Spyzie: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরন হলো ইমেইল ঠিকানা। কোনো ইমেইল ঠিকানার সঙ্গে ট্র্যাকিং সফটওয়্যার ব্যবহারের সম্পর্ক স্থাপন করা গেলে তা ব্যবহারকারীর গোপনীয়তা ও নিরাপত্তার জন্য সরাসরি ঝুঁকি তৈরি করতে পারে। এই তথ্যের ক্ষেত্রগুলো একসঙ্গে থাকলে শুধু ইমেইল ঠিকানা ফাঁসের তুলনায় আক্রমণের সুযোগ আরও বিস্তৃত হতে পারে; আক্রমণকারীরা যোগাযোগের তথ্য, পরিচয় শনাক্তকারী তথ্য, অ্যাকাউন্ট ব্যবহারের ধরন এবং সংশ্লিষ্ট খাতের প্রেক্ষাপট মিলিয়ে আরও বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে।

এই রেকর্ডে পাসওয়ার্ড, বার্তা, ছবি বা কল লগকে তথ্যের শ্রেণি হিসেবে তালিকাভুক্ত করা হয়নি; যাচাই না করা অতিরিক্ত বিষয়বস্তুকেও তথ্যের ক্ষেত্র হিসেবে দেখানো হয়নি। যেসব রেকর্ডে পাসওয়ার্ডের ক্ষেত্র আছে, সেসব ক্ষেত্রে অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করলে অ্যাকাউন্ট দখলের সরাসরি ঝুঁকি তৈরি হয়। যেসব রেকর্ডে পাসওয়ার্ড নেই, সেখানে ঠিকানা, ফোন, ডিভাইস, শিক্ষাপ্রতিষ্ঠান, কেনাকাটা বা সরকারি পরিচয়পত্রের মতো স্থায়ী তথ্যের ক্ষেত্র সামাজিক প্রকৌশল ও প্রতারণার কৌশলকে আরও কার্যকর করতে পারে।

এই রেকর্ডে spyzie.io ডোমেইনের সঙ্গে যুক্ত গ্রাহকদের প্রায় 5,19,000 ইমেইল ঠিকানা রয়েছে। ঘটনার সত্যতা নিশ্চিত করা হয়েছে এবং একে সংবেদনশীল হিসেবে শ্রেণিবদ্ধ করা হয়েছে। তাই ঘটনাটিকে অতিরঞ্জিত করতে প্রকাশিত তথ্যের পরিসর বাড়ানো হয়নি; তালিকাভুক্ত তথ্যের ধরন ও অ্যাকাউন্টের সংখ্যা অপরিবর্তিত রাখা হয়েছে। সংবেদনশীল রেকর্ডের ক্ষেত্রে পরিসর সীমিত রাখা বিশেষভাবে গুরুত্বপূর্ণ, কারণ ব্যবহারকারীর প্রকৃত ঝুঁকিকে অনুমানভিত্তিক ঝুঁকি থেকে আলাদা করতে হবে।

খাতের শ্রেণিবিন্যাস সংশোধন করে প্রযুক্তির বদলে নজরদারি সফটওয়্যার ও স্পাইওয়্যার করা হয়েছে; তথ্যের শ্রেণি শুধু ইমেইল ঠিকানায় সীমিত রাখা হয়েছে। সেই অনুযায়ী শিরোনাম, ডোমেইনের নাম, দেশ, খাত এবং সংবেদনশীলতার শ্রেণি সংশোধন করা হয়েছে। কাছাকাছি নামের কারণে একই ধরনের একাধিক রেকর্ড তৈরি হতে পারে, এমন নামগুলোকে একটিমাত্র ঘটনার অধীনে একীভূত করা হয়নি; প্রতিটি রেকর্ডকে তার নিজস্ব ডোমেইনের নাম ও তথ্যের শ্রেণি অনুযায়ী মূল্যায়ন করা হয়েছে।

যাঁরা Spyzie অ্যাকাউন্ট খোলেন, তাঁদের ইমেইল ঠিকানার সঙ্গে ট্র্যাকিং সফটওয়্যার ব্যবহারের সম্পর্ক স্থাপন করা গেলে তাঁরা ঝুঁকিতে পড়েন। এই প্রেক্ষাপটের কারণে অন্য ব্যক্তিরাও পরোক্ষভাবে জড়িয়ে পড়তে পারেন। এসব ব্যবহারকারীর প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্যের ক্ষেত্রগুলো অন্য অ্যাকাউন্টে ব্যবহৃত তথ্যের সঙ্গে মিলিয়ে দেখা হতে পারে। বিভিন্ন সেবায় ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম বা ডিভাইসের তথ্য একই থাকলে আক্রমণকারীরা এসব অভিন্ন শনাক্তকারী তথ্যের ভিত্তিতে নতুন চেষ্টা চালাতে পারে।

নজরদারি সফটওয়্যার ব্যবহারের প্রেক্ষাপটকে কাজে লাগিয়ে হুমকি দেওয়া, বিব্রত করা, ভুয়া সহায়তা দেওয়া, লাইসেন্স নবায়ন বা ক্ষতিকর সফটওয়্যার ইনস্টল করার বার্তা পাঠানো হতে পারে। প্রাতিষ্ঠানিক ইমেইল ব্যবহারকারীদের লক্ষ্য করে পাঠানো ব্যবসাসংক্রান্ত বার্তা তাঁদের কাছে বেশি বিশ্বাসযোগ্য মনে হতে পারে। অন্যদিকে, ব্যক্তিগত ব্যবহারকারীদের কাছে ভুয়া অ্যাকাউন্ট সতর্কতা, অর্থ ফেরতের নোটিশ এবং শিক্ষাপ্রতিষ্ঠান বা সাবস্ক্রিপশন-সংক্রান্ত বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। শিশু, শিক্ষার্থী, কর্মী বা সংবেদনশীল সদস্যপদ-সংক্রান্ত তথ্যও সতর্কতার সঙ্গে সামলানো উচিত।

প্রভাবিত ব্যবহারকারীদের উচিত তাঁদের ইমেইল অ্যাকাউন্টের লগইন ও পুনরুদ্ধারের সেটিংস পরীক্ষা করা এবং একই ইমেইল ঠিকানা দিয়ে ব্যবহার করা সংবেদনশীল সেবাগুলো পর্যালোচনা করা। পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো তথ্যের ক্ষেত্র তালিকাভুক্ত থাকলে, যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়েছে সেগুলোর সবকটির পাসওয়ার্ড পরিবর্তন করা, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব একাধিক উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। শুধু সংশ্লিষ্ট প্ল্যাটফর্মে ব্যবস্থা নেওয়া যথেষ্ট নাও হতে পারে; একই ইমেইল-পাসওয়ার্ডের সমন্বয় দিয়ে অন্য সেবাতেও প্রবেশের চেষ্টা করা হতে পারে।

যেসব রেকর্ডে ফোন নম্বর, ঠিকানা, জন্মতারিখ, শিক্ষাপ্রতিষ্ঠানের শ্রেণি, সরকারি পরিচয়পত্র, আর্থিক তথ্য বা ডিভাইস-সংক্রান্ত তথ্যের ক্ষেত্র রয়েছে, সেসব ক্ষেত্রে ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের বিকল্প, লগইন করা সেশন, রাউটিং নিয়ম এবং সন্দেহজনক নোটিফিকেশন পরীক্ষা করা উচিত। প্রাতিষ্ঠানিক অ্যাকাউন্টের ক্ষেত্রে এই তথ্য তথ্যনিরাপত্তা দলকে জানানো উচিত। ব্যক্তিগত অ্যাকাউন্টের ক্ষেত্রে ইমেইল ও ফোনের মাধ্যমে আসা অপ্রত্যাশিত লিংকগুলো অতিরিক্ত যাচাই করা উচিত।

গোপনীয়তার ওপর বেশি প্রভাব ফেলে এমন সেবার জন্য আলাদা ইমেইল ব্যবহার করা, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং ফোনে অপরিচিত ট্র্যাকিং অ্যাপ আছে কি না নিয়মিত পরীক্ষা করা প্রয়োজন। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার ব্যবহার, বিভিন্ন সেবায় আলাদা পাসওয়ার্ড রাখা, একাধিক উপাদানভিত্তিক প্রমাণীকরণ চালু করা, পুরোনো অ্যাকাউন্ট বন্ধ করা এবং প্রোফাইলের অপ্রয়োজনীয় তথ্য মুছে ফেলা হলো সুরক্ষার মৌলিক পদক্ষেপ। তথ্য ফাঁস হয়ে গেলে জন্মতারিখ, ঠিকানা, ফোন নম্বর বা ডিভাইসের তথ্যের মতো ক্ষেত্রগুলো আর ফিরিয়ে নেওয়া যায় না; তাই অ্যাকাউন্ট ব্যবহারের পদ্ধতি ও যাচাইপ্রক্রিয়া আরও শক্তিশালী করা উচিত।

কোম্পানি ও প্রতিষ্ঠানের জন্য এ ধরনের ঘটনা শুধু প্রযুক্তিগত নিরাপত্তার সমস্যা নয়; প্রয়োজনের অতিরিক্ত তথ্য সংগ্রহ ও সংরক্ষণ না করা, কর্মীদের প্রবেশাধিকার, পুরোনো রেকর্ড সংরক্ষণের সময়সীমা, শিশুদের তথ্য, গ্রাহকদের জানানোর প্রক্রিয়া এবং ঘটনার পর স্বচ্ছতার মতো বিষয়েও এর প্রভাব পড়ে। ব্যবহারকারীর দিক থেকে পুরোনো অ্যাকাউন্টের সংখ্যা কমানো এবং সব জায়গায় একই পরিচয়সংক্রান্ত তথ্য ব্যবহার না করা স্থায়ীভাবে ঝুঁকি কমায়।

এই রেকর্ডের সঙ্গে আপনার তথ্য মিলে গেলে, ইমেইলের নিরাপত্তার পাশাপাশি নিজের ডিভাইস বা আশপাশের ডিভাইসে অনুমতি ছাড়া নজরদারির কোনো লক্ষণ আছে কি না তা মূল্যায়ন করা উচিত। তথ্য মিলে গেলে প্রথমে কোন তথ্যের ক্ষেত্রগুলো তালিকাভুক্ত আছে তা পড়ে সেই অনুযায়ী করণীয়ের অগ্রাধিকার নির্ধারণ করুন। পাসওয়ার্ড থাকলে পাসওয়ার্ড পরিবর্তনকে অগ্রাধিকার দিন; সরকারি পরিচয়সংক্রান্ত বা আর্থিক তথ্য থাকলে পরিচয় ও অ্যাকাউন্টের ওপর নজর রাখাকে অগ্রাধিকার দিন; শিক্ষার্থীর তথ্য থাকলে অভিভাবক ও শিক্ষাপ্রতিষ্ঠানের অ্যাকাউন্ট পরীক্ষা করাকে অগ্রাধিকার দিন।

চূড়ান্ত মূল্যায়ন: এই রেকর্ডে তথ্যের শ্রেণি হিসেবে শুধু ইমেইল ঠিকানা থাকলেও নজরদারি সফটওয়্যারের প্রেক্ষাপটের কারণে একে সংবেদনশীল হিসেবে শ্রেণিবদ্ধ করা হয়েছে। আপনার নিজের অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা উচিত; যেসব সেবায় একই ইমেইল, ফোন, পাসওয়ার্ড, ঠিকানা বা ব্যবহারকারীর নামের সমন্বয় ব্যবহার করেছেন, সেগুলো আলাদাভাবে পরীক্ষা করা উচিত। ঘটনার পর যেকোনো সন্দেহজনক কল, বার্তা, ইমেইল বা অ্যাকাউন্ট পুনরুদ্ধারের নোটিফিকেশনকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।