TheGradCafe: তথ্য ফাঁস

ব্যবহারকারীর নাম, ইমেইল, নাম ও অবস্থানের তথ্য একত্র করলে অনলাইন কমিউনিটির পরিচয়ের সঙ্গে বাস্তব ব্যক্তির পরিচয় মেলানো সম্ভব। একই পাসওয়ার্ড একাধিক অ্যাকাউন্টে ব্যবহার করা হলে হ্যাশ করা পাসওয়ার্ডের তথ্য অন্য অ্যাকাউন্টগুলোর জন্যও ঝুঁকি তৈরি করে। IP ঠিকানা ও বসবাসের ঠিকানার মতো তথ্য ব্যবহারকারীর অনলাইন আচরণ ও অবস্থান সম্পর্কে আরও স্পষ্ট ধারণা দেয়।

নাম, ইমেইল, ফোন নম্বর বা ঠিকানার মতো তথ্য একসঙ্গে পাওয়া গেলে আক্রমণকারীরা ব্যবহারকারীর সঙ্গে বৈধ সেবাদাতা হিসেবে যোগাযোগ করার ভান করতে পারে। শুধু এই তথ্য পাওয়া যাওয়া অ্যাকাউন্ট দখলের প্রমাণ নয়; তবে ভুয়া সহায়তা বার্তা, ডেলিভারি বিজ্ঞপ্তি, পাসওয়ার্ড রিসেটের চেষ্টা এবং ব্যক্তিকে লক্ষ্য করে সাজানো প্রতারণার জন্য এটি একটি শক্তিশালী ভিত্তি তৈরি করে। নিবন্ধন, প্রশিক্ষণ ও আবেদন প্রক্রিয়ার সঙ্গে এর সম্পর্ক থাকায় বিশ্ববিদ্যালয়ের নামে ভুয়া যোগাযোগ, ভর্তি-সংক্রান্ত পরামর্শ, আবেদন ফি, বৃত্তির বিজ্ঞপ্তি বা অ্যাকাউন্ট যাচাইয়ের বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে। প্রতিটি সারিতে ফোন নম্বর ও বসবাসের ঠিকানা থাকার কথা নয়, তবে কিছু রেকর্ডে এই তথ্যগুলো থাকতে পারে।

ঘটনার তারিখ 26 ফেব্রুয়ারি 2023, এবং প্রভাবিত অ্যাকাউন্টের সংখ্যা 3,10,975 হিসেবে নথিভুক্ত রয়েছে। নিরাপত্তা লগ অনুযায়ী, TheGradCafe-এর ব্যবহারকারীদের ব্যক্তিগত তথ্য উন্মুক্ত হয়েছিল, পাসওয়ার্ডগুলো bcrypt দিয়ে হ্যাশ করা অবস্থায় পাওয়া গিয়েছিল, এবং কিছু রেকর্ডে ফোন নম্বর, বসবাসের ঠিকানা ও জন্মতারিখের মতো অতিরিক্ত তথ্যও থাকতে পারে। বিদ্যমান তথ্যের ধরনগুলো প্রধান ঝুঁকির ক্ষেত্রগুলোর সঙ্গে সামঞ্জস্যপূর্ণ।

ঘটনার পরিধি ব্যাখ্যা করার সময় পাসওয়ার্ডগুলো সরাসরি পাঠযোগ্য অবস্থায় ছিল বলা উচিত নয়। পাসওয়ার্ড পুনরায় ব্যবহার করা হলে হ্যাশ করা পাসওয়ার্ডও ঝুঁকি তৈরি করে। এ ছাড়া, এই রেকর্ডের অর্থ এই নয় যে সব আবেদনের ফলাফল বা ব্যক্তিগত বার্তা ফাঁস হয়েছে; ব্যবহারকারীর অ্যাকাউন্ট, প্রোফাইল ও যোগাযোগসংক্রান্ত তথ্যের পরিসরে এটি মূল্যায়ন করা উচিত।

যাঁরা স্নাতকোত্তর পর্যায়ে আবেদন করার সময় TheGradCafe-এ অ্যাকাউন্ট খুলেছেন, আবেদনের অভিজ্ঞতা শেয়ার করেছেন বা ফোরামের মতো অংশে ব্যবহারকারীর নাম দিয়ে অংশ নিয়েছেন, তাঁরা ঝুঁকিতে রয়েছেন। অন্য শিক্ষাসংক্রান্ত প্ল্যাটফর্মেও যাঁরা একই ব্যবহারকারীর নাম ব্যবহার করেন, তাঁদের পরিচয় আরও সহজে মেলানো সম্ভব।

আবেদনের সময় ব্যবহারকারীরা বৃত্তি, ভর্তি, ভিসা, পরামর্শসেবা বা আবেদন ফি-র মতো সংবেদনশীল বিষয়ের বার্তায় সাড়া দিতে বেশি আগ্রহী হতে পারেন। ভৌগোলিক অবস্থান ও IP-সংক্রান্ত তথ্যের সঙ্গে স্থানীয় শিক্ষাপ্রতিষ্ঠান বা দেশের প্রেক্ষাপট যুক্ত করা হলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে পাঠানো বার্তা আরও বাস্তবসম্মত মনে হতে পারে।

যাঁদের তথ্যের সঙ্গে এই রেকর্ডে মিল পাওয়া গেছে, তাঁদের TheGradCafe অ্যাকাউন্ট এবং একই পাসওয়ার্ড ব্যবহার করা অন্য সব অ্যাকাউন্টের পাসওয়ার্ড বদলানো উচিত। ইমেইল অ্যাকাউন্ট, বিশ্ববিদ্যালয়ে আবেদনের পোর্টাল এবং যেসব শিক্ষাসংক্রান্ত প্ল্যাটফর্মে অর্থ পরিশোধ করা হয়, সেগুলো আগে পরীক্ষা করা উচিত। যেখানে সম্ভব, দুই উপাদানভিত্তিক পরিচয় যাচাই চালু করা উচিত।

পাঠানো লিংক সরাসরি না খুলে সংশ্লিষ্ট সেবার পরিচিত ওয়েব ঠিকানা বা অ্যাপের মাধ্যমে লগইন করা উচিত। যিনি ফোন করেছেন, তিনি আপনার নাম, ইমেইল, ঠিকানা বা আগের লেনদেনের তথ্য জানেন বলেই তিনি বিশ্বাসযোগ্য, এমন নয়। সহায়তার জন্য কোনো কথোপকথনেই একবার ব্যবহারযোগ্য যাচাইকরণ কোড, পেমেন্ট কার্ডের তথ্য বা অ্যাকাউন্টের পাসওয়ার্ড দেওয়া উচিত নয়।

দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, যেসব অ্যাকাউন্টে সম্ভব সেখানে দুই উপাদানভিত্তিক পরিচয় যাচাই এবং অ্যাকাউন্ট থেকে অপ্রয়োজনীয় ব্যক্তিগত তথ্য সরিয়ে ফেলার অভ্যাস ঝুঁকি কমায়। বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা ব্যবহার করলে আলাদা তথ্য ফাঁসের ঘটনাগুলোর তথ্য একত্র করা সহজ হয়। তাই গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা ইমেইল অ্যালিয়াস ব্যবহার করার কথা বিবেচনা করা যেতে পারে।

শিক্ষাসংক্রান্ত কমিউনিটিতে ব্যবহৃত ব্যবহারকারীর নাম সহজেই বাস্তব পরিচয়ের সঙ্গে মেলানো যায়। তাই ফোরাম প্রোফাইলে অপ্রয়োজনীয় ব্যক্তিগত তথ্য শেয়ার করা কমানো উচিত। পুরোনো আবেদন-সংক্রান্ত অ্যাকাউন্ট বন্ধ করা, নিরাপত্তা প্রশ্নে সহজে অনুমান করা যায় এমন ব্যক্তিগত তথ্য ব্যবহার বাদ দেওয়া এবং আবেদন পোর্টালগুলো আলাদা পাসওয়ার্ড দিয়ে সুরক্ষিত রাখা উচিত।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি এই রেকর্ডে আছে কি না জানা যায়। মিল পাওয়া মানেই সব ধরনের তথ্য নিশ্চিতভাবে সেই ব্যবহারকারীর, এমন নয়; তবে সতর্কতামূলক ব্যবস্থা নেওয়ার জন্য এটিকে যথেষ্ট সতর্কসংকেত হিসেবে বিবেচনা করা উচিত। মিল না পাওয়া শুধু বোঝায় যে এই তথ্যসমষ্টিতে কোনো মিল নেই; অন্য কোনো তথ্য ফাঁসের ঘটনায় তথ্য থাকার সম্ভাবনা এতে নাকচ হয় না।

মিল পাওয়া গেলে বিশেষ করে শিক্ষাপ্রতিষ্ঠানে আবেদন ও অ্যাকাউন্টের নিরাপত্তা-সংক্রান্ত বার্তার ক্ষেত্রে সতর্ক থাকা প্রয়োজন। মিল না পাওয়ার অর্থ এই রেকর্ডে কোনো মিল নেই; একই ইমেইল ঠিকানা অন্য শিক্ষাসংক্রান্ত প্ল্যাটফর্মে আছে কি না, সেটিও আলাদাভাবে যাচাই করা উচিত।