Tesco তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: ইমেইল ঠিকানা, পাসওয়ার্ড এবং রিওয়ার্ড প্রোগ্রামের ব্যালেন্স। লয়্যালটি ব্যালেন্সের তথ্য ব্যবহার করে আক্রমণকারী ভুয়া পয়েন্ট কাজে লাগাতে বা অ্যাকাউন্ট যাচাইয়ের বার্তা তৈরি করতে পারে। এই তথ্যগুলো একসঙ্গে ব্যবহার করা হলে অ্যাকাউন্ট দখল, সামাজিক কৌশলে প্রতারণা, জালিয়াতি, সরাসরি শারীরিকভাবে কাউকে লক্ষ্যবস্তু করা বা গোপনীয়তা লঙ্ঘনের ঘটনা ঘটতে পারে।

পাসওয়ার্ডের ক্ষেত্রটি থাকায় যাঁরা অন্য কেনাকাটা বা ইমেইল অ্যাকাউন্টেও একই পাসওয়ার্ড ব্যবহার করেন, তাঁরা সরাসরি ঝুঁকিতে রয়েছেন। পাসওয়ার্ড রয়েছে এমন রেকর্ডের ক্ষেত্রে অন্য সেবায় একই বা কাছাকাছি পাসওয়ার্ড ব্যবহার করা সবচেয়ে গুরুতর ঝুঁকিগুলোর একটি। যেসব রেকর্ডে পাসওয়ার্ড নেই, সেগুলোতে ডিভাইস, অবস্থান, ফোন, ঠিকানা, শিক্ষা, চাকরির আবেদন বা আর্থিক বিষয়সংক্রান্ত তথ্য থাকলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

এই রেকর্ডে tesco.com ডোমেইনের সঙ্গে সংশ্লিষ্ট প্রায় 2,200 অ্যাকাউন্ট অন্তর্ভুক্ত রয়েছে। ঘটনাটি যাচাইকৃত রেকর্ডের শ্রেণিতে পড়ে। পরিধি মূল্যায়নের সময় অ্যাকাউন্টের সংখ্যা, ডোমেইন, শিল্পখাত, দেশ এবং তথ্যের ধরন আলাদাভাবে যাচাই করা হয়েছে। ব্যবহারকারীকে দেখানো তথ্যের ক্ষেত্রগুলো রেকর্ডে প্রকৃতপক্ষে তালিকাভুক্ত ক্ষেত্রগুলোর মধ্যেই সীমিত রাখা হয়েছে।

মূল কারণ পুরোপুরি স্পষ্ট না হওয়ায় অবকাঠামো সম্পর্কে কোনো নিশ্চিত দাবি যোগ না করে ব্যাখ্যাটি অ্যাকাউন্ট ও লয়্যালটি প্রোগ্রামের বিষয়গুলোর মধ্যে সীমিত রাখা হয়েছে। কাছাকাছি ব্র্যান্ডের নাম, একাধিক সেবা অন্তর্ভুক্ত রয়েছে এমন নিবন্ধন বা সংবেদনশীল খাতের ক্ষেত্রে এই সীমা বজায় রাখা বিশেষভাবে গুরুত্বপূর্ণ। রেকর্ডটিকে অন্য কোনো ঘটনার সঙ্গে একত্র করা হয়নি, একই রেকর্ডের পুনরাবৃত্তি তৈরি হয় এমনভাবে এর পরিধি বাড়ানো হয়নি এবং কোম্পানিসংক্রান্ত প্রেক্ষাপট যতটা সম্ভব স্পষ্ট করা হয়েছে।

Tesco অ্যাকাউন্ট আছে এমন গ্রাহক, লয়্যালটি প্রোগ্রামে ব্যালেন্স আছে এমন ব্যবহারকারী এবং বিভিন্ন খুচরা বিক্রেতার অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেন এমন ব্যক্তিরা ঝুঁকিতে রয়েছেন। তাঁদের প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্য অন্য অ্যাকাউন্টে ব্যবহৃত সাধারণ তথ্যের সঙ্গে মেলানো হতে পারে। একই ইমেইল ঠিকানা, ফোন নম্বর, ব্যবহারকারীর নাম, ডিভাইস ID বা পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করা হলে আক্রমণকারীরা বিভিন্ন সেবায় সেই তথ্য দিয়ে প্রবেশের চেষ্টা করতে পারে।

খুচরা বিক্রয়ের প্রেক্ষাপটকে কাজে লাগিয়ে ভুয়া পয়েন্ট, কুপন, অর্ডার, ডেলিভারি বা অ্যাকাউন্ট লক হওয়ার বার্তা দিয়ে অপব্যবহার করা যেতে পারে। প্রাতিষ্ঠানিক ব্যবহারকারীদের ক্ষেত্রে ব্যবসায়িক ইমেইল ও কাজসংক্রান্ত তথ্য গুরুত্ব পায়। অন্যদিকে, ব্যক্তিগত ব্যবহারকারীদের ক্ষেত্রে ঠিকানা, জন্মতারিখ, কেনাকাটা, অবস্থান বা সদস্যপদের প্রেক্ষাপট বেশি গুরুত্বপূর্ণ হয়ে ওঠে। শিক্ষা, টেলিকম, অর্থায়ন, ভ্রমণ, রাজনীতি, চাকরির আবেদন ও VPN-এর মতো ক্ষেত্রে প্রেক্ষাপট নিজেই কাউকে লক্ষ্যবস্তু করার ঝুঁকি বাড়াতে পারে।

প্রভাবিত ব্যবহারকারীদের Tesco এবং একই পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলোর পাসওয়ার্ড বদলানো ও লয়্যালটি ব্যালেন্স পরীক্ষা করা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের মতো কোনো ক্ষেত্র তালিকাভুক্ত থাকলে ব্যবহারকারীদের একই পাসওয়ার্ড ব্যবহার করা সব অ্যাকাউন্টে সেটি বদলানো, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা এবং সম্ভব হলে বহু-উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত। শুধু একটি প্ল্যাটফর্মে ব্যবস্থা নিলে তা যথেষ্ট নাও হতে পারে।

ফোন, ঠিকানা, জন্মতারিখ, ডিভাইস ID, সরকারি পরিচয়পত্র, চাকরির আবেদন বা রিওয়ার্ড ব্যালেন্সের মতো তথ্যের ক্ষেত্র থাকলে ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের তথ্য, নিবন্ধিত সেশন, ইমেইল ফরওয়ার্ডিং এবং সন্দেহজনক বার্তা পরীক্ষা করা উচিত। প্রতিষ্ঠানগুলোর ক্ষেত্রে কর্মীসংক্রান্ত সতর্কবার্তা, ভুয়া ইনভয়েস এবং অ্যাকাউন্ট যাচাইয়ের প্রচেষ্টার ঝুঁকি মোকাবিলায় প্রক্রিয়াগুলো হালনাগাদ করা উচিত।

লয়্যালটি প্রোগ্রামের অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করা এবং অ্যাকাউন্টের কার্যক্রমের বিজ্ঞপ্তি চালু রাখা উচিত। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক পরিচয় যাচাই, পুরোনো অ্যাকাউন্ট বন্ধ করা, প্রোফাইলের অপ্রয়োজনীয় তথ্য মুছে ফেলা এবং তথ্যের পরিমাণ ন্যূনতম রাখা মৌলিক সুরক্ষাব্যবস্থার ভিত্তি গড়ে তোলে। স্থায়ী ব্যক্তিগত তথ্য ফিরিয়ে নেওয়া যায় না বলে সুরক্ষা নির্ভর করে অ্যাকাউন্ট ব্যবহারের নিরাপদ অভ্যাস জোরদার করার ওপর।

কোম্পানি ও প্রতিষ্ঠানের ক্ষেত্রে ঘটনা-পরবর্তী ইনভেন্টরি, অ্যাক্সেসের অনুমতি, পুরোনো তথ্য সংরক্ষণ, বিজ্ঞপ্তি দেওয়ার প্রক্রিয়া এবং তৃতীয় পক্ষের প্ল্যাটফর্ম ব্যবহারের বিষয়গুলো পুনর্বিবেচনা করা উচিত। ব্যবহারকারীদের ক্ষেত্রে বিভিন্ন সেবায় একই পরিচয়সংক্রান্ত তথ্য বারবার ব্যবহার না করা এবং অন্য একটি মাধ্যমে সন্দেহজনক যোগাযোগের সত্যতা যাচাই করার অভ্যাস দীর্ঘস্থায়ী সুরক্ষা দেয়।

এই রেকর্ডের সঙ্গে ব্যবহারকারীর তথ্য মিলে গেলে শুধু পাসওয়ার্ড নয়, পয়েন্ট বা রিওয়ার্ড ব্যালেন্সে কোনো অপ্রত্যাশিত পরিবর্তন হয়েছে কি না, তা-ও পরীক্ষা করা উচিত। তথ্য মিলে গেলে ব্যবহারকারীর প্রথমে পড়ে দেখা উচিত কোন কোন তথ্যের ক্ষেত্র তালিকাভুক্ত রয়েছে, তারপর সেগুলোর ভিত্তিতে করণীয়ের অগ্রাধিকার ঠিক করা উচিত। পাসওয়ার্ড থাকলে পাসওয়ার্ড বদলানোকে, সরকারি পরিচয়পত্র থাকলে সেটির ব্যবহার নজরে রাখাকে, অবস্থান বা ডিভাইসের তথ্য থাকলে ডিভাইসের নিরাপত্তাকে এবং শিক্ষা বা চাকরির আবেদনের তথ্য থাকলে প্রাতিষ্ঠানিক অ্যাকাউন্ট পরীক্ষা করাকে অগ্রাধিকার দেওয়া উচিত।

চূড়ান্ত মূল্যায়ন: রেকর্ডটির পরিমাণ কম হলেও পাসওয়ার্ড ও লয়্যালটি ব্যালেন্স থাকায় এটি খুচরা বিক্রয় খাতের অ্যাকাউন্টসংক্রান্ত একটি সংবেদনশীল ঘটনা। ব্যবহারকারীর উচিত নিজের অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা এবং একই ইমেইল, ফোন নম্বর, ব্যবহারকারীর নাম বা পাসওয়ার্ড ব্যবহার করা সেবাগুলো আলাদাভাবে পরীক্ষা করা। ঘটনার পর অপ্রত্যাশিত কল, বার্তা, ইমেইল বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।