T2: তথ্য ফাঁস

এই রেকর্ডে যোগাযোগের তথ্য, কেনাকাটার বিবরণ এবং পাসওয়ার্ডের তথ্য একসঙ্গে রয়েছে। ইমেইল, নাম, ফোন নম্বর ও ঠিকানা মিলে ব্যবহারকারীর গ্রাহক প্রোফাইল তৈরি হয়; কেনাকাটার তথ্যের কারণে অর্ডার, পণ্য ফেরত, পণ্য পাঠানো এবং প্রচারণা নিয়ে ভুয়া বার্তা আরও বিশ্বাসযোগ্য হয়ে ওঠে। অন্যদিকে, একই পাসওয়ার্ড অন্য অ্যাকাউন্টেও ব্যবহার করা হলে, হ্যাশ করা পাসওয়ার্ডের তথ্য অ্যাকাউন্ট দখলের চেষ্টার পথ তৈরি করে।

নাম, ইমেইল, ফোন নম্বর, ঠিকানা, ব্যবহারকারীর নাম বা অবস্থানের মতো তথ্য একসঙ্গে পাওয়া গেলে আক্রমণকারীরা এমনভাবে ব্যবহারকারীর সঙ্গে যোগাযোগ করতে পারে, যেন তারা বৈধভাবে তাঁকে সেবা দিয়ে থাকে। শুধু এসব তথ্য পাওয়া যাওয়ার অর্থ সব সময় অ্যাকাউন্ট দখল হয়ে যাওয়া নয়; তবে এগুলো ফিশিং, ভুয়া সহায়তার অনুরোধ, অ্যাকাউন্ট যাচাই এবং ব্যক্তিকে লক্ষ্য করে সাজানো প্রতারণায় ব্যবহার করা যেতে পারে। এই রেকর্ডে পেমেন্ট কার্ডের সম্পূর্ণ তথ্য তালিকাভুক্ত নেই। কিছু গৌণ প্রতিবেদনে পেমেন্টের পদ্ধতি বা পেমেন্টের আংশিক বিবরণের উল্লেখ থাকলেও, এই রেকর্ডের প্রধান তথ্যের ধরন হলো কেনাকাটার ইতিহাস এবং scrypt দিয়ে হ্যাশ করা পাসওয়ার্ড। ব্যবহারকারীর পাসওয়ার্ড সরাসরি পাঠযোগ্য অবস্থায় ফাঁস হয়েছে, এমন বলা উচিত নয়; তবে একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার বন্ধ করতে জরুরি ব্যবস্থা নেওয়ার পরামর্শ দেওয়া উচিত।

ঘটনার তারিখ হিসেবে 2024 সালের 17 এপ্রিল নথিভুক্ত রয়েছে, এবং প্রভাবিত ইমেইল ঠিকানার সংখ্যা 94,584। তথ্য ফাঁসের নির্ভরযোগ্য রেকর্ডগুলোতে বলা হয়েছে যে T2-এর প্রায় 95,000টি রেকর্ড শেয়ার করা হয়েছিল। এতে ইমেইল, বাসা বা প্রতিষ্ঠানের ঠিকানা, নাম, ফোন নম্বর, জন্মতারিখ, কেনাকাটার তথ্য এবং scrypt দিয়ে হ্যাশ করা পাসওয়ার্ডের মতো তথ্য ছিল। এই রেকর্ডে তালিকাভুক্ত তথ্যের ধরনগুলো ওই পরিসরের সঙ্গে সামঞ্জস্যপূর্ণ।

পরিসর ব্যাখ্যা করার সময় ধরে নেওয়া উচিত নয় যে প্রতিটি সারিতে সব ধরনের তথ্য রয়েছে। ঘটনাটিকে সাধারণভাবে পেমেন্ট কার্ডের তথ্য ফাঁস হিসেবে বর্ণনা করা উচিত নয়; আলোচনা গ্রাহকের সঙ্গে যোগাযোগ, কেনাকাটার ইতিহাস এবং পাসওয়ার্ডের নিরাপত্তার মধ্যেই সীমিত রাখা উচিত। T2 অ্যাকাউন্টের বাইরে যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়েছে, সেগুলোকেও ঝুঁকি মূল্যায়নের আওতায় আনা উচিত।

যাঁরা T2 স্টোরে অ্যাকাউন্ট খুলেছেন, অনলাইনে অর্ডার দিয়েছেন বা পণ্য পৌঁছে দেওয়ার জন্য তথ্য দিয়েছেন, তাঁরা ঝুঁকিতে রয়েছেন। লয়্যালটি কর্মসূচি, প্রচারণা এবং পণ্য পাঠানোসংক্রান্ত বার্তা পেতে অভ্যস্ত ব্যবহারকারীরা ভুয়া লিংকে দ্রুত সাড়া দিতে পারেন।

যাঁরা ইমেইল, কেনাকাটা বা পেমেন্টের অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন, তাঁদের ঝুঁকি বেশি। জন্মতারিখ ও সম্বোধনের তথ্য ব্যবহার করে বার্তা ব্যক্তির উপযোগী করে সাজানো যায়। ফোন নম্বর ও ঠিকানার তথ্য হালনাগাদ থাকলে SMS ও ফোনকলের মাধ্যমে লক্ষ্যবস্তু হওয়ার সম্ভাবনাও বাড়ে।

এই রেকর্ডে যাঁদের তথ্যের মিল পাওয়া গেছে, তাঁদের উচিত T2 অ্যাকাউন্টের পাসওয়ার্ড পরিবর্তন করা এবং একই পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড নির্ধারণ করা। পণ্য পাঠানো, পণ্য ফেরত, পেমেন্ট সংশোধন বা প্রচারণাসংক্রান্ত বার্তা অফিসিয়াল ওয়েবসাইট বা অ্যাপ্লিকেশনের মাধ্যমে যাচাই করা উচিত।

পাওয়া লিংক সরাসরি খোলার বদলে ব্যবহারকারীর উচিত সংশ্লিষ্ট সেবার পরিচিত ওয়েব ঠিকানা বা অফিসিয়াল অ্যাপ্লিকেশনের মাধ্যমে লগইন করা। ফোন করা ব্যক্তি আপনার নাম, ইমেইল, ঠিকানা, অর্ডার বা প্রোফাইলের তথ্য জানেন বলেই তিনি বিশ্বাসযোগ্য, এমন প্রমাণ হয় না। সহায়তা নেওয়ার কোনো কথোপকথনেই একবার ব্যবহারযোগ্য যাচাইকরণ কোড, পেমেন্ট কার্ডের তথ্য বা অ্যাকাউন্টের পাসওয়ার্ড দেওয়া উচিত নয়।

দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ও দুই ধাপের প্রমাণীকরণ ব্যবহারের অভ্যাস এবং অ্যাকাউন্ট থেকে অপ্রয়োজনীয় ব্যক্তিগত তথ্য সরিয়ে ফেলা ঝুঁকি কমায়। বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা ব্যবহার করলে আলাদা আলাদা তথ্য ফাঁসের ঘটনা থেকে পাওয়া তথ্য একত্র করা সহজ হয়; গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা বিকল্প ইমেইল ঠিকানা ব্যবহার করার কথা বিবেচনা করা যেতে পারে।

কেনাকাটার অ্যাকাউন্ট থেকে পুরোনো ডেলিভারি ঠিকানা, অপ্রয়োজনীয় ফোন নম্বর এবং অব্যবহৃত পেমেন্ট বা সদস্যপদের তথ্য নিয়মিত সরিয়ে ফেলা উচিত। পাসওয়ার্ড জড়িত থাকা তথ্য ফাঁসের ঘটনায় সব কেনাকাটার অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা একটি স্থায়ী সমাধান।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি এই রেকর্ডে আছে কি না জানা যায়। মিল পাওয়া মানেই সব তথ্য নিশ্চিতভাবে ওই ব্যবহারকারীর, এমন নয়; তবে সতর্কতামূলক ব্যবস্থা নেওয়ার জন্য এটি যথেষ্ট সংকেত। মিল না পাওয়া শুধু বোঝায় যে এই ডেটাসেটে কোনো মিল নেই; অন্য কোনো তথ্য ফাঁসের ঘটনায় ওই ইমেইল ঠিকানা থাকার সম্ভাবনা এতে নাকচ হয় না।

মিল পাওয়া গেলে T2 অ্যাকাউন্ট ও কেনাকাটাসংক্রান্ত সোশ্যাল ইঞ্জিনিয়ারিংয়ের ঝুঁকি বেড়ে যায়। মিল না পাওয়ার অর্থ এই রেকর্ডের মধ্যে কোনো মিল নেই; একই ইমেইল ঠিকানা অন্যান্য খুচরা বিক্রেতার রেকর্ডেও যাচাই করা উচিত।