Romwe: তথ্য ফাঁস

যে ধরনের তথ্য ফাঁস হয়েছে বলে যাচাই করা হয়েছে, সেগুলো হলো ইমেইল ঠিকানা, নাম, ফোন নম্বর, IP ঠিকানা, বাসা বা প্রতিষ্ঠানের ঠিকানা, অবস্থান এবং পাসওয়ার্ড হ্যাশ। এই রেকর্ডে 1,95,31,820টি স্বতন্ত্র ইমেইল ঠিকানা তালিকাভুক্ত রয়েছে। অন্যদিকে, নিয়ন্ত্রক সংস্থার তদন্তে 70 লাখের বেশি ROMWE অ্যাকাউন্টের লগইন তথ্য চুরি হওয়ার কথা জানানো হয়। এই সংখ্যাগুলোর উৎস ও গণনার একক আলাদা; তাই এগুলো যোগ করা যাবে না বা যাচাইকৃত 1 কোটি 95 লাখ গ্রাহক অ্যাকাউন্ট হিসেবেও উপস্থাপন করা যাবে না। ইমেইল ও পাসওয়ার্ড হ্যাশ অ্যাকাউন্ট দখল এবং একই লগইন তথ্য অন্য সেবায় ব্যবহার করে অনধিকার প্রবেশের ঝুঁকি তৈরি করে। নাম ও ফোন নম্বর কোনো নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণা সাজাতে সাহায্য করে। ঠিকানা, অবস্থান ও IP-সংক্রান্ত তথ্য ব্যবহার করে কেনাকাটা বা ডেলিভারির বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা যায়। পেমেন্ট কার্ড নম্বর ROMWE-এর যাচাইকৃত তথ্যের ধরনগুলোর মধ্যে নেই। তাই পরিচালনাকারী প্রতিষ্ঠানের বিরুদ্ধে বিস্তৃত তদন্তে কার্ড-সংক্রান্ত যেসব তথ্য পাওয়া গেছে, সেগুলো এই রেকর্ডের অংশ হিসেবে ধরা হয়নি।

ROMWE-এর পরিচালনাকারী প্রতিষ্ঠান Zoetop Business Company, Ltd. 2018 সালের জুন মাসে একটি সাইবার আক্রমণের শিকার হয়, যা প্রতিষ্ঠানটির অভ্যন্তরীণ নেটওয়ার্কে পৌঁছেছিল। প্রতিষ্ঠানের একটি বিজ্ঞপ্তিতে বলা হয়, ROMWE-এর লগইন তথ্য জুলাই মাসে নেওয়া হয়ে থাকতে পারে। তবে নিয়ন্ত্রক সংস্থার তদন্তের সিদ্ধান্ত ছিল, সম্ভবত 2018 সালের একই আক্রমণেই সেগুলো বাইরে চলে গিয়েছিল। নির্দিষ্ট দিন প্রকাশ না করায়, এই রেকর্ডে মাসটি নির্দেশ করতে 1 জুন ব্যবহার করা হয়েছে। প্রতিষ্ঠানটি 2020 সালের 7 সেপ্টেম্বর অনলাইনে ROMWE-এর লগইন তথ্য খুঁজে পায়, ক্ষতিগ্রস্ত পাসওয়ার্ডগুলো রিসেট করে এবং ব্যবহারকারীদের জানায়। পরীক্ষা করা ডেটাসেটে পাসওয়ার্ডগুলো সল্টযুক্ত SHA-1 হ্যাশ হিসেবে ছিল বলে বর্ণনা করা হয়েছে। হ্যাশ প্লেইনটেক্সট নয়, তবে পাসওয়ার্ড সংরক্ষণের জন্য SHA-1 যথেষ্ট নিরাপদ নয় এবং দুর্বল পাসওয়ার্ড অফলাইনে উদ্ধার করা সম্ভব হতে পারে। আক্রমণটি প্রতিষ্ঠানটির পরিচালিত আরেকটি ব্র্যান্ড ও পেমেন্ট ব্যবস্থাকেও প্রভাবিত করেছিল। তবে এই ROMWE ডেটাসেটে কার্ডের তথ্য ছিল কি না, তা নিশ্চিত করার মতো যথেষ্ট প্রমাণ এখনও নেই।

যাঁরা 2018 সালের মাঝামাঝি সময়ের আগে ROMWE অ্যাকাউন্ট খুলেছিলেন এবং নাম, ফোন নম্বর, ইমেইল বা ডেলিভারির ঠিকানা দিয়েছিলেন, তাঁরাই প্রধান ঝুঁকিতে থাকা গোষ্ঠী। একই পাসওয়ার্ড ইমেইল, সামাজিক যোগাযোগমাধ্যম বা অন্য কোনো দোকানের অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে ঝুঁকি বেশি, কারণ আক্রমণকারীরা সেই লগইন তথ্য অন্য সেবায় পরীক্ষা করতে পারে। অ্যাকাউন্টের তথ্যের সঙ্গে ঠিকানা ও ফোন নম্বর মিলিয়ে ভুয়া ডেলিভারি বিজ্ঞপ্তি, অর্ডারের সমস্যা, টাকা ফেরত, কুপন, শুল্ক বা যাচাইকরণের বার্তা তৈরি করা যায়। ব্যবহার বন্ধ করা অ্যাকাউন্টও গুরুত্বপূর্ণ: ইমেইল ও ফোন নম্বর বছরের পর বছর একই থাকতে পারে, আর পুরোনো ঠিকানাও সামাজিক প্রকৌশলভিত্তিক প্রতারণায় কাজে লাগতে পারে। ডেটাসেটে কারও তথ্যের মিল পাওয়া মানেই তাঁর রেকর্ডে তালিকাভুক্ত প্রতিটি তথ্য ছিল, তাঁর পাসওয়ার্ড উদ্ধার করা হয়েছে বা তাঁর অ্যাকাউন্টের অপব্যবহার হয়েছে, এমন নয়। তথ্য ফাঁস, পাসওয়ার্ড উদ্ধার এবং নিশ্চিত অনধিকার প্রবেশ আলাদা ফলাফল; এগুলোকে একটিমাত্র দাবি হিসেবে উপস্থাপন করা উচিত নয়।

ঘটনার পর আপনি যদি ROMWE-এর পাসওয়ার্ড পরিবর্তন না করে থাকেন, অথবা অন্য কোথাও একই ধরনের পাসওয়ার্ড ব্যবহার করে থাকেন, তাহলে সেই অ্যাকাউন্টগুলো শনাক্ত করুন এবং প্রতিটির জন্য একটি শক্তিশালী ও স্বতন্ত্র পাসওয়ার্ড সেট করুন। ইমেইলকে অগ্রাধিকার দিন, কারণ পাসওয়ার্ড রিসেটের লিংক সেখানে আসে এবং ইমেইল অ্যাকাউন্টে প্রবেশাধিকার পেলে অন্য সেবার নিয়ন্ত্রণও নেওয়া সম্ভব হতে পারে। যেসব সেবায় সুবিধাটি আছে, সেগুলোতে একাধিক উপাদানভিত্তিক পরিচয় যাচাই চালু করুন, অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করুন এবং অপরিচিত সেশনগুলো বন্ধ করুন। ROMWE-এর অর্ডারের ইতিহাস, ডেলিভারির ঠিকানা ও সংরক্ষিত পদ্ধতিগুলো পরীক্ষা করুন। এই ডেটাসেটে কার্ড নম্বর থাকার বিষয়টি যাচাই করা না হলেও, সন্দেহজনক লেনদেন আপনার ব্যাংককে জানান। পণ্য পাঠানো, ফেরত দেওয়া, ছাড় বা অ্যাকাউন্ট স্থগিত করার বার্তা পেলে প্রেরকের প্রকৃত ডোমেইন ও লিংক কোথায় নিয়ে যায় তা পরীক্ষা করুন। অপ্রত্যাশিত সংযুক্তি খুলবেন না, বার্তার লিংক থেকে সাইন ইন করবেন না এবং একবার ব্যবহারযোগ্য কোড কাউকে জানাবেন না। অনুমতি ছাড়া কোনো পরিবর্তন দেখতে পেলে অ্যাকাউন্টটি সুরক্ষিত করুন এবং সেবাটির আনুষ্ঠানিক সহায়তা চ্যানেলের মাধ্যমে যোগাযোগ করুন।

প্রতিটি সেবার জন্য আলাদা পাসওয়ার্ড তৈরি করে এমন পাসওয়ার্ড ম্যানেজার ব্যবহার করলে কোনো খুচরা বিক্রেতার তথ্য ফাঁসের প্রভাব অন্য অ্যাকাউন্টে ছড়িয়ে পড়ার আশঙ্কা কমে। তথ্য ফাঁস ও দুর্বল পাসওয়ার্ডের সতর্কতা চালু করুন এবং একাধিক উপাদানভিত্তিক পরিচয় যাচাইয়ের জন্য অথেন্টিকেটর অ্যাপ বা হার্ডওয়্যার কীকে অগ্রাধিকার দিন। কেনাকাটার জন্য আলাদা ইমেইল অ্যালিয়াস ব্যবহার করলে কোনো ঠিকানা কোথায় শেয়ার করা হয়েছে তা বোঝা যেতে পারে এবং প্রতারণা শনাক্ত করা সহজ হয়। ডেলিভারি ও লেনদেনের জন্য প্রয়োজনীয় তথ্যই শুধু রাখুন; পুরোনো ঠিকানা, ফোন নম্বর ও সংযুক্ত অ্যাপ সরিয়ে দিন। যেসব অ্যাকাউন্ট আর ব্যবহার করেন না, সেগুলো মুছে ফেলার কথা বিবেচনা করুন এবং কাজটি সম্পন্ন হয়েছে কি না নিশ্চিত করুন। ব্যাংক অ্যাকাউন্টের কার্যক্রম ও নিরাপত্তা সতর্কতা নিয়মিত পর্যালোচনা করুন, তবে ইমেইলের লিংকের ওপর নির্ভর করবেন না; আনুষ্ঠানিক অ্যাপ ব্যবহার করুন বা নিজে সরাসরি ঠিকানা লিখে প্রবেশ করুন। পুরোনো ডেটাসেটের সঙ্গে নতুন তথ্য মিলিয়ে ব্যবহার করা যায়। তাই ঘটনাটি পুরোনো হলেও অ্যাকাউন্ট নিয়মিত সুরক্ষিত রাখা ও ফিশিং সম্পর্কে সচেতন থাকার প্রয়োজন ফুরিয়ে যায় না।

ইমেইলের মিল পাওয়ার অর্থ হলো, ঠিকানাটি ROMWE-সংশ্লিষ্ট 1,95,31,820টি স্বতন্ত্র ঠিকানার ডেটাসেটে ছিল। তবে এটি তদন্তে নিশ্চিত হওয়া 70 লাখের বেশি লগইন রেকর্ডের কোনটির সঙ্গে মেলে, অ্যাকাউন্টটি এখনও খোলা আছে কি না বা পাসওয়ার্ড প্লেইনটেক্সটে দেখা যাচ্ছে কি না, তা এই মিল থেকে জানা যায় না। মিল পেলে ভেবে দেখুন, 2018 সালের পাসওয়ার্ড অন্য কোথাও ব্যবহার করেছিলেন কি না। আগে ইমেইল সুরক্ষিত করুন, তারপর একই বা কাছাকাছি পুরোনো পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলো সুরক্ষিত করুন। মিল না পাওয়াও সম্পূর্ণ নিরাপত্তার নিশ্চয়তা নয়: আপনি অন্য কোনো ঠিকানা দিয়ে নিবন্ধন করে থাকতে পারেন, পরে অ্যাকাউন্ট খুলে থাকতে পারেন বা অন্য কোনো অযাচাইকৃত ঘটনার শিকার হয়ে থাকতে পারেন। এই যাচাইয়ের পাশাপাশি পাসওয়ার্ড ম্যানেজারের সতর্কতা ও একাধিক উপাদানভিত্তিক পরিচয় যাচাই ব্যবহার করুন এবং সক্রিয় সেশনগুলো পর্যালোচনা করুন। সন্দেহজনক বার্তার ক্ষেত্রে প্রেরকের প্রকৃত ডোমেইন, লিংকের গন্তব্য, দ্রুত ব্যবস্থা নেওয়ার চাপ এবং অর্থ বা যাচাইকরণ কোড চাওয়ার বিষয়গুলো একসঙ্গে মূল্যায়ন করুন। এভাবে অতীতের একটি ফলাফলকে নিয়মিত নিরাপত্তা চর্চার অংশ করা যায়।