Ticketek: তথ্য ফাঁস

যেসব ধরনের তথ্য ফাঁস হওয়ার বিষয়টি নিশ্চিত করা হয়েছে, সেগুলো হলো নাম, ইমেইল ঠিকানা, জন্মতারিখ, লিঙ্গসংক্রান্ত তথ্য, সম্বোধন ও পাসওয়ার্ড হ্যাশ। পর্যালোচনা করা ডেটাসেটে প্রায় 3 কোটি সারি ছিল, তবে সদৃশ তথ্য বাদ দেওয়ার পর পাওয়া যায় 1,76,43,173টি স্বতন্ত্র ইমেইল ঠিকানা। তাই সারির সংখ্যাকে স্বতন্ত্র ব্যক্তি বা অ্যাকাউন্টের সংখ্যা হিসেবে ধরা যাবে না। পাসওয়ার্ড ফিল্ডে প্লেইনটেক্সটের বদলে হ্যাশ মান ছিল; মূল পাসওয়ার্ড উদ্ধার করা কঠিন করার উদ্দেশ্যে এসব হ্যাশ তৈরি করা হয়েছে। হ্যাশিং অ্যালগরিদম ও অতিরিক্ত সুরক্ষাব্যবস্থা সম্পর্কে প্রকাশ্যে যাচাই করা তথ্য নেই। ইমেইল ঠিকানার সঙ্গে নাম, জন্মতারিখ, লিঙ্গ ও সম্বোধনের তথ্য মিলিয়ে ব্যবহার করলে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং, অ্যাকাউন্ট পুনরুদ্ধারের প্রক্রিয়ায় প্রতারণা এবং অন্যের পরিচয় ধারণের ঝুঁকি বাড়ে। পাসওয়ার্ড হ্যাশ ব্যবহার করে দুর্বল পাসওয়ার্ডের সম্ভাব্য মান অফলাইনে পরীক্ষা করাও সম্ভব হতে পারে। একই পাসওয়ার্ড অন্য কোথাও ব্যবহার করা হয়ে থাকলে ক্রেডেনশিয়াল স্টাফিংয়ের ঝুঁকিও তৈরি হয়। ডেটাসেটে পেমেন্ট কার্ডের তথ্য ও অন্যান্য পেমেন্ট-সংক্রান্ত তথ্য থাকার বিষয়টি যাচাই করে নিশ্চিত করা হয়নি। কোম্পানি জানিয়েছিল, পেমেন্টের তথ্য ক্ষতিগ্রস্ত হয়নি।

2024 সালের 31 মে Ticketek জানায়, তৃতীয় পক্ষের হোস্ট করা একটি ক্লাউড প্ল্যাটফর্ম থেকে অস্ট্রেলীয় গ্রাহকদের কিছু তথ্য অননুমোদিতভাবে দেখা হয়ে থাকতে পারে। প্রাথমিক বিজ্ঞপ্তিতে নাম, ইমেইল ঠিকানা ও জন্মতারিখের কথা উল্লেখ করা হয়। সেখানে বলা হয়, নিরাপদ সংরক্ষণপদ্ধতির মাধ্যমে গ্রাহকদের পাসওয়ার্ড সুরক্ষিত রাখা হয়েছে এবং গ্রাহকদের অ্যাকাউন্ট বা পেমেন্টের তথ্যের নিরাপত্তা লঙ্ঘিত হওয়ার কোনো প্রমাণ পাওয়া যায়নি। জুন মাসে একটি অপরাধমূলক ফোরামে Ticketek-এর মূল কোম্পানির বলে দাবি করা একটি ডেটাসেটের বিজ্ঞাপন দেওয়া হয়, যাতে প্রায় 3 কোটি সারি রয়েছে বলে দাবি করা হয়। নমুনাগুলোতে পরিচয়সংক্রান্ত আরও কিছু ফিল্ড ও পাসওয়ার্ড হ্যাশ দেখা যায়। পরবর্তী ঘটনাবিশ্লেষণে এই ঘটনার সঙ্গে একটি বিস্তৃত অভিযানের যোগসূত্র পাওয়া যায়, যেখানে চুরি করা লগইন তথ্য ব্যবহার করে বহু প্রতিষ্ঠানের ক্লাউড ডেটা স্টোরে প্রবেশ করা হয়েছিল। কোম্পানির প্রাথমিক বিজ্ঞপ্তিতে ক্লাউড সেবাদাতার নাম উল্লেখ করা হয়নি। এই রেকর্ডে 31 মে-কে ঘটনাটি প্রকাশ্যে জানানোর তারিখ হিসেবে ব্যবহার করা হয়েছে। অননুমোদিত প্রবেশ ঠিক কখন শুরু বা শেষ হয়েছিল, তা নির্ভরযোগ্য প্রকাশ্য প্রমাণ থেকে নিশ্চিত করা যায় না।

সবচেয়ে বেশি ঝুঁকিতে আছেন সেই গ্রাহকেরা, যাঁরা অন্য কোনো সেবায় Ticketek-এর পাসওয়ার্ড পুনরায় ব্যবহার করেছেন এবং ডেটাসেটে থাকা তাঁদের ইমেইল, জন্মতারিখ ও নাম এখনো বর্তমান তথ্যের সঙ্গে মেলে। হ্যাশ সরাসরি পড়া যায় এমন পাসওয়ার্ড নয়। তবে আক্রমণকারীরা বহুল ব্যবহৃত পাসওয়ার্ডগুলো অফলাইনে পরীক্ষা করে দেখতে পারে এবং উদ্ধার করা পাসওয়ার্ড দিয়ে ইমেইল, কেনাকাটা, সামাজিক যোগাযোগমাধ্যম বা অন্য টিকিটিং অ্যাকাউন্টে প্রবেশের চেষ্টা করতে পারে। জন্মতারিখ ও সম্বোধনের তথ্য ব্যবহার করে কোনো বাস্তব অনুষ্ঠান, টিকিট পাঠানো বা অর্থ ফেরত দেওয়া-সংক্রান্ত বার্তাকে আরও বিশ্বাসযোগ্য করে তোলা সম্ভব। গ্রাহকদের অ্যাকাউন্ট বা পেমেন্টের তথ্যের নিরাপত্তা লঙ্ঘিত হওয়ার বিষয়টি যাচাই করে নিশ্চিত করা হয়নি, তবে ফাঁস হওয়া পরিচয়সংক্রান্ত তথ্যগুলো প্রতারণার জন্য যথেষ্ট প্রাসঙ্গিক তথ্য দেয়। যাঁরা দীর্ঘ ও স্বতন্ত্র পাসওয়ার্ড ব্যবহার করেছেন, তাঁদের পাসওয়ার্ড পুনর্ব্যবহারজনিত ঝুঁকি কম। তবে তাঁদের পরিচয়সংক্রান্ত তথ্য অন্তর্ভুক্ত হয়ে থাকলে ব্যক্তিগত তথ্য ব্যবহার করে চালানো ফিশিংয়ের ঝুঁকি থেকেই যায়।

আপনি Ticketek-এর পাসওয়ার্ড বদলে ফেললেও, 2024 সালে ব্যবহার করা পাসওয়ার্ডটি অন্য কোনো অ্যাকাউন্টে এখনো ব্যবহার করছেন কি না, তা পরীক্ষা করুন। যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেছেন, প্রতিটির জন্য আলাদা পাসওয়ার্ড দিন। আপনার প্রধান ইমেইল অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার, আর্থিক সেবা এবং পেমেন্ট পদ্ধতি সংরক্ষিত আছে এমন কেনাকাটার অ্যাকাউন্টগুলোকে অগ্রাধিকার দিন। ইমেইল ও অন্যান্য গুরুত্বপূর্ণ সেবায় বহু-ফ্যাক্টর প্রমাণীকরণ চালু করুন; সম্ভব হলে অথেনটিকেটর অ্যাপ বা হার্ডওয়্যার সিকিউরিটি কি ব্যবহার করুন। Ticketek-এর অর্থ ফেরত, অনুষ্ঠানের পরিবর্তন, পেমেন্টের সমস্যা বা পাসওয়ার্ড রিসেট-সংক্রান্ত বলে দাবি করা বার্তার লিংকে যাবেন না; নিজে সরাসরি অফিসিয়াল সাইটে যান। অ্যাকাউন্টের সেশন, পুনরুদ্ধারের ইমেইল ঠিকানা ও পরিচিত ডিভাইসগুলো পর্যালোচনা করে দেখুন, আপনার অজান্তে কোনো পরিবর্তন হয়েছে কি না। এই তথ্য ফাঁসের যাচাই করা পরিসরে পেমেন্ট কার্ডের তথ্য নেই। তবে নিয়মিত অ্যাকাউন্টের নিরাপত্তা বজায় রাখার অংশ হিসেবে অপ্রত্যাশিত লেনদেনের দিকে নজর রাখুন। কোনো কলকারী বা বার্তাপ্রেরক আপনার নাম, জন্মতারিখ বা কোনো অনুষ্ঠানের বিবরণ জানে বলেই তাকে বিশ্বাস করবেন না। কখনোই একবার ব্যবহারযোগ্য প্রমাণীকরণ কোড কাউকে জানাবেন না।

প্রতিটি অনলাইন সেবার জন্য এলোমেলোভাবে তৈরি স্বতন্ত্র পাসওয়ার্ড পেতে একটি পাসওয়ার্ড ম্যানেজার ব্যবহার করুন, যাতে ফাঁস হওয়া একটি হ্যাশ থেকে পাসওয়ার্ড উদ্ধার হলেও অন্য অ্যাকাউন্টগুলো ক্ষতিগ্রস্ত না হয়। গুরুত্বপূর্ণ সেবাগুলোতে বহু-ফ্যাক্টর প্রমাণীকরণ চালু রাখুন, পুনরুদ্ধার কোড নিরাপদে অফলাইনে সংরক্ষণ করুন এবং নিয়মিত অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো পর্যালোচনা করুন। টিকিটিং-সংক্রান্ত অপ্রত্যাশিত সংযুক্তি, QR কোড, ক্যালেন্ডার আমন্ত্রণ ও পেমেন্টের অনুরোধ আলাদা যোগাযোগমাধ্যমে যাচাই করুন। জন্মতারিখের মতো অপরিবর্তনীয় তথ্যকে স্থায়ী ঝুঁকির সংকেত হিসেবে বিবেচনা করুন। একবার প্রকাশ পেলে ভবিষ্যতে সামাজিক প্রকৌশলভিত্তিক প্রতারণায় এসব তথ্য আবার ব্যবহার করা হতে পারে। নিরাপত্তা প্রশ্নের উত্তরে সত্য এবং সহজে খুঁজে বের করা যায় এমন তথ্য বারবার ব্যবহার করা এড়িয়ে চলুন। নতুন ডিভাইস, পাসওয়ার্ড রিসেট বা ইমেইল ঠিকানা পরিবর্তনের সতর্কবার্তা পেলে সরাসরি সংশ্লিষ্ট সেবার নিরাপত্তা পাতায় যান, সক্রিয় সেশনগুলো বাতিল করুন এবং সংযুক্ত অ্যাপ্লিকেশনগুলোকে দেওয়া অনুমতি পর্যালোচনা করুন।

Ticketek-এ ব্যবহার করা আপনার বর্তমান ও পুরোনো প্রতিটি ইমেইল ঠিকানা যাচাই করতে এই পাতার নিরাপদ অনুসন্ধান ফিল্ড ব্যবহার করুন। মিল পাওয়ার অর্থ হলো, ঠিকানাটি যাচাই করা ডেটাসেটের 1,76,43,173টি স্বতন্ত্র ইমেইল ঠিকানার একটি। এর অর্থ এই নয় যে প্লেইনটেক্সট পাসওয়ার্ড ফাঁস হয়েছে বা অ্যাকাউন্টটি নিশ্চিতভাবে অন্য কারও নিয়ন্ত্রণে গেছে। মিল পেলে, কোন কোন অ্যাকাউন্টে আপনি 2024 সালের পাসওয়ার্ডটি পুনরায় ব্যবহার করেছেন তা শনাক্ত করুন এবং সবচেয়ে গুরুত্বপূর্ণ সেবাগুলো আগে সুরক্ষিত করুন। কোনো ফল না পাওয়া সম্পূর্ণ নিশ্চয়তা দেয় না, কারণ ভিন্নভাবে লেখা কোনো ঠিকানা, এই ডেটাসেটের বাইরে থাকা কোনো রেকর্ড বা অন্য কোনো তথ্য ফাঁসের ঘটনা থাকতে পারে। তথ্য ফাঁস যাচাইয়ের অনুসন্ধানে কখনোই আপনার পাসওয়ার্ড, পেমেন্ট কার্ড নম্বর বা একবার ব্যবহারযোগ্য প্রমাণীকরণ কোড লিখবেন না। পুরোনো ঠিকানাগুলো নিয়মিত আবার যাচাই করলে নতুন প্রকাশিত তথ্য ফাঁসের রেকর্ড দ্রুত জানতে পারবেন এবং ব্যক্তিগত তথ্য ব্যবহার করে তৈরি প্রতারণামূলক বার্তায় সাড়া দেওয়ার আগেই সেগুলো চিনতে পারবেন।