schenkYOU: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: জন্মতারিখ, ইমেইল ঠিকানা, নাম ও পাসওয়ার্ড। জন্মতারিখ ও নামের তথ্য ইমেইল ঠিকানার সঙ্গে মিলিয়ে ব্যবহার করলে ব্যক্তিকে লক্ষ্য করে চালানো প্রতারণার প্রচেষ্টা আরও কার্যকর হতে পারে। শুধু ইমেইল ফাঁসের তুলনায় এসব তথ্যক্ষেত্র একসঙ্গে থাকলে ঝুঁকি বেশি হতে পারে; কারণ আক্রমণকারীরা একই ব্যক্তির যোগাযোগ, পরিচয়, অবস্থান, কেনাকাটা বা অ্যাকাউন্টে প্রবেশের সঙ্গে সম্পর্কিত তথ্য মিলিয়ে আরও বিশ্বাসযোগ্য ফিশিং প্রচেষ্টা চালাতে পারে।

পাসওয়ার্ড ক্ষেত্রটি সল্টযুক্ত SHA-256 ফরম্যাটে রয়েছে বলে মনে হয়; এটি সাধারণ পাঠ্যরূপে রাখা পাসওয়ার্ডের চেয়ে ভালো হলেও দুর্বল বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ঝুঁকি পুরোপুরি দূর হয় না। ব্যবহারকারীদের বিশেষ করে এমন প্রতারণার প্রচেষ্টার বিষয়ে সতর্ক থাকা উচিত, যেখানে বিভিন্ন সেবায় তাঁদের ব্যবহৃত পাসওয়ার্ডকে একই ইমেইল ঠিকানা, ফোন নম্বর ও ঠিকানার তথ্যের সঙ্গে মিলিয়ে ব্যবহার করা হয়। ফাঁস হওয়া তথ্যে পাসওয়ার্ড না থাকলেও ইমেইল, ফোন নম্বর, পূর্ণ নাম বা বাসস্থান কিংবা যোগাযোগের ঠিকানার মতো তথ্যক্ষেত্র লক্ষ্যভিত্তিক বিজ্ঞাপন, সামাজিক প্রকৌশল, ভুয়া বিজ্ঞপ্তি ও অ্যাকাউন্ট পুনরুদ্ধার ব্যবস্থার অপব্যবহারের জন্য মূল্যবান।

রেকর্ডটি দোকানের স্বতন্ত্র অবকাঠামোর গ্রাহক অ্যাকাউন্টগুলোর সঙ্গে সম্পর্কিত। প্রভাবিত স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা আনুমানিক প্রায় 2,37,000 বলে ধারণা করা হয়েছে। তাই এটিকে কোম্পানির চূড়ান্ত বিবৃতি হিসেবে বিস্তৃত না করে, আমরা রেকর্ডটি উপলব্ধ তথ্যক্ষেত্রের মধ্যেই সীমিত রাখছি। ঘটনাটি নিশ্চিত রেকর্ডের শ্রেণিতে পড়ে। এই পরিসরের সীমা গুরুত্বপূর্ণ: তালিকায় নেই এমন তথ্যের ধরন নিয়ে ব্যবহারকারীদের অযথা সতর্কবার্তা দেওয়া হয় না, তবে তালিকাভুক্ত তথ্যক্ষেত্রগুলোর সম্মিলিত প্রভাবও ছোট করে দেখা উচিত নয়।

দোকানটি পরে নিজের স্বতন্ত্র বিক্রয়মাধ্যম বন্ধ করে দিলেও তাতে ঘটনার প্রযুক্তিগত প্রভাব কমে না; ফাঁস হওয়া অ্যাকাউন্টের তথ্য পরেও অপব্যবহার করা হতে পারে। যেখানে একই ঘটনা একাধিকবার নথিভুক্ত হওয়ার বা ভুল প্রতিষ্ঠানের সঙ্গে যুক্ত হওয়ার সম্ভাবনা রয়েছে, সেখানে শিরোনাম, ডোমেইন নাম, দেশ ও খাতের তথ্যও আলাদাভাবে যাচাই করা হয়েছে। কাছাকাছি নামের ভিন্ন প্ল্যাটফর্ম বা একই খাতে পরিচালিত ভিন্ন সেবাগুলোকে একটিমাত্র ঘটনা হিসেবে এই রেকর্ডের অধীনে একত্র করা হয়নি।

যেসব গ্রাহক schenkYOU অ্যাকাউন্ট খুলেছেন, যাঁরা অন্য ই-কমার্স সাইটেও একই পাসওয়ার্ড ব্যবহার করেন এবং যাঁদের জন্মতারিখের তথ্য ব্যবহার করে লক্ষ্যবস্তু করা যেতে পারে, তাঁরা ঝুঁকিতে রয়েছেন। এই গোষ্ঠীর ব্যক্তিদের জন্য সবচেয়ে গুরুত্বপূর্ণ ঝুঁকি হলো, ফাঁস হওয়া তথ্যক্ষেত্রগুলো তাঁদের দৈনন্দিন অ্যাকাউন্টের নিরাপত্তার সঙ্গে যুক্ত হতে পারে। কোনো ব্যবহারকারী কেনাকাটা, গেমিং, কমিউনিটি, ডেটিং, কাজ বা আর্থিক সেবার জন্য একই ইমেইল ঠিকানা ব্যবহার করলে, আক্রমণকারীরা সেই তথ্য ব্যবহার করে এমন বার্তা তৈরি করতে পারে, যা আসল সেবা থেকে এসেছে বলে মনে হয়।

উপহার ও কেনাকাটার প্রসঙ্গকে কাজে লাগিয়ে ভুয়া অর্ডার বিজ্ঞপ্তি, ভুয়া ডেলিভারি সতর্কবার্তা বা কুপনযুক্ত ফিশিং প্রচেষ্টা চালানো যেতে পারে। কর্পোরেট ডোমেইনের ইমেইল ঠিকানাও ব্যবসায়িক অ্যাকাউন্টে আক্রমণের লক্ষ্য হতে পারে। ব্যক্তিগত ব্যবহারকারীদের ক্ষেত্রে ফোন নম্বর, ঠিকানা, জন্মতারিখ, প্রোফাইল ছবি, কেনাকাটা বা ডিভাইসের তথ্যের মতো তথ্যক্ষেত্রের কারণে অ্যাকাউন্ট দখল, ফিশিং, হয়রানি, অনুমতি ছাড়া গতিবিধি অনুসরণ ও সুনামহানির ঝুঁকির মতো পরিণতি দেখা দিতে পারে।

প্রভাবিত ব্যবহারকারীদের প্রথমেই schenkYOU অ্যাকাউন্টে ব্যবহৃত পাসওয়ার্ড এবং একই পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। যেসব রেকর্ডে পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো তথ্যক্ষেত্র রয়েছে, সেসব ক্ষেত্রে ব্যবহারকারীদের একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো, শক্তিশালী ও প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা এবং সম্ভব হলে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। যেসব রেকর্ডে পাসওয়ার্ড তালিকাভুক্ত নেই, সেসব ক্ষেত্রে ইমেইল ও ফোনে আসা অপ্রত্যাশিত যাচাইকরণ কোড, লিংক ও সংযুক্ত ফাইল আরও সতর্কভাবে যাচাই করা উচিত।

যেসব রেকর্ডে ঠিকানা, জন্মতারিখ, সরকারি পরিচয়সংক্রান্ত তথ্য, প্রোফাইল ছবি বা অবস্থানের তথ্য রয়েছে, সেসব ক্ষেত্রে ব্যবহারকারীদের পরিচয় যাচাইয়ের প্রশ্ন হালনাগাদ করা, অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পর্যালোচনা করা এবং তাঁদের পরিচয়ে ভুয়া প্রোফাইল তৈরি হচ্ছে কি না, তা নজরে রাখা উচিত। এসব তথ্যক্ষেত্র ব্যবহার করে কর্মীদের লক্ষ্যবস্তু করা হচ্ছে কি না, সে বিষয়ে কর্পোরেট ব্যবহারকারীদের নিরাপত্তা দলকে জানানো উচিত।

খুচরা বিক্রেতার অ্যাকাউন্টে সময়ের সঙ্গে ডেলিভারি, বিলিং ও যোগাযোগের তথ্য জমতে থাকে। তাই পুরোনো কেনাকাটার অ্যাকাউন্টগুলো নিয়মিত পর্যালোচনা করে অপ্রয়োজনীয় তথ্য সরানো দরকার। দীর্ঘমেয়াদে প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, পাসওয়ার্ড ম্যানেজার, বহু-উপাদানভিত্তিক প্রমাণীকরণ, নিয়মিত সেশন যাচাই এবং পুরোনো অ্যাকাউন্ট বন্ধ করা, এসবই নিরাপত্তার মৌলিক কাঠামো গড়ে তোলে। কোনো ইমেইল ঠিকানা আগে একাধিক ঘটনায় প্রকাশিত হয়ে থাকলে তা ঝুঁকি জমতে থাকার ইঙ্গিত দেয়, যা শুধু একটি অ্যাকাউন্ট নিবন্ধনের মধ্যে সীমাবদ্ধ নয়।

এ ধরনের ঘটনার পর শুধু সংশ্লিষ্ট প্ল্যাটফর্মের পাসওয়ার্ড বদলানোই ব্যবহারকারীদের জন্য যথেষ্ট নাও হতে পারে। একই ফোন নম্বর, একই ডেলিভারি ঠিকানা, একই ব্যবহারকারীর নাম বা একই পুনরুদ্ধার ইমেইল অন্য সেবাতেও ব্যবহার করা হলে, আক্রমণকারীরা এই মিলগুলো কাজে লাগিয়ে বিভিন্ন অ্যাকাউন্টে প্রবেশের চেষ্টা করতে পারে। তাই অ্যাকাউন্টগুলোর একটি তালিকা তৈরি করা এবং পুরোনো সদস্যপদগুলো পর্যালোচনা করে অপ্রয়োজনীয়গুলো বন্ধ করা স্থায়ী সুরক্ষা দেয়।

নিজের ইমেইল ঠিকানার সঙ্গে এই ঘটনার মিল আছে কি না যাচাই করার পর, ব্যবহারকারীর বিশেষভাবে তাঁর কেনাকাটার অ্যাকাউন্টগুলোর লগইন ইতিহাস ও সংরক্ষিত পেমেন্ট পদ্ধতি পর্যালোচনা করা উচিত। কোন তথ্যক্ষেত্রগুলো ঝুঁকিতে রয়েছে, তা সরাসরি দেখানোর জন্য এই রেকর্ড তৈরি করা হয়েছে। মিল পাওয়া গেলে প্রথম পদক্ষেপ আতঙ্কিত হওয়া নয়; বরং প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড দেওয়া, চালু সেশনগুলো থেকে লগআউট করা, নিরাপত্তা বিজ্ঞপ্তি পর্যালোচনা করা এবং সন্দেহজনক লগইন হয়েছে কি না যাচাই করা।

চূড়ান্ত মূল্যায়ন: জার্মান উপহারের দোকানটির প্রেক্ষাপটে এই রেকর্ড অ্যাকাউন্ট ও পরিচয় যাচাইসংক্রান্ত ঝুঁকি নির্দেশ করে। তথ্যক্ষেত্রগুলো সীমিত বলে মনে হলেও পাসওয়ার্ড ও জন্মতারিখ একসঙ্গে থাকায় রেকর্ডটিকে সংবেদনশীল হিসেবে বিবেচনা করা হয়। ব্যবহারকারীর উচিত এই পৃষ্ঠার তথ্যক্ষেত্রের তালিকার সঙ্গে নিজের অ্যাকাউন্টের ইতিহাস মিলিয়ে দেখা এবং যেসব সেবায় একই ইমেইল-পাসওয়ার্ড জোড়া ব্যবহার করা হয়েছে, সেখানে অবিলম্বে ব্যবস্থা নেওয়া। ঘটনার পর সন্দেহজনক বার্তা, অপ্রত্যাশিত কল বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তির বিষয়ে ব্যবস্থা নেওয়াকে বেশি অগ্রাধিকার দেওয়া উচিত।