Regpack তথ্য ফাঁস

যাচাইকৃত তথ্যের ধরনগুলো হলো ব্রাউজারের user-agent তথ্য, ক্রেডিট কার্ডের CVV ক্ষেত্র, ইমেইল ঠিকানা, IP ঠিকানা, পূর্ণ নাম, ক্রেডিট কার্ডের আংশিক তথ্য, ফোন নম্বর, বসবাসের ঠিকানা এবং ক্রয়সংক্রান্ত তথ্য। ইমেইল ঠিকানা ও ফোন নম্বর ব্যবহার করে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সরাসরি প্রতারণামূলক বার্তা পাঠানো যায়। ঠিকানা ও পূর্ণ নামের তথ্য দিয়ে বার্তাকে ব্যক্তির সঙ্গে আরও বেশি প্রাসঙ্গিক করে তোলা সহজ হয়। IP ঠিকানা ও ব্রাউজারের তথ্য থেকে অনলাইনে প্রবেশের অভ্যাস, ডিভাইসের ধরন এবং আনুমানিক অবস্থান সম্পর্কে ধারণা করা যেতে পারে।

আর্থিক ঝুঁকির কেন্দ্রে রয়েছে কার্ড নম্বরের অংশবিশেষ, মেয়াদ শেষ হওয়ার তারিখ এবং CVV ক্ষেত্র। যাচাইকৃত তথ্যক্ষেত্রের মধ্যে পুরো কার্ড নম্বরের কথা স্পষ্টভাবে উল্লেখ না থাকলেও লেনদেনের রেকর্ডের সঙ্গে থাকা কার্ডের আংশিক তথ্য ও CVV অপব্যবহারের সম্ভাবনা বাড়ায়। ক্রয়সংক্রান্ত তথ্য থেকেও বোঝা যেতে পারে ব্যবহারকারী কোন সেবার জন্য অর্থ দিয়েছেন, কখন পেমেন্ট করেছেন বা লেনদেনের প্রেক্ষাপট কী ছিল। আলাদাভাবে এই তথ্য সীমিত মনে হলেও একসঙ্গে ব্যবহার করে বিশ্বাসযোগ্য মনে হয় এমন পেমেন্ট সতর্কবার্তা, ভুয়া ইনভয়েসের বার্তা এবং অ্যাকাউন্ট হালনাগাদের অনুরোধ তৈরি করা সম্ভব।

উৎসগুলো মিলিয়ে দেখলে Regpack-এর ঘটনাটির তারিখ 20 মে 2016, রেকর্ডটি যুক্ত করার তারিখ 13 সেপ্টেম্বর 2016 এবং স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা 1,04,977 বলে নিশ্চিত হওয়া যায়। ডেটাসেটে 324 হাজার পেমেন্ট রেকর্ডের লেনদেনের সারি ছিল বলে উল্লেখ করা হয়েছে। তবে স্বতন্ত্র ইমেইল ঠিকানার ভিত্তিতে ব্যবহারকারীর সংখ্যা 1,04,977 হিসেবেই ধরতে হবে। যাচাইকৃত তথ্যক্ষেত্রের মধ্যে রয়েছে ব্রাউজারের user-agent তথ্য, CVV, ইমেইল ঠিকানা, IP ঠিকানা, নাম, কার্ডের আংশিক তথ্য, ফোন নম্বর, বসবাসের ঠিকানা এবং ক্রয়সংক্রান্ত তথ্য।

এই ঘটনায় পাসওয়ার্ড, ব্যবহারকারীর নাম, ব্যক্তিগত বার্তা, সরকারি পরিচয়পত্র, জন্মতারিখ বা ছবি ফাঁসের বিষয়টি যাচাইকৃত তথ্যক্ষেত্রের অন্তর্ভুক্ত নয়। এসব ক্ষেত্র যোগ করলে ব্যবহারকারী ঝুঁকি সম্পর্কে ভুল ধারণা পাবেন। রেকর্ডটি আগে সংবেদনশীল হিসেবে চিহ্নিত থাকলেও যাচাইকৃত শ্রেণিবিন্যাসে সংবেদনশীলতার কোনো চিহ্ন নেই। তা সত্ত্বেও পেমেন্টের তথ্য ও CVV ক্ষেত্রের কারণে ব্যবহারকারীর করণীয়কে উচ্চ অগ্রাধিকার দিতে হবে। সংবেদনশীল শ্রেণির লেবেল না থাকলেও আর্থিক তথ্য ফাঁসের প্রভাব সতর্কভাবে পর্যবেক্ষণ করা প্রয়োজন।

যাঁরা Regpack-এর মাধ্যমে পেমেন্ট, অনুষ্ঠানে নিবন্ধন, সদস্যপদ গ্রহণ বা এ ধরনের কোনো লেনদেন করেছেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। পেমেন্টের ইতিহাস, যোগাযোগের তথ্য এবং ঠিকানা একসঙ্গে থাকায় তাঁরা লক্ষ্যভিত্তিক প্রতারণামূলক বার্তার ঝুঁকিতে পড়তে পারেন। যেসব ব্যবহারকারীর ঠিকানা ও ফোন নম্বর রয়েছে, তাঁদের ভুয়া ডেলিভারি, ভুয়া ইনভয়েস, পেমেন্ট যাচাই বা কার্ড নবায়নের বার্তা দিয়ে প্রতারিত করা যেতে পারে। লেনদেনের প্রেক্ষাপট জানা থাকলে আক্রমণকারীর পক্ষে বার্তাটিকে বৈধ বলে মনে করানো আরও সহজ হয়।

যাঁরা প্রতিষ্ঠানের ইমেইল ঠিকানা দিয়ে পেমেন্ট করেন, তাঁরাও ঝুঁকিতে আছেন। ইমেইল ডোমেইন থেকে প্রতিষ্ঠানের নাম বোঝা গেলে আক্রমণকারীরা হিসাবরক্ষণ, সাবস্ক্রিপশন নবায়ন বা পেমেন্টের অবস্থা পর্যবেক্ষণসংক্রান্ত বার্তা তৈরি করতে পারে। শুধু ব্রাউজার ও IP তথ্যকে প্রযুক্তিগত দিক থেকে খুব কার্যকর মনে না-ও হতে পারে। তবে ঠিকানা, ফোন নম্বর ও পেমেন্টের তথ্যের সঙ্গে এগুলো মিলিয়ে ব্যবহারকারীর আরও বিশ্বাসযোগ্য প্রোফাইল তৈরি করা যায়। তাই ঘটনাটিকে শুধু কার্ডের নিরাপত্তার সমস্যা হিসেবে নয়, সোশ্যাল ইঞ্জিনিয়ারিং ও ইনভয়েস জালিয়াতির ঝুঁকি হিসেবেও বিবেচনা করা উচিত।

Regpack বা পেমেন্ট সেবাদাতার নামে আসা কার্ডের তথ্য হালনাগাদ, পেমেন্ট যাচাই, অর্থ ফেরত, ইনভয়েস বা সাবস্ক্রিপশন নবায়নের বার্তা সম্পর্কে আপনার সতর্ক থাকা উচিত। বার্তার লিংকে গিয়ে কার্ডের তথ্য দেবেন না। পেমেন্ট সেবাদাতার অ্যাকাউন্ট বা ব্যাংক অ্যাকাউন্ট সরাসরি আনুষ্ঠানিক মাধ্যমে যাচাই করুন। ঘটনায় প্রভাবিত সময়ে ব্যবহৃত কার্ডটি এখনো সক্রিয় থাকলে সেই সময় থেকে ব্যাংকের লেনদেনগুলো পর্যালোচনা করুন এবং কোনো অস্বাভাবিক কার্যকলাপ থাকলে কার্ড সেবাদাতাকে জানান।

CVV ক্ষেত্র ও কার্ডের আংশিক তথ্য ফাঁস হওয়ায় পেমেন্ট কার্ডের নিরাপত্তাকে অগ্রাধিকার দিতে হবে। কার্ড নবায়নের ব্যবস্থা নিন, ভার্চুয়াল কার্ডে সীমা নির্ধারণ করুন এবং লেনদেনের বিজ্ঞপ্তি ও সন্দেহজনক লেনদেনের সতর্কবার্তা চালু করুন। ইমেইল অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ ব্যবহার করুন এবং ফোন নম্বর ও বসবাসের ঠিকানা উল্লেখ করা বার্তার ক্ষেত্রে বিশেষ সতর্কতা অবলম্বন করুন। আপনার ঠিকানা বা ফোনের তথ্য উল্লেখ করে পাঠানো হুমকিমূলক বার্তার উত্তর দেবেন না। পেমেন্ট বা যাচাইয়ের অনুরোধ পেলে তা আলাদা কোনো আনুষ্ঠানিক মাধ্যমে যাচাই করুন।

দীর্ঘমেয়াদে পেমেন্ট লেনদেনের জন্য ভার্চুয়াল কার্ড, কম সীমার কার্ড বা একবার ব্যবহারযোগ্য পেমেন্ট পদ্ধতিকে প্রাধান্য দেওয়া উচিত। প্রতিটি পেমেন্ট সেবায় লেনদেনের বিজ্ঞপ্তি চালু রাখুন এবং অ্যাকাউন্টে নিবন্ধিত কার্ডগুলো নিয়মিত পর্যালোচনা করুন। আর্থিক লেনদেনে দীর্ঘদিন একই ইমেইল ঠিকানা ও ফোন নম্বর ব্যবহার করা হলে পুরোনো তথ্য ফাঁসের ভিত্তিতে চালানো প্রতারণার চেষ্টা বহু বছর পরও কার্যকর হতে পারে। তাই যোগাযোগের তথ্য ও পেমেন্টের বিজ্ঞপ্তি নিয়মিত পর্যবেক্ষণ করা উচিত।

ঠিকানা ও ফোন নম্বরের মতো স্থায়ী তথ্য পরিবর্তন করা যায় না বলে ব্যবহারকারীর আচরণ গুরুত্বপূর্ণ হয়ে ওঠে। ভুয়া ইনভয়েস, পেমেন্টের অর্থ ফেরত বা কার্ড নবায়নের বার্তা বাস্তবসম্মত মনে হলেও বার্তার লিংক দিয়ে লগইন করবেন না। আর্থিক তথ্য জড়িত অতীতের তথ্য ফাঁসের ক্ষেত্রে ব্যাংকের সতর্কবার্তা, ক্রেডিট কার্ডের সীমা এবং ক্রয়ের বিজ্ঞপ্তি সক্রিয় রাখুন। প্রতিষ্ঠানের ব্যবহারকারীদের উচিত পুরোনো পেমেন্টের তথ্য দিয়ে তৈরি সোশ্যাল ইঞ্জিনিয়ারিং বার্তা সম্পর্কে হিসাবরক্ষণ ও রেকর্ড সংরক্ষণকারী দলকে জানানো।

LeakData-তে Regpack-এর ফলাফল দেখলে আপনার 20 মে 2016 তারিখের পেমেন্ট তথ্য ফাঁসের ঘটনাটি বিবেচনায় নেওয়া উচিত। যাচাইকৃত তথ্যক্ষেত্রগুলো হলো ব্রাউজারের user-agent তথ্য, CVV, ইমেইল ঠিকানা, IP ঠিকানা, নাম, কার্ডের আংশিক তথ্য, ফোন নম্বর, বসবাসের ঠিকানা এবং ক্রয়সংক্রান্ত তথ্য। আপনার অগ্রাধিকার হওয়া উচিত ব্যাংক ও কার্ডের লেনদেন পর্যবেক্ষণ করা, পেমেন্টের বিজ্ঞপ্তি চালু করা, সন্দেহজনক বার্তার লিংক দিয়ে সাড়া না দেওয়া এবং ইমেইল অ্যাকাউন্টের নিরাপত্তা জোরদার করা।

এই ঘটনায় পাসওয়ার্ড, ব্যবহারকারীর নাম, ব্যক্তিগত বার্তা, সরকারি পরিচয়পত্র, জন্মতারিখ ও ছবির ক্ষেত্রগুলো যাচাই করা হয়নি। তাই করণীয় পরিকল্পনা এসব তথ্যের ওপর ভিত্তি করে তৈরি করা উচিত নয়। অন্যদিকে পেমেন্টের তথ্য, CVV, যোগাযোগের তথ্য ও বসবাসের ঠিকানার ক্ষেত্রগুলো বাস্তব ঝুঁকি তৈরি করে। আপনার উচিত আনুষ্ঠানিক মাধ্যমে কার্ড সেবাদাতার সঙ্গে যোগাযোগ করা, সন্দেহজনক লেনদেনের সতর্কবার্তা সক্রিয় রাখা এবং Regpack বা পেমেন্ট সেবাদাতার নাম ব্যবহার করে পাঠানো বার্তা সতর্কভাবে পরীক্ষা করা।