SuperVPN & GeckoVPN: তথ্য ফাঁস

যাচাই করে নিশ্চিত হওয়া ডেটার ধরনগুলো হলো ইমেইল ঠিকানা, ডিভাইসের তথ্য, ডিভাইসের সিরিয়াল নম্বর, IMSI নম্বর, ভৌগোলিক অবস্থান ও লগইনের ইতিহাস। ভৌগোলিক অবস্থানের ঘরটি কোন দেশ থেকে লগইন করা হয়েছিল, তা নির্দেশ করে; এটি থেকে সুনির্দিষ্ট GPS স্থানাঙ্ক ফাঁস হওয়ার বিষয়টি নিশ্চিত হয় না। লগইনের ইতিহাস থেকে কোনো ব্যক্তি কোন তারিখে ও সময়ে সেবাটি ব্যবহার করেছেন, তা জানা যেতে পারে। সরাসরি যোগাযোগ করতে এবং বিভিন্ন অ্যাকাউন্টের মধ্যে যোগসূত্র খুঁজতে ইমেইল ঠিকানা ব্যবহার করা যায়, ফলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিংয়ের ঝুঁকি বাড়ে। সিরিয়াল ও IMSI নম্বরের মতো স্থায়ী শনাক্তকারী আলাদা রেকর্ডগুলো একই ডিভাইসের সঙ্গে যুক্ত করা সহজ করে দিতে পারে। পাসওয়ার্ড, ব্যবহারকারীর নাম, পূর্ণ নাম ও পেমেন্টের তথ্য এই ডেটাসেটের যাচাই করা ডেটার ধরনগুলোর মধ্যে নেই। তাই এসব তথ্য নিয়ে প্রাথমিক দাবিগুলোকে এখানে নিশ্চিত ফাঁস হিসেবে উপস্থাপন করা হয়নি।

ঘটনাটির স্বীকৃত তারিখ 2021 সালের 25 ফেব্রুয়ারি। পরদিন প্রকাশিত প্রাথমিক প্রতিবেদনে বলা হয়, একটি ফোরামের ব্যবহারকারী কয়েকটি বিনামূল্যের Android VPN সেবার সঙ্গে সম্পর্কিত আর্কাইভ বিক্রির প্রস্তাব দিয়েছিলেন। পরে যাচাই করা 2,03,39,937টি স্বতন্ত্র ইমেইল রেকর্ডের সমষ্টি SuperVPN ও GeckoVPN-এর নামে তালিকাভুক্ত করা হয়। একই ফাইলে তৃতীয় একটি VPN অ্যাপ্লিকেশনের সঙ্গে সম্পর্কিত অল্প কিছু রেকর্ডও পাওয়া যায়। এতে ধারণা করা হয়, সেবাগুলো একই প্ল্যাটফর্ম বা ডেটা অবকাঠামো ব্যবহার করে থাকতে পারে। বিক্রির প্রাথমিক দাবিতে সবার জন্য উন্মুক্তভাবে প্রবেশযোগ্য ডেটাবেস এবং ডিফল্ট লগইন তথ্যের উল্লেখ ছিল, তবে ওই প্রবেশপদ্ধতিই ফাঁসের সুনির্দিষ্ট কারণ ছিল বলে স্বাধীনভাবে প্রমাণিত হয়নি। এই রেকর্ডকে যাচাই করা ডেটা ফাঁস হিসেবে শ্রেণিবদ্ধ করা হয়েছে; লগইন তথ্যের সংকলন, তথ্য চুরি করা ম্যালওয়্যারের মাধ্যমে সংগৃহীত ডেটা বা শুধু যাচাই না-করা ফোরাম পোস্টের ওপর নির্ভরশীল অভিযোগ হিসেবে নয়।

সবচেয়ে বেশি ঝুঁকিতে আছেন তাঁরা, যাঁরা 2021 সালের শুরুর দিক পর্যন্ত SuperVPN বা GeckoVPN-এর Android অ্যাপ্লিকেশন ব্যবহার করেছেন এবং ইমেইল ঠিকানা দিয়ে সেবাটিতে সংযুক্ত হয়েছেন। যাঁরা অন্য অ্যাকাউন্টেও একই ঠিকানা ব্যবহার করেছেন, তাঁরা VPN ব্যবহারের উল্লেখসহ আরও বিশ্বাসযোগ্য মনে হয় এমন বার্তা পেতে পারেন। দেশের তথ্য ও লগইনের সময়চিহ্ন ব্যবহার করে প্রতারক ভ্রমণ, সংযোগের সমস্যা বা সাবস্ক্রিপশন নবায়ন নিয়ে ব্যক্তির পরিস্থিতির সঙ্গে মানানসই বার্তা তৈরি করতে পারে। ডিভাইসের মডেল, সিরিয়াল নম্বর বা IMSI নিজে থেকে কোনো অ্যাকাউন্টের পাসওয়ার্ড প্রকাশ করে না। তবে প্রেরক আগে থেকেই ব্যবহারকারী বা ডিভাইস সম্পর্কে জানেন, এমন ধারণা তৈরির জন্য চালানো সোশ্যাল ইঞ্জিনিয়ারিং প্রচেষ্টাকে এসব তথ্য আরও বিশ্বাসযোগ্য করে তুলতে পারে। সুনির্দিষ্ট GPS স্থানাঙ্ক, বার্তার বিষয়বস্তু, ব্রাউজিংয়ের ইতিহাস এবং VPN-এর মাধ্যমে আদান-প্রদান করা ইন্টারনেট ট্রাফিক নিশ্চিতভাবে ফাঁস হওয়া তথ্যের আওতায় নেই। এই রেকর্ড থেকে সেগুলো ফাঁস হয়েছে বলে ধরে নেওয়া উচিত নয়।

আপনার প্রথম করণীয় হলো SuperVPN বা GeckoVPN-এর সঙ্গে যুক্ত ইমেইল অ্যাকাউন্টে অপরিচিত সেশন, নিরাপত্তা সতর্কতা এবং অপ্রত্যাশিত পাসওয়ার্ড রিসেটের অনুরোধ আছে কি না, তা পরীক্ষা করা। ইমেইল অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করুন। সুযোগ থাকলে SMS-এর বদলে অথেনটিকেটর অ্যাপ, পাসকি বা হার্ডওয়্যার সিকিউরিটি কি ব্যবহার করুন। অ্যাপ্লিকেশনটি এখনও ইনস্টল করা থাকলে অফিসিয়াল অ্যাপ স্টোর থেকে এর সংস্করণ ও ডেভেলপারের পরিচয় নিশ্চিত করুন। আর প্রয়োজন না হলে অ্যাপটি সরিয়ে ফেলুন, তারপর কোনো প্রবেশাধিকার রয়ে গেছে কি না দেখতে Android অ্যাপের অনুমতি ও সংরক্ষিত VPN প্রোফাইলগুলো পরীক্ষা করুন। সংশ্লিষ্ট ইমেইল অ্যাকাউন্টে দুর্বল বা অন্য কোথাও ব্যবহৃত পাসওয়ার্ড থাকলে সেটিও বদলে একটি শক্তিশালী, স্বতন্ত্র পাসওয়ার্ড দিন। VPN সহায়তা, সাবস্ক্রিপশন নবায়ন, ডিভাইস যাচাই বা অর্থ ফেরতের প্রস্তাব দেওয়া বার্তার লিংক অনুসরণ করবেন না। বৈধ কোনো কাজ শুরু করতে অ্যাপ স্টোরের সংরক্ষিত তালিকাভুক্ত পৃষ্ঠা বা সেবাটির অন্য কোনো যাচাই করা যোগাযোগমাধ্যম ব্যবহার করুন।

শুধু অনেকবার ইনস্টল করা হয়েছে বা বিনামূল্যের বলে প্রচার করা হয়, এই কারণে কোনো VPN বেছে নেবেন না। সেবাদাতা তার আইনি সত্তার পরিচয় জানায় কি না, যোগাযোগযোগ্য সহায়তা ব্যবস্থা রাখে কি না, হালনাগাদ গোপনীয়তা নীতি প্রকাশ করে কি না, স্বাধীন নিরাপত্তা মূল্যায়নের আওতায় আসে কি না এবং ঘটনা সম্পর্কে ব্যবহারকারীদের জানানোর ব্যবস্থা আছে কি না, তা যাচাই করুন। শুধু “কোনো লগ রাখা হয় না” বলাই যথেষ্ট নয়। অ্যাকাউন্ট তৈরি, ত্রুটি নির্ণয়, বিজ্ঞাপন ও সাবস্ক্রিপশন-সংক্রান্ত কাজের জন্য সেবাটি কী তথ্য সংগ্রহ করে, তা পড়ে দেখুন। আপনার ইমেইল অ্যাকাউন্টে সাইন-ইন সতর্কতা চালু রাখুন এবং নিয়মিত এর পুনরুদ্ধারের ইমেইল ঠিকানা ও ফোন নম্বর যাচাই করুন। IMSI বা ডিভাইসের সিরিয়াল নম্বর পাসওয়ার্ডের মতো বদলানো যায় না। তাই কারও কাছে এই দুইটির যেকোনো একটি থাকলেই তাঁর ফোনকল বা বার্তাকে বৈধ বলে ধরে নেওয়া উচিত নয়। আপনার মোবাইল অপারেটর অতিরিক্ত অ্যাকাউন্ট PIN বা নিরাপত্তা পাসকোডের সুবিধা দিলে সেটি চালু করুন। SIM অদলবদল ও অ্যাকাউন্ট দখলের প্রচেষ্টার বিরুদ্ধে এটি বাড়তি সুরক্ষা দিতে পারে।

SuperVPN & GeckoVPN-এর রেকর্ডে আপনার তথ্য আছে কি না জানতে, সেবা দুইটির যেকোনোটিতে আপনি ব্যবহার করে থাকতে পারেন এমন প্রতিটি ইমেইল ঠিকানা একটি বিশ্বস্ত ডেটা ফাঁস অনুসন্ধান টুল দিয়ে পরীক্ষা করুন। কোনো ঠিকানা মিলে গেলে সেটিকে ডিভাইস ও লগইনের মেটাডেটার পাশাপাশি যাচাই করা ডেটাসেটে ঠিকানাটি থাকার প্রমাণ হিসেবে দেখুন; আপনার পাসওয়ার্ড কারও হাতে গেছে, এমন প্রমাণ হিসেবে নয়। পুরোনো ঠিকানাগুলোও পরীক্ষা করুন, কারণ 2021 সালের পর ঠিকানা বদলালেও পুরোনো ঠিকানাটি ঐতিহাসিক রেকর্ডে থেকে যেতে পারে। নিয়মিত ডেটা ফাঁসের সতর্কতা চালু রাখলে পরে অন্য কোনো ঘটনায় একই ঠিকানা পাওয়া গেলে আপনি দ্রুত ব্যবস্থা নিতে পারবেন। ডেটা ফাঁস যাচাইয়ের ফর্মে কখনো IMSI বা ডিভাইসের সিরিয়াল নম্বর লিখবেন না। অযাচিত ফোনকল বা বার্তার প্রেরককেও এসব শনাক্তকারী জানাবেন না। ফলাফল শুধু নিজের অ্যাকাউন্টের নিরাপত্তা সম্পর্কে সিদ্ধান্ত নিতে ব্যবহার করুন; অন্য কারও VPN ব্যবহার সম্পর্কে ধারণা করতে বা অনুমতি ছাড়া অন্যদের ঠিকানা অনুসন্ধান করতে নয়।