SuperDraft: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: জন্মতারিখ, ইমেইল ঠিকানা, ভৌগোলিক অবস্থান, অক্ষাংশ-দ্রাঘিমাংশের জোড়া, পাসওয়ার্ড, কেনাকাটার তথ্য এবং ব্যবহারকারীর নাম। অক্ষাংশ-দ্রাঘিমাংশ ও কেনাকাটার তথ্য শুধু ব্যবহারকারীর অ্যাকাউন্ট নয়, তাঁর বাস্তব অবস্থান ও লেনদেনের ইতিহাসের প্রেক্ষাপটকেও প্রভাবিত করতে পারে। এসব তথ্যক্ষেত্র একসঙ্গে ব্যবহার করা হলে অ্যাকাউন্ট দখল, সামাজিক প্রকৌশল, প্রতারণা, সরাসরি শারীরিকভাবে নিশানা করা বা গোপনীয়তা লঙ্ঘনের মতো পরিণতি ঘটতে পারে।

বোঝা যাচ্ছে, পাসওয়ার্ডগুলো bcrypt হ্যাশ মানের সঙ্গে যুক্ত। শক্তিশালী হ্যাশিং পদ্ধতি ঝুঁকি কমায়, তবে একই পাসওয়ার্ড পুনরায় ব্যবহার করা হলে ঝুঁকি থেকে যায়। যেসব রেকর্ডে পাসওয়ার্ড রয়েছে, সেসব ক্ষেত্রে অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সবচেয়ে গুরুতর ঝুঁকিগুলোর একটি। যেসব রেকর্ডে পাসওয়ার্ড নেই, সেসব ক্ষেত্রেও ডিভাইস, অবস্থান, ফোন, ঠিকানা, শিক্ষা, চাকরির আবেদন বা আর্থিক প্রেক্ষাপটের মতো তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

এই রেকর্ডে superdraft.io ডোমেইনের সঙ্গে যুক্ত প্রায় 3,00,000 গ্রাহক অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে। ঘটনাটিকে যাচাইকৃত রেকর্ড হিসেবে শ্রেণিবদ্ধ করা হয়েছে। পরিধি মূল্যায়নের সময় অ্যাকাউন্টের সংখ্যা, ডোমেইন, শিল্পখাত, দেশ এবং তথ্যের ধরন আলাদাভাবে যাচাই করা হয়েছে। ব্যবহারকারীকে দেখানো তথ্যক্ষেত্রগুলো শুধু রেকর্ডে প্রকৃতপক্ষে তালিকাভুক্ত ক্ষেত্রের মধ্যেই সীমিত রাখা হয়েছে।

আগের রেকর্ডে বাদ পড়া অক্ষাংশ-দ্রাঘিমাংশের তথ্যক্ষেত্রটি তথ্যের ধরনগুলোর মধ্যে যোগ করা হয়েছে। কাছাকাছি ব্র্যান্ডের নাম, একাধিক সেবা অন্তর্ভুক্ত করা রেকর্ড কিংবা সংবেদনশীল খাতের ক্ষেত্রে এই সীমারেখা বিশেষভাবে গুরুত্বপূর্ণ। রেকর্ডটি অন্য কোনো ঘটনার সঙ্গে একীভূত করা হয়নি, একই ঘটনার একাধিক রেকর্ড তৈরি হবে এমনভাবে এর পরিধি বাড়ানো হয়নি এবং কোম্পানির প্রেক্ষাপট যতটা সম্ভব স্পষ্ট করা হয়েছে।

SuperDraft-এর যেসব গ্রাহক তাঁদের ক্রীড়া বা গেমিং অ্যাকাউন্টে একই ব্যবহারকারীর নাম ব্যবহার করেন এবং যেসব ব্যবহারকারীর অবস্থানের তথ্য রয়েছে, তাঁরা ঝুঁকিতে আছেন। তাঁদের প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্য অন্য অ্যাকাউন্টে ব্যবহৃত অভিন্ন তথ্যের সঙ্গে মেলানো যেতে পারে। একই ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম, ডিভাইস ID বা পাসওয়ার্ড একাধিকবার ব্যবহার করা হলে আক্রমণকারীরা বিভিন্ন সেবায় এসব তথ্য দিয়ে প্রবেশের চেষ্টা করতে পারে।

পুরস্কার, পেমেন্ট, পুরস্কার রিডিম করা বা অ্যাকাউন্ট যাচাইসংক্রান্ত ভুয়া বার্তার মাধ্যমে ফ্যান্টাসি স্পোর্টসের প্রেক্ষাপটকে কাজে লাগানো হতে পারে। প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রে কাজের ইমেইল ও দায়িত্ব-সংক্রান্ত তথ্য বেশি গুরুত্ব পায়। ব্যক্তিগত ব্যবহারকারীদের ক্ষেত্রে ঠিকানা, জন্মতারিখ, কেনাকাটা, অবস্থান বা সদস্যপদের প্রেক্ষাপট বেশি প্রাসঙ্গিক হয়ে ওঠে। শিক্ষা, টেলিযোগাযোগ, আর্থিক খাত, ভ্রমণ, রাজনীতি, চাকরির আবেদন এবং VPNs-এর মতো ক্ষেত্রে প্রেক্ষাপট নিজেই নিশানা হওয়ার ঝুঁকি বাড়াতে পারে।

প্রভাবিত ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তন করা, পেমেন্ট ও কেনাকাটার ইতিহাস পরীক্ষা করা এবং অ্যাকাউন্টে কোনো অপরিচিত সেশন আছে কি না তা খতিয়ে দেখা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো তথ্যক্ষেত্র তালিকাভুক্ত থাকলে, যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়েছে সেগুলোর সবকটিতে পাসওয়ার্ড পরিবর্তন করতে হবে, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করতে হবে এবং সম্ভব হলে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে। শুধু একটি প্ল্যাটফর্মে ব্যবস্থা নেওয়া যথেষ্ট নাও হতে পারে।

ফোন, ঠিকানা, জন্মতারিখ, ডিভাইস ID, সরকারি ID, চাকরির আবেদন বা পুরস্কারের ব্যালান্সের মতো তথ্যক্ষেত্র থাকলে, ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের তথ্য, নিবন্ধিত সেশন, ইমেইল ফরওয়ার্ডিং এবং সন্দেহজনক বার্তা পরীক্ষা করা উচিত। প্রতিষ্ঠানের ক্ষেত্রে কর্মীদের সতর্কবার্তা, ভুয়া ইনভয়েস এবং অ্যাকাউন্ট যাচাইয়ের চেষ্টার মোকাবিলায় প্রক্রিয়াগুলো হালনাগাদ করা উচিত।

ক্রীড়া ও পুরস্কারভিত্তিক খেলার অ্যাকাউন্টে অবস্থান ও পেমেন্টের তথ্য অপ্রয়োজনীয় হলে তা সীমিত রাখা উচিত এবং অ্যাকাউন্টের নিরাপত্তা নিয়মিত পরীক্ষা করা উচিত। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক প্রমাণীকরণ, পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রোফাইলের অপ্রয়োজনীয় তথ্যক্ষেত্র মুছে ফেলা এবং তথ্যের পরিমাণ ন্যূনতম রাখা মৌলিক সুরক্ষার ভিত্তি তৈরি করে। স্থায়ী ব্যক্তিগত তথ্য ফিরিয়ে নেওয়া সম্ভব নয় বলে, সুরক্ষা নির্ভর করে অ্যাকাউন্ট ব্যবহারের অভ্যাস আরও নিরাপদ করার ওপর।

কোম্পানি ও প্রতিষ্ঠানের ক্ষেত্রে ঘটনা-পরবর্তী ইনভেন্টরি, প্রবেশাধিকারের অনুমতি, পুরোনো তথ্য সংরক্ষণ, বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া এবং তৃতীয় পক্ষের প্ল্যাটফর্ম ব্যবহার পুনর্বিবেচনা করা উচিত। ব্যবহারকারীদের ক্ষেত্রে বিভিন্ন সেবায় একই পরিচয়-সংক্রান্ত তথ্য বারবার ব্যবহার না করা এবং বিকল্প মাধ্যমে সন্দেহজনক যোগাযোগ যাচাই করার অভ্যাস দীর্ঘস্থায়ী সুরক্ষা দেয়।

এই রেকর্ডের সঙ্গে ব্যবহারকারীর তথ্য মিলে গেলে, একই ইমেইল-পাসওয়ার্ড জোড়া ব্যবহার করা সব ক্রীড়া, গেমিং ও পেমেন্ট অ্যাকাউন্ট পরীক্ষা করা উচিত। মিল পাওয়া গেলে, প্রথমে কোন তথ্যক্ষেত্রগুলো তালিকাভুক্ত রয়েছে তা পড়তে হবে, তারপর সেগুলো অনুযায়ী করণীয়ের অগ্রাধিকার নির্ধারণ করতে হবে। পাসওয়ার্ড থাকলে পাসওয়ার্ড পরিবর্তনকে; সরকারি ID থাকলে ID পর্যবেক্ষণকে; অবস্থান বা ডিভাইসের তথ্য থাকলে ডিভাইসের নিরাপত্তাকে; আর শিক্ষা বা চাকরির আবেদনের তথ্য থাকলে প্রাতিষ্ঠানিক অ্যাকাউন্ট পরীক্ষাকে অগ্রাধিকার দিতে হবে।

চূড়ান্ত মূল্যায়ন: পাসওয়ার্ড, জন্মতারিখ, কেনাকাটা ও অবস্থানের তথ্যক্ষেত্র একত্রে থাকায় এই রেকর্ডকে সংবেদনশীল হিসেবে শ্রেণিবদ্ধ করা হয়েছে। ব্যবহারকারীর উচিত নিজের অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা এবং একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা পাসওয়ার্ড ব্যবহার করা সেবাগুলো আলাদাভাবে পরীক্ষা করা। ঘটনার পর অপ্রত্যাশিত কল, বার্তা, ইমেইল বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।