BVD 2021 প্রকাশ্য ব্যবসায়িক তথ্য উন্মুক্ত হওয়ার ঘটনা

যাচাই করে নিশ্চিত হওয়া তথ্যের ধরনগুলোর মধ্যে রয়েছে জন্মতারিখ, ইমেইল ঠিকানা, পদবি, নাম, ফোন নম্বর ও ঠিকানা। ঠিকানাগুলোকে মূলত প্রতিষ্ঠানের ঠিকানা হিসেবে বিবেচনা করা হয়েছে। তবে একই সংগ্রহে থাকা নাম, পদবি, ফোন নম্বর ও ইমেইল ঠিকানা প্রতারণার চেষ্টায় সহায়ক প্রেক্ষাপট দিতে পারে। কোনো ব্যক্তির নামে পাঠানো সরবরাহকারীর বার্তা, নির্বাহী কর্মকর্তার অনুরোধ, নিয়োগসংক্রান্ত যোগাযোগ বা সহায়তা দেওয়ার ফোনকল প্রকৃত কর্মস্থলের বিবরণ তুলে ধরলে তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

জন্মতারিখের মতো স্থায়ী শনাক্তকারী পেশাগত তথ্যের সঙ্গে যুক্ত হলে অন্যের পরিচয় ধারণ করে প্রতারণা ও সামাজিক প্রকৌশলের ঝুঁকি বাড়তে পারে। ইমেইল ঠিকানা আক্রমণকারীদের ফিশিং অভিযানের লক্ষ্য বেছে নিতে সাহায্য করতে পারে, আর সরাসরি যোগাযোগের ফোন নম্বর কলের মাধ্যমে প্রতারণা বা বার্তা পাঠিয়ে চাপ সৃষ্টির কাজে ব্যবহার করা হতে পারে। পাসওয়ার্ড, ব্যবহারকারীর নাম, পেমেন্ট কার্ডের তথ্য, সেশনের বিবরণ ও প্রমাণীকরণের গোপন তথ্য যাচাই করে নিশ্চিত হওয়া তথ্যের মধ্যে নেই। কোনো মিল থেকে কী বোঝা যায় আর কী বোঝা যায় না, তা ব্যাখ্যা করার সময় এই সীমাটি অত্যন্ত গুরুত্বপূর্ণ।

ঘটনাটি আগস্ট 2021-এর কাছাকাছি সময়ে ঘটেছে বলে ধরা হয়। প্রতিবেদনগুলোতে শত শত গিগাবাইট ও শত শত মিলিয়ন কাঁচা ডেটা সারি নিয়ে গঠিত আরও বিস্তৃত একটি ডেটাসেটের উল্লেখ রয়েছে; কাঁচা সারির পরিমাণ স্বতন্ত্র ব্যক্তি, ইমেইল ঠিকানা বা ব্যবহারকারী অ্যাকাউন্টের সংখ্যার সমান নয়। প্রকাশিত পরিসংখ্যানটি হলো 2,79,17,714টি স্বতন্ত্র ইমেইল ঠিকানা। কোনো ঠিকানা কতবার এসেছে, সেটি একাধিক তথ্যক্ষেত্রের সঙ্গে মিলেছে কি না, কিংবা সংশ্লিষ্ট ব্যবসায়িক তথ্য সময়ের সঙ্গে হালনাগাদ ছিল কি না, এই সংখ্যা থেকে তা জানা যায় না।

যাচাই করে নিশ্চিত করা হয়েছে যে তথ্যগুলো ছিল গ্রাহকের কাছে থাকা প্রকাশ্য ব্যবসায়িক তথ্যের একটি সংগ্রহ। সেবাদাতার অবকাঠামোতে অননুমোদিত প্রবেশের কোনো প্রমাণ নেই, এবং মূল সংস্থার ক্লায়েন্টদের সিস্টেম পরিবেশ উন্মুক্ত হয়ে পড়ারও কোনো প্রমাণ নেই। এই পার্থক্যের কারণে ঘটনাটিকে সেবাদাতার সিস্টেমে সরাসরি নিরাপত্তা লঙ্ঘন হিসেবে চিহ্নিত করা সঠিক নয়। প্রতিটি ইমেইল ঠিকানার সঙ্গে তালিকাভুক্ত প্রতিটি তথ্যক্ষেত্র ছিল, অথবা প্রকাশের সময় সব তথ্য হালনাগাদ ছিল, এমন সিদ্ধান্তও নেওয়া যায় না।

যেসব কর্মী ও নির্বাহী কর্মকর্তার কর্মক্ষেত্রের ইমেইল, সরাসরি যোগাযোগের ফোন নম্বর, পদবি বা ঠিকানা এই সংগ্রহে রয়েছে, তাঁদের লক্ষ্যবস্তু হিসেবে চিহ্নিত করা তুলনামূলক সহজ। আক্রমণকারীরা এসব তথ্য ব্যবহার করে প্রতিষ্ঠানের অভ্যন্তরীণ পদমর্যাদার কাঠামো অনুকরণ করে অর্থ পরিশোধের অনুরোধ, সরবরাহকারীর ভুয়া চিঠিপত্র, মানবসম্পদ বিভাগের নামে যোগাযোগ বা সহায়তা দলের কাছ থেকে এসেছে বলে মনে হয় এমন ফোনকল তৈরি করতে পারে। অর্থ, ক্রয়, বেতন ব্যবস্থাপনা বা নির্বাহী সহকারীর ভূমিকায় কাজ করা ব্যক্তিদের বিশেষ সতর্ক থাকা উচিত, কারণ পদবি জানা থাকলে প্রতিষ্ঠানের কাজের প্রক্রিয়া নিয়ে করা অনুমান আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে।

নাম ও যোগাযোগের তথ্যের সঙ্গে জন্মতারিখ যুক্ত থাকলে ব্যক্তিগত ও পেশাগত প্রোফাইলের মধ্যে যোগসূত্র খুঁজে পাওয়া সহজ হতে পারে। আগের দায়িত্ব, পদবি বা প্রতিষ্ঠানের ঠিকানা আর বর্তমান না হলেও আক্রমণকারী প্রাথমিক আস্থা তৈরির জন্য তা ব্যবহার করতে পারে। প্রতিষ্ঠানের ঝুঁকি শুধু এই সংগ্রহে তালিকাভুক্ত ব্যক্তিদের মধ্যে সীমাবদ্ধ নয়; তাঁদের সঙ্গে ঘনিষ্ঠভাবে কাজ করা দলগুলোকেও বাস্তবসম্মত বার্তা ও কাজের প্রক্রিয়া-সংক্রান্ত ভুয়া অনুরোধের মাধ্যমে লক্ষ্যবস্তু করা হতে পারে।

অপ্রত্যাশিত অর্থ পরিশোধের অনুরোধ, ব্যাংক-সংক্রান্ত তথ্য পরিবর্তন, নথি শেয়ার করার অনুরোধ বা ঊর্ধ্বতন ব্যবস্থাপনার কাছ থেকে এসেছে বলে মনে হয় এমন নির্দেশ আলাদা একটি যোগাযোগমাধ্যমে যাচাই করুন। পরিচিত ইমেইল ঠিকানা ও ফোন নম্বর কোনো বার্তা সত্যিই সংশ্লিষ্ট ব্যক্তির কাছ থেকে এসেছে বলে প্রমাণ করে না। পরিচিত কারও নামে করা সংবেদনশীল অনুরোধের ক্ষেত্রে আগে থেকেই জানা ফোন নম্বর ব্যবহার করুন, সরাসরি দেখা করে নিশ্চিত হন, অথবা প্রতিষ্ঠানের পৃথক যোগাযোগমাধ্যম ব্যবহার করুন।

কর্মক্ষেত্রের ইমেইলে মাল্টি-ফ্যাক্টর প্রমাণীকরণ চালু রাখুন এবং ইমেইল অ্যাপে সন্দেহজনক লিংক ও সংযুক্তি সম্পর্কে দেওয়া সতর্কবার্তায় মনোযোগ দিন। এখানে পাসওয়ার্ডের তথ্য থাকার কোনো যাচাইকৃত প্রমাণ নেই, তাই শুধু মিল পাওয়ার কারণে কোনো পাসওয়ার্ড উন্মুক্ত হয়েছে বলে ধরে নেওয়া উচিত নয়। সাধারণ অ্যাকাউন্ট সুরক্ষার জন্য তবুও শক্তিশালী ও প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড প্রয়োজন, আর সন্দেহজনক বার্তা দ্রুত প্রতিষ্ঠানের নিরাপত্তা দলকে জানানো উচিত।

প্রতিষ্ঠানগুলোর উচিত উন্মুক্ত ওয়েবে দেখা যায় এমন কর্মী ও নির্বাহী কর্মকর্তাদের যোগাযোগের তথ্য নিয়মিত পর্যালোচনা করা, অপ্রয়োজনীয় জন্মতারিখ ও সরাসরি যোগাযোগের ফোন নম্বর সরিয়ে ফেলা এবং উচ্চ ঝুঁকির পদে থাকা ব্যক্তিদের তথ্য অনলাইনে প্রকাশের পরিসর বৈধ ব্যবসায়িক প্রয়োজনের মধ্যে সীমিত রাখা। গুরুত্বপূর্ণ অর্থ পরিশোধ, সরবরাহকারী পরিবর্তন ও গোপনীয় নথি-সংক্রান্ত কাজের প্রক্রিয়ায় দ্বৈত অনুমোদন এবং মূল যোগাযোগমাধ্যমের বাইরে অন্য মাধ্যমে নিশ্চিতকরণ বাধ্যতামূলক হওয়া উচিত। ইমেইল ডোমেইনের প্রমাণীকরণ নীতিগুলো সক্রিয় রাখা উচিত, এবং যোগাযোগে অন্যের পরিচয় ব্যবহার করে প্রতারণার লক্ষণ চিনতে কর্মীদের প্রশিক্ষণ দেওয়া উচিত।

ব্যক্তিদের উচিত পেশাগত প্রোফাইল ও যোগাযোগের পছন্দগুলো পর্যালোচনা করা, পুরোনো কর্মসংক্রান্ত তথ্য সরিয়ে ফেলা এবং সম্ভব হলে সবার কাছে দৃশ্যমান তথ্যক্ষেত্রের সংখ্যা কমানো। সহায়তা ডেস্ক, মানবসম্পদ ও অর্থ বিভাগের দলগুলোর জন্য যাচাইয়ের উদ্দেশ্যে পারস্পরিকভাবে নির্ধারিত বাক্য ব্যবহার করলে পুরোনো তথ্য দিয়ে আক্রমণকারীদের আস্থা অর্জন করা কঠিন হতে পারে। নিয়মিত মহড়ায় ফিশিং রিপোর্ট ও ভুয়া অর্থ পরিশোধের পরিস্থিতিতে প্রতিক্রিয়া পরিমাপ করে নিরাপত্তা দলগুলো প্রতিরক্ষার মান উন্নত করতে পারে।

ইমেইল ঠিকানা যাচাই করে জানা যেতে পারে কোনো ঠিকানা এই ব্যবসায়িক তথ্যের সংগ্রহে আছে কি না। মিল পাওয়া মানেই তালিকাভুক্ত প্রতিটি তথ্যক্ষেত্র একই সারিতে ছিল, তথ্য এখনো হালনাগাদ আছে, অথবা কোনো অ্যাকাউন্টে প্রবেশ করা হয়েছে, এগুলোর কোনোটি প্রমাণিত হয় না। এই সংখ্যা স্বতন্ত্র ইমেইল শনাক্তকারীর সংখ্যা বোঝায়; এটিকে আক্রান্ত অ্যাকাউন্টের মোট সংখ্যা হিসেবে পড়া যাবে না। লক্ষ্যভিত্তিক প্রতারণার সম্ভাবনা বিবেচনায় রেখে আপনার যোগাযোগের অভ্যাস পর্যালোচনা করতে এই ফলাফল ব্যবহার করুন।

মিল পাওয়া গেলে কর্মক্ষেত্রের ইমেইল, ফোন ও পেশাগত প্রোফাইলের মাধ্যমে আসা অপ্রত্যাশিত অনুরোধ বাড়তি সতর্কতার সঙ্গে মূল্যায়ন করুন। কর্মীদের উচিত তাঁদের নিরাপত্তা বা তথ্যপ্রযুক্তি দলকে জানানো এবং তাঁদের নাম বা পদবি ব্যবহার করে করা অর্থ পরিশোধ, প্রবেশাধিকার বা নথির অনুরোধ সম্পর্কে রিপোর্ট করা। ব্যক্তিগত অ্যাকাউন্ট সুরক্ষায় মাল্টি-ফ্যাক্টর প্রমাণীকরণ, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ও হালনাগাদ অ্যাকাউন্ট পুনরুদ্ধারের ব্যবস্থা গুরুত্বপূর্ণ। প্রকাশ্য তথ্য একত্র করার ফলে তৈরি হওয়া ঝুঁকি এসব ব্যবস্থা কমায়।