Rightbiz: তথ্য ফাঁস

এই রেকর্ডে দেখা তথ্যের ধরনগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর ও বাসা বা প্রতিষ্ঠানের ঠিকানা। পাসওয়ার্ড ফিল্ডটি যাচাই করা হয়নি; ঝুঁকিটি যোগাযোগ ও চাকরির বিজ্ঞাপনের প্রেক্ষাপটে রয়েছে। যাচাই না হওয়া পেমেন্ট কার্ড, ব্যাংক অ্যাকাউন্ট, ব্যক্তিগত বার্তা, স্বাস্থ্যসংক্রান্ত রেকর্ড বা অতিরিক্ত প্রোফাইল ফিল্ড তথ্যের শ্রেণির তালিকায় যোগ করা হয়নি; কেবল প্রমাণসমর্থিত ফিল্ডগুলো রাখা হয়েছিল।

ব্যবসা বিক্রি, ফ্র্যাঞ্চাইজিং, ব্রোকার বা বিনিয়োগবিষয়ক বার্তার সঙ্গে নাম, ফোন নম্বর ও ঠিকানা থাকলে সেগুলো বেশি বিশ্বাসযোগ্য মনে হতে পারে। শুধু একটি ইমেইল ঠিকানা চাওয়াও অবাঞ্ছিত বার্তা পাওয়ার ঝুঁকি তৈরি করে; এর সঙ্গে ফোন নম্বর, ঠিকানা, IP, জন্মতারিখ, পাসওয়ার্ড, সরকারি পরিচয়পত্র, সহায়তাসংক্রান্ত রেকর্ড, যানবাহনের তথ্য বা বাসা বা প্রতিষ্ঠানের ঠিকানা যুক্ত হলে আক্রমণকারীর পক্ষে নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে বার্তা তৈরি করা সহজ হয়। এই সম্মিলিত প্রভাবের ভিত্তিতে ঝুঁকি মূল্যায়ন করা হয়েছিল।

2023 সালের গ্রীষ্মে 65,376টি ইমেইল ঠিকানা দিয়ে ঘটনার পরিধি যাচাই করা হয়েছিল। যাচাইকৃত ফিল্ডগুলো রাখা হয়েছিল, আর অনিশ্চিত ফিল্ডগুলো বাদ দেওয়া হয়েছিল। একই ধরনের নামের ডেটাসেট, একই কোম্পানির ভিন্ন সময়ের ঘটনা বা ভুল খাতের পরিচয়ের সঙ্গে এই ঘটনাকে একত্র করা হয়নি।

নথিভুক্ত রেকর্ডটি rightdev.co.uk ডোমেইন নামের সঙ্গে যুক্ত ছিল এবং অন্য ব্যবসা বিক্রির মার্কেটপ্লেসের নথিভুক্ত রেকর্ডের সঙ্গে একত্র করা হয়নি। ডোমেইন নাম, কোম্পানির নাম ও খাতের তথ্য যতটা সম্ভব সুনির্দিষ্ট ও নির্ভুল প্রেক্ষাপটের মধ্যে রাখা হয়েছিল। যেসব ক্ষেত্রে অনিশ্চয়তা ছিল, সেসব ক্ষেত্রে যাচাইকৃত হিসেবে চিহ্নিত করার ফ্ল্যাগ বা ওয়েবসাইট ফিল্ড সে অনুযায়ী নির্ধারণ করা হয়েছিল; ফলে নিশ্চিত নয় এমন কোনো ব্র্যান্ডের দায় ব্যবহারকারীর সামনে তুলে ধরা হয়নি।

ঝুঁকিতে থাকা ব্যবহারকারীদের মধ্যে Rightbiz-এ বিজ্ঞাপন দেন এমন ব্যক্তি, সেবা কিনতে চান এমন ব্যক্তি অথবা যোগাযোগের ফর্ম পূরণ করে জমা দেন এমন ব্যক্তি থাকতে পারেন। যাঁদের তথ্য এই রেকর্ডের সঙ্গে মিলে যায়, তাঁদের উচিত সংশ্লিষ্ট সেবার বাইরেও যেসব অ্যাকাউন্টে তাঁরা একই ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম বা পাসওয়ার্ডের ধরন ব্যবহার করেন, সেগুলো পর্যালোচনা করা।

ব্যবসার ঠিকানা বা ফোনের তথ্য রয়েছে এমন ব্যবহারকারীদের ভুয়া বিনিয়োগ, অর্থ পরিশোধ বা পরামর্শসেবার বার্তা দিয়ে লক্ষ্যবস্তু করা হতে পারে। করপোরেট ইমেইল, গেমিং ফোরাম, মোটরসাইকেলের গ্রাহক রেকর্ড, শপিং মলের আবেদন, সহায়তার অনুরোধ, ভাড়ার অ্যাকাউন্ট, বিপণন তালিকা বা ম্যালওয়্যারের প্রেক্ষাপট থাকলে সামাজিক প্রকৌশলের ঝুঁকি বাড়তে পারে। কোনো বিবরণ সঠিক বলে মনে হওয়াই সেটিকে বিশ্বাস করার যথেষ্ট কারণ নয়।

ক্ষতিগ্রস্ত ব্যবহারকারীদের ব্যবসা বিক্রি, বিনিয়োগ, পরামর্শসেবা ও অর্থ পরিশোধের অনুরোধ আনুষ্ঠানিক যোগাযোগমাধ্যমে যাচাই করা উচিত। যেসব রেকর্ডে পাসওয়ার্ড ফিল্ড রয়েছে, সেগুলোর ক্ষেত্রে একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত; যেসব রেকর্ডে পাসওয়ার্ড ফিল্ড নেই, সেগুলোর ক্ষেত্রে ইমেইল, ফোন, ভুয়া বিজ্ঞপ্তি, গোপনীয়তা ও পরিচয় মিলিয়ে শনাক্ত করার ঝুঁকির ওপর গুরুত্ব দেওয়া উচিত।

বার্তার লিংকে ক্লিক না করে সংশ্লিষ্ট সেবার ঠিকানা নিজে টাইপ করা উচিত অথবা বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সংরক্ষিত রেকর্ড ব্যবহার করা উচিত। চালান, অ্যাকাউন্টের সতর্কবার্তা, গেমের পুরস্কার, সহায়তা, পণ্য পাঠানো, গ্রাহকসেবা, রক্ষণাবেক্ষণের অ্যাপয়েন্টমেন্ট, গণবিজ্ঞপ্তি বা সাবস্ক্রিপশন নবায়নের বার্তা স্বাধীন কোনো মাধ্যমে যাচাই না করে গ্রহণ করা উচিত নয়।

চাকরির মার্কেটপ্লেসে ব্যক্তিগত ও ব্যবসায়িক যোগাযোগের তথ্য আলাদা রাখা উচিত এবং অপ্রয়োজনীয়ভাবে ঠিকানা প্রকাশ করা কমানো উচিত। ব্যবহারকারীদের নিয়মিত পুরোনো অ্যাকাউন্ট, প্রোফাইলের অপ্রয়োজনীয় ফিল্ড, একাধিক জায়গায় ব্যবহৃত একই ব্যবহারকারীর নাম এবং পুরোনো ফোন ও ঠিকানার তথ্য সরিয়ে ফেলা উচিত। প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড এবং সম্ভব হলে দুই ধাপে যাচাইকরণ ব্যবহার করা মৌলিক নিয়ম হওয়া উচিত।

সেবাদাতাদের দিক থেকে তথ্য সংগ্রহ ও সংরক্ষণ সীমিত রাখা, পাসওয়ার্ডের শক্তিশালী সুরক্ষা, অ্যাক্সেস লগ পর্যবেক্ষণ, অপ্রয়োজনীয় ফিল্ড মুছে ফেলা এবং ব্যবহারকারীদের জানানোর প্রক্রিয়া প্রস্তুত রাখা প্রয়োজন। মার্কেটপ্লেস প্ল্যাটফর্মগুলোর বিজ্ঞাপনের তথ্য ও যোগাযোগের রেকর্ড আলাদাভাবে সংরক্ষণ করা উচিত। ঘটনার পরিধি সঠিকভাবে ব্যাখ্যা করাও নিরাপত্তার কাজের অংশ; অতিরঞ্জিত বা অসম্পূর্ণ তথ্য ব্যবহারকারীকে ভুল পদক্ষেপ নিতে প্ররোচিত করতে পারে।

এই রেকর্ডের ক্ষেত্রে ব্যবহারকারীর প্রথমে নিজের ইমেইল ঠিকানা দিয়ে যাচাই করা উচিত। মিল পাওয়া গেলে ধরে নেওয়া উচিত যে ফোন নম্বর ও বাসা বা প্রতিষ্ঠানের ঠিকানা কর্মসংক্রান্ত বার্তায় ব্যবহার করা যেতে পারে। মিল না পাওয়া মানেই ভিন্ন ইমেইল ব্যবহার বা পুরোনো পাসওয়ার্ড পুনরায় ব্যবহারের সম্ভাবনা পুরোপুরি নাকচ হয়ে যাওয়া নয়; গুরুত্বপূর্ণ অ্যাকাউন্টগুলোও পর্যালোচনা করা উচিত।

এই রেকর্ডটি যাচাইকৃত অবস্থায় রাখা হয়েছিল; পাসওয়ার্ড বা ব্যক্তিগত শ্রেণির তথ্য যাচাই করা হয়নি বলে সংবেদনশীলতার ফ্ল্যাগ বন্ধ রাখা হয়েছিল। এই সম্পাদনায় তথ্যের ফিল্ডগুলো ইংরেজি মানক শ্রেণি হিসেবে রাখা হয়েছিল, ব্যবহারকারীর কাছে দৃশ্যমান বিবরণটি তুর্কি ভাষায় লেখা একটি মৌলিক রচনা ছিল, যাচাই না হওয়া ফিল্ড যোগ করা হয়নি এবং ঝুঁকির প্রেক্ষাপট সমর্থন করলেই কেবল সংবেদনশীলতার ফ্ল্যাগ ব্যবহার করা হয়েছিল।