Terravision: তথ্য ফাঁস
Terravision-এর তথ্য ফাঁসের ঘটনাটি 2023 সালের ফেব্রুয়ারিতে নথিভুক্ত একটি নিরাপত্তাজনিত ঘটনা, যা প্রায় 20.8 লাখ অ্যাকাউন্টকে প্রভাবিত করেছে। ইউরোপের বিমানবন্দর যাতায়াত সেবাটির সঙ্গে সম্পর্কিত এই ঘটনায় গ্রাহকদের যোগাযোগের তথ্য, জন্মতারিখ, দেশ ও পাসওয়ার্ডের ক্ষেত্রগুলো উন্মুক্ত হয়ে যায়। ঘটনার পরিধি, কোন কোন তথ্য উন্মুক্ত হয়েছে, ঝুঁকির মাত্রা এবং করণীয় সম্পর্কে ব্যবহারকারীরা যেন এক পৃষ্ঠাতেই জানতে পারেন, সে জন্য এই বিবরণ তৈরি করা হয়েছে।
উন্মুক্ত হওয়া তথ্যের ধরন
6- জন্মতারিখ
- ইমেইল ঠিকানা
- ভৌগোলিক অবস্থান
- নাম
- পাসওয়ার্ড
- ফোন নম্বর
এই তথ্য ফাঁস সম্পর্কে
ফোন ও পাসওয়ার্ডের তথ্যের পাশাপাশি ভ্রমণসংক্রান্ত তথ্যও সংবেদনশীল হিসেবে বিবেচিত হয়, কারণ তা কোনো ব্যক্তির ভ্রমণ পরিকল্পনা ও দেশের তথ্যের সঙ্গে যুক্ত করা সম্ভব। এই বিবরণে শুধু যাচাইযোগ্য তথ্যের শ্রেণিগুলো অন্তর্ভুক্ত করা হয়েছে। একই নামের ভিন্ন সেবা, প্রযুক্তিগত বিবরণ অস্পষ্ট এমন অতিরিক্ত দাবি কিংবা পরিধি প্রমাণিত নয় এমন তথ্যকে কোনো তথ্যক্ষেত্র হিসেবে উপস্থাপন করা হয়নি। এতে ব্যবহারকারীকে বিভ্রান্ত না করে প্রকৃত ঝুঁকি তুলে ধরা যায়।
ফাঁস হওয়া তথ্যের ধরন ও ঝুঁকি
এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: জন্মতারিখ, ইমেইল ঠিকানা, ভৌগোলিক অবস্থান, নাম, পাসওয়ার্ড ও ফোন নম্বর। ভ্রমণসংক্রান্ত তথ্য ব্যবহার করে যাতায়াতের ব্যবস্থা, রিজার্ভেশন, টিকিট, অর্থ ফেরত ও গন্তব্য নিয়ে পাঠানো ভুয়া বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। এসব তথ্য একসঙ্গে ব্যবহার করলে অ্যাকাউন্ট দখল, সামাজিক প্রকৌশল, প্রতারণা, কাউকে সরাসরি শারীরিকভাবে লক্ষ্যবস্তু করা বা গোপনীয়তা লঙ্ঘনের মতো পরিণতি ঘটতে পারে।
পাসওয়ার্ডগুলো সল্টযুক্ত হ্যাশ মানের সঙ্গে যুক্ত বলে বোঝা যায়। তা সত্ত্বেও, একই পাসওয়ার্ড অন্য কোনো ভ্রমণসেবা বা ইমেইল অ্যাকাউন্টে ব্যবহার করা হয়ে থাকলে সেটি পরিবর্তন করা উচিত। পাসওয়ার্ড রয়েছে এমন রেকর্ডের ক্ষেত্রে অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা অন্যতম গুরুতর ঝুঁকি। যেসব রেকর্ডে পাসওয়ার্ড নেই, সেগুলোতে ডিভাইস, অবস্থান, ফোন, ঠিকানা, শিক্ষা, চাকরির আবেদন বা আর্থিক প্রেক্ষাপটের মতো তথ্য নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে।
যাচাইকৃত পরিধি ও সীমা
এই রেকর্ডে terravision.eu ডোমেইনের সঙ্গে যুক্ত গ্রাহকদের প্রায় 20.8 লাখ রেকর্ড অন্তর্ভুক্ত রয়েছে। ঘটনাটিকে নিশ্চিত ঘটনার রেকর্ড হিসেবে শ্রেণিবদ্ধ করা হয়েছে। পরিধি মূল্যায়নের সময় অ্যাকাউন্টের সংখ্যা, ডোমেইন, খাত, দেশ ও তথ্যের শ্রেণিগুলো আলাদাভাবে যাচাই করা হয়েছে। ব্যবহারকারীকে দেখানো তথ্যক্ষেত্রগুলো শুধু রেকর্ডে সত্যিই তালিকাভুক্ত ক্ষেত্রগুলোর মধ্যেই সীমিত রাখা হয়েছে।
খাতের তথ্য সংশোধন করে বিমানবন্দর যাতায়াত ও ভ্রমণসেবা হিসেবে চিহ্নিত করা হয়েছে, অন্য কোনো খাত হিসেবে নয়। কাছাকাছি ব্র্যান্ডের নাম, একাধিক সেবা অন্তর্ভুক্ত করে এমন রেকর্ড বা সংবেদনশীল খাতের ক্ষেত্রে এই পার্থক্য বিশেষভাবে গুরুত্বপূর্ণ। রেকর্ডটিকে অন্য কোনো ঘটনার সঙ্গে একত্র করা হয়নি কিংবা এমনভাবে বিস্তৃত করা হয়নি যাতে একই তথ্যের একাধিক রেকর্ড তৈরি হয়। কোম্পানির প্রেক্ষাপটও যতটা সম্ভব স্পষ্ট করা হয়েছে।
ঝুঁকিতে থাকা ব্যবহারকারী গোষ্ঠী
Terravision-এর গ্রাহক, ভ্রমণের রিজার্ভেশন করেন এমন ব্যক্তি এবং অন্য ভ্রমণসেবার অ্যাকাউন্টেও একই ফোন নম্বর ও ইমেইলের সমন্বয় ব্যবহার করেন এমন ব্যবহারকারীরা ঝুঁকিতে রয়েছেন। তাঁদের প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্যক্ষেত্রগুলো অন্য অ্যাকাউন্টে ব্যবহৃত সাধারণ তথ্যের সঙ্গে মেলানো সম্ভব। একই ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম, ডিভাইস ID বা পাসওয়ার্ড বারবার ব্যবহার করা হলে আক্রমণকারীরা বিভিন্ন সেবায় সেই তথ্য ব্যবহার করে দেখার চেষ্টা করতে পারে।
ভ্রমণসংক্রান্ত তথ্যের অপব্যবহার করে ভুয়া যাতায়াতের রিজার্ভেশন, বিলম্বের বিজ্ঞপ্তি, অর্থ ফেরত বা রুট পরিবর্তনের বার্তা পাঠানো সম্ভব। প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রে কাজের ইমেইল ও কাজসংক্রান্ত তথ্য বেশি গুরুত্বপূর্ণ হয়ে ওঠে। অন্যদিকে, ব্যক্তিগত ব্যবহারকারীদের ক্ষেত্রে ঠিকানা, জন্মতারিখ, কেনাকাটা, অবস্থান বা সদস্যপদসংক্রান্ত তথ্য বেশি গুরুত্বপূর্ণ। শিক্ষা, টেলিযোগাযোগ, অর্থ, ভ্রমণ, রাজনীতি, চাকরির আবেদন ও VPN-এর মতো ক্ষেত্রে প্রেক্ষাপট নিজেও লক্ষ্যবস্তু হওয়ার ঝুঁকি বাড়াতে পারে।
জরুরি করণীয়
ক্ষতিগ্রস্ত ব্যবহারকারীদের পাসওয়ার্ড পরিবর্তন করা এবং ভ্রমণসেবার অ্যাকাউন্টে নিবন্ধিত ফোন ও ইমেইলের নিরাপত্তা যাচাই করা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো তথ্যক্ষেত্র তালিকাভুক্ত থাকলে, একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টে তা পরিবর্তন করা, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। শুধু একটি প্ল্যাটফর্মে ব্যবস্থা নেওয়া যথেষ্ট নাও হতে পারে।
ফোন, ঠিকানা, জন্মতারিখ, ডিভাইস ID, সরকারি ID, চাকরির আবেদন বা রিওয়ার্ড ব্যালেন্সের মতো তথ্যক্ষেত্র থাকলে, ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের তথ্য, নিবন্ধিত সেশন, ইমেইল ফরওয়ার্ডিং এবং সন্দেহজনক বার্তা পরীক্ষা করা উচিত। প্রতিষ্ঠানগুলোর ক্ষেত্রে কর্মী-সংক্রান্ত সতর্কবার্তা, ভুয়া চালান ও অ্যাকাউন্ট যাচাইয়ের প্রচেষ্টা মোকাবিলায় প্রক্রিয়াগুলো হালনাগাদ করা উচিত।
দীর্ঘমেয়াদি নিরাপত্তা কৌশল
ভ্রমণসেবার অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার, অপ্রয়োজনীয় ব্যক্তিগত তথ্য মুছে ফেলা এবং বুকিংসংক্রান্ত বার্তা যাচাই করা গুরুত্বপূর্ণ। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক পরিচয় যাচাই, পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রোফাইলের অপ্রয়োজনীয় তথ্যক্ষেত্র মুছে ফেলা এবং প্রয়োজন অনুযায়ী তথ্য সংগ্রহ, ব্যবহার ও সংরক্ষণ ন্যূনতম রাখা মৌলিক সুরক্ষার ভিত্তি তৈরি করে। স্থায়ী ব্যক্তিগত তথ্য ফিরিয়ে নেওয়া যায় না বলে, অ্যাকাউন্ট ব্যবহারে সুরক্ষামূলক অভ্যাস জোরদার করার ওপর নির্ভর করতে হয়।
কোম্পানি ও প্রতিষ্ঠানগুলোর উচিত ঘটনার পর তথ্য-সম্পদের তালিকা, প্রবেশাধিকারের অনুমতি, পুরোনো তথ্য সংরক্ষণ, অবহিত করার প্রক্রিয়া এবং তৃতীয় পক্ষের প্ল্যাটফর্মের ব্যবহার নতুন করে পর্যালোচনা করা। ব্যবহারকারীদের ক্ষেত্রে বিভিন্ন সেবায় পরিচয়সংক্রান্ত একই তথ্য বারবার ব্যবহার এড়ানো এবং অন্য একটি যোগাযোগমাধ্যমে সন্দেহজনক যোগাযোগের সত্যতা যাচাই করার অভ্যাস দীর্ঘস্থায়ী সুরক্ষা দেয়।
রেকর্ড যাচাই ও ব্যবহারকারীর করণীয়
আপনার তথ্য এই রেকর্ডের সঙ্গে মিলে গেলে, একই পাসওয়ার্ড ব্যবহার করা ভ্রমণসেবা, ইমেইল ও পেমেন্ট অ্যাকাউন্টগুলো পরীক্ষা করা উচিত। মিল পাওয়া গেলে প্রথমে কোন কোন তথ্যক্ষেত্র তালিকাভুক্ত রয়েছে তা পড়ুন, তারপর সেগুলোর ভিত্তিতে করণীয়ের অগ্রাধিকার ঠিক করুন। পাসওয়ার্ড থাকলে পাসওয়ার্ড পরিবর্তনকে, সরকারি ID থাকলে সেই ID-এর ব্যবহারের ওপর নজরদারিকে, অবস্থান বা ডিভাইসের তথ্য থাকলে ডিভাইসের নিরাপত্তাকে এবং প্রশিক্ষণ বা চাকরির আবেদনের তথ্য থাকলে প্রাতিষ্ঠানিক অ্যাকাউন্ট যাচাইকে অগ্রাধিকার দিন।
চূড়ান্ত মূল্যায়ন: এই রেকর্ডটি গ্রাহকদের সংবেদনশীল তথ্যসংক্রান্ত একটি ঘটনা, কারণ এতে ভ্রমণের প্রেক্ষাপট, ফোন, জন্মতারিখ ও পাসওয়ার্ডের তথ্য একসঙ্গে রয়েছে। আপনার নিজের অ্যাকাউন্ট ব্যবহারের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখুন। যেসব সেবায় একই ইমেইল, ফোন, ব্যবহারকারীর নাম বা পাসওয়ার্ড ব্যবহার করেছেন, সেগুলো আলাদাভাবে পরীক্ষা করুন। ঘটনার পর অপ্রত্যাশিত কল, বার্তা, ইমেইল বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে তুলনামূলক বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।
যাচাই ও সম্পাদনার পদ্ধতি
LeakData ঘটনাটির নাম, তারিখ, প্রভাবিত রেকর্ডের সংখ্যা এবং উন্মুক্ত হওয়া তথ্যের ধরন উপলব্ধ উৎসের সঙ্গে মিলিয়ে দেখে। যাচাই করা হয়নি এমন তথ্যকে সত্য হিসেবে উপস্থাপন করা হয় না, এবং নতুন প্রমাণ পাওয়া গেলে রেকর্ড হালনাগাদ করা হয়।
অনুপস্থিত বা ভুল তথ্য জানান
