QuestionPro: তথ্য ফাঁস

এই রেকর্ডে যেসব ধরনের তথ্যের উপস্থিতি যাচাই করে নিশ্চিত করা হয়েছে, সেগুলো হলো ইমেইল ঠিকানা, IP ঠিকানা, ব্রাউজারের ইউজার-এজেন্টের বিবরণ এবং জরিপের ফলাফল। জরিপের ফলাফল ফাঁসের প্রভাব নির্ভর করে জরিপটির ওপর: সাধারণ পণ্য-সংক্রান্ত মতামতের ক্ষেত্রে ঝুঁকি সীমিত হতে পারে, তবে যেসব উত্তর থেকে উত্তরদাতাকে শনাক্ত করা যায় বা তাঁর ব্যক্তিগত পছন্দ জানা যায়, সেগুলো আরও সুনির্দিষ্টভাবে লক্ষ্য করে প্রতারণা চালাতে সহায়তা করতে পারে। এই রেকর্ডে পাসওয়ার্ড, পেমেন্ট কার্ড ও সরকারপ্রদত্ত পরিচয়পত্রের উপস্থিতি যাচাই করে নিশ্চিত করা হয়নি, তাই এগুলো ফাঁস হয়েছে বলে ধরে নেওয়া উচিত নয়। একটি ইমেইল ঠিকানা, IP ঠিকানা ও ব্রাউজারের বিবরণ একত্রে ব্যবহার করে আক্রমণকারী বিশ্বাসযোগ্য মনে হয় এমন গবেষণায় অংশ নেওয়ার আমন্ত্রণ, পুরস্কারের ভুয়া নোটিশ এবং ব্যক্তিকে লক্ষ্য করে সাজানো ফিশিং বার্তা তৈরি করতে পারে।

রেকর্ডে থাকা 21 মে 2022 তারিখটি হলো ডেটাসেটটি পাওয়ার দাবি করা ব্যক্তির বক্তব্য অনুযায়ী সেটি ডাউনলোড করার তারিখ; QuestionPro প্রকাশ্যে ওই নির্দিষ্ট তারিখ বা তথ্য নেওয়ার কারিগরি পদ্ধতি নিশ্চিত করেনি। প্রায় 100 GB তথ্য এবং 22 মিলিয়নের বেশি স্বতন্ত্র ইমেইল ঠিকানা পাওয়ার একটি দাবির মাধ্যমে ঘটনাটি সামনে আসে। QuestionPro নিশ্চিত করেছিল যে তাদের কাছে চাঁদা আদায়ের একটি চেষ্টা করা হয়েছে এবং জানিয়েছিল যে তারা আইনশৃঙ্খলা রক্ষাকারী বাহিনীর সঙ্গে বিষয়টি তদন্ত করছে। তবে তাদের প্রাথমিক বিবৃতিতে তথ্য ফাঁসের ঘটনা ঘটেছে বলে নিশ্চিত করা হয়নি। তাই ডেটাসেটটিকে প্রথমে অনিশ্চিত হিসেবে চিহ্নিত করা হয়েছিল। পরে বিজ্ঞপ্তি পাওয়া ব্যক্তিরা নিজেদের তথ্য ও QuestionPro-এর সঙ্গে তাঁদের সম্পর্ক নিশ্চিত করেন, যা রেকর্ডটির অবস্থা যাচাইকৃত হিসেবে পরিবর্তন করার পক্ষে সমর্থন দেয়। 2,22,29,637 সংখ্যাটি ডেটাসেটে থাকা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা; কিছু ঠিকানা প্ল্যাটফর্ম থেকে তৈরি করা হয়েছে বলে মনে হওয়ায় এটিকে স্বতন্ত্র ব্যক্তির সঠিক সংখ্যা হিসেবে ধরা উচিত নয়। ডেটাসেট যাচাইয়ের ফল সেবাটির সঙ্গে তথ্যের সম্পর্ককে সমর্থন করে; এটি প্রতিষ্ঠানটির পক্ষ থেকে প্রকাশ্যে তথ্য ফাঁসের ঘটনা স্বীকার করার সমতুল্য নয়।

ডেটাসেটে শুধু সরাসরি QuestionPro অ্যাকাউন্ট থাকা ব্যক্তিরাই নন, এই প্ল্যাটফর্মের মাধ্যমে অন্য কোনো প্রতিষ্ঠানের পরিচালিত জরিপে উত্তর দেওয়া ব্যক্তিরাও থাকতে পারেন। এই পার্থক্যটি গুরুত্বপূর্ণ: কোনো ঠিকানা মিলে গেলেই তা প্রমাণ করে না যে ওই ব্যক্তি অর্থের বিনিময়ে সেবা নেওয়া গ্রাহক বা প্ল্যাটফর্মের প্রশাসক ছিলেন। গবেষণায় অংশগ্রহণকারী, কর্মীদের সম্পৃক্ততা নিয়ে জরিপে উত্তর দেওয়া কর্মী, অভিজ্ঞতা-সংক্রান্ত প্রশ্নমালা পূরণ করা গ্রাহক, বাজার গবেষণায় অংশ নেওয়ার আমন্ত্রণ পাওয়া ব্যক্তি এবং ফর্ম জমা দেওয়া ব্যক্তিদের সতর্ক থাকা উচিত। প্রাতিষ্ঠানিক ইমেইল ব্যবহারকারীদের লক্ষ্য করে কর্মীদের জন্য ভুয়া জরিপ পাঠানো হতে পারে বা তাঁদের প্রতিষ্ঠানের পরিচয় দিয়ে বার্তা পাঠানো হতে পারে। প্রকাশ্য মেটাডেটায় প্রতিটি উত্তরের বিস্তারিত বিষয়বস্তু শ্রেণিবদ্ধ করা নেই, তাই প্রতিটি রেকর্ডে স্বাস্থ্য, আর্থিক বিষয় বা অন্য কোনো সংবেদনশীল উত্তর আছে বলে ধরে নেওয়া উচিত নয়।

অপ্রত্যাশিত জরিপ, পুরস্কার বা গবেষণার আমন্ত্রণে থাকা লিংক খোলার আগে প্রেরকের পরিচয় যাচাই করুন। কোনো বার্তায় আপনার নিয়োগকর্তা, গ্রাহক বা গবেষণা প্রতিষ্ঠানের পক্ষ থেকে পাঠানোর দাবি করা হলে, বার্তায় দেওয়া যোগাযোগের তথ্য ব্যবহার না করে সংশ্লিষ্ট প্রতিষ্ঠানের আনুষ্ঠানিক ওয়েবসাইট বা পরিচিত কোনো যোগাযোগের মাধ্যমে তা নিশ্চিত করুন। ইমেইলে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন এবং সক্রিয় সেশন ও ফরওয়ার্ডিংয়ের নিয়মগুলো পর্যালোচনা করুন। এই ঘটনায় পাসওয়ার্ডের উপস্থিতি যাচাই করে নিশ্চিত করা হয়নি, তাই শুধু এই রেকর্ড প্রতিটি পাসওয়ার্ড ফাঁস হওয়ার প্রমাণ নয়; তবে আপনি কোনো সন্দেহজনক ফর্মে পাসওয়ার্ড দিয়ে থাকলে বা অপরিচিত কোনো সেশন দেখতে পেলে সঙ্গে সঙ্গে পাসওয়ার্ড পরিবর্তন করুন। কোনো জরিপে আপনাকে অর্থ দিতে, নিরাপত্তা কোড দিতে বা দূর থেকে ডিভাইসে প্রবেশের সফটওয়্যার ইনস্টল করতে বলা হলে আর এগোবেন না। প্রাতিষ্ঠানিক ব্যবহারকারীদের উচিত কর্মীদের জন্য পাঠানো ভুয়া জরিপ ও তথ্য সংগ্রহের অস্বাভাবিক অনুরোধ সম্পর্কে তাঁদের নিরাপত্তা দলকে জানানো।

জরিপ তৈরি করা প্রতিষ্ঠানগুলোর উচিত অপ্রয়োজনীয় ব্যক্তিগত তথ্য সংগ্রহ না করা, সম্ভব হলে নামবিহীন বা ছদ্মনামে উত্তর দেওয়ার সুযোগ রাখা এবং নির্ধারিত সংরক্ষণকাল শেষে ফলাফল মুছে ফেলা। আমন্ত্রণে যাচাইযোগ্য প্রেরক ডোমেইন, গোপনীয়তা সম্পর্কে স্পষ্ট বিজ্ঞপ্তি এবং অংশগ্রহণকারীরা যাতে স্বতন্ত্র কোনো মাধ্যমে অনুরোধটি নিশ্চিত করতে পারেন, এমন ব্যবস্থা থাকা উচিত। প্রশাসক অ্যাকাউন্টের জন্য মাল্টি-ফ্যাক্টর অথেনটিকেশন ও ভূমিকা অনুযায়ী প্রবেশাধিকার বাধ্যতামূলক করা উচিত। একই সঙ্গে বিপুল পরিমাণ তথ্য রপ্তানি ও অস্বাভাবিক ডাউনলোড কার্যক্রম নজরদারিতে রাখা উচিত। অংশগ্রহণকারীদের উচিত জরিপের জন্য প্রয়োজনীয় তথ্যই শুধু দেওয়া এবং নিজের ভাষায় উত্তর লেখার ঘরে পাসওয়ার্ড, পরিচয়পত্রের নম্বর, পেমেন্টের তথ্য বা অন্য ব্যক্তির তথ্য না দেওয়া। প্রতিষ্ঠানগুলোর উচিত আসল ব্র্যান্ড, জরিপের বিষয় ও কারিগরি বিবরণ ব্যবহার করে নির্দিষ্ট গোষ্ঠীকে লক্ষ্য করে সাজানো ফিশিংয়ের উদাহরণ দিয়ে কর্মীদের প্রশিক্ষণ দেওয়া। প্রয়োজনের বেশি তথ্য সংগ্রহ না করা, প্রবেশাধিকার সীমিত রাখা এবং তথ্য সংরক্ষণের সময় কমানো ভবিষ্যতে তথ্য প্রকাশ হয়ে যাওয়ার যেকোনো ঘটনার দীর্ঘস্থায়ী প্রভাব কমায়।

LeakData দিয়ে আপনার ইমেইল ঠিকানা যাচাই করুন এবং দেখুন সেটি QuestionPro-এর রেকর্ড বা অন্য কোনো পরিচিত তথ্য ফাঁসের ঘটনার সঙ্গে মেলে কি না। মিলে যাওয়ার অর্থ এই নয় যে এই ঘটনায় আপনার পাসওয়ার্ড বা পেমেন্টের তথ্য ছিল; এর অর্থ হলো জরিপের তথ্য ও সেবা ব্যবহারের কারিগরি তথ্যের সঙ্গে যুক্ত একটি ডেটাসেটে ঠিকানাটি উপস্থিত ছিল। কিছু ঠিকানা প্ল্যাটফর্ম থেকে তৈরি করা হয়ে থাকতে পারে, তাই ফলাফলকে ব্যক্তির সঠিক সংখ্যা বা সরাসরি QuestionPro অ্যাকাউন্ট থাকার প্রমাণ হিসেবে ধরবেন না। ঠিকানা মিলে গেলে সাম্প্রতিক জরিপের আমন্ত্রণ, পুরস্কারের নোটিশ ও গবেষণার লিংকগুলো পর্যালোচনা করুন এবং সন্দেহজনক কিছু খোলার আগে আনুষ্ঠানিক কোনো মাধ্যমে প্রেরকের পরিচয় যাচাই করুন। কোনো প্রাতিষ্ঠানিক ঠিকানা প্রভাবিত হলে নিরাপত্তা দলকে জানান এবং সহকর্মীরা একই ধরনের বার্তা পেয়েছেন কি না খোঁজ নিন। নিয়মিত সুরক্ষাব্যবস্থা হিসেবে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু রাখুন এবং সতর্কভাবে লিংক যাচাই করুন।