TigTag-এর 2021 সালের তথ্য ফাঁস

TigTag-এর নথিতে দৃশ্যমান তথ্যক্ষেত্রগুলো একসঙ্গে বিবেচনা করলে দেখা যায়, ঝুঁকি শুধু একটি ধরনের তথ্য থেকে তৈরি হয় না। একই ব্যবহারকারীর প্রোফাইলে ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড হ্যাশসংক্রান্ত তথ্য, পাসওয়ার্ডের তথ্য এবং অ্যাকাউন্ট তৈরির তারিখ থাকলে আক্রমণকারীরা আরও ব্যক্তিকেন্দ্রিক ও বিশ্বাসযোগ্য বার্তা তৈরি করতে পারে। নথিতে যাচাইকৃত যোগাযোগের তথ্য, অ্যাকাউন্ট বা প্রোফাইল শনাক্তকারী থাকলে সামাজিক প্রকৌশল ও বিভিন্ন প্রোফাইলের মধ্যে যোগসূত্র খুঁজে বের করার ঝুঁকি বাড়ে। নথিতে থাকা অ্যাকাউন্টসংক্রান্ত বাড়তি প্রাসঙ্গিক তথ্য ব্যবহার করে ভুয়া বার্তাকে কোনো বৈধ সেবার স্বাভাবিক প্রক্রিয়ার অংশ বলে মনে করানো সহজ হতে পারে।

এই ঘটনায় প্রধানত ফিশিং, অ্যাকাউন্ট দখল এবং সামাজিক প্রকৌশলের ঝুঁকিগুলো তুলে ধরা হয়েছে। আক্রমণকারীরা ভুয়া অ্যাকাউন্ট সতর্কতা, পাসওয়ার্ড রিসেট, সদস্যপদ নবায়ন, সহায়তাসংক্রান্ত বিজ্ঞপ্তি বা নিরাপত্তা যাচাইয়ের বার্তা তৈরির সময় নথির বিভিন্ন তথ্যক্ষেত্র একত্রে ব্যবহার করতে পারে। নথিতে সত্যিই থাকা অ্যাকাউন্টের বিবরণ বার্তায় ব্যবহার করলে নিরাপত্তার বিষয়ে ব্যবহারকারীর স্বাভাবিক সতর্কতা কমে যেতে পারে। তাই নথিতে পাসওয়ার্ড না থাকলেও বিভিন্ন প্রোফাইলের মধ্যে যোগসূত্র খুঁজে বের করা এবং নির্দিষ্ট ব্যবহারকারীকে লক্ষ্য করে প্রতারণার ঝুঁকি থেকে যায়। পাসওয়ার্ডের তথ্যক্ষেত্র থাকলে ঝুঁকি আরও বাড়ে, কারণ একই বা কাছাকাছি পাসওয়ার্ড অন্য সেবায় ব্যবহার করে দেখার চেষ্টা করা হতে পারে।

TigTag ব্যবহারকারীদের প্রথম কাজ হলো নিজের অ্যাকাউন্ট ব্যবহারের অভ্যাসের সঙ্গে এই নথির তথ্যক্ষেত্রগুলো মিলিয়ে দেখা। একই যাচাইকৃত অ্যাকাউন্ট বা যোগাযোগের তথ্য অন্য সেবায় ব্যবহার করা হয়ে থাকলে, আসা বার্তাগুলো সামগ্রিক ডিজিটাল পরিচয় বিবেচনায় নিয়ে মূল্যায়ন করা উচিত। একই ব্যবহারকারীর নাম সামাজিক যোগাযোগমাধ্যম, গেমিং, ফোরাম, শিক্ষা, ভ্রমণ বা কেনাকাটার অ্যাকাউন্টেও ব্যবহার করা হলে বিভিন্ন প্রোফাইলের মধ্যে যোগসূত্র খুঁজে বের করার ঝুঁকি বাড়ে। ব্যবহারকারীদের অপ্রত্যাশিত লিংকে সরাসরি ক্লিক করা উচিত নয়। পরিচিত ডোমেইন নামের মাধ্যমে অ্যাকাউন্টের কার্যক্রম যাচাই করা, একই পাসওয়ার্ড ব্যবহার করা অ্যাকাউন্টগুলোতে আলাদা পাসওয়ার্ড দেওয়া এবং সম্ভব হলে বহু-উপাদানভিত্তিক প্রমাণীকরণ চালু করা উচিত। যেসব নথিতে পাসওয়ার্ড হ্যাশসংক্রান্ত তথ্য আছে, সেগুলোর ক্ষেত্রে পুরোনো পাসওয়ার্ড তৈরির ধরনও পর্যালোচনা করা উচিত। অক্ষর বা চিহ্নে সামান্য পরিবর্তন করার বদলে সম্পূর্ণ আলাদা ও দীর্ঘ পাসওয়ার্ড বেছে নেওয়া উচিত।

প্রতিষ্ঠানগুলোর জন্য TigTag-এর এই নথি গুরুত্বপূর্ণ, কারণ এর মাধ্যমে বোঝা যায় বাইরের সেবায় কর্মীদের ইমেইল বা ব্যক্তিগত অ্যাকাউন্ট কোন তথ্যের সঙ্গে যুক্ত হয়ে উপস্থিত রয়েছে। কোনো কর্মী এ ধরনের সেবায় তার দাপ্তরিক ইমেইল ব্যবহার করে থাকলে, আক্রমণকারীরা সেই একই তথ্য দিয়ে ভুয়া সহায়তার অনুরোধ, চালানের বিজ্ঞপ্তি, অ্যাকাউন্ট যাচাই বা অভ্যন্তরীণ যোগাযোগের মতো দেখতে বার্তা তৈরি করতে পারে। নিরাপত্তা দলগুলোর শুধু পাসওয়ার্ড থাকা তথ্য ফাঁসের ঘটনাই পর্যবেক্ষণ করা উচিত নয়; নথিতে যাচাইকৃত পরিচয়, অ্যাকাউন্ট, যোগাযোগ ও ব্যবহারের প্রেক্ষাপটসংক্রান্ত তথ্যক্ষেত্রগুলোকেও সামাজিক প্রকৌশলের ঝুঁকি হিসেবে পর্যবেক্ষণ করা উচিত।

তাই TigTag-এর তথ্য ফাঁসের নথিটি প্রমাণসমর্থিত তথ্যক্ষেত্রের মধ্যেই সীমিত রাখা হয়েছে। তবে নিরাপত্তার ওপর এর প্রভাব বিবেচনায় নথিটিকে গুরুত্ব দেওয়া উচিত। ব্যবহারকারীদের জন্য সবচেয়ে যথাযথ পদক্ষেপ হলো স্বাধীন কোনো মাধ্যম দিয়ে আসা লিংক যাচাই করা, অ্যাকাউন্ট পুনরুদ্ধারের বিকল্পগুলো হালনাগাদ করা, একই তথ্য ব্যবহার করা অন্য অ্যাকাউন্টগুলো পরীক্ষা করা এবং অপ্রত্যাশিত যাচাই বা অর্থ পরিশোধের অনুরোধে তাড়াহুড়ো করে অনুমোদন না দেওয়া। TigTag-এর তথ্য ফাঁস সম্পর্কে অনুসন্ধানকারী ব্যবহারকারীরা যেন রেকর্ডের সংখ্যা, তথ্যক্ষেত্র এবং অগ্রাধিকারভিত্তিক সুরক্ষার পদক্ষেপগুলো অতিরঞ্জন ছাড়াই বুঝতে পারেন, সে জন্য এই পৃষ্ঠাটি হালনাগাদ করা হয়েছে।

TigTag-এর নথিতে এই চূড়ান্ত যাচাইয়ের উদ্দেশ্য হলো তথ্যক্ষেত্রের তালিকা ব্যবহারকারীর কাছে দৃশ্যমান বিবরণের সঙ্গে সামঞ্জস্যপূর্ণ রাখা। অনুসন্ধানকারী ব্যক্তির এই পৃষ্ঠায় কেবল প্রমাণসমর্থিত তথ্যের ধরনগুলোই দেখা উচিত। ঝুঁকিকে বড় করে দেখানোর জন্য সমর্থিত তথ্যক্ষেত্রের বাইরের কোনো অতিরিক্ত দাবি যোগ করা উচিত নয়। এই পদ্ধতি ব্যক্তিগত ব্যবহারকারীদের সঠিক নিরাপত্তা পদক্ষেপ বেছে নিতে সাহায্য করে। পাশাপাশি, কর্মীদের কোন তথ্য প্রকৃতপক্ষে ঝুঁকিতে থাকতে পারে, তা বুঝতেও প্রতিষ্ঠানগুলোকে সাহায্য করে। বর্তমানে অন্তর্ভুক্ত তথ্যের শ্রেণিগুলো নিম্নোক্ত ক্ষেত্রেই সীমিত: ইমেইল ঠিকানা, ব্যবহারকারীর নাম, পাসওয়ার্ড হ্যাশের মেটাডেটা, পাসওয়ার্ড, অ্যাকাউন্ট তৈরির তারিখ।