্ড পরিবর্তন করলেই দীর্ঘমেয়াদি সুরক্ষা নিশ্চিত হয় না। একাধিক অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করলে কোনো আক্রমণকারী সুরক্ষিত হ্যাশ থেকে পাসওয়ার্ড অনুমান করতে পারলে অন্য সেবাগুলোতেও সেই লগইন তথ্য পরীক্ষা করতে পারে। তাই প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করুন। ইমেইলকে অন্যান্য অ্যাকাউন্ট পুনরুদ্ধারের কেন্দ্রীয় মাধ্যম হিসেবে বিবেচনা করুন এবং শক্তিশালী পাসওয়ার্ড দিয়ে সুরক্ষিত রাখুন; পরিচয় যাচাইয়ের জন্য হার্ডওয়্যার কি ব্যবহার করাই ভালো। বিপণন দলগুলোর উচিত ভিডিও তৈরি, সামাজিক যোগাযোগমাধ্যম, বিজ্ঞাপন, ক্লাউড স্টোরেজ ও পেমেন্ট অ্যাকাউন্টের জন্য আলাদা লগইন তথ্য রাখা এবং দলীয় অ্যাকাউন্টে ব্যক্তিগত পাসওয়ার্ড ভাগাভাগি না করা। অব্যবহৃত Slidely বা Promo অ্যাকাউন্ট বন্ধ করুন, সংযুক্ত অ্যাপ্লিকেশনগুলোর অনুমতি পর্যালোচনা করুন এবং কেউ দল ছেড়ে গেলে দ্রুত তাঁর প্রবেশাধিকার সরিয়ে দিন। প্রোফাইলে অপ্রয়োজনীয় তথ্য যতটা সম্ভব কম রাখুন এবং লগইন সতর্কবার্তা চালু করুন। নিয়মিত তথ্য ফাঁস পর্যবেক্ষণ এবং ভিডিও-ক্যাম্পেইনভিত্তিক ফিশিং সম্পর্কে সচেতনতা ঘটনার অনেক পরে দেখা দেওয়া অপব্যবহারও শনাক্ত করতে সাহায্য করতে পারে।

LeakData-তে Promo-এর সঙ্গে মিল পাওয়ার অর্থ হলো ইমেইল ঠিকানাটি এই ঘটনার যাচাইকৃত তথ্যসমষ্টিতে আছে। এতে বোঝা যায় না যে অ্যাকাউন্টটি এখনো সক্রিয়, আপনার রেকর্ডে পাঁচ ধরনের তথ্যই ছিল, অথবা পাসওয়ার্ড হ্যাশ থেকে মূল পাসওয়ার্ড বের করা হয়েছে। মিল পাওয়া গেলে 2020 সালে Promo বা Slidely-তে ব্যবহার করা ইমেইল এবং পাসওয়ার্ডের সম্ভাব্য ধরনগুলো মনে করার চেষ্টা করুন; তথ্য ফাঁস অনুসন্ধানের ঘরে কখনো আসল পাসওয়ার্ড লিখবেন না। বর্তমানে কোন অ্যাকাউন্টগুলোতে কাছাকাছি ধরনের পাসওয়ার্ড থাকতে পারে তা চিহ্নিত করুন, সেগুলোর বদলে আলাদা পাসওয়ার্ড দিন, একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই চালু করুন এবং সেশনের ইতিহাস পর্যালোচনা করুন। মিল না পাওয়া কোনো চূড়ান্ত নিশ্চয়তা নয়, কারণ অন্য কোনো ইমেইল ব্যবহার করা হয়ে থাকতে পারে, কোনো রেকর্ড অনুপস্থিত থাকতে পারে, অথবা পাসওয়ার্ডটি অন্য কোথাও ফাঁস হয়ে থাকতে পারে। তথ্য ফাঁস পর্যবেক্ষণ চালিয়ে যান, অপ্রত্যাশিত লগইন ও পাসওয়ার্ড রিসেটের সতর্কবার্তার দিকে নজর রাখুন এবং সন্দেহজনক সাবস্ক্রিপশন বা সহায়তা-সংক্রান্ত বার্তা নিজে আলাদাভাবে অফিসিয়াল যোগাযোগমাধ্যম খুলে যাচাই করুন।