Substack-এর 2025 সালের ডেটা ফাঁস

এই রেকর্ডে তথ্যের ধরন হিসেবে ইমেইল ঠিকানা ও ফোন নম্বরের ফিল্ড তালিকাভুক্ত আছে। পাসওয়ার্ড, পেমেন্ট কার্ড বা ব্যক্তিগত বার্তার বিষয়বস্তুর ফিল্ড তালিকাভুক্ত নেই। তা সত্ত্বেও, Substack-এর মতো প্রকাশনা প্ল্যাটফর্মে কোনো ইমেইল ঠিকানার সঙ্গে লেখক বা পাঠকের পরিচয়, প্রকাশনার নাম, আগ্রহ এবং সাবস্ক্রিপশনসংক্রান্ত যোগাযোগের তথ্য মিলিয়ে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে সোশ্যাল ইঞ্জিনিয়ারিংয়ের কাজে ব্যবহার করা যেতে পারে।

Substack ব্যবহারকারীরা নিউজলেটার, সাবস্ক্রিপশন, প্রকাশনার হালনাগাদ, পেমেন্ট, মন্তব্য, ফলো এবং লেখকদের যোগাযোগসংক্রান্ত নানা বার্তা পেতে পারেন। এই স্বাভাবিক বার্তাপ্রবাহের মধ্যে প্রকাশকের ভুয়া আমন্ত্রণ, সাবস্ক্রিপশন নবায়ন, পেমেন্টের সমস্যা, কনটেন্ট অপসারণ বা অ্যাকাউন্ট যাচাইয়ের বার্তাও আসল বলে মনে হতে পারে। বার্তার লিংকে ক্লিক না করে ব্যবহারকারীদের পরিচিত অ্যাকাউন্ট প্যানেল থেকে প্রয়োজনীয় পদক্ষেপ নেওয়া উচিত।

যেসব রেকর্ডে ফোন নম্বর আছে, সেগুলোর ক্ষেত্রে SMS ও ফোনকলের মাধ্যমেও ঝুঁকি রয়েছে। সাবস্ক্রিপশন নবায়ন, পেমেন্টের ত্রুটি, যাচাইকরণ কোড বা সম্প্রচারের নিরাপত্তা সতর্কতার নামে ভুয়া বার্তা পাঠানো হতে পারে। ফোন নম্বর, ইমেইল ও সম্প্রচারের ID একসঙ্গে ব্যবহার করে এমনভাবে যোগাযোগ করা সম্ভব, যা ব্যবহারকারীর কাছে আরও ব্যক্তিগত বলে মনে হয়। ফোনে বা বার্তায় কোনো যাচাইকরণ কোড কাউকে দেওয়া উচিত নয়।

লেখকদের ঝুঁকি পাঠকদের ঝুঁকি থেকে কিছুটা আলাদা। কোনো প্রকাশককে কপিরাইটসংক্রান্ত ভুয়া নোটিশ, অ্যাকাউন্ট স্থগিতের নোটিশ, পেমেন্ট সেবাদাতার হালনাগাদ বা বিজ্ঞাপনী সহযোগিতার প্রস্তাব পাঠানো হতে পারে। প্রকাশনার নাম ও প্রকাশ্যে পাওয়া প্রোফাইলের তথ্য দিয়ে ব্যক্তিভিত্তিকভাবে সাজানো হলে এসব বার্তা বিশ্বাসযোগ্য মনে হতে পারে। বিশেষ করে পেমেন্ট সেটিংস ও ডোমেইন নামের ফরওয়ার্ডিং ব্যবস্থা সতর্কতার সঙ্গে সুরক্ষিত রাখা উচিত।

পাঠকদের ক্ষেত্রে ঝুঁকি হলো, বার্তায় তাঁদের আগ্রহ ও সাবস্ক্রিপশনের প্রেক্ষাপট ব্যবহার করা হতে পারে। নির্দিষ্ট কোনো প্রকাশনা বা বিষয়কে কেন্দ্র করে একজন ব্যবহারকারীকে লক্ষ্য করা সম্ভব। রাজনীতি, স্বাস্থ্য, অর্থ বা ব্যক্তিগত উন্নয়নের মতো সংবেদনশীল বিষয়ে পড়ার অভ্যাস থাকলে এই ঝুঁকি আরও তাৎপর্যপূর্ণ হয়ে ওঠে। তথ্যের ধরন হিসেবে শুধু ইমেইল ও ফোন নম্বর উল্লেখ থাকলেও প্ল্যাটফর্মের প্রেক্ষাপট ব্যক্তিগত গোপনীয়তার ওপর প্রভাব বাড়াতে পারে।

প্রতিষ্ঠান ও স্বাধীন প্রকাশকদের জন্য Substack-এর ঘটনাটি সাবস্ক্রিপশনসংক্রান্ত যোগাযোগ ও প্রোফাইলের তথ্যের নিরাপত্তার গুরুত্ব তুলে ধরে। পেমেন্ট, সাবস্ক্রিপশন ও অ্যাকাউন্ট যাচাইয়ের প্রক্রিয়া কোন মাধ্যমে সম্পন্ন হবে, তা প্রকাশকদের পাঠকদের কাছে স্পষ্ট করে জানানো উচিত। অন্যদিকে, ব্যবহারকারীদের উচিত তাঁদের অ্যাকাউন্টে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা, অ্যাকাউন্ট পুনরুদ্ধারের জন্য একটি ইমেইল ঠিকানা সেট করা এবং সেশনের ইতিহাস পরীক্ষা করা।

ক্ষতিগ্রস্ত ব্যবহারকারীদের Substack থেকে আসা সাবস্ক্রিপশন, পেমেন্ট, প্রকাশনায় যোগ দেওয়ার আমন্ত্রণ, কনটেন্ট অপসারণ, কপিরাইট, অ্যাকাউন্ট যাচাই বা লেখকদের সঙ্গে সহযোগিতাসংক্রান্ত বার্তা সতর্কভাবে মূল্যায়ন করা উচিত। পাসওয়ার্ডের ফিল্ড তালিকাভুক্ত না থাকলেও নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে যোগাযোগ করার জন্য ইমেইল ও ফোনের তথ্যই যথেষ্ট। কোনো পদক্ষেপ নিতে হলে বার্তার লিংক নয়, পরিচিত লগইন ঠিকানা ব্যবহার করা উচিত।

Substack-এর কোনো রেকর্ডের প্রকাশনাসংক্রান্ত প্রেক্ষাপট থেকে বোঝা যেতে পারে, ব্যবহারকারীরা কোন বিষয়ে আগ্রহী বা কোন কনটেন্ট নির্মাতাদের সঙ্গে যোগাযোগ করেন। এই সম্পর্ক সরাসরি তথ্যের ধরন হিসেবে তালিকাভুক্ত না থাকলেও ইমেইল ও প্রোফাইলের প্রেক্ষাপট থেকে তা অনুমান করা সম্ভব। রাজনীতি, অর্থ, স্বাস্থ্য বা ব্যক্তিগত উন্নয়নের মতো বিষয়ের প্রকাশনা অনুসরণকারী ব্যবহারকারীরা আরও সুনির্দিষ্টভাবে তাঁদের লক্ষ্য করে পাঠানো বার্তা পেতে পারেন।

প্রকাশকদের জন্য পেমেন্ট সেটিংস, নিজস্ব ডোমেইন ও সাবস্ক্রাইবার ব্যবস্থাপনা গুরুত্বপূর্ণ ক্ষেত্র। Substack-এর নামে ভুয়া বার্তা পাঠিয়ে প্রকাশকের আয়ের প্রবাহ, পাঠক তালিকা বা অ্যাকাউন্টে প্রবেশাধিকারকে লক্ষ্য করা হতে পারে। অন্যদিকে, সাবস্ক্রিপশন নবায়ন বা বিশেষ কনটেন্টে প্রবেশাধিকারের অজুহাতে পাঠকদের ভুয়া পেমেন্ট পেজে নিয়ে যাওয়া হতে পারে। উভয় ক্ষেত্রেই বার্তার লিংকের বদলে পরিচিত অ্যাকাউন্ট প্যানেল থেকে লেনদেন করা উচিত।

যেসব ব্যবহারকারীর রেকর্ডে ফোন নম্বর নেই, তাঁদের ঝুঁকি মূলত ইমেইল ও প্রোফাইলের তথ্য মিলিয়ে ব্যবহার করার সঙ্গে সম্পর্কিত; যাঁদের রেকর্ডে ফোন নম্বর আছে, তাঁদের ক্ষেত্রে SMS ও ফোনকলের মাধ্যমেও ঝুঁকি যুক্ত হয়। এই পার্থক্যটি গুরুত্বপূর্ণ। যে মাধ্যমেই যোগাযোগ করা হোক না কেন, ব্যবহারকারীদের যাচাইকরণ কোড কাউকে দেওয়া উচিত নয় এবং পেমেন্টের অনুরোধ আলাদা একটি মাধ্যমে যাচাই করা উচিত।