Qraved-এর 2021 সালের তথ্য ফাঁস

নিশ্চিতভাবে শনাক্ত হওয়া তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, জন্মতারিখ এবং MD5 হ্যাশ আকারে থাকা পাসওয়ার্ডের মান। একত্রে এসব তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো ফিশিং বার্তা, সামাজিক কৌশলে প্রতারণার চেষ্টা এবং অ্যাকাউন্টের সঙ্গে তথ্য মেলানোর কার্যক্রমকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। শুধু নাম ও যোগাযোগের তথ্য থাকলেই অ্যাকাউন্টের নিরাপত্তা লঙ্ঘিত হয়েছে বলে প্রমাণিত হয় না, তবে এসব তথ্য ব্যবহার করে আক্রমণকারী এমন বার্তা তৈরি করতে পারে, যা দেখে মনে হয় সেটি কোনো প্রকৃত ব্যবহারকারীর জন্য বিশেষভাবে লেখা।

পাসওয়ার্ডের ঘরে সরাসরি পাঠযোগ্য পাসওয়ার্ড ছিল বলে নিশ্চিত হওয়া যায়নি। তবে MD5 একটি দ্রুত হ্যাশিং পদ্ধতি, যা আধুনিক পাসওয়ার্ড সংরক্ষণের জন্য পর্যাপ্ত সুরক্ষা দেয় না। অন্য কোনো সেবায় একই পাসওয়ার্ড বা তার কাছাকাছি কোনো রূপ ব্যবহার করলে অনুমান করা পাসওয়ার্ড সেখানে চেষ্টা করার সম্ভাবনা বাড়ে। জন্মতারিখ, নাম ও ফোন নম্বর অ্যাকাউন্ট পুনরুদ্ধারের প্রশ্ন, সহায়তার অনুরোধ বা নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার ক্ষেত্রেও অতিরিক্ত প্রাসঙ্গিক তথ্য যোগ করতে পারে।

পেমেন্ট কার্ডের তথ্য, ব্যাংকিং তথ্য, অবস্থানের ইতিহাস, পণ্য পৌঁছে দেওয়ার ঠিকানা, সেশন কুকি এবং সরকারি পরিচয়পত্র এই ঘটনায় যাচাইকৃত তথ্যের ধরনগুলোর অন্তর্ভুক্ত নয়। এগুলো ফাঁস হয়েছে বলা সঠিক হবে না। নিশ্চিত তথ্যগুলো থেকে তৈরি হওয়া প্রকৃত ঝুঁকি ব্যবহারকারীদের উপেক্ষা করা উচিত নয়, আবার অযাচাইকৃত দাবির মাধ্যমে তাঁদের অপ্রয়োজনীয় আতঙ্কের মধ্যেও ঠেলে দেওয়া উচিত নয়।

রেকর্ড অনুযায়ী ঘটনাটি ঘটে 9 জুলাই 2021 তারিখে, এবং যাচাইকৃত পরিসরে রয়েছে 9,84,519টি স্বতন্ত্র ইমেইল ঠিকানা। এটি ইন্দোনেশিয়ার একটি রেস্তোরাঁকেন্দ্রিক সেবার সঙ্গে সম্পর্কিত। পরে তথ্যসমষ্টিটি আরও বড় একটি তথ্যসমষ্টির মধ্যে পুনরায় বিতরণ হওয়ার অর্থ এই নয় যে মূল ঘটনাটি পরে ঘটেছিল, বা ওই বড় তথ্যসমষ্টির প্রতিটি রেকর্ড একই সেবা থেকে এসেছিল। সংখ্যাটি স্বতন্ত্র ইমেইল শনাক্তকারীর ভিত্তিতে নির্ধারিত; এটিকে সমসংখ্যক ব্যবহারকারী, গ্রাহক বা সক্রিয় অ্যাকাউন্টের মোট হিসাব হিসেবে ধরা উচিত নয়।

যাচাইকৃত তথ্যের ধরনগুলো প্রতিটি সারিতে পূর্ণাঙ্গ প্রোফাইল থাকার প্রমাণ দেয় না। কোনো কোনো সারিতে তালিকাভুক্ত তথ্যের কেবল কিছু অংশ থাকতে পারে। অনুপ্রবেশের পথ, দায়ী পক্ষ, ক্ষতিগ্রস্ত প্রযুক্তিগত ব্যবস্থাগুলোর পরিধি, প্রতিষ্ঠানের প্রতিক্রিয়া বা তথ্য কীভাবে সংগ্রহ করা হয়েছিল, এসব বিষয়েও নির্ভরযোগ্য বিস্তারিত তথ্য নেই। এ কারণে এই পাতার আলোচনা নিশ্চিত তারিখ, পরিমাণ, সেবার প্রেক্ষাপট ও তথ্যের ধরনের মধ্যেই সীমিত রাখা হয়েছে।

পাসওয়ার্ডগুলোকে MD5 হিসেবে চিহ্নিত করা গুরুত্বপূর্ণ, কারণ এর অর্থ সরাসরি পাঠযোগ্য পাসওয়ার্ড প্রকাশ করা হয়েছে এমন নয়। তবু দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে এটি উল্লেখযোগ্য ঝুঁকি তৈরি করে। বাস্তব করণীয়ের মধ্যে অগ্রাধিকার হলো, যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়ে থাকতে পারে সেগুলো সুরক্ষিত করা এবং সংশ্লিষ্ট ইমেইল ঠিকানায় আসা অপ্রত্যাশিত বার্তা সতর্কভাবে যাচাই করা।

যাঁরা ইমেইল, সামাজিক যোগাযোগ, কেনাকাটা, খাবার, কাজ বা আর্থিক সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেছেন, তাঁদেরই সবার আগে ব্যবস্থা নেওয়া দরকার। তাঁদের শুধু Qraved-এর পাসওয়ার্ড নয়, একই পাসওয়ার্ড ব্যবহার করা প্রতিটি অ্যাকাউন্ট পর্যালোচনা করা উচিত। ইমেইল অ্যাকাউন্ট অনেক সেবার অ্যাকাউন্ট পুনরুদ্ধারের মাধ্যম হিসেবে ব্যবহৃত হয় বলে এটিকে শক্তিশালী ও অন্য কোথাও ব্যবহার না করা পাসওয়ার্ড দিয়ে সুরক্ষিত রাখা বিশেষভাবে গুরুত্বপূর্ণ।

নাম, জন্মতারিখ ও ফোন নম্বর থাকলে ভুয়া অ্যাকাউন্ট পুনরুদ্ধারের বার্তা, ডেলিভারিসংক্রান্ত প্রচারণা, সহায়তা দেওয়ার কথোপকথন বা ছাড়ের বিজ্ঞপ্তি আরও বিশ্বাসযোগ্য মনে হতে পারে। কোনো ব্যক্তি গ্রাহক হয়ে থাকতে পারেন, এমন তথ্য জানা থাকলে আক্রমণকারী তাড়াহুড়ো করে পদক্ষেপ নেওয়ার চাপ তৈরি করার চেষ্টা করতে পারে। কোনো অনুরোধে ব্যক্তিগত তথ্য আছে বলেই পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড, একাধিক উপাদানভিত্তিক প্রমাণীকরণের অনুমোদন বা দূর থেকে ডিভাইসে প্রবেশের অনুরোধকে বৈধ ধরে নেওয়া উচিত নয়।

তথ্যসমষ্টিতে নাম থাকা সবার ঝুঁকি এক নয়। তথ্য মিলে যাওয়া থেকে প্রমাণিত হয় না যে অ্যাকাউন্টটি আজও সক্রিয়, পাসওয়ার্ড উদ্ধার করা হয়েছে বা অন্য কোনো সেবায় প্রবেশ করা হয়েছে। তবে এর অর্থ হলো, যাঁরা সেবাটি ব্যবহার করেছেন বা যোগাযোগের তথ্য দিয়েছেন, তাঁদের একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের ঝুঁকিকে গুরুত্ব দেওয়া উচিত।

প্রথমে Qraved-এর পাসওয়ার্ড পরিবর্তন করুন। এরপর অন্য যেখানে একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করেছেন, সেখানেও প্রতিটির জন্য আলাদা পাসওয়ার্ড দিন। ইমেইল অ্যাকাউন্ট, আর্থিক সেবা, কেনাকাটার অ্যাকাউন্ট ও সামাজিক যোগাযোগমাধ্যম দিয়ে শুরু করুন। প্রতিটি অ্যাকাউন্টে দীর্ঘ, এলোমেলো ও আলাদা পাসওয়ার্ড ব্যবহার করলে একটি সেবায় তথ্য ফাঁসের প্রভাব সম্পর্কহীন অন্য সেবায় ছড়িয়ে পড়ার সম্ভাবনা কমে।

যেখানে সুযোগ আছে, একাধিক উপাদানভিত্তিক প্রমাণীকরণ চালু করুন। সেবা সমর্থন করলে একটি অথেনটিকেটর অ্যাপ বা সিকিউরিটি কী শুধু টেক্সট মেসেজে পাঠানো কোডের তুলনায় বেশি সুরক্ষা দিতে পারে। অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল, সাইন-ইনের বিজ্ঞপ্তি ও নতুন ডিভাইসের সতর্কতা পর্যালোচনা করুন। অপরিচিত কোনো কার্যকলাপ দেখলে সরাসরি সেবার আনুষ্ঠানিক সহায়তা চ্যানেল ব্যবহার করুন।

ইমেইল, ফোন বা চ্যাটে পাওয়া ডেলিভারির অফার, পাসওয়ার্ড পুনর্নির্ধারণের লিংক, অ্যাকাউন্ট যাচাইয়ের অনুরোধ ও অন্যান্য বার্তার ব্যাপারে সতর্ক থাকুন। বার্তার লিংকে না গিয়ে নিজে সেবার ঠিকানা খুলুন। বৈধ সহায়তা প্রতিনিধির আপনার পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড বা দূর থেকে আপনার ডিভাইসে প্রবেশের অনুমতি চাওয়া উচিত নয়।

পাসওয়ার্ড ম্যানেজার ব্যবহার করলে প্রতিটি সেবার জন্য আলাদা ও দীর্ঘ পাসওয়ার্ড তৈরি করা সহজ হয়। ব্যক্তিগত তথ্য, নাম, জন্মতারিখ বা অক্ষর ও চিহ্নের সহজ প্রতিস্থাপনের ভিত্তিতে তৈরি পুরোনো পাসওয়ার্ড তুলনামূলকভাবে সহজে অনুমান করা যায়। একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার না করা হলো বহু বছর আগের তথ্য ফাঁস থেকে নতুন ঝুঁকি তৈরি হওয়া ঠেকানোর অন্যতম কার্যকর উপায়।

আপনার প্রধান ইমেইল অ্যাকাউন্টের পুনরুদ্ধারের ইমেইল ঠিকানা, যুক্ত ফোন নম্বর ও একাধিক উপাদানভিত্তিক প্রমাণীকরণের বিকল্পগুলো নিয়মিত পর্যালোচনা করুন। অব্যবহৃত অ্যাকাউন্ট বন্ধ করা বা পুরোনো অ্যাকাউন্টে রাখা ব্যক্তিগত তথ্য কমিয়ে আনাও আক্রমণের সুযোগ কমায়। শুধু প্রয়োজন হলে জন্মতারিখ ও ফোন নম্বর দেওয়ার মাধ্যমে ভবিষ্যতে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণায় ব্যবহারযোগ্য তথ্যের পরিমাণ সীমিত রাখা যায়।

আপনি যেসব সেবা ব্যবহার করেন, সেগুলোর নিরাপত্তা বিজ্ঞপ্তি, অপরিচিত সাইন-ইন ও পাসওয়ার্ড পরিবর্তনের সতর্কতার দিকে নজর রাখুন। সব সতর্কতা আসল নয়, তাই বার্তার লিংক ব্যবহার না করে সরাসরি অ্যাকাউন্ট খুলুন। নিয়মিত যাচাই করলে একটি তথ্য ফাঁসের দীর্ঘমেয়াদি প্রভাব সামলানো সহজ হয়।

বিশ্বস্ত তথ্য ফাঁস যাচাইকারী সেবার মাধ্যমে আপনি দেখতে পারেন কোনো ইমেইল ঠিকানা এই রেকর্ডে আছে কি না। মিল পাওয়া মানে ইমেইল ঠিকানাটি যাচাইকৃত তথ্যসমষ্টিতে রয়েছে; এটি প্রমাণ করে না যে বর্তমানে কোনো অ্যাকাউন্টের নিরাপত্তা লঙ্ঘিত হয়েছে, প্রতিটি তথ্য আপনারই বা কোনো পাসওয়ার্ড উদ্ধার করা হয়েছে। ফলাফলটিকে পাসওয়ার্ড ও একাধিক উপাদানভিত্তিক প্রমাণীকরণের সুরক্ষা পর্যালোচনা করার তাগিদ হিসেবে নিন।

রেকর্ড যাচাইয়ের জন্য শুধু ইমেইল ঠিকানা ব্যবহার করুন। পাসওয়ার্ড, যাচাইকরণ কোড, পরিচয়পত্র বা পেমেন্টের তথ্য দেবেন না। কোনো সতর্কতা সন্দেহজনক মনে হলে নিজে সেবার ঠিকানা লিখুন, সরাসরি সাইন ইন করুন এবং অ্যাকাউন্টের সাম্প্রতিক কার্যকলাপ পর্যালোচনা করুন। পরিচিত কোনো ঘটনার নাম ব্যবহার করে চালানো ফিশিং ও ভুয়া সহায়তার চেষ্টা থেকে সুরক্ষিত থাকতে এই অভ্যাস কাজে আসে।