Tibber: তথ্য ফাঁস

এই ঘটনায় তালিকাভুক্ত তথ্যের ধরনগুলো হলো: ইমেইল ঠিকানা, ভৌগোলিক অবস্থান, নাম ও কেনাকাটার তথ্য। জ্বালানি ব্যবহার ও অবস্থানের তথ্য ভুয়া বিল বা গ্রাহকসেবার বার্তাকে আরও বিশ্বাসযোগ্য করে তুলতে পারে। একই ব্যবহারকারীর সঙ্গে একাধিক তথ্যের যোগসূত্র থাকলে আক্রমণকারীদের ভুয়া বিজ্ঞপ্তি পাঠানো, অ্যাকাউন্ট পুনরুদ্ধার, সোশ্যাল ইঞ্জিনিয়ারিং বা পরিচয়-সংক্রান্ত তথ্য মেলানোর প্রচেষ্টা আরও বিশ্বাসযোগ্য হয়ে উঠতে পারে।

এই রেকর্ডে পাসওয়ার্ডের তথ্য তালিকাভুক্ত নেই; ঝুঁকি মূলত জ্বালানি সেবার অ্যাকাউন্ট, বিল ও গ্রাহকের সঙ্গে যোগাযোগকে ঘিরে। পাসওয়ার্ড, পাসওয়ার্ডের ইঙ্গিত, ব্যক্তিগত বার্তা, সরকারি পরিচয়পত্র, আর্থিক তথ্য, অবস্থান বা প্রোফাইল ছবির মতো তথ্য থাকলে ঝুঁকি শুধু অবাঞ্ছিত ইমেইলে সীমাবদ্ধ থাকে না। পাসওয়ার্ড নেই এমন রেকর্ডেও ফোন, ঠিকানা, IP, জন্মতারিখ বা সামাজিক প্রোফাইলের তথ্য লক্ষ্যভিত্তিক আক্রমণে ব্যবহার করা যেতে পারে।

এই রেকর্ডে tibber.com ডোমেইনের সঙ্গে সংশ্লিষ্ট প্রায় 50,000 গ্রাহকের রেকর্ড অন্তর্ভুক্ত রয়েছে। ঘটনাটিকে নিশ্চিত রেকর্ড হিসেবে শ্রেণিবদ্ধ করা হয়েছে। অ্যাকাউন্টের সংখ্যা, ডোমেইনের নাম, দেশ, খাত ও তথ্যের শ্রেণিগুলো আলাদাভাবে যাচাই করে এর পরিধি লেখা হয়েছে। তালিকাভুক্ত নয় এমন তথ্যের ধরনগুলো ব্যবহারকারীর তথ্যের মধ্যে আছে বলে দেখানো হয়নি।

খাতের শ্রেণিবিন্যাস সংশোধন করে ‘জ্বালানি ও বিদ্যুৎ সরবরাহ’ হিসেবে নির্ধারণ করা হয়েছে। কিছু ক্ষেত্রে প্রতিষ্ঠানের প্রতিক্রিয়ায় তৃতীয় পক্ষের সেবা, ফোরাম অ্যাকাউন্ট, নিউজলেটারের তালিকা বা ব্যবহারকারীর প্রোফাইলের মতো ভিন্ন প্রেক্ষাপট থাকে। এসব রেকর্ড আলাদাভাবে রাখা হয়েছে, একই রেকর্ড একাধিকবার অন্তর্ভুক্ত করা হয়নি এবং ঘটনাটি যে সেবার সঙ্গে বাস্তবে সংশ্লিষ্ট, সেই প্রেক্ষাপট বজায় রাখা হয়েছে।

Tibber-এর গ্রাহক, জ্বালানি সেবার অ্যাকাউন্টধারী ব্যক্তি এবং শহর বা পোস্টাল কোডের ভিত্তিতে যাঁদের লক্ষ্য করা সম্ভব, তাঁরা ঝুঁকিতে রয়েছেন। এসব ব্যবহারকারীর প্রধান ঝুঁকি হলো, ফাঁস হওয়া তথ্য অন্য প্ল্যাটফর্মে ব্যবহৃত তথ্যের সঙ্গে মেলানো যেতে পারে। বিভিন্ন অ্যাকাউন্টে একই ইমেইল, ব্যবহারকারীর নাম, ফোন নম্বর, IP, ঠিকানা বা পাসওয়ার্ড ব্যবহার করা হলে আক্রমণকারীরা এসব অভিন্ন শনাক্তকারী কাজে লাগাতে পারে।

জ্বালানি সেবার প্রেক্ষাপট কাজে লাগিয়ে বিল, মিটার, পেমেন্ট, ছাড় বা সাবস্ক্রিপশন যাচাইয়ের ভুয়া বার্তা পাঠানো হতে পারে। ফোরাম, গেম, রান্নার রেসিপি, থাকার ব্যবস্থা, জ্বালানি, অনুষ্ঠানের টিকিট, নিউজলেটার, সামাজিক যোগাযোগমাধ্যম ও অর্থসংক্রান্ত সেবার মতো ভিন্ন প্রেক্ষাপটে ভিন্ন ধরনের ঝুঁকি তৈরি হয়। ব্যবহারকারীর শুধু তথ্যের ধরন নয়, সেই তথ্য কোন সেবার সঙ্গে সংশ্লিষ্ট, সেটিও বিবেচনা করা উচিত।

ক্ষতিগ্রস্ত ব্যবহারকারীদের আনুষ্ঠানিক যোগাযোগমাধ্যমে বিল ও পেমেন্টের বার্তা যাচাই করা এবং অ্যাকাউন্টের সঙ্গে যুক্ত ইমেইলের নিরাপত্তা পরীক্ষা করা উচিত। পাসওয়ার্ড বা পাসওয়ার্ডের ইঙ্গিত তালিকাভুক্ত থাকলে, একই বা কাছাকাছি পাসওয়ার্ড ব্যবহৃত সব অ্যাকাউন্টে তা পরিবর্তন করা, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড ব্যবহার করা এবং যেখানে সম্ভব বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। ইমেইল অ্যাকাউন্টের নিরাপত্তাও পরীক্ষা করা উচিত।

যেসব রেকর্ডে ফোন, ঠিকানা, অবস্থান, জন্মতারিখ, ব্যক্তিগত বার্তা, সামাজিক প্রোফাইল বা আর্থিক তথ্য রয়েছে, সেসব ক্ষেত্রে ব্যবহারকারীদের অ্যাকাউন্ট পুনরুদ্ধারের বিকল্প, লগইনের ইতিহাস, ফরওয়ার্ডিংয়ের নিয়ম ও সন্দেহজনক বিজ্ঞপ্তি পরীক্ষা করা উচিত। যাঁদের প্রাতিষ্ঠানিক বা প্রকাশ্যে দৃশ্যমান প্রোফাইল রয়েছে, তাঁদের লক্ষ্যভিত্তিক বার্তা ও সুনামহানির ঝুঁকিও বিবেচনা করা উচিত।

জ্বালানি-সংক্রান্ত হিসাব কঠোরভাবে যাচাই করা, বিলের বিজ্ঞপ্তি পরীক্ষা করা এবং পুরোনো গ্রাহক-তথ্য সীমিত রাখা গুরুত্বপূর্ণ। দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড, বহু-উপাদানভিত্তিক প্রমাণীকরণ, পুরোনো অ্যাকাউন্ট বন্ধ করা ও প্রোফাইলের অপ্রয়োজনীয় তথ্য কমানোই সুরক্ষার মূল ভিত্তি। স্থায়ী ব্যক্তিগত তথ্য পরিবর্তন করা যায় না বলে ব্যবহারকারীর আচরণ ও অ্যাকাউন্টের সেটিংসের মাধ্যমে নিরাপত্তা জোরদার করা উচিত।

প্রতিষ্ঠানগুলোর জন্য এসব ঘটনা দেখায় যে ব্যাকআপ ফাইল অ্যাক্সেসের কার্যক্রম, ফোরাম অ্যাকাউন্টের অনুমতি, নিউজলেটার সাবস্ক্রিপশনের তথ্য, গ্রাহকের তথ্য সংরক্ষণের সময়সীমা এবং বিজ্ঞপ্তি পাঠানোর প্রক্রিয়া নিয়মিত নিরীক্ষা করা প্রয়োজন। ব্যবহারকারীদের ক্ষেত্রে বিভিন্ন সেবায় একই পরিচয়-সংক্রান্ত তথ্য বারবার ব্যবহার না করা এবং অপ্রত্যাশিত বার্তা দ্বিতীয় কোনো যোগাযোগমাধ্যমে যাচাই করা দীর্ঘস্থায়ী সুরক্ষা দেয়।

ব্যবহারকারীর তথ্য এই রেকর্ডের সঙ্গে মিলে গেলে তাঁর জ্বালানি সেবার অ্যাকাউন্ট ও ইমেইল অ্যাকাউন্টে সন্দেহজনক বিজ্ঞপ্তি পরীক্ষা করা উচিত। মিল পাওয়া গেলে প্রথমে কোন কোন তথ্য তালিকাভুক্ত রয়েছে, তা পড়ে দেখা এবং সে অনুযায়ী করণীয়গুলোকে অগ্রাধিকার দেওয়া উচিত। পাসওয়ার্ড থাকলে পাসওয়ার্ড পরিবর্তনকে; আর্থিক তথ্য থাকলে অ্যাকাউন্ট পর্যবেক্ষণকে; ব্যক্তিগত বার্তা বা সামাজিক প্রোফাইল থাকলে গোপনীয়তা নিয়ন্ত্রণকে; আর অবস্থানের তথ্য থাকলে শারীরিক নিরাপত্তার মূল্যায়নকে অগ্রাধিকার দেওয়া উচিত।

চূড়ান্ত মূল্যায়ন: এই রেকর্ডে পাসওয়ার্ড না থাকলেও জ্বালানি ব্যবহার, অবস্থান ও ব্যয়ের প্রেক্ষাপটের কারণে একে সংবেদনশীল গ্রাহক-তথ্য হিসেবে বিবেচনা করা হয়েছে। ব্যবহারকারীর উচিত নিজের অ্যাকাউন্টের ইতিহাসের সঙ্গে এই রেকর্ড মিলিয়ে দেখা; একই ইমেইল, ফোন, ব্যবহারকারীর নাম, ঠিকানা বা পাসওয়ার্ড ব্যবহার করা সেবাগুলোও আলাদাভাবে পরীক্ষা করা উচিত। ঘটনার পর যেকোনো সন্দেহজনক কল, ইমেইল, বার্তা বা অ্যাকাউন্ট পুনরুদ্ধারের বিজ্ঞপ্তিকে বেশি ঝুঁকিপূর্ণ হিসেবে বিবেচনা করা উচিত।