Sphero তথ্য ফাঁস

ইমেইল, নাম ও ব্যবহারকারীর নাম একটি অ্যাকাউন্টের মৌলিক পরিচয় গঠন করে। এর সঙ্গে জন্মতারিখ ও ভৌগোলিক অবস্থানের তথ্য যুক্ত হলে ব্যবহারকারীর বয়সের শ্রেণি এবং স্কুল বা আঞ্চলিক প্রেক্ষাপট সম্পর্কে ধারণা করা যায়। এসব তথ্যে পাসওয়ার্ড না থাকলেও শিক্ষাক্ষেত্রের ব্যবহারকারীদের লক্ষ্য করে আক্রমণ চালানোর জন্য এগুলো যথেষ্ট হতে পারে।

নাম, ইমেইল, ফোন, ঠিকানা, ব্যবহারকারীর নাম বা অবস্থানের মতো তথ্য একসঙ্গে পাওয়া গেলে আক্রমণকারীরা এমন বার্তা তৈরি করতে পারে, যা দেখে মনে হয় ব্যবহারকারীর সঙ্গে প্রেরকের সত্যিকারের সেবাসংক্রান্ত সম্পর্ক রয়েছে। শুধু এসব তথ্য পাওয়া গেলেই যে অ্যাকাউন্ট দখল হয়েছে, তা সব ক্ষেত্রে বলা যায় না; তবে এগুলো ফিশিং, ভুয়া সহায়তার অনুরোধ, পণ্য পৌঁছে দেওয়ার বিজ্ঞপ্তি, অ্যাকাউন্ট যাচাই এবং ব্যক্তিকে লক্ষ্য করে সাজানো প্রতারণার বিভিন্ন ধাপে ব্যবহার করা যেতে পারে। শিক্ষাপ্রযুক্তির তথ্যে শিশু বা শিক্ষার্থীদের তথ্যও থাকতে পারে বলে অপ্রয়োজনীয় অতিরিক্ত বিস্তারিত এড়ানো উচিত; তবে জন্মতারিখ ও অবস্থানের তথ্য থাকলে ঝুঁকিটির গুরুত্ব বেড়ে যায়। ভুয়া ক্লাসের আমন্ত্রণ, প্রতিযোগিতা, STEM অনুষ্ঠান, শিক্ষকের বিজ্ঞপ্তি বা অ্যাকাউন্ট যাচাইয়ের বার্তায় এই প্রেক্ষাপটকে কাজে লাগানো যেতে পারে।

ঘটনার তারিখ 2023 সালের 9 সেপ্টেম্বর, এবং প্রভাবিত ইমেইল ঠিকানার সংখ্যা 8,32,255 হিসেবে নথিভুক্ত রয়েছে। নিরাপত্তা-সংক্রান্ত রেকর্ড অনুযায়ী, 10 লাখেরও বেশি সারির তথ্য শেয়ার করা হয়েছিল। এতে 832 হাজার স্বতন্ত্র ইমেইল ঠিকানার পাশাপাশি নাম, ব্যবহারকারীর নাম, জন্মতারিখ ও অবস্থানের তথ্য ছিল। বিদ্যমান তথ্যের শ্রেণিবিন্যাস এই পরিধির সঙ্গে সামঞ্জস্যপূর্ণ।

ঘটনার পরিধি ব্যাখ্যা করার সময় যেন এমন ধারণা না হয় যে পাসওয়ার্ড, অর্থপ্রদানের তথ্য বা শিক্ষার্থীদের নম্বরও ফাঁস হয়েছে। এখানে প্রকৃত ঝুঁকি হলো শিক্ষাপ্রযুক্তির অ্যাকাউন্টকে ব্যক্তিগত পরিচয় ও অবস্থানের প্রেক্ষাপটের সঙ্গে মিলিয়ে নেওয়া। প্রতিটি সারিতে জন্মতারিখ বা অবস্থানের তথ্য সম্পূর্ণ রয়েছে বলে ধরে নেওয়া উচিত নয়।

ঝুঁকিতে থাকতে পারেন Sphero অ্যাকাউন্টধারী শিক্ষার্থী, শিক্ষক, অভিভাবক এবং শিক্ষাপ্রতিষ্ঠানের সঙ্গে সংশ্লিষ্ট অ্যাকাউন্টগুলোর ব্যবহারকারীরা। যাঁরা স্কুলের অ্যাকাউন্ট বা ব্যক্তিগত অ্যাকাউন্টেও একই ইমেইল ঠিকানা ব্যবহার করেন, তাঁদের লক্ষ্য করে আক্রমণ চালানোর ঝুঁকি বেশি।

শিক্ষক ও স্কুলের প্রেক্ষাপট ব্যবহার করে ভুয়া ক্লাস, প্রতিযোগিতা, রোবোটিকস ক্লাব বা অ্যাসাইনমেন্টের লিংকসংক্রান্ত বার্তাকে বিশ্বাসযোগ্য করে তোলা যায়। শিক্ষার্থীদের ক্ষেত্রে জন্মতারিখ ও অবস্থানের তথ্য বেশি সংবেদনশীল হওয়ায় অভিভাবকদেরও অ্যাকাউন্টের নিরাপত্তা মূল্যায়ন করা উচিত।

যেসব ব্যবহারকারীর তথ্য এই রেকর্ডের সঙ্গে মিলে যায়, তাঁদের নিশ্চিত করা উচিত যে Sphero অ্যাকাউন্ট এবং একই ইমেইলের সঙ্গে যুক্ত স্কুল বা শিক্ষাসংক্রান্ত অ্যাকাউন্টগুলোতে প্রতিটির জন্য আলাদা পাসওয়ার্ড ব্যবহার করা হচ্ছে। এই রেকর্ডে পাসওয়ার্ড না থাকলেও অন্য তথ্য ফাঁসের ঘটনায় পাওয়া পাসওয়ার্ডের সঙ্গে ইমেইলটি মিলিয়ে নেওয়া যেতে পারে। শিক্ষার্থীদের অ্যাকাউন্টের বিষয়ে অভিভাবক বা স্কুল প্রশাসনকে জানানো উচিত।

বার্তায় আসা লিংক সরাসরি না খুলে সংশ্লিষ্ট সেবার পরিচিত ওয়েব ঠিকানা বা আনুষ্ঠানিক অ্যাপের মাধ্যমে লগইন করা উচিত। ফোনকারী আপনার নাম, ইমেইল, ঠিকানা, অর্ডার বা প্রোফাইলের তথ্য জানেন বলেই তিনি বিশ্বাসযোগ্য, এমন নয়। সহায়তাসংক্রান্ত কোনো কথোপকথনেই একবার ব্যবহারযোগ্য যাচাইকরণ কোড, পেমেন্ট কার্ডের তথ্য বা অ্যাকাউন্টের পাসওয়ার্ড শেয়ার করা উচিত নয়।

দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার ব্যবহার, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড রাখা, দুটি স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই এবং অ্যাকাউন্ট থেকে অপ্রয়োজনীয় ব্যক্তিগত তথ্য সরিয়ে ফেলার অভ্যাস ঝুঁকি কমায়। বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা ব্যবহার করলে একাধিক তথ্য ফাঁসের ঘটনা থেকে পাওয়া তথ্য একত্র করা সহজ হয়; তাই গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর জন্য আলাদা ইমেইল বা বিকল্প ইমেইল ঠিকানা ব্যবহার করার কথা বিবেচনা করা যেতে পারে।

শিক্ষাপ্রযুক্তির অ্যাকাউন্টগুলোতে আসল নাম, জন্মতারিখ ও অবস্থানের তথ্য যতটা সম্ভব কম শেয়ার করা উচিত। স্কুলগুলোর উচিত শিক্ষার্থীদের অ্যাকাউন্টের জন্য আলাদা ইমেইল ব্যবহারের নীতি, শক্তিশালী পাসওয়ার্ড এবং একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাইয়ের মতো ব্যবস্থাগুলোকে মানসম্মত নিয়মের আওতায় আনা।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি এই রেকর্ডে আছে কি না জানা যায়। ইমেইল পাওয়া গেলে সব তথ্যই নিশ্চিতভাবে ওই ব্যবহারকারীর, এমন নয়; তবে সতর্কতামূলক ব্যবস্থা নেওয়ার জন্য এটি যথেষ্ট সংকেত। ইমেইল না পাওয়া গেলে শুধু বোঝায় যে এই তথ্যসমষ্টিতে কোনো মিল নেই; অন্য কোনো তথ্য ফাঁসের ঘটনায় ইমেইলটি থাকার সম্ভাবনা এতে বাতিল হয় না।

ইমেইল পাওয়া যাওয়ার ফলাফলটি শিক্ষাসংক্রান্ত অ্যাকাউন্টের সঙ্গে ব্যক্তিগত পরিচয় মিলিয়ে নেওয়ার ঝুঁকির দিক থেকে গুরুত্বপূর্ণ। ইমেইল না পাওয়া যাওয়ার অর্থ এই রেকর্ডের মধ্যে কোনো মিল নেই; একই ইমেইল ঠিকানা অন্য শিক্ষামূলক প্ল্যাটফর্মের রেকর্ডেও যাচাই করা উচিত।