Toumei: তথ্য ফাঁস

ইমেইল, নাম, ফোন নম্বর ও ঠিকানার তথ্য একসঙ্গে পাওয়া গেলে ব্যক্তিগত ও ব্যবসায়িক যোগাযোগের প্রেক্ষাপটে নির্দিষ্ট ব্যক্তিকে লক্ষ্য করে বার্তা তৈরি করা সম্ভব। ব্যবসায়িক সেবার ক্ষেত্রে চুক্তি, পরামর্শ, ইনভয়েস, প্রস্তাব, গ্রাহক সহায়তা বা ঠিকানা যাচাইসংক্রান্ত ভুয়া বার্তা আরও বিশ্বাসযোগ্য মনে হতে পারে।

নাম, ইমেইল, ফোন নম্বর, ঠিকানা, ব্যবহারকারীর নাম বা অবস্থানের মতো তথ্য একসঙ্গে থাকলে আক্রমণকারীরা এমন বার্তা তৈরি করতে পারে, যা দেখে মনে হয় ব্যবহারকারীর সঙ্গে সত্যিকারের কোনো সেবাগত সম্পর্ক রয়েছে। শুধু এই তথ্যগুলো থাকা মানেই সব সময় অ্যাকাউন্টের নিয়ন্ত্রণ অন্যের হাতে চলে যাওয়া নয়; তবে এগুলো ফিশিং, সহায়তা চাওয়ার ভুয়া অনুরোধ, পণ্য পৌঁছে দেওয়ার বিজ্ঞপ্তি, অ্যাকাউন্ট যাচাই এবং ব্যক্তির তথ্য অনুযায়ী সাজানো প্রতারণার বিভিন্ন ধাপে ব্যবহার করা যেতে পারে। এই রেকর্ডে পাসওয়ার্ড বা পেমেন্ট কার্ডের তথ্যের উল্লেখ নেই। তা সত্ত্বেও ফোন নম্বর ও ঠিকানা ব্যবহারকারীর সঙ্গে সরাসরি যোগাযোগ করা সহজ করে দেয়। ইমেইলটি কর্মক্ষেত্রের অ্যাকাউন্ট হলে ঝুঁকি শুধু ব্যক্তিগত পর্যায়ে সীমিত না থেকে প্রতিষ্ঠানের কাজের প্রক্রিয়ার সঙ্গেও যুক্ত হতে পারে।

ঘটনার তারিখ হিসেবে 2023 সালের 18 অক্টোবর নথিভুক্ত রয়েছে এবং ক্ষতিগ্রস্ত ইমেইল ঠিকানার সংখ্যা 76,682। নিরাপত্তা-সংক্রান্ত রেকর্ডে 10 কোটির বেশি সারি এবং প্রায় 10 GB ডেটা থাকার দাবির উল্লেখ রয়েছে। সেখানে নাম, ফোন নম্বর ও ঠিকানার তথ্যসহ 77 হাজার স্বতন্ত্র ইমেইল ঠিকানা দেখানো হয়েছে। বিদ্যমান রেকর্ডে থাকা তথ্যের ধরনগুলো এর সঙ্গে সামঞ্জস্যপূর্ণ।

মূল ডেটার সারির সংখ্যাকে স্বতন্ত্র ইমেইল ঠিকানার সংখ্যা হিসেবে ধরে নেওয়া উচিত নয়। বিপুলসংখ্যক সারির মধ্যে একই তথ্যের পুনরাবৃত্তি, সিস্টেম রেকর্ড বা সম্পর্কিত তথ্য থাকতে পারে। ব্যবহারকারীর জন্য প্রাসঙ্গিক যাচাই হলো তাঁর ইমেইল ঠিকানা এই রেকর্ডে রয়েছে কি না।

ঝুঁকিতে থাকা ব্যক্তিরা Toumei-এর সেবার সঙ্গে সম্পর্কিত গ্রাহক, ব্যবসায়িক অংশীদার বা যোগাযোগের তালিকায় থাকা ব্যক্তি হতে পারেন। ভুয়া অফার ও ইনভয়েসসংক্রান্ত বার্তা পাঠানোর জন্য কর্মক্ষেত্রের ইমেইল ঠিকানা বেশি মূল্যবান।

যেসব ব্যবহারকারীর ফোন নম্বর ও ঠিকানা রয়েছে, তাঁদের ইমেইল ও ফোন কল, উভয় মাধ্যমে লক্ষ্যবস্তু করা যেতে পারে। জাপানভিত্তিক ব্যবসায়িক সম্পর্কের প্রেক্ষাপট থাকলে স্থানীয় ভাষায় বা প্রতিষ্ঠানের নাম ব্যবহার করে পাঠানো ভুয়া বার্তা আরও বাস্তবসম্মত মনে হতে পারে।

যেসব ব্যবহারকারীর তথ্যের মিল পাওয়া যায়, তাঁদের উচিত তাঁরা সংশ্লিষ্ট কর্মক্ষেত্রের ও ব্যক্তিগত প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করছেন কি না তা যাচাই করা। ইনভয়েস, মূল্যপ্রস্তাব, ঠিকানা যাচাই বা গ্রাহক সহায়তার অনুরোধ অবশ্যই বিকল্প যোগাযোগমাধ্যমে যাচাই করতে হবে।

পাঠানো লিংক সরাসরি খোলার বদলে ব্যবহারকারীর উচিত সংশ্লিষ্ট সেবার পরিচিত ওয়েব ঠিকানা বা আনুষ্ঠানিক অ্যাপের মাধ্যমে লগইন করা। ফোন করা কেউ আপনার নাম, ইমেইল, ঠিকানা, অর্ডার বা প্রোফাইলের তথ্য জানেন বলেই তিনি বিশ্বাসযোগ্য, এমনটি প্রমাণিত হয় না। সহায়তাসংক্রান্ত কোনো কথোপকথনেই একবার ব্যবহারযোগ্য যাচাইকরণ কোড, পেমেন্ট কার্ডের তথ্য বা অ্যাকাউন্টের পাসওয়ার্ড দেওয়া উচিত নয়।

দীর্ঘমেয়াদে পাসওয়ার্ড ম্যানেজার, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ও দুই উপাদানভিত্তিক প্রমাণীকরণ ব্যবহারের অভ্যাস এবং অ্যাকাউন্ট থেকে অপ্রয়োজনীয় ব্যক্তিগত তথ্য সরিয়ে ফেলা ঝুঁকি কমায়। বিভিন্ন প্ল্যাটফর্মে একই ইমেইল ঠিকানা ব্যবহার করলে আলাদা তথ্য ফাঁসের ঘটনা থেকে পাওয়া ডেটা একত্র করা সহজ হয়। তাই গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য আলাদা ইমেইল ঠিকানা বা বিকল্প ইমেইল পরিচয় ব্যবহার করার কথা বিবেচনা করা যেতে পারে।

ব্যবসায়িক সেবাসংক্রান্ত অ্যাকাউন্টের ক্ষেত্রে অভ্যন্তরীণ অনুমোদন প্রক্রিয়া ও সরবরাহকারী যাচাই জোরদার করা উচিত। ইমেইলে আসা অর্থ পরিশোধ, ঠিকানা বা অনুমোদিত ব্যক্তি পরিবর্তনের অনুরোধ দ্বিতীয় একটি লিখিত অনুমোদন ছাড়া কার্যকর করা উচিত নয়।

LeakData-তে যাচাই করলে অনুসন্ধান করা ইমেইল ঠিকানাটি এই রেকর্ডে আছে কি না জানা যায়। মিল পাওয়া মানেই সব তথ্য নিশ্চিতভাবে সেই ব্যবহারকারীর, এমন নয়; তবে সতর্কতামূলক ব্যবস্থা নেওয়ার জন্য এটি যথেষ্ট সতর্কসংকেত। মিল না পাওয়া শুধু বোঝায় যে এই ডেটাসেটে কোনো মিল নেই; অন্য কোনো তথ্য ফাঁসের ঘটনায় ইমেইলটি থাকার সম্ভাবনা এতে নাকচ হয় না।

মিল পাওয়া গেলে ব্যবসায়িক যোগাযোগের ক্ষেত্রে এবং ফোনের মাধ্যমে লক্ষ্যবস্তু হওয়ার ঝুঁকি বাড়ে। মিল না পাওয়া মানে এই রেকর্ডের মধ্যে কোনো মিল নেই; একই ইমেইল ঠিকানা ব্যবসায়িক সেবার অন্য রেকর্ডগুলোতে আলাদাভাবে যাচাই করা উচিত।