Raychat: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলোর মধ্যে রয়েছে ব্রাউজারের ইউজার এজেন্টের বিবরণ, ইমেইল ঠিকানা, IP ঠিকানা, নাম ও পাসওয়ার্ড। মূল্যায়ন অনুযায়ী, পাসওয়ার্ডগুলো bcrypt হ্যাশ হিসেবে সংরক্ষিত আছে বলে ধারণা করা হয়েছিল; দুর্বল বা পুনর্ব্যবহৃত পাসওয়ার্ডের ক্ষেত্রে ঝুঁকি থেকেই যায়। যাচাই করা হয়নি এমন পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যক্তিগত বার্তা, স্বাস্থ্য-সংক্রান্ত রেকর্ড বা প্রোফাইলের অতিরিক্ত ক্ষেত্র তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি; শুধু প্রমাণসমর্থিত ক্ষেত্রগুলো রাখা হয়েছিল।

IP ও ব্রাউজারের তথ্য থেকে অ্যাকাউন্ট ব্যবহারের ডিভাইস ও সংযোগের পরিবেশ সম্পর্কে অতিরিক্ত ধারণা পাওয়া যেতে পারে। শুধু একটি ইমেইল ঠিকানা প্রকাশ পেলেও অনাকাঙ্ক্ষিত বার্তা পাওয়ার ঝুঁকি থাকে; এর সঙ্গে ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ, পাসওয়ার্ড, সরকারি পরিচয়পত্র, সহায়তা-সংক্রান্ত রেকর্ড, যানবাহনের তথ্য বা ভৌত অবস্থানের ঠিকানা যুক্ত হলে আক্রমণকারীর পক্ষে নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে বার্তা তৈরি করা সহজ হয়। এই সম্মিলিত প্রভাবের ভিত্তিতে ঝুঁকি মূল্যায়ন করা হয়েছিল।

2021 সালের জানুয়ারির Raychat তথ্য দিয়ে ঘটনার পরিসর যাচাই করা হয়েছিল। নিশ্চিত হওয়া অংশগুলো রাখা হয়েছিল এবং যাচাই করা হয়নি এমন অংশগুলো বাদ দেওয়া হয়েছিল। কাছাকাছি নামের তথ্যসমষ্টি, একই কোম্পানির ভিন্ন সময়ের ঘটনা বা ভুলভাবে কোনো খাতের সঙ্গে যুক্ত করা ঘটনার সঙ্গে এই ঘটনাগুলো একত্র করা হয়নি।

এই নথিভুক্তি শুধু raychat.ir ডোমেইন নামের মধ্যে সীমাবদ্ধ এবং অন্য কোনো ইরানি প্ল্যাটফর্মের সঙ্গে একত্র করা হয়নি। ডোমেইন নাম, কোম্পানির নাম ও খাতের তথ্য যতটা সম্ভব সুনির্দিষ্ট ও নির্ভুল প্রেক্ষাপটে রাখা হয়েছিল। যেখানে অনিশ্চয়তা ছিল, সেখানে যাচাইকৃত অবস্থার নির্দেশক বা ওয়েবসাইটের ডোমেইন সেই অনুযায়ী নির্ধারণ করা হয়েছিল; ফলে কোনো ব্র্যান্ডের দায় সম্পর্কে অনিশ্চিত তথ্য ব্যবহারকারীকে দেখানো হয়নি।

ঝুঁকিতে থাকা ব্যক্তিদের মধ্যে Raychat অ্যাকাউন্টধারী এবং অন্য সামাজিক প্ল্যাটফর্মে একই ইমেইল বা একই ধরনের পাসওয়ার্ড ব্যবহার করেন এমন ব্যক্তিরা থাকতে পারেন। যাঁদের তথ্যের মিল পাওয়া যায়, তাঁদের সংশ্লিষ্ট সেবার বাইরে থাকা অন্য অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত, যেখানে তাঁরা একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা একই ধরনের পাসওয়ার্ড ব্যবহার করেন।

প্ল্যাটফর্মটি আর ব্যবহার করা না হলেও বর্তমানে ব্যবহৃত অ্যাকাউন্টে পুরোনো পাসওয়ার্ড রয়ে যেতে পারে। করপোরেট ইমেইল, গেমের ফোরাম, মোটরসাইকেলের গ্রাহক-সংক্রান্ত রেকর্ড, শপিং মলের অ্যাপ্লিকেশন, সহায়তার অনুরোধ, ভাড়া-সংক্রান্ত অ্যাকাউন্ট, বিপণনের তালিকা বা ম্যালওয়্যারের সঙ্গে সংশ্লিষ্টতা থাকলে সামাজিক প্রকৌশলের মাধ্যমে প্রতারণার ঝুঁকি বাড়তে পারে। কোনো বিবরণ সঠিক মনে হলেই তা বিশ্বাসযোগ্যতার প্রমাণ হয় না।

ক্ষতিগ্রস্ত ব্যবহারকারীদের Raychat-এর পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। রেকর্ডে পাসওয়ার্ডের ক্ষেত্র থাকলে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা উচিত; পাসওয়ার্ডের ক্ষেত্র না থাকলে ইমেইল, ফোন, ভুয়া বিজ্ঞপ্তি, গোপনীয়তা এবং পরিচয়ের তথ্য মিলিয়ে নেওয়ার ঝুঁকির দিকে মনোযোগ দেওয়া উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা উচিত অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত তথ্য ব্যবহার করা উচিত। চালান, অ্যাকাউন্টের সতর্কতা, গেমের পুরস্কার, সহায়তা, পণ্য পাঠানো, গ্রাহকসেবা, রক্ষণাবেক্ষণের নির্ধারিত সময়, জনসাধারণের জন্য বিজ্ঞপ্তি বা সাবস্ক্রিপশন নবায়ন-সংক্রান্ত বার্তা স্বতন্ত্র কোনো মাধ্যমে যাচাই না করে বিশ্বাস করা উচিত নয়।

সামাজিক প্ল্যাটফর্মের পুরোনো অ্যাকাউন্ট বন্ধ করা উচিত অথবা প্রতিটির জন্য আলাদা পাসওয়ার্ড রাখা উচিত। ইমেইল অ্যাকাউন্টে দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করে সুরক্ষা দেওয়া উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট, প্রোফাইলের অপ্রয়োজনীয় ক্ষেত্র, একাধিক জায়গায় ব্যবহৃত একই ব্যবহারকারীর নাম এবং পুরোনো ফোন ও ঠিকানার তথ্য সরিয়ে বা হালনাগাদ করে নেওয়া উচিত। প্রতিটি সেবায় আলাদা পাসওয়ার্ড রাখা এবং সম্ভব হলে দুই-উপাদানভিত্তিক প্রমাণীকরণ চালু করাকে মৌলিক নিয়ম হিসেবে অনুসরণ করা উচিত।

সেবাদাতাদের ক্ষেত্রে তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, অ্যাক্সেস লগ পর্যবেক্ষণ, অপ্রয়োজনীয় ক্ষেত্র মুছে ফেলা এবং ব্যবহারকারীদের অবহিত করার প্রক্রিয়া প্রস্তুত রাখা প্রয়োজন। বন্ধ বা নিষ্ক্রিয় সামাজিক প্ল্যাটফর্মও ব্যবহারকারীর তথ্য সুরক্ষা ও তাঁদের অবহিত করার দায়বদ্ধতার ক্ষেত্রে ঝুঁকি তৈরি করে। ঘটনার পরিসর নির্ভুলভাবে ব্যাখ্যা করাও নিরাপত্তার কাজের অংশ; অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

আপনার প্রথমে এই রেকর্ডে নিজের ইমেইল ঠিকানা দিয়ে যাচাই করা উচিত। মিল পাওয়া গেলে ধরে নেওয়া উচিত যে নাম, IP, ব্রাউজারের তথ্য ও পাসওয়ার্ডের ক্ষেত্রগুলো ঝুঁকিতে থাকতে পারে। মিল না পাওয়া গেলেও ভিন্ন ইমেইল ব্যবহার করা হয়েছিল কি না বা পুরোনো পাসওয়ার্ড অন্য কোথাও পুনর্ব্যবহার করা হচ্ছে কি না, সেই সম্ভাবনা পুরোপুরি বাদ যায় না; গুরুত্বপূর্ণ অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত।

এই রেকর্ডের যাচাইকৃত অবস্থা বজায় ছিল; দেশ ও খাতের তথ্য ইরানি সামাজিক প্ল্যাটফর্মের প্রেক্ষাপটে নির্ধারণ করা হয়েছিল। এই বিন্যাসে তথ্যের ক্ষেত্রগুলো ইংরেজিতে নির্ধারিত মানক শ্রেণি হিসেবেই রাখা হয়েছিল, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় লেখা হয়েছিল এবং লেখাটি ছিল মৌলিক; যাচাই করা হয়নি এমন ক্ষেত্র যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই শুধু সংবেদনশীলতার নির্দেশক ব্যবহার করা হয়েছিল।