Tappware: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: জন্মতারিখ, ইমেইল ঠিকানা, লিঙ্গ, সরকারি পরিচয়সংক্রান্ত তথ্য, পদবি, নাম, ফোন নম্বর, বাসস্থান বা অবস্থানের ঠিকানা এবং ধর্মীয় বিশ্বাস। সরকারি পরিচয়সংক্রান্ত তথ্য ও ধর্মের মতো তথ্য বৈষম্য, পরিচয় চুরি এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণার ঝুঁকি বাড়ায়। এসব তথ্য একসঙ্গে ব্যবহার করলে অ্যাকাউন্টের নিয়ন্ত্রণ দখল, সোশ্যাল ইঞ্জিনিয়ারিং (প্রতারণামূলক কৌশলে মানুষকে প্রভাবিত করা), প্রতারণা, সরাসরি শারীরিকভাবে কাউকে লক্ষ্যবস্তু করা বা গোপনীয়তা লঙ্ঘনের ঘটনা ঘটতে পারে।

এই রেকর্ডে পাসওয়ার্ড তালিকাভুক্ত নেই। তবে সরকারি পরিচয়সংক্রান্ত ও জনমিতিক তথ্য পরিবর্তন করা যায় না বা পরিবর্তন করা কঠিন বলে এগুলো দীর্ঘমেয়াদি ঝুঁকি তৈরি করে। পাসওয়ার্ড থাকা রেকর্ডগুলোর ক্ষেত্রে সবচেয়ে গুরুতর ঝুঁকিগুলোর একটি হলো অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা। পাসওয়ার্ড নেই এমন রেকর্ডেও ডিভাইস, অবস্থান, ফোন, ঠিকানা, শিক্ষা, চাকরির আবেদন বা আর্থিক প্রেক্ষাপটের মতো তথ্য নির্দিষ্ট ব্যক্তিকে পাঠানো প্রতারণামূলক বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।

এই রেকর্ডে tappware.com ডোমেইনের সঙ্গে সংশ্লিষ্ট আনুমানিক 95,000 স্বতন্ত্র ইমেইল ঠিকানা রয়েছে। ঘটনাটি যাচাইকৃত রেকর্ড হিসেবে শ্রেণিবদ্ধ করা হয়েছে। পরিধি মূল্যায়নের সময় অ্যাকাউন্টের সংখ্যা, ডোমেইন, খাত, দেশ ও তথ্যের ধরন আলাদাভাবে পরীক্ষা করা হয়েছে। ব্যবহারকারীদের দেখানো তথ্যের তালিকা রেকর্ডে প্রকৃতপক্ষে উল্লেখ থাকা তথ্যের মধ্যেই সীমিত রাখা হয়েছে।

খাতের শ্রেণিবিন্যাস সংশোধন করে সরকারি খাতের পরিবর্তে বাংলাদেশের তথ্যপ্রযুক্তি সেবা ও কর্মীসংক্রান্ত তথ্যের প্রেক্ষাপটে রাখা হয়েছে। কাছাকাছি ব্র্যান্ড নাম, একাধিক সেবার তথ্য থাকা রেকর্ড বা সংবেদনশীল খাতের ক্ষেত্রে এই সীমারেখা বিশেষভাবে গুরুত্বপূর্ণ। রেকর্ডটি অন্য কোনো ঘটনার সঙ্গে একীভূত করা হয়নি, একই ঘটনার একাধিক রেকর্ড তৈরি হতে পারে এমনভাবে এর পরিধিও বাড়ানো হয়নি। প্রতিষ্ঠানের প্রেক্ষাপট যতটা সম্ভব স্পষ্ট করা হয়েছে।

Tappware-এর সঙ্গে সংশ্লিষ্ট স্থানীয় নাগরিকেরা, চাকরির আবেদন বা কর্মসংস্থান-সংক্রান্ত তথ্য থাকা ব্যক্তিরা এবং সরকারি পরিচয়সংক্রান্ত তথ্য ফাঁস হয়েছে এমন ব্যবহারকারীরা ঝুঁকিতে আছেন। তাঁদের প্রধান ঝুঁকি হলো ফাঁস হওয়া তথ্যের সঙ্গে অন্য অ্যাকাউন্টে ব্যবহৃত একই তথ্য মেলানো সম্ভব। একই ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম, ডিভাইস ID বা পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করা হলে আক্রমণকারীরা বিভিন্ন সেবায় সেই তথ্য ব্যবহার করার চেষ্টা করতে পারে।

কাজ ও পরিচয়সংক্রান্ত প্রেক্ষাপট জনসাধারণের উদ্দেশে ভুয়া ঘোষণা, নিয়োগ, ব্যাংক যাচাই বা নথি নবায়নের বার্তায় ব্যবহার করা হতে পারে। প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রে কাজের ইমেইল ও চাকরিসংক্রান্ত তথ্য গুরুত্বপূর্ণ হয়ে ওঠে; আর ব্যক্তিগত ব্যবহারকারীদের ক্ষেত্রে ঠিকানা, জন্মতারিখ, কেনাকাটা, অবস্থান বা সদস্যপদের প্রেক্ষাপট বিশেষ ভূমিকা রাখে। শিক্ষা, টেলিযোগাযোগ, আর্থিক খাত, ভ্রমণ, রাজনীতি, চাকরির আবেদন ও VPNs-এর মতো ক্ষেত্রে সংশ্লিষ্ট প্রেক্ষাপট নিজেও লক্ষ্যবস্তু হওয়ার ঝুঁকি বাড়াতে পারে।

ক্ষতিগ্রস্ত ব্যবহারকারীদের সরকারি পরিচয়সংক্রান্ত তথ্য ও ফোনের তথ্য চাওয়া হলে অনুরোধটি সতর্কতার সঙ্গে যাচাই করা উচিত। ব্যাংক ও সরকারি সেবার অ্যাকাউন্টে সন্দেহজনক কার্যক্রম আছে কি না, তা-ও পরীক্ষা করা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো তথ্য তালিকাভুক্ত থাকলে, যে সব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করা হয়েছে সেগুলোর সবকটিতে তা বদলাতে হবে, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করতে হবে এবং সম্ভব হলে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করতে হবে। শুধু একটি প্ল্যাটফর্মে ব্যবস্থা নেওয়া যথেষ্ট নাও হতে পারে।

ফোন, ঠিকানা, জন্মতারিখ, ডিভাইস ID, সরকারি পরিচয়সংক্রান্ত তথ্য, চাকরির আবেদন বা রিওয়ার্ড ব্যালেন্সের মতো তথ্য থাকলে ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের তথ্য, নিবন্ধিত সেশন, ইমেইল ফরওয়ার্ডিং ও সন্দেহজনক বার্তা পরীক্ষা করা উচিত। প্রতিষ্ঠানগুলোর ক্ষেত্রে কর্মীদের সতর্কবার্তা, ভুয়া চালান এবং অ্যাকাউন্ট যাচাইয়ের চেষ্টার বিষয়ে ব্যবস্থা নেওয়ার প্রক্রিয়া হালনাগাদ করা উচিত।

সরকারি পরিচয়সংক্রান্ত তথ্য জড়িত এমন তথ্য ফাঁসের ঘটনায় দীর্ঘমেয়াদে পরিচয়ের ব্যবহার পর্যবেক্ষণ, নথির অপব্যবহার নিয়ন্ত্রণ এবং প্রাতিষ্ঠানিক বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া গুরুত্বপূর্ণ। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক প্রমাণীকরণ, পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রোফাইলের অপ্রয়োজনীয় তথ্য মুছে ফেলা এবং তথ্য সংগ্রহ ও সংরক্ষণ ন্যূনতম রাখা মৌলিক নিরাপত্তার ভিত্তি গড়ে তোলে। স্থায়ী ব্যক্তিগত তথ্য একবার ফাঁস হলে তা ফিরিয়ে নেওয়া যায় না বলে সুরক্ষা নির্ভর করে অ্যাকাউন্ট ব্যবহারে নিরাপদ অভ্যাস জোরদার করার ওপর।

কোম্পানি ও প্রতিষ্ঠানগুলোর ক্ষেত্রে ঘটনার পর তথ্য ও সম্পদের তালিকা, প্রবেশাধিকারের অনুমতি, পুরোনো তথ্য সংরক্ষণ, বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া এবং তৃতীয় পক্ষের প্ল্যাটফর্ম ব্যবহার পুনর্বিবেচনা করা উচিত। ব্যবহারকারীদের ক্ষেত্রে বিভিন্ন সেবায় একই পরিচয়সংক্রান্ত তথ্যের পুনর্ব্যবহার এড়ানো এবং সন্দেহজনক যোগাযোগ অন্য একটি মাধ্যমে যাচাই করার অভ্যাস দীর্ঘস্থায়ী সুরক্ষা দেয়।

এই রেকর্ডের সঙ্গে আপনার তথ্য মিলে গেলে শুধু ইমেইল অ্যাকাউন্ট নয়, ফোন, সরকারি পরিচয়সংক্রান্ত তথ্য ও চাকরির আবেদনসংশ্লিষ্ট ঝুঁকিও মূল্যায়ন করা উচিত। মিল পাওয়া গেলে প্রথমে কোন কোন তথ্য তালিকাভুক্ত আছে তা পড়ুন, তারপর সেই অনুযায়ী করণীয়ের অগ্রাধিকার ঠিক করুন। পাসওয়ার্ড থাকলে তা বদলান; সরকারি পরিচয়সংক্রান্ত তথ্য থাকলে সেই পরিচয়ের ব্যবহার নজরে রাখুন; অবস্থান বা ডিভাইসের তথ্য থাকলে ডিভাইসের নিরাপত্তাকে অগ্রাধিকার দিন; শিক্ষা বা চাকরির আবেদনের তথ্য থাকলে সংশ্লিষ্ট প্রতিষ্ঠানের অ্যাকাউন্ট পরীক্ষা করাকে অগ্রাধিকার দিন।

চূড়ান্ত মূল্যায়ন: সরকারি পরিচয় ও ধর্মীয় তথ্যের মতো সংবেদনশীল তথ্য থাকায় এই রেকর্ডে উল্লিখিত ব্যক্তিগত তথ্য ফাঁসের ঘটনাটির প্রভাব গুরুতর। আপনার অ্যাকাউন্ট ব্যবহারের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা উচিত। যে সব সেবায় আপনি একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা পাসওয়ার্ড ব্যবহার করেন, সেগুলো আলাদাভাবে পরীক্ষা করুন। এই ঘটনার পর অপ্রত্যাশিত কল, বার্তা, ইমেইল বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।