ShopBack: তথ্য ফাঁস

ShopBack-এর ঘটনায় ইমেইল ঠিকানা, দেশ বা ভৌগোলিক অবস্থানের তথ্য, নাম, ফোন নম্বর ও পাসওয়ার্ড হ্যাশ ফাঁস হয়। নিয়ন্ত্রক সংস্থার তদন্তে আরও নিশ্চিত করা হয় যে সিঙ্গাপুর-সংক্রান্ত অংশে প্রায় 3,00,000টি ব্যাংক অ্যাকাউন্ট নম্বর এবং আনুমানিক 3,80,000 জনের ক্রেডিট কার্ডের আংশিক তথ্য ছিল। পাসওয়ার্ডগুলো সাধারণ পাঠ্য আকারে ছিল না; সেগুলো ছিল সল্ট যোগ করা SHA-1 হ্যাশ। সল্ট যোগ করলে আক্রমণের গতি কমে, তবে SHA-1 দুর্বল পাসওয়ার্ডকে নিরাপদ করে না। ইমেইল, নাম, ফোন ও দেশের তথ্য ব্যবহার করে টাকা ফেরত, ক্যাশব্যাক উত্তোলন বা অ্যাকাউন্ট যাচাইয়ের ভুয়া বার্তাকে ব্যক্তির সঙ্গে মানানসই করে সাজানো যায়। ব্যাংক অ্যাকাউন্ট ও কার্ডের আংশিক তথ্য দিয়ে সরাসরি লেনদেন করা সম্ভব নয়, তবে এসব তথ্য প্রতারককে বিশ্বাস অর্জনে সাহায্য করতে পারে। সম্পূর্ণ কার্ড নম্বর, নিরাপত্তা কোড, ক্যাশব্যাকের ব্যালান্স, জন্মতারিখ, লিঙ্গ ও কেনাকাটার বিস্তারিত ইতিহাস ফাঁস হওয়া কাঠামোবদ্ধ ডেটার নিশ্চিত বিভাগগুলোর মধ্যে নেই। আর্থিক তথ্যের ক্ষেত্রগুলো আঞ্চলিক তদন্তে নিশ্চিত করা হয়েছে; বিশ্বব্যাপী প্রতিটি রেকর্ডে এসব তথ্য ছিল বলে ধরে নেওয়া উচিত নয়।

ঘটনার সূত্রপাত হয় 2019 সালের জুন মাসে, যখন পূর্ণ অনুমতিসম্পন্ন একটি ক্লাউড অ্যাক্সেস কী ভুল করে একটি প্রাইভেট সোর্স-কোড রিপোজিটরিতে সংরক্ষণ করা হয়। দৃশ্যমান ফাইল থেকে কীটি সরিয়ে দেওয়া হলেও পরিবর্তনের ইতিহাসে সেটি থেকে যায়, আর কী বদলানোর সময় পুরোনো কীটি পুরোপুরি নিষ্ক্রিয় করা হয়নি। প্রায় 15 মাস পরে, 2020 সালের 9 সেপ্টেম্বর, একজন আক্রমণকারী কীটি ব্যবহার করে ক্লাউড পরিবেশে প্রবেশ করে, নিরাপত্তার সেটিংস বদলায় এবং গ্রাহকদের রেকর্ড বের করে নেয়। 17 সেপ্টেম্বর নিয়মিত পর্যালোচনার সময় ShopBack এই প্রবেশের ঘটনা শনাক্ত করে; এই তারিখটিই তথ্য ফাঁসের মূল তারিখ হিসেবে নথিভুক্ত আছে, আর 9 সেপ্টেম্বর আক্রমণের তারিখ হিসেবে নথিভুক্ত। কোম্পানি কীটি মুছে দেয়, অ্যাক্সেসের ক্রেডেনশিয়াল বদলায় এবং সব গ্রাহককে সাইন আউট করে পাসওয়ার্ড রিসেট করতে বাধ্য করে। 2020 সালের 12 নভেম্বর ডেটাবেসটি বিক্রির প্রস্তাব দেওয়া হয়। 2,05,29,819 সংখ্যাটি বিশ্বব্যাপী স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা; নিয়ন্ত্রক সংস্থার হিসাবে শুধু সিঙ্গাপুরের সংখ্যা 14 লাখের বেশি; এই সংখ্যা বৈশ্বিক মোটের সঙ্গে যোগ করা যাবে না। এই পার্থক্য বজায় রাখলে আঞ্চলিক হিসাব যোগ করে বৈশ্বিক রেকর্ডের মোট সংখ্যা বাড়িয়ে দেখানো হয় না।

যাঁরা 2020 সালের আগে ShopBack অ্যাকাউন্ট খুলেছিলেন এবং ইমেইল, ফোন নম্বর বা দেশের তথ্য দিয়েছিলেন, তাঁরা প্রধান ঝুঁকিতে আছেন। যাঁরা ইমেইল, কেনাকাটা, ভ্রমণ বা আর্থিক সেবায় ShopBack-এর পাসওয়ার্ড আবার ব্যবহার করেছেন, তাঁদের অ্যাকাউন্টের নিয়ন্ত্রণ অন্যের হাতে চলে যাওয়ার ঝুঁকি বেশি। সিঙ্গাপুরের পর্যালোচনায় প্রায় 14 লাখ ইমেইল ঠিকানা, 8,40,000টি নাম, 4,50,000টি মোবাইল নম্বর, 3,00,000টি ব্যাংক অ্যাকাউন্ট এবং কার্ডের আংশিক তথ্যসংবলিত 3,80,000টি রেকর্ড পাওয়া যায়; প্রত্যেক ব্যক্তির ক্ষেত্রে সব তথ্য ছিল বলে ধরে নেওয়া উচিত নয়। ইমেইল, ফোন ও ক্যাশব্যাক সেবার সঙ্গে সম্পর্কের তথ্য ব্যবহার করে ব্যালান্স, উত্তোলন, টাকা ফেরত বা প্রচারমূলক অফার নিয়ে ভুয়া বার্তা তৈরি করা যায়। আর্থিক তথ্যের আংশিক বিবরণ ব্যবহার করলে পরিচয় ভাঁড়িয়ে করা ফোনকলকে ব্যাংক বা কার্ড ইস্যুকারীর কল বলে মনে হতে পারে। অ্যাকাউন্ট ব্যবহার বন্ধ করলেও ঝুঁকি দূর হয় না, কারণ যোগাযোগের তথ্য ও অন্যত্র পুনরায় ব্যবহৃত পাসওয়ার্ড বছরের পর বছর কার্যকর থাকতে পারে। সব রেকর্ডে সমান তথ্য নেই, তাই শুধু ইমেইল মিলে গেলেই প্রমাণ হয় না যে তালিকাভুক্ত প্রতিটি তথ্য ওই ব্যক্তির ক্ষেত্রে ফাঁস হয়েছে।

আপনি 2020 সাল থেকে ShopBack-এর পাসওয়ার্ড না বদলিয়ে থাকলে, এখনই সেটির বদলে দীর্ঘ ও অন্য কোথাও ব্যবহার না করা একটি পাসওয়ার্ড দিন। অন্য অ্যাকাউন্টেও একই ধরনের লগইন তথ্য বদলান; প্রথমে প্রধান ইমেইল, কেনাকাটা ও আর্থিক সেবার অ্যাকাউন্টগুলো দিয়ে শুরু করুন। অপ্রত্যাশিত কোনো বার্তার লিংক ব্যবহার না করে অ্যাপ থেকে অথবা নিজে টাইপ করা অফিশিয়াল ঠিকানায় গিয়ে পাসওয়ার্ড রিসেটের প্রক্রিয়া শুরু করুন। সক্রিয় সেশনগুলো বন্ধ করুন, অ্যাকাউন্ট পুনরুদ্ধারের ইমেইল ও ফোনের তথ্য যাচাই করুন এবং যেখানে সুযোগ আছে, মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন। যেসব গ্রাহক ব্যাংক বা কার্ডের তথ্য দিয়েছিলেন, তাঁদের অ্যাকাউন্টের লেনদেন ও সতর্কবার্তা নজরে রাখা উচিত। অপরিচিত কোনো লেনদেন দেখা গেলে আর্থিক প্রতিষ্ঠানের অফিশিয়াল যোগাযোগমাধ্যমে যোগাযোগ করুন। ক্যাশব্যাক, উত্তোলন, টাকা ফেরত বা প্রচারমূলক কার্যক্রমের কথা বলে আসা কোনো বার্তার জবাবে কখনো পাসওয়ার্ড, একবার ব্যবহারযোগ্য কোড, সম্পূর্ণ কার্ড নম্বর বা নিরাপত্তা কোড দেবেন না।

প্রতিটি সেবার জন্য আলাদা লগইন তথ্য তৈরি করে এমন পাসওয়ার্ড ম্যানেজার ব্যবহার করলে একটি পুরোনো হ্যাশের মাধ্যমে অন্য অ্যাকাউন্টে প্রবেশ ঠেকানো যায়। আর্থিক ও কেনাকাটার সেবার অ্যাকাউন্ট পুনরুদ্ধার ইমেইলের ওপর নির্ভর করে, তাই আপনার সবচেয়ে শক্তিশালী পাসওয়ার্ড এবং অথেনটিকেটর অ্যাপ বা নিরাপত্তা কী-এর মতো আক্রমণ-প্রতিরোধী দ্বিতীয় যাচাই পদ্ধতি দিয়ে ইমেইল সুরক্ষিত রাখুন। ব্যাংক ও কার্ডের নোটিফিকেশন চালু করুন, পরীক্ষামূলকভাবে কাটা অল্প টাকার লেনদেনও খতিয়ে দেখুন এবং নিয়মিত অ্যাকাউন্ট পুনরুদ্ধারের তথ্য পর্যালোচনা করুন। যেসব কেনাকাটার অ্যাকাউন্ট আর ব্যবহার করেন না, সেগুলো বন্ধ করুন এবং ঐচ্ছিক ফোন, অবস্থান বা পেমেন্টের তথ্য সংরক্ষণ করে রাখা এড়িয়ে চলুন। তথ্য ফাঁসের পর্যবেক্ষণ, সেশন পর্যালোচনা ও ফিশিং সম্পর্কে সচেতনতা দীর্ঘমেয়াদি সুরক্ষা দেয়। বহু বছর পরেও আপনাকে লক্ষ্য করে পাঠানো বার্তাকে গুরুত্ব দিন, কারণ চুরি হওয়া ডেটাসেটের অনুলিপি তৈরি করা, আবার বিক্রি করা এবং নতুন তথ্যের সঙ্গে মিলিয়ে ব্যবহার করা হতে পারে।

আপনার ইমেইল ShopBack বা অন্য কোনো যাচাইকৃত তথ্য ফাঁসের ঘটনায় পাওয়া তথ্যের সঙ্গে মেলে কি না জানতে LeakData দিয়ে আপনার ইমেইল ঠিকানা যাচাই করুন। মিল পাওয়ার অর্থ হলো ঠিকানাটি নথিভুক্ত 2,05,29,819টি স্বতন্ত্র ইমেইলের মধ্যে রয়েছে; এতে প্রমাণ হয় না যে আপনি সিঙ্গাপুরের প্রায় 14 লাখ মানুষের উপগোষ্ঠীতে ছিলেন বা ব্যাংক ও কার্ডের আংশিক তথ্য আপনার। তারিখ ও ফাঁস হওয়া ডেটার বিভাগগুলো পর্যালোচনা করুন, 2020 সালের পাসওয়ার্ড আর কোথায় ব্যবহার করেছিলেন তা ভেবে দেখুন এবং প্রথমে ইমেইল ও অর্থের নিয়ন্ত্রণ থাকে এমন অ্যাকাউন্টগুলোর নিরাপত্তা নিশ্চিত করুন। অনুসন্ধানের ঘরে কখনো পাসওয়ার্ড, ব্যাংক অ্যাকাউন্ট নম্বর বা কার্ডের তথ্য দেবেন না; একটি ইমেইল ঠিকানাই যথেষ্ট। নিয়মিত পর্যবেক্ষণ করলে পরে প্রকাশিত বা পুনরায় ছড়ানো ডেটা শনাক্ত হতে পারে। কোনো মিল না পেলেও প্রতিটি সেবায় আলাদা পাসওয়ার্ড ব্যবহার, মাল্টি-ফ্যাক্টর অথেনটিকেশন ও লেনদেনের সতর্কবার্তা চালু রাখুন।