Tokopedia: তথ্য ফাঁস

এই ঘটনায় পাসওয়ার্ডের হ্যাশ মানের পাশাপাশি ইমেইল ঠিকানা, পূর্ণ নাম, লিঙ্গ ও জন্মতারিখের মতো পরিচয়সংক্রান্ত তথ্য ফাঁস হয়েছে। ইমেইল ঠিকানা ও পূর্ণ নাম একসঙ্গে থাকলে প্রচারণা, অর্ডার, পণ্য ফেরত, পণ্য পাঠানো বা স্টোর অ্যাকাউন্টসংক্রান্ত ভুয়া বার্তাগুলো আরও বিশ্বাসযোগ্য মনে হতে পারে। জন্মতারিখ ও লিঙ্গসংক্রান্ত তথ্য আক্রমণকারীদের ব্যক্তির তথ্য অনুযায়ী বার্তা তৈরি করতে সাহায্য করে। পাসওয়ার্ডের হ্যাশ মানগুলো SHA2-384 দিয়ে সুরক্ষিত থাকলেও, বিভিন্ন সেবায় একই পাসওয়ার্ড ব্যবহার করা হলে আক্রমণকারীরা হ্যাশ ভেঙে উদ্ধার করা বা অনুমান করা পাসওয়ার্ড অন্য সাইটে ব্যবহার করে দেখতে পারে। তাই ঝুঁকিকে শুধু Tokopedia অ্যাকাউন্টের মধ্যে সীমাবদ্ধ ভাবা উচিত নয়; একই ইমেইল ঠিকানা ব্যবহার করা অন্য কেনাকাটা, পেমেন্ট, সামাজিক যোগাযোগমাধ্যম ও ইমেইল অ্যাকাউন্টগুলোকেও বিবেচনায় নেওয়া উচিত।

রেকর্ডে তথ্য ফাঁসের তারিখ 17 এপ্রিল 2020, প্রথম তালিকাভুক্তির তারিখ 2 মে 2020 এবং হালনাগাদের তারিখ 17 জুলাই 2020 হিসেবে রাখা হয়েছে। LeakData যে মূল পরিধি ব্যবহার করে, তা হলো 7,14,43,698টি স্বতন্ত্র ইমেইল ঠিকানা। কিছু প্রতিবেদনে প্রথম ফাইলে 1 কোটি 50 লাখ সারি থাকার কথা উল্লেখ করা হয়েছে এবং পরে প্রায় 9 কোটি 10 লাখ অপরিশোধিত রেকর্ড থাকার দাবি করা হয়েছে। একই সারির পুনরাবৃত্তি, কোনো কোনো ঘরে তথ্য না থাকা বা ইমেইলবিহীন রেকর্ডের কারণে এই সংখ্যাগুলো স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা থেকে আলাদা হতে পারে। এই পৃষ্ঠায় ব্যবহারকারীকে যে সংখ্যা দেখানো হয়, তা স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা, যা অনুসন্ধানের ফলাফল হিসেবে অর্থবহ। যাচাইকৃত তথ্যের ধরন জন্মতারিখ, ইমেইল, লিঙ্গ, নাম ও পাসওয়ার্ডের হ্যাশ মানের মধ্যে সীমিত; পেমেন্ট মাধ্যমের তথ্য এই অনুসন্ধানের পরিধিতে অন্তর্ভুক্ত নয়।

যাঁরা 2020 সালের আগে Tokopedia অ্যাকাউন্ট খুলেছেন, কেনাকাটা বা বিক্রেতা সেবা ব্যবহার করেছেন, অন্য সেবায় একই ইমেইল ঠিকানা ব্যবহার করেছেন এবং একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করেছেন, তাঁদের ঝুঁকি সবচেয়ে বেশি। ইন্দোনেশিয়াভিত্তিক ই-কমার্স সেবার সঙ্গে যুক্ত ব্যবহারকারীদের অর্ডারের অবস্থা, পণ্য ফেরত, পেমেন্ট নিশ্চিতকরণ, অ্যাকাউন্ট যাচাই ও প্রচারণামূলক কুপনসংক্রান্ত বার্তার বিষয়ে আরও সতর্ক থাকা উচিত। যাঁদের বিক্রেতা অ্যাকাউন্ট রয়েছে, তাঁদের ক্ষেত্রে গ্রাহকের বার্তা, স্টোর প্যানেল, পেমেন্ট বিজ্ঞপ্তি ও সহায়তা চেয়ে পাঠানো ভুয়া অনুরোধের মাধ্যমে ঝুঁকি বাড়তে পারে। একই ইমেইল ঠিকানা ব্যাংক, কুরিয়ার, সামাজিক যোগাযোগমাধ্যম বা কর্মক্ষেত্রের অ্যাকাউন্টেও ব্যবহার করা হলে আক্রমণকারীরা এই তথ্য একত্র করে অ্যাকাউন্টে প্রবেশের চেষ্টা এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে ফিশিং করতে পারে।

Tokopedia অ্যাকাউন্ট এবং একই পাসওয়ার্ড দিয়ে খোলা অন্য যেকোনো অ্যাকাউন্টের পাসওয়ার্ড অবিলম্বে পরিবর্তন করা উচিত। প্রতিটি অ্যাকাউন্টে আলাদা, দীর্ঘ ও এলোমেলো পাসওয়ার্ড বেছে নেওয়া, পাসওয়ার্ড ম্যানেজার ব্যবহার করা এবং গুরুত্বপূর্ণ অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন (একাধিক স্বতন্ত্র উপাদানের মাধ্যমে পরিচয় যাচাই) চালু করা উচিত। অর্ডার, পণ্য পাঠানো, ছাড়, পণ্য ফেরত, অ্যাকাউন্ট লক হওয়া বা পেমেন্ট যাচাইসংক্রান্ত ইমেইল সতর্কভাবে পরীক্ষা করা উচিত। বার্তার লিংকে ক্লিক না করে আনুষ্ঠানিক ডোমেইনটি নিজে টাইপ করে প্রবেশ করা উচিত। ফোন বা বার্তার মাধ্যমে একবার ব্যবহারযোগ্য কোড কারও সঙ্গে শেয়ার করা উচিত নয়। বিক্রেতা অ্যাকাউন্ট ব্যবহারকারীদের স্টোর প্যানেলের সেশন, অনুমোদিত ডিভাইস ও পেমেন্ট সেটিংসও পরীক্ষা করা উচিত। সন্দেহজনক লগইনের বিজ্ঞপ্তি এলে সেশনগুলো বন্ধ করে বিশ্বস্ত মাধ্যম দিয়ে পাসওয়ার্ড পুনর্নির্ধারণের প্রক্রিয়া শুরু করা উচিত।

ই-কমার্সে নিরাপত্তা লঙ্ঘনের পর দীর্ঘস্থায়ী ঝুঁকি তৈরি হয় যখন পাসওয়ার্ডের তালিকা ও ফিশিং বার্তার সঙ্গে গ্রাহকের প্রোফাইলের তথ্য ব্যবহার করা হয়। ব্যবহারকারীদের নিয়মিত পুরোনো স্টোর অ্যাকাউন্টগুলো পর্যালোচনা করা, অব্যবহৃত অ্যাকাউন্ট বন্ধ করা, বিপণনসংক্রান্ত অনুমতি কমানো এবং একই ইমেইল ঠিকানা দিয়ে তৈরি গুরুত্বপূর্ণ অ্যাকাউন্টগুলোতে অতিরিক্ত যাচাইয়ের ব্যবস্থা ব্যবহার করা উচিত। প্রাতিষ্ঠানিকভাবে গ্রাহকের তথ্য ন্যূনতম পরিমাণে রাখা, শক্তিশালী ও হালনাগাদ পাসওয়ার্ড হ্যাশ অ্যালগরিদম ব্যবহার করা এবং সল্ট ও অতিরিক্ত সুরক্ষা ব্যবস্থা প্রয়োগ করা উচিত। অস্বাভাবিকভাবে তথ্য এক্সপোর্ট করা ও বিপুল পরিমাণ তথ্যের অনুসন্ধান আগাম সতর্কতাব্যবস্থার মাধ্যমে পর্যবেক্ষণ করা উচিত। ব্যবহারকারীদের বিজ্ঞপ্তিতে তারিখ উল্লেখ করে স্পষ্ট ভাষায় তথ্যের ধরন ব্যাখ্যা করা উচিত, যাতে তাঁরা বুঝতে পারেন কোন অ্যাকাউন্টগুলো পরীক্ষা করতে হবে।

আপনি LeakData-তে আপনার ইমেইল ঠিকানা দিয়ে অনুসন্ধান করে দেখতে পারেন, সেটি Tokopedia-এর তথ্য ফাঁসের রেকর্ডের সঙ্গে মেলে কি না। মিল পাওয়া গেলে প্রথমে আপনার Tokopedia অ্যাকাউন্টকে অগ্রাধিকার দিন, তারপর একই ইমেইল ঠিকানা বা একই পাসওয়ার্ড ব্যবহার করা অন্য অ্যাকাউন্টগুলো দেখুন। পাসওয়ার্ড পরিবর্তনের পাশাপাশি মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা, সেশনের ইতিহাস পরীক্ষা করা এবং পুরোনো ডিভাইসের অনুমোদন সরিয়ে দেওয়া গুরুত্বপূর্ণ। আপনার জন্মতারিখ ও নামের তথ্য ফাঁস হওয়ায় ব্যক্তিগত তথ্য থাকা বার্তাগুলোর ব্যাপারে আরও সন্দেহপ্রবণ থাকুন। অপ্রত্যাশিত ডেলিভারি, পণ্য ফেরত, অ্যাকাউন্ট যাচাই বা প্রচারণার লিংক পেলে আপনার তথ্য দেওয়ার আগে নিজে আনুষ্ঠানিক ওয়েবসাইট খুলুন। এসব পদক্ষেপ 2020 সালের ফাঁস হওয়া তথ্য বর্তমানে অ্যাকাউন্টে লগইন করে দেখার চেষ্টায়, ভুয়া কেনাকাটার বিজ্ঞপ্তিতে এবং নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে প্রতারণায় ব্যবহৃত হওয়ার সম্ভাবনা কমায়।